pnpm 11.20公開、名前付きレジストリのパッケージ差し替え脆弱性を修正
ワンポイント名前付きレジストリのパッケージ取り違え脆弱性を修正
pnpmの新バージョン11.20.0がリリースされ、namedRegistries機能を使うプロジェクトに存在したパッケージ差し替えの脆弱性が修正されました。あわせて新しい組み込みエイリアスnpmjs:の追加、プロキシ設定関連のバグ修正、pnpm rebuildのパストラバーサル対策なども行われています。
Primary Sources Only
公式ブログとリリースノートを、日本語の記事にして毎朝届けます。
まとめサイトの記事や機械翻訳ではなく、一次情報だけを追っています。興味のあるトピックだけ選んで読めます。
- 一次情報のみ公式ブログ・リリースノートだけを収集、二次情報は扱いません
- 毎朝ダイジェスト興味トピックの新着記事をメールでまとめて
- 原文リンク明記出典と原文へのリンクを必ず併記
トピック: security解除
Redis 8.2.8がリリース、RESTOREペイロード起因のRCE脆弱性2件を修正
ワンポイントRESTORE悪用のRCE脆弱性2件を修正、Redis 8.2.8が緊急リリース
Redisの最新パッチ8.2.8が公開されました。streamやRedisBloom/TDigestのRESTOREペイロードを悪用したリモートコード実行につながる脆弱性2件が修正されています。また、Cuckoo Filterのフェイルオーバー時のデータ消失を防ぐバグ修正も含まれています。
Redis 8.4.5リリース、RESTOREペイロード経由のRCE脆弱性を修正
ワンポイントRESTOREペイロード起因のRCE脆弱性を2件修正
Redisの新バージョン8.4.5が公開されました。クラフトされたRESTOREペイロードによってリモートコード実行につながる恐れのある脆弱性が2件修正されています。あわせて、Cuckoo Filterのフェイルオーバー時にデータが失われるバグも修正されました。
Cloudflareの調査で判明、BGPパスの約7割で「ORIGIN属性」が書き換えられている実態
ワンポイントBGPパスの約7割でORIGIN属性が書き換えられていた
Cloudflareが実施した詳細な調査により、インターネット上のBGPパスのうち約70%でORIGIN属性がトランジットプロバイダーによって書き換えられていることが判明しました。トラフィック上の優位性を得る目的で行われているとみられ、Cloudflareはこの慣行がもたらす影響を検証し、ルート選択からORIGIN属性を廃止すべきだと主張しています。
tech/ai news
Vercel WAF、Blobストアの保護にも対応 ベータ公開
ワンポイントBlobストアもコード変更なしでVercel WAFのルールで保護可能に
Vercelは、デプロイメントを保護してきたVercel WAFのルール(拒否・チャレンジ・レート制限など)をBlobストアにも適用できるようにしました。コード変更やBlob URLの変更なしに、既存のCDN経由の配信に保護スイッチを追加するだけで利用可能です。現在ベータとして全プランで提供されています。
JupyterLab 4.6.2リリース、5件のセキュリティ脆弱性を修正
ワンポイントJupyterLab 4.6.2は5件のXSS・アクセス制御脆弱性を修正
JupyterLabの最新パッチ4.6.2が公開されました。XSSや拡張機能のブロックリスト回避などを含む5件のセキュリティ脆弱性の修正が中心で、あわせてキーボードショートカットやフォーカス関連の不具合も解消されています。4.6系を利用中の開発者は早期の更新が推奨されます。
CloudflareがBGPの「ORIGIN属性」書き換え問題を指摘、約7割のパスで改ざんと判明
ワンポイントBGPパスの約7割でORIGIN属性がトラフィック誘導目的に改ざんされていた
CloudflareはBluesky上で、BGPパスの約70%でORIGIN属性がトランジットプロバイダーによって書き換えられていると報告しました。これは経路の正確性のためではなく、トラフィック誘導上の優位性を得るための操作だといいます。同社はこの実態をグローバルに調査し、BGPのルート選択においてORIGIN属性を廃止(deprecate)すべきだと主張しています。
GitHubが自社リポジトリの漏洩シークレット2万件超を9か月で「対応ゼロ」に
ワンポイント2万件超の漏洩アラートを9か月で全件対応完了
GitHubの公式Blueskyアカウントが、社内の15,000リポジトリで検出された2万件超のシークレットスキャニングアラートを9か月かけて処理し、未対応件数を「インボックスゼロ」にしたと報告しました。自社のセキュリティ機能を自社基盤に適用した取り組みの成果です。
Node.js v24.19.0 'Krypton' がリリース、TLS圧縮やblob.textStream()など新機能を追加したLTS版
ワンポイントNode.js 24 LTSにTLS証明書圧縮やTCPキープアライブ細粒度制御が追加
Node.js LTSラインの最新版であるv24.19.0 'Krypton'が公開されました。TLS証明書圧縮やTLSグループのネゴシエーション情報取得、blob.textStream()の実装、http/net/fsモジュールの機能拡張など、複数のSEMVER-MINOR変更が含まれています。同時に多数のバグ修正やパフォーマンス改善も行われています。
Docker AI Governance、AIエージェントのポリシー判断ログをSIEMへ直接ストリーミング
ワンポイントAIエージェントのポリシー判断ログを既存SIEMへ直接ストリーミング
Dockerは「Docker AI Governance」に新機能を追加し、AIエージェントが引き起こすすべてのポリシー判断を検索可能な形で記録し、企業が既に運用しているSIEMへストリーミングできるようにしました。これにより、エージェントが実際に何を行い、ポリシーが何を止めたのかを一元的に把握できるようになります。
