Next.js、8月26日に「Critical」脆弱性を修正するセキュリティリリースを予告
ワンポイントNext.js、8月26日にCritical脆弱性1件を修正予定
Next.jsチームは公式Blueskyアカウントを通じて、2026年8月26日に予定するセキュリティリリースを事前告知しました。深刻度「Critical」の脆弱性1件を修正し、バージョン16.3.2および15.5.24として公開されます。7月から始まった事前告知の取り組みの一環です。
Primary Sources Only
公式ブログとリリースノートを、日本語の記事にして毎朝届けます。
まとめサイトの記事や機械翻訳ではなく、一次情報だけを追っています。興味のあるトピックだけ選んで読めます。
- 一次情報のみ公式ブログ・リリースノートだけを収集、二次情報は扱いません
- 毎朝ダイジェスト興味トピックの新着記事をメールでまとめて
- 原文リンク明記出典と原文へのリンクを必ず併記
トピック: security解除
Elastic Cloud on Kubernetes 3.5がリリース、名前空間管理やmTLSなど運用機能を強化
ワンポイントECK 3.5で名前空間管理やmTLS対応など運用機能が強化
ElasticがKubernetes向け公式オペレーター「Elastic Cloud on Kubernetes(ECK)」の最新版3.5を公開しました。ラベルセレクターによる動的な名前空間管理や、メンテナンス時に安全に処理を止められるポーズ機能、全スタック間のmutual TLS対応などが追加され、運用面の使い勝手が向上しています。
Cloudflare、WordPressの深刻な脆弱性2件に対しWAFルールを緊急展開
ワンポイントWordPressの深刻な脆弱性2件、Cloudflareが即座にWAFで保護
CloudflareはWordPressセキュリティチームから報告を受けた深刻度の高い脆弱性2件に対応するため、新たなWAFルールを2件デプロイしました。対象バージョンのWordPressを利用するすべてのCloudflare顧客が保護対象となりますが、パッチ適用済みリリースへの早急なアップデートも呼びかけられています。
Cloudflare、WordPressの未公開の重大脆弱性2件にWAF保護を先行提供
ワンポイントWordPressの未公開の重大脆弱性2件に先行してWAF保護を配信
Cloudflareは、WordPressに存在する未認証のリモートコード実行(RCE)とSQLインジェクション(SQLi)という2つの重大な脆弱性について、公式な脆弱性情報が公開される前にWAF(Web Application Firewall)による保護ルールを配信したと発表しました。攻撃者に悪用される前にサイト側の防御を先回りして強化する取り組みです。
Cloudflare、ボット対策を「一度きりの採点」から「継続的な信頼評価」へ転換
ワンポイントボット判定、一度きりの採点から継続的な信頼評価へ転換
Cloudflareは、ボットやAIエージェントの検知手法を、アクセス時点でのリスクスコアリングから継続的なトラスト評価へと移行させています。新システム「BotBase」と「Precursor」がボット・エージェントの良い/悪い振る舞いを評価し、カーソルの動きを人間かボットか判定するシミュレーション「Precursor Trace」も公開されました。
GitHub、組織単位でのプルリクエスト数上限設定に対応
ワンポイント組織単位で外部ユーザーのPR上限数を一括設定可能に
GitHubは、組織レベルでプルリクエストの上限数を設定できる新機能を追加しました。書き込み権限を持たないユーザーが同時に開けるオープンなプルリクエスト数を制御できるようになります。オープンソースプロジェクトなど外部コントリビューターを受け入れるリポジトリの運用に役立つ機能です。
Cloudflareがボット対策を刷新、「一時点のリスク評価」から「継続的な信頼性評価」へ
ワンポイントボット判定を一発勝負から継続評価へ、Cloudflareが方針転換
Cloudflareは、ボットや自律型エージェントへの対策方針を見直し、これまでのリスクの一時点評価から継続的な信頼性評価へと移行することを発表しました。新たに導入される「BotBase」と「Precursor」という仕組みにより、ボットやエージェントの挙動を継続的に監視・判定していくとしています。
Cloudflare、ウェブトラフィックの主役が「人からAIへ」と指摘 新指標「Agent Readiness」と「AEO」を発表
ワンポイントリクエストの半数超がAI由来、Cloudflareが新指標AEOを発表
Cloudflareは公式Blueskyアカウントで、ウェブサイトへのリクエストのうち半数以上がすでに人間ではなくAIエージェントなどの機械からのものになっていると発表しました。これに合わせ、AIエージェントによるサイトの発見・読み取りやすさを測る「Agent Readiness」と、AIアシスタントがどれだけ自社サイトを推薦しているかを追跡する「Answer Engine Optimization(AEO)」という2つの新しい取り組みを紹介しています。
GitLab Dedicated、AIゲートウェイをテナント内で完結できるように
ワンポイントAIゲートウェイもDedicated環境内で完結、データが域外に出なくなった
GitLabは、シングルテナントSaaSである「GitLab Dedicated」の環境内で、GitLab Duo Agent Platform用のAIゲートウェイを稼働できるようにしました。これにより、AI推論処理を含むデータが顧客の選択したリージョンとテナントの境界内に留まるようになります。監査要件の厳しい企業でもエージェント型のソフトウェア開発を導入しやすくなる点が特徴です。
Elastic、金融業界における信頼できる自律型AI構築のカギは「信頼できるコンテキスト」と提言
ワンポイント金融AIエージェントの要はモデルより「信頼できるコンテキスト」
