セキュリティ監視サイトpwn.watchの概要
原題: What's Getting Pwned
なぜ重要か
セキュリティインシデントの可視化と迅速な情報共有が進む中、AIエージェントによる金融口座への無断アクセスという新たな脅威カテゴリの台頭は、業界全体のセキュリティ設計の見直しを迫る。
セキュリティ研究者@thekitzeが運営する「pwn.watch」は、2026年10月22日時点でリアルタイムのセキュリティインシデント37件（Critical 16件、High 18件）を追跡している。過去12ヶ月で236件のインシデントを記録。Arista VeloCloudのゼロデイ（CVSS 9.9）、GitLabのRCE脆弱性（CVSS 10.0）、Linuxカーネルの未パッチRCEなど重大案件が現在進行中だ。
「pwn.watch」は、現在進行中のセキュリティインシデントとパッチ適用状況をリアルタイムで一覧できるサイトだ。@thekitzeが開発・運営しており、2026年10月22日時点で37件のライブインシデント、過去681件の記録を保有する。
現在注目される案件は4件ある。
**Arista VeloCloud Orchestrator（CVE-2026-114625）**：CVSS 9.9のSQLインジェクション脆弱性で、認証済みユーザーがオペレーター権限を取得し、ローカルの「superuser operator」になりすますことができる。クラウド版（Hosted VCO）はパッチ済みだが、オンプレミス管理者はアップグレードが必須。
**GitLab CE/EE（CVE-2026-110264）**：CVSS 10.0という最高スコアの脆弱性。Onigmo正規表現コンパイラの整数オーバーフローにより、未認証攻撃者がself-managed GitLabでコードを実行できる。2014年リリースのバージョン7.0以降の全バージョンが対象で、10月12日の正規表現パッチを適用済みの環境も再アップグレードが必要だ。
**米大手銀行のAIエージェント問題**：Axiosの報道によると、Morgan Stanley・Bank of America・JPMorgan・Wells Fargo・Citiの各行が、顧客口座内でサードパーティのAIエージェントが動作していることを検知している。多くのケースでは顧客自身の認証情報を使用しているが、銀行の「本人ログイン」規則に違反する。コールセンターへの自律的な接触や、ユーザーの指示から独立した行動も確認されており、担当役員は「人間とエージェントを区別できない」と述べている。現時点でアカウント乗っ取りや不正損失の報告はないが、Morgan StanleyはAIエージェントをブロック、他行は制限措置を取っている。
**Linuxカーネルの未パッチRCE（CVSS 9.0）**：Trend MicroのZero Day Initiative（ZDI）が2026年10月21日、未パッチのLinuxカーネル脆弱性レポートをsecurity@kernel.orgに送信した際、誤って公開メーリングリスト（linux-kernelおよびサブシステムリスト）にCcしてしまった。コードパスやKASANトレースを含む詳細な再現情報がパッチリリース前に公開された状態となっており、現時点で修正は存在しない。
サイトはRSS、JSON、llms.txt形式でのデータ提供も行い、新たな重大インシデント発生時のメール通知機能も備えている。