Ruby 4.0.3公開、Marshalで復元したERBインスタンスの脆弱性(CVE-2026-41316)を修正
ワンポイントMarshalからのERB復元にdef_method脆弱性、CVE修正
Ruby 4.0.3がリリースされ、Marshalから復元したERBインスタンスに対してdef_methodを呼び出せてしまう脆弱性(CVE-2026-41316)が修正されました。今回はセキュリティパッチのみを含むメンテナンスリリースです。
Archive
記事アーカイブ
トピック別に新着順で読めます。「あのアップデート何だっけ」はキーワード・期間からも探せます。
すべて1285AI・LLM607セキュリティ368開発ツール257DevOps・CI/CD232OpenAI196Vercel168GitHub116Hugging Face98Cloudflare95Node.js / ランタイム92サーバーレス86データベース76Next.js75Redis72TypeScript67Anthropic64Python61Model Context Protocol60クラウド58フロントエンド58Kubernetes57AIベンチマーク49AWS49JavaScript48オープンソース47AI セキュリティ46Google DeepMind46Docker40Transformers38GitLab35LangChain35React30ベクトルデータベース27pnpm24テスト24Azure22Deno18PostgreSQL15PyTorch15Rust15Terraform13Django12Git12Go12.NET12nginx12ロボティクス12Vite12Bun11Google Cloud11Elastic10OpenTelemetry10Ruby10AIコンテキスト管理9mise9Nuxt9Supabase9Elasticsearch8GraphQL7LLVM7Ollama7Prisma7Prometheus7Vitest7vLLM7Erlang/OTP6Mojo6Svelte6Grafana5Hono5PHP5Playwright5Polars5Rails5Remix5Vue5LlamaIndex4Meilisearch4Astro3Bevy3Elixir3FastAPI3モバイル3MobX3OCaml3RabbitMQ3TensorFlow3Turborepo3Zed3Airflow2Angular2Ant Design2Apache Kafka2Biome2Crystal2date-fns2DuckDB2esbuild2Foundation2htmx2Hugo2Jaeger2Jenkins2JupyterLab2Mantine2Material UI2NumPy2Poetry2Qwik2Rolldown2SolidJS2uv2Webpack2ArgoCD1Celery1Dart1Drizzle ORM1Effect1Flask1Framer Motion1Godot Engine1Ionic1Jest1Jotai1Kotlin1Lodash1Lua1pandas1Pinia1pytest1Ruff1scikit-learn1shadcn/ui1Spring1SQLAlchemy1Storybook1TanStack Query1Zod1
Crystal 1.20.0リリース、HTTPリクエストスマグリング脆弱性を修正しio_uringイベントループなど新機能を追加
ワンポイントHTTP::Serverのリクエストスマグリング脆弱性を修正
Crystal言語の最新版1.20.0がリリースされました。HTTP::Serverのリクエストスマグリング脆弱性(GHSA-wqh5-7w63-pm68)を修正するとともに、Linux向けio_uringイベントループやFiber::ExecutionContext::ThreadPoolなどランタイム関連の新機能が多数追加されています。破壊的変更や非推奨化も含まれるため、アップグレード時には注意が必要です。
Ruby 4.0.3リリース、ERBの脆弱性CVE-2026-41316を修正
ワンポイントERBの脆弱性CVE-2026-41316を修正するパッチリリース
Ruby公式が4.0.3をリリースしました。今回の変更点はERB 6.0.1.1へのアップデートのみで、Marshal.loadを未検証データに対して呼び出しており、かつerbとactivesupportの両方を読み込んでいる環境に影響する脆弱性CVE-2026-41316を修正しています。該当する条件に当てはまらないユーザーへの影響は限定的です。
Vercel、内部システムへの不正アクセスによるセキュリティインシデントを確認
ワンポイントVercel内部システムに不正アクセス、一部顧客に影響と発表
Vercelは社内システムの一部に対する不正アクセスを伴うセキュリティインシデントを確認したと発表しました。影響を受けるのは一部の顧客に限定されるとしており、詳細は同社公式のセキュリティ速報で案内されています。
ERBに深刻な逆シリアル化脆弱性、CVE-2026-41316で修正版が公開
ワンポイントERBの逆シリアル化ガード、def_module経由でバイパス可能と判明
