2026/10/31 4:05

Bunny CDN セキュリティインシデント

RSS: https://news.ycombinator.com/rss

要約▶

Japanese Translation:

最近、アルメニアにあるコンテンツ配信ネットワーク (CDN) ノードに対する不正なアクセス試行が発生したセキュリティ事件は、顧客データまたは内部システムの侵害が確認されていないことを踏まえ、適切に封じ込められました。最も重要な所見として、機密アカウント情報が流出することなく、リスクは影響を受けたサーバーインフラストラクチャーに厳密に限定されました。エンジニアリングチームは 20 分以内にトラフィックのルーティングを停止し、侵害されたシステムを安全に消去すると同時に分析用のログを保全しました。一部のキャッシュ済みコンテンツが当該ノード上で公開された可能性がありますが、他場所への不正なアクセスが発生したとの証拠はありません。最大限の安全性を確保するために関連する TLS（トランスポートレイヤセキュリティ）証明書をすべて無効化し、再発行しています。自社の証明書を使用している顧客は直ちにこの予防措置を実施する必要がありますが、管理された証明書を使用しているユーザーは影響を受けません。カスタムドメイン向けの再発行プロセスは 24 時間以内の完了が見込まれ、その後には追加の対応は不要です。今後の調査に関する追加情報は、新たな情報が入ればメールまたはステータスページを通じて共有します。

本文

セキュリティインシデントに関するお知らせ

当社のインフラストラクチャーを提供するパートナー企業を巡る事件を受け、発生事象の概要と講じた対応行動、お客様への含意についてご案内します。

事象と対応内容

事象の概要
- 先週、第三者サーバー管理ソフトウェアに対し権限のないアクセスが発生したとの報告が寄せられました。
- 当社のコンテンツデリバリネットワーク（CDN）ノードのうち、アルメニアに設置されている一部は、当該パートナー企業のサーバー上にホストされていました。
即時対応行動
- アラートを受領後、エンジニアリングチームは即座に対応を開始しました。
- 該当サーバーへのトラフィック誘導を20 分以内に停止しました。
- 関連セキュリティログを検査・保存し、調査を実施した上で、該当サーバーの恒久的な削除および当社システムへのアクセス権の停止を行いました。
調査結果
- CDN ノードまたはそのデータに対する権限のないアクセスの兆候は見つかっておりません。
- パートナー企業側でも、当該サーバーへのアクセスがあったという根拠は確認されていません（現在も調査継続中）。

お客様のデータに対する影響

想定されるリスクと暴露情報 調査で明確な証拠は見つかっていませんが、可能性を完全に排除することはできません。仮に不正アクセスが発生していた場合、以下の情報への曝露リスクがあると考えられます：
- CDN コンテンツの一時的なキャッシュデータ
- Pull ゾーン設定情報
- サーバー上に格納されていたTLS 証明書
発行済み証明書の対応状況
- bunny.net プラットフォームドメイン（
```
b-cdn.net
```
  ,
```
bunny.run
```
  ）向けに発行されているすべての TLS 証明書の取り消しと再発行を実施済みです。
- カスタムドメイン向けの管理型 TLS 証明書：再発行プロセス進行中（最大 24 時間以内に完了見込み）。
- 管理型証明書をご利用のお客様：追加の対応不要です（完了後にステータスパージにて更新情報掲載予定）。
独自管理証明書の対応推奨
- お客様が独自に TLS 証明書を管理されている場合は、予防のため新しい秘密鍵を使用した取り消しと再発行をお勧めします。
その他の影響について
- 問題サーバーには bunny.net アカウントデータを含む他の顧客データは一切保存されておらず、社内システムにも影響は及びませんでした。

今後の対応について

インフラストラクチャーの監視を厳しく継続し、パートナー企業と連携しながら調査を進めます。
新しい発見がお客様に影響を与える可能性が判明した場合は、メールおよびステータスパージにて改めてご連絡いたします。
bunny.net では貴社からの信頼とコンテンツの安全性を守る責任を真摯に受け止め対応してまいります。