Vercel Passport が一般提供開始、Enterprise顧客向けにIdP連携で本番環境を保護
ワンポイントVercel Passportが自社IdP連携でEnterprise向けに一般提供開始
Vercelは「Vercel Passport」をEnterprise顧客向けに一般提供(GA)しました。企業が既に利用している自社のID管理基盤(IdP)と連携し、プロジェクトへのアクセスを保護できるようになります。アクセス状況の監視やバイパス設定にも対応しています。
Cloudflare、AIエージェント時代のインフラを問う「Agents Week」開催へ
ワンポイントCloudflareがエージェント向けインフラを特集する「Agents Week」を予告
Cloudflareが公式ブログで新企画「Agents Week」の開催を発表しました。人間のブラウザ利用を前提に作られてきたクラウドインフラを、自律的に動くAIエージェントが使うことを前提に見直す必要があるという問題意識のもと、ストレージ・実行・セキュリティの基盤技術を特集するという内容です。
Cloudflare、オリジンサーバー接続に耐量子(PQ)認証を導入
ワンポイントオリジン接続の認証が耐量子暗号に対応、全製品展開への第一歩
CloudflareがAuthenticated Origin PullsとCustom Origin Trust Storeにおいて、顧客のオリジンサーバーへの接続時に耐量子(PQ)認証をサポートしました。すべてのCloudflare製品へPQ認証を広げていくための第一歩とされています。
GitLabとClaude、コミットの先にある「本番までの道」をセキュアにする新たな連携
ワンポイントClaudeが書き、GitLabがコミット以降を統制する新ワークフロー
GitLabは公式ブログで、AnthropicのClaude security guidance pluginやClaude Securityが担う「コーディング中の脆弱性検知」と、GitLabが担う「コミット以降のガバナンス」を組み合わせたセキュリティワークフローを紹介しました。開発者のセッション内でClaudeが安全なコードを書く支援をし、GitLabがマージ・依存関係更新・インフラ変更・監査までを一元的に統制する構成です。GitLab MCP serverを使えば、既存のClaudeワークフローを変えずにGitLabへ文脈を引き渡せます。
Hono v4.12.34公開、SSRの情報漏洩やReDoSなど4件のセキュリティ脆弱性を修正
ワンポイントHono v4.12.34、SSR情報漏洩やReDoSなど4件のセキュリティ修正
HonoのGitHubリリースノートによると、v4.12.34ではhono/jsx、hono/cors、hono/language、hono/proxyの4モジュールに関するセキュリティ脆弱性がまとめて修正されています。中にはユーザー間でのデータ漏洩やCPUを消費させるDoS系の問題も含まれており、該当機能を利用している場合は速やかなアップグレードが推奨されています。
tech/ai news
OpenAI、カンボジア拠点の犯罪組織によるChatGPT悪用スキームを阻止
ワンポイントカンボジア拠点の詐欺組織によるChatGPT悪用をOpenAIが阻止
OpenAIは、投資詐欺・ロマンス詐欺・賭博勧誘・なりすましなどを行っていたカンボジア拠点の犯罪組織が、ChatGPTを悪用してこれらの活動を支援していた実態を特定し、当該アカウントの利用を停止したと発表しました。具体的な手口の詳細は公開されていませんが、AIサービスが詐欺インフラの一部として利用されるリスクが改めて示された事例です。
.png)
断片化したSOCはAI攻撃に対応できない、Elasticが訴える「プラットフォーム化」の必要性
ワンポイント断片化SOCからオープンな統合プラットフォームへの転換が急務に
Elasticのブログ記事は、個別ツールを組み合わせた従来型のSOC(セキュリティオペレーションセンター)が、AIを活用した高速な攻撃に追いつけなくなっていると指摘しています。2026年に向けて、セキュリティチームがポイントツールの寄せ集めから、オープンで統合された「エージェンティック(自律的)プラットフォーム」へ移行する動きが進んでいるとされています。
Rails 8.1.3.1リリース、Active Storageでlibvipsの未検証ローダーを無効化するセキュリティ修正
ワンポイントlibvipsの未検証画像ローダーを無効化するセキュリティ修正
Rails 8.1.3.1が公開され、Active Storageにおけるセキュリティ修正が行われました。libvipsが「unfuzzed」「untrusted」と分類する画像ローダー・セーバーを無効化する対応で、CVE-2026-66066に対応するものです。Active Support等の他コンポーネントに変更はありません。
Redis 8.10.0がGAに、メモリ効率を高める「Compact Hashes」など多数の新機能を追加
ワンポイントハッシュのメモリ使用量を削減する新エンコーディング登場
Redisの公式リポジトリより、Redis Open Sourceの8.10系General Availability版であるRedis 8.10.0がリリースされました。ハッシュのメモリ使用量を削減する新エンコーディング「Compact Hashes」や、リスト・セット操作、バックアップ、検索・JSON・時系列データ向けの新コマンドが多数追加されています。あわせて8.10-RC2からのバグ修正も含まれています。
PHP 8.4.24がリリース、セキュリティ修正を含むためアップグレードが推奨
ワンポイントPHP 8.4.24はセキュリティ修正、8.4系ユーザーは即アップグレード推奨
PHP開発チームがPHP 8.4.24を公開しました。本リリースはセキュリティリリースと位置付けられており、PHP 8.4系を利用しているすべてのユーザーに対してアップグレードが推奨されています。詳細な変更内容はChangeLogで確認できます。