Featured
今日の注目ニュース
AWS Configが77の追加リソースタイプに対応しました
原文：AWS Config now supports 77 new resource types
AWS Configが77の追加リソースタイプに対応しました。全リソースタイプの記録を有効にしている場合は自動で追跡され、ConfigルールとConfigアグリゲータでも利用できます。
ここが嬉しい：記録対象が広がるので、これまで追いにくかったリソースも設定確認や監査の流れに載せやすくなります。
気になるところ：全リソースタイプを記録している環境では、新しい記録対象が増える前提でルールや集約結果の見え方を確認したいです。
自分ならまず、全リソースタイプの記録設定かどうかを見ます。自動で追跡される環境なら、既存のルールに想定外の結果が出ないか軽く眺めておきたいです。
Quick reads
30秒ニュース
Dockerファイルを使うAWS CDKのアセットバンドリングで、2.267.0より前のバー…
原文：CVE-2026-107608: Improper link resolution in asset bundling output handling in aws-cdk-lib
Dockerファイルを使うAWS CDKのアセットバンドリングで、2.267.0より前のバージョンではシンボリックリンクを含むファイルが出力へ入る問題が案内されました。Dockerを使うバンドリングが対象です。
👍 ここが嬉しい：ここが嬉しい：Dockerを使ったCDKバンドリングに対象を絞って、見直しの起点を作れます。
AWS Security Bulletinsを見るAmazon Agent Plugins for AWSのdatabases-on-awsで…
原文：CVE-2026-107322 - OS command injection in Amazon Agent Plugins for AWS databases-on-aws
Amazon Agent Plugins for AWSのdatabases-on-awsで、1.7.1より前の不許可入力リストに関する問題が公表されました。細工された内容をエージェントが取り込むケースが対象で、影響箇所は待受ネットワークサービスではありません。
👍 ここが嬉しい：ここが嬉しい：対象プラグインとバージョンが示されており、使っている場合の確認範囲を絞れます。
AWS Security Bulletinsを見るAWS Toolkit for Visual Studio CodeのCodeCatalys…
原文：CVE-2026-107332 - Insecure default file permissions on cached credentials in AWS Toolkit for Visual Studio Code
AWS Toolkit for Visual Studio CodeのCodeCatalyst接続処理で、Bearerトークンを保存したファイルが他のローカルユーザーやプロセスから読める権限になり、セッション終了後も削除されない問題が公表されました。
👍 ここが嬉しい：ここが嬉しい：CodeCatalyst Dev Environmentへの接続時に見るべき点が明確です。
AWS Security Bulletinsを見るAthena engine version 3の認可チェック不足により、認証済みユーザーが他…
原文：CVE-2026-107352 - Missing authorization checks in Amazon Athena engine version 3 request handling
Athena engine version 3の認可チェック不足により、認証済みユーザーが他アカウントの限定的なクエリメタデータを読める可能性がありました。AWSは2026年9月1日にサービス側で対処済みで、顧客メタデータへのアクセスは確認されておらず、利用者側の対応は不要です。
👍 ここが嬉しい：ここが嬉しい：サービス側で対処済みで、顧客メタデータへのアクセスは確認されていません。クエリ結果、認証情報、Amazon S3データは影響を受けていません。
AWS Security Bulletinsを見るQnABot on AWSの任意サンプルであるAmazon Q Business Lambd…
原文：CVE-2026-105811 - Authorization bypass through a user-controlled key in the Amazon Q Business Lambda hook sample in QnABot on AWS
QnABot on AWSの任意サンプルであるAmazon Q Business Lambda hookに、利用者が制御するキーによる認可回避の問題が公表されました。このサンプルは別途手動でデプロイと設定を行うもので、QnABotとともに自動デプロイはされません。
👍 ここが嬉しい：ここが嬉しい：対象は任意のサンプルに限定され、サンプルをデプロイしていない場合は影響を受けません。
AWS Security Bulletinsを見るbedrock-agentcore-starter-toolkitで、細工されたエージェント…
原文：CVE-2026-105812 and CVE-2026-106032: Issue with Bedrock AgentCore Starter Toolkit - Import Agent Code Injection and SSRF
bedrock-agentcore-starter-toolkitで、細工されたエージェントのインポート後に実行またはデプロイすると任意コード実行につながる問題と、インポート中に意図しないネットワーク要求やローカルファイルアクセスが起こり得る問題が公表されました。
👍 ここが嬉しい：ここが嬉しい：エージェントをローカル開発環境へ取り込むCLIに対象が絞られており、利用有無から確認を始められます。
AWS Security Bulletinsを見るAWS Capabilities by Regionで、サービス単位または個別機能単位の提供…
原文：AWS Capabilities by Region now offers availability notifications for individual features and advanced filters
AWS Capabilities by Regionで、サービス単位または個別機能単位の提供状況通知を設定できるようになりました。アプリ内通知と週次メールで、新たに利用可能になった機能を受け取れ、API操作などのフィルターも追加されています。
👍 ここが嬉しい：ここが嬉しい：関心のあるリージョンと機能に絞って、提供開始の知らせを受け取れます。
AWS What's Newを見るAWS tip
今日のAWS小ネタ
Trusted Advisorのチェック
Trusted Advisorのチェック結果は、日々の設定を見直すときの入口になります。まずは結果を眺めて、今週触るものを一つ選ぶくらいで十分です。
👍 ここが嬉しいここが嬉しい：見る場所を一つ決めるだけで、設定の見直しを小さく始められます。
⚠️ 気になるところ気になるところ：表示された項目を一度に片付けようとすると、背景を確認しないまま変更しがちです。
指摘が出たらすぐ設定変更、とは限りません。利用中の構成や運用上の理由を見てから判断したいところです。
「結果を見る、理由を見る、ひとつ動く」の3段階で覚えると気軽です。
朝会で一件だけ共有し、対応するか保留するかを短く決める使い方が合います。
Today’s takeaway
今日の共通点
今日のセキュリティ情報は、CDK、VS Code拡張、プラグイン、サンプルなど開発環境に近いものが並びました。サービス名だけでなく、実際に使っているツールや追加サンプルまで棚卸しの軸にすると漏れを減らせそうです。
Afterword
今日のあとがき
今日のアイデア
依存ツールの一覧に、用途と利用バージョンを一行ずつ残しておくのはどうでしょう。セキュリティ情報が出たとき、該当なしの判断も含めて朝会で話しやすくなります。
おすすめ記事
番外編：インフラ経験者でも、別分野の「当たり前」は分からない
同じ「インフラ経験者」でも、ネットワーク・サーバー・AWSでは最初に見る場所も判断基準も違う。本編を作り終えたあとに考えた分野ごとの当たり前の差と、Case／Step設計を他分野へ広げられるかの構想をまとめた番外編です。
読む