Elasticが公開したブログ記事で、金融サービス領域でエージェント型AIをスケールさせるための土台は強力なAIモデル単体ではなく「信頼できるコンテキスト」であると指摘しています。統合されたデータ、可観測性、エンタープライズ検索、ガバナンスの4要素が、自律的な業務遂行を安全に支えると説明されています。
GitLabが脆弱性の大量放置に対応、19.3でバックログ一括修復機能を追加
ワンポイント脆弱性バックログをGitLabが一括でトリアージ・自動修復
GitLabは最新版19.3で、既存の脆弱性バックログに対して「SAST誤検知判定」と「エージェント型SAST脆弱性修復」を一括実行できる機能を追加しました。開発がAIによって高速化する一方、攻撃側もAIで脆弱性の悪用を加速させている状況を踏まえた対応です。GitLab Duo Agent Platformの無料トライアルで試すことができます。
GitHub、エンタープライズ管理設定でMCPサーバーの許可リストを導入
ワンポイントエンタープライズ管理設定でMCPサーバーの許可・拒否リストが可能に
GitHubはCopilotクライアントが実行できるMCP(Model Context Protocol)サーバーを、エンタープライズ管理者が一元的に制御できる新機能を発表しました。新設された**allowedMcpServers**と**deniedMcpServers**というキーを使い、組織全体でMCPサーバーの利用可否を管理できます。セキュリティガバナンスを強化したい企業向けの機能です。
tech/ai news
Next.js、2026年8月26日に定例セキュリティリリースを予告
ワンポイントNext.jsが8月26日に定例セキュリティリリースを予定
Next.jsの開発チームが、2026年8月26日に予定されているセキュリティリリースについて公式ブログで予告しました。現時点では対象となる脆弱性の詳細は公開されておらず、リリース日の告知にとどまっています。
tech/ai news
OpenAI、「Astra」に関するサイバーセキュリティ評価の予備結果を公開
ワンポイントOpenAIがAstraのサイバーセキュリティ評価結果を初公開
OpenAIは、Astraと呼ばれる取り組みに関する予備的なサイバーセキュリティ評価結果を公表し、あわせて安全対策とセキュリティ管理を強化する方針を明らかにしました。AIの持つサイバー能力が高度化する中での対応強化の一環です。
Cloudflare OAuth、全か無かの同意から「タスク単位」の同意へ
ワンポイントOAuth同意が全か無かからタスク単位で選べる方式に進化
Cloudflareは自社のOAuth実装に**オプショナルスコープ**のサポートを追加しました。これにより、ユーザーはアプリに与える権限をタスク単位で細かく選べるようになり、開発者はより安全な同意フローを設計しやすくなります。
GitHubのSecret Scanning、Push Protectionの対象拡大と新パートナー追加でカバレッジ強化
ワンポイントPush Protectionの検知対象が拡大、新パートナーLovable Labsも追加
GitHubがSecret Scanningのカバレッジ更新を発表しました。Push Protectionでブロックされるシークレットの種類が増加し、新たなパートナーとしてLovable Labsが加わったほか、アラートのメタデータも充実しました。誤って機密情報をリポジトリにプッシュしてしまうリスクをさらに抑える内容です。
tech/ai news
v0はどうやってSnowflakeのOAuthトークンを守りながら認証するのか
ワンポイントAI生成コードにOAuthトークンを渡さずSnowflake認証を実現
Vercelは、AIが生成したアプリがSnowflakeに接続する際にユーザーのOAuthトークンを一切サンドボックスへ渡さない仕組みを解説しています。プレースホルダートークンとリクエストプロキシを組み合わせ、認証フィールドにのみ資格情報を注入することで、プロンプトインジェクションによる漏洩リスクを防いでいます。本番投入から15日で約1万3000件のリクエストを処理し、プレースホルダー悪用による漏洩は0件だったと報告されています。
Cloudflareが自社Workers基盤で実証可能なSpectre攻撃を発見、既に対策済みと公表
ワンポイントCloudflareがWorkers向けSpectre攻撃を発見・既に修正済みと公表
Cloudflareは、自社のサーバーレス実行環境「Cloudflare Workers」に対してリモートから成立する投機的実行の脆弱性(Spectre系攻撃)を確認したと発表しました。同社によると、この問題は既に修正済みで、実際の悪用は確認されていないとのことです。詳細を解説したブログ記事と技術論文も公開されています。
OpenAI、サイバーセキュリティ特化モデル「GPT-5.6-Cyber」をDaybreak Redで提供開始
ワンポイントOpenAIがサイバー特化モデル「GPT-5.6-Cyber」をDaybreak Redで提供
OpenAIは、サイバーセキュリティに特化した新モデル「GPT-5.6-Cyber」を発表しました。認可された脆弱性調査やエクスプロイト検証、セキュリティテスト向けに、既存プログラム「Daybreak」の一部である「Daybreak Red」を通じて提供されます。記事タイトルからは、サイバー防御に許された対応時間が狭まる中でのDaybreakの拡張という位置づけがうかがえます。
OpenAI、「Daybreak」パートナー限定で最先端サイバーセキュリティモデルを提供開始
ワンポイント承認済み「Daybreak」パートナー限定で最先端サイバーAIモデルを提供
OpenAIは、承認を受けた「Daybreak」パートナー企業が、同社の最先端サイバーセキュリティ向けAIモデルを用いて、認可・管理下にあるセキュリティサービスを顧客に提供できるようにする取り組みを発表しました。強力なAIモデルの悪用リスクを抑えつつ、信頼できる相手にのみアクセスを許可する形での展開となります。