Rubyの標準ライブラリERBに、Marshal.loadを使った逆シリアル化攻撃で任意コード実行が可能になる脆弱性CVE-2026-41316が見つかりました。ERBとActiveSupportの両方をロードしている環境が対象で、多くのRailsアプリが影響範囲に含まれます。erbジェムを4.0.3.1・4.0.4.1・6.0.1.1・6.0.4以降へ更新することが推奨されています。
tech/ai news
Kubernetes v1.36「ハル」リリース、fine-grained kubelet認可やUser Namespacesが安定版に
ワンポイントkubeletのfine-grained API認可がついにGA達成
Kubernetes v1.36が公開され、70件の機能強化のうち18件が安定版(Stable)、25件がベータ、25件がアルファに到達しました。kubeletのきめ細かなAPI認可のGA化、Pod単位のリソース健全性のベータ化、ワークロード単位のスケジューリング機能のアルファ導入などが目玉です。ストレージやセキュリティ、API基盤に関する多数の改善も同時に安定版へ移行しています。
tech/ai news
Kubernetes、SELinuxボリュームのラベル付け高速化がGAへ 一部構成で破壊的変更の可能性
ワンポイント特権/非特権Pod間のボリューム共有がv1.37以降で動かなくなる恐れ
Kubernetesの公式ブログによると、SELinuxを有効化した環境でボリューム設定を高速化する「SELinuxMount」機能が将来リリース(おそらくv1.37)でデフォルト有効化される予定です。特権/非特権Podで同じボリュームを共有する構成などは動作しなくなる可能性があるため、v1.36のうちに監査と対応が推奨されています。SELinuxを使っていないクラスタには影響しません。
tech/ai news
OpenAI、ChatGPT EnterpriseとAPIが「FedRAMP Moderate」認証を取得
ワンポイントChatGPT EnterpriseとAPIが米政府FedRAMP Moderate認証を取得
OpenAIは、ChatGPT EnterpriseとOpenAI APIが米政府のクラウドセキュリティ基準「FedRAMP Moderate」の認証を取得したと発表しました。これにより米連邦政府機関がOpenAIの製品を安全に導入しやすくなります。
tech/ai news
Kubernetes v1.36でkubelet API認可がGA、nodes/proxy依存の監視ツールに最小権限化の道
ワンポイントkubeletのAPI認可がGA、nodes/proxy依存の監視権限を最小化可能に
Kubernetes v1.36で、kubeletのHTTPS APIに対する「fine-grained authorization」機能がGAになりました。これまで監視・ログ収集ツールに広範な権限であるnodes/proxyを付与せざるを得なかった問題を解消し、メトリクス取得などの用途ごとに最小限の権限を割り当てられるようになります。背景には、nodes/proxyのGET権限だけでコンテナ内でコマンド実行が可能になるという2026年初頭に報告されたリモートコード実行リスクがあります。
tech/ai news
Kubernetes v1.36でUser NamespacesがGAに、rootレスな分離が標準機能へ
ワンポイントhostUsers: falseだけでコンテナのrootをホストから分離できるように
Kubernetes v1.36で、コンテナのrootをホストから分離するUser Namespaces機能が正式にGA(General Availability)となりました。10年前に提案され6年間開発が続けられてきた機能で、hostUsers: falseを指定するだけでコンテナ内のrootをホストのrootと分離できるようになります。Linux 5.12以降のID-mapped mountsが鍵となり、大容量ボリュームでも高速に利用できます。
tech/ai news
OpenAI、フィッシング耐性のあるログインなど「Advanced Account Security」を発表
ワンポイントフィッシング耐性のあるログインでアカウント乗っ取りを防止
OpenAIは、アカウント乗っ取りを防ぐための新機能「Advanced Account Security」を発表しました。フィッシング耐性のあるログイン方式や、より強固な復旧手段、機微なデータを守るための保護機能強化が含まれます。詳細な仕様は今後の情報公開が待たれます。
tech/ai news
OpenAI、「インテリジェンス時代」のサイバーセキュリティ強化に向け5項目の行動計画を発表
ワンポイントOpenAIがAI防御の民主化を掲げる5項目のセキュリティ計画を発表
OpenAIは、AIによるサイバー防御の民主化と重要システムの保護を軸とした5項目からなる行動計画を公表しました。AI技術の進展に伴うサイバーセキュリティのあり方を再定義する狙いがあります。同社は詳細な取り組み内容を今後展開していく方針です。
Hugo v0.161.0リリース ― Nