トピック別に新着順で読めます。「あのアップデート何だっけ」はキーワード・期間からも探せます。
Redisの安定版7.4.10が公開されました。攻撃者が加工したstream型のRESTOREペイロードを送ることで、2つのコンシューマーが同一のNACKを共有してしまい、use-after-freeを経て遠隔コード実行に至る可能性がある脆弱性が修正されています。公式は本リリースの緊急度を「SECURITY」と位置づけており、対象環境では速やかな更新が推奨されます。
Redisの公式リリース7.2.15が公開され、緊急度「SECURITY」の修正が行われました。ストリームデータ構造のRESTORE処理に存在した脆弱性を修正するもので、悪用されるとリモートコード実行(RCE)につながる恐れがあったとされています。
pnpmの新バージョン11.20.0がリリースされ、namedRegistries機能を使うプロジェクトに存在したパッケージ差し替えの脆弱性が修正されました。あわせて新しい組み込みエイリアスnpmjs:の追加、プロキシ設定関連のバグ修正、pnpm rebuildのパストラバーサル対策なども行われています。
Redisの最新パッチ8.2.8が公開されました。streamやRedisBloom/TDigestのRESTOREペイロードを悪用したリモートコード実行につながる脆弱性2件が修正されています。また、Cuckoo Filterのフェイルオーバー時のデータ消失を防ぐバグ修正も含まれています。
Redisの新バージョン8.4.5が公開されました。クラフトされたRESTOREペイロードによってリモートコード実行につながる恐れのある脆弱性が2件修正されています。あわせて、Cuckoo Filterのフェイルオーバー時にデータが失われるバグも修正されました。
Cloudflareが実施した詳細な調査により、インターネット上のBGPパスのうち約70%でORIGIN属性がトランジットプロバイダーによって書き換えられていることが判明しました。トラフィック上の優位性を得る目的で行われているとみられ、Cloudflareはこの慣行がもたらす影響を検証し、ルート選択からORIGIN属性を廃止すべきだと主張しています。
Vercelは、デプロイメントを保護してきたVercel WAFのルール(拒否・チャレンジ・レート制限など)をBlobストアにも適用できるようにしました。コード変更やBlob URLの変更なしに、既存のCDN経由の配信に保護スイッチを追加するだけで利用可能です。現在ベータとして全プランで提供されています。
JupyterLabの最新パッチ4.6.2が公開されました。XSSや拡張機能のブロックリスト回避などを含む5件のセキュリティ脆弱性の修正が中心で、あわせてキーボードショートカットやフォーカス関連の不具合も解消されています。4.6系を利用中の開発者は早期の更新が推奨されます。
CloudflareはBluesky上で、BGPパスの約70%でORIGIN属性がトランジットプロバイダーによって書き換えられていると報告しました。これは経路の正確性のためではなく、トラフィック誘導上の優位性を得るための操作だといいます。同社はこの実態をグローバルに調査し、BGPのルート選択においてORIGIN属性を廃止(deprecate)すべきだと主張しています。
GitHubの公式Blueskyアカウントが、社内の15,000リポジトリで検出された2万件超のシークレットスキャニングアラートを9か月かけて処理し、未対応件数を「インボックスゼロ」にしたと報告しました。自社のセキュリティ機能を自社基盤に適用した取り組みの成果です。
Node.js LTSラインの最新版であるv24.19.0 'Krypton'が公開されました。TLS証明書圧縮やTLSグループのネゴシエーション情報取得、blob.textStream()の実装、http/net/fsモジュールの機能拡張など、複数のSEMVER-MINOR変更が含まれています。同時に多数のバグ修正やパフォーマンス改善も行われています。
Dockerは「Docker AI Governance」に新機能を追加し、AIエージェントが引き起こすすべてのポリシー判断を検索可能な形で記録し、企業が既に運用しているSIEMへストリーミングできるようにしました。これにより、エージェントが実際に何を行い、ポリシーが何を止めたのかを一元的に把握できるようになります。
Vercelは「Vercel Passport」をEnterprise顧客向けに一般提供(GA)しました。企業が既に利用している自社のID管理基盤(IdP)と連携し、プロジェクトへのアクセスを保護できるようになります。アクセス状況の監視やバイパス設定にも対応しています。
Cloudflareが公式ブログで新企画「Agents Week」の開催を発表しました。人間のブラウザ利用を前提に作られてきたクラウドインフラを、自律的に動くAIエージェントが使うことを前提に見直す必要があるという問題意識のもと、ストレージ・実行・セキュリティの基盤技術を特集するという内容です。
CloudflareがAuthenticated Origin PullsとCustom Origin Trust Storeにおいて、顧客のオリジンサーバーへの接続時に耐量子(PQ)認証をサポートしました。すべてのCloudflare製品へPQ認証を広げていくための第一歩とされています。
GitLabは公式ブログで、AnthropicのClaude security guidance pluginやClaude Securityが担う「コーディング中の脆弱性検知」と、GitLabが担う「コミット以降のガバナンス」を組み合わせたセキュリティワークフローを紹介しました。開発者のセッション内でClaudeが安全なコードを書く支援をし、GitLabがマージ・依存関係更新・インフラ変更・監査までを一元的に統制する構成です。GitLab MCP serverを使えば、既存のClaudeワークフローを変えずにGitLabへ文脈を引き渡せます。
HonoのGitHubリリースノートによると、v4.12.34ではhono/jsx、hono/cors、hono/language、hono/proxyの4モジュールに関するセキュリティ脆弱性がまとめて修正されています。中にはユーザー間でのデータ漏洩やCPUを消費させるDoS系の問題も含まれており、該当機能を利用している場合は速やかなアップグレードが推奨されています。
OpenAIは、投資詐欺・ロマンス詐欺・賭博勧誘・なりすましなどを行っていたカンボジア拠点の犯罪組織が、ChatGPTを悪用してこれらの活動を支援していた実態を特定し、当該アカウントの利用を停止したと発表しました。具体的な手口の詳細は公開されていませんが、AIサービスが詐欺インフラの一部として利用されるリスクが改めて示された事例です。
.png)
Elasticのブログ記事は、個別ツールを組み合わせた従来型のSOC(セキュリティオペレーションセンター)が、AIを活用した高速な攻撃に追いつけなくなっていると指摘しています。2026年に向けて、セキュリティチームがポイントツールの寄せ集めから、オープンで統合された「エージェンティック(自律的)プラットフォーム」へ移行する動きが進んでいるとされています。
Rails 8.1.3.1が公開され、Active Storageにおけるセキュリティ修正が行われました。libvipsが「unfuzzed」「untrusted」と分類する画像ローダー・セーバーを無効化する対応で、CVE-2026-66066に対応するものです。Active Support等の他コンポーネントに変更はありません。