ご質問や TLS 証明書のご管理に関するサポートが必要な場合は、サポートチームまでお気軽にご連絡ください。

公開日：2026 年 10 月 28 日 11:40 UTC（コペンハーゲン時間）

同じ日のほかのニュース

一覧に戻る →

2026/10/31 2:25

僕の一番好きなPower Macは、ニンテンドーWiiだ

## Japanese Translation: Rairii のゲスト投稿では、ArtX ベースの PowerPC システム（特にニンテンドーコンソールであるゲームキューブ、Wii、Wii U）への古典的な Mac OS バージョン 7.6 と 9.2.2 の成功したポート作業について詳述されている。同プロジェクトは 2025 年 6 月 22 日に開始され、AI の助力なしに完全に手動作業によるコーディング、リバースエンジニアリング、デバッグを通じて完了している。大きな突破点は、FAT ファイルシステムを備えた OpenBIOS を改修して Mac OS イメージをロードできるようにしたことであり、開発者は NT ARC ファームウェアローダーなどの既存のツールの再利用を行ったが、ドライバーは大幅に修正した：Elliott Nunn の virtio ベースのディスプレイドライバーの再利用、"SD Gecko"（SPI アダプター）および"EXI-IDE"（SPI エミュレーション）ディスクドライバーの実装、物理アドレス空間の前提条件と MMIO マッピングのエラーを修正する「Trampoline」へのパッチ適用などである。重要なカーネルパッチはマイクロコントローラー用のビットフラグの修正、Flipper および PCI アーキテクチャ間の中断コントローラの不整合への対処、レガシーモードの問題の解消といったハードウェア固有の課題に対応している。具体的なレガシーバグも修正された例として、「SuperMario」m68k 環境におけるシリアルポートコード内の無限ループがある。現在、SD を通じて SPI で実機上で Mac OS 7.6 は 40 秒以内に正常に起動するが、Mac OS 9.2.2 については不安定な Open Transport コンポーネントを除去しクラッシュを防ぐためにさらなる作業が必要である。

2026/10/30 16:09

Cursor マーケットの VS コード拡張機能「Claude Code」に後門が存在する

## Japanese Translation: 公式 Cursor マーケットPLACE で配布されている公式 Claude Code 拡張機能（バージョン 2.1.313）に重大な裏門（バックドア）が発見された。攻撃者は Windows、Linux、macOS のいずれの環境でもユーザーのマシンに対して永続的なアクセス権を取得できる。ベンダーが管理する配布チャネルに関する標準的な仮説とは異なり、この悪意のあるアップデートは SSH キーを埋め込み、逆回線トンネルを確立することで、インストール時に直接ユーザーの関与を必要とせずにもれなくシェルへの完全なアクセス権限を取得する。この脅威は macOS のセットアップスクリプトに含まれる特定の脆弱性を利用し、セキュリティチェックを迂回すると同時に、機微なシステムデータを攻撃者管理のサーバーにビーコン送信している。Cursor は以来、その登録から該当の侵害されたリリースを削除した。バージョン 2.1.313 を使用している組織は、直ちに環境を検査し、拡張機能をアンインストールし、埋め込まれた認証情報や実行中のトンネルプロセスを能動的に探してセキュリティを回復する必要がある。この事件は、堅牢なサプライチェーン監査の緊急性を示しており、正規の開発ツールが企業ネットワーク内におけるデータ窃取および lateral movement（横方向移動）の予期せぬベクトルとして機能し、ベンダー配布ソフトウェアへの信頼を損なう可能性があることを強調している。

2026/10/31 6:30

sanstun：Rust で実装された、sans-IO を採用した並列性に優れた WireGuard 実装

## Japanese Translation: Sanstun は、非推奨の `firezone/boringtun` フォークを代替する、WireGuard 状態機械の最適化された Rust 実装（IO なし）をリリースしました。この新しい設計は、並列処理に適した慣用 API を使用して I/O および副作用（時間と乱数を含む）をコアビジネスロジックから分離することで、使いやすさ、セキュリティ向上、パフォーマンスを優先しています。主な利点には、プロトコル不変性をマッピングする型を通じたコンパイル時安全性、`Instant` オブジェクトによる時間処理を通じた正確なシステムシミュレーション、Diffie-Hellman 鍵交換およびクッキー管理を通じた DoS 攻撃に対する内蔵防御が含まれます。API は明示的に記録業務（例：カプセル化の開始）と重い暗号化/復号化を分離することで同期ボトルネックを回避し、暗号処理をワーカースレッドにオフロードした場合のベンチマークでは 45 倍以上のスピードアップの可能性を示しています。ユーザーは現在、パケットを手動でバッファリングする必要があり、`Tunnel::initiate_handshake` を通じてハンドシェイクを開始する必要がありますが、この設計はプライベートハンドシェイクコンスストラクタ（`Interface::receive` のみアクセス可能）を介してコンパイル時にレート制限および正しいトンネルルートを強制します。このアプローチにより、以前のフォークで問題となった直感的ではないドレインや設定できないバッファサイズのなどの内部バッファリング問題は解消されます。Sanstun パターンは Rust に限定されず、様々なプログラミング言語での実装にも有益である可能性があります。Apache 2.0 ライセンスの下で crates.io で利用可能であり、非推奨の `firezone/boringtun` フォークから移行する過程で GitHub の issue および PR を通じて貢献を招集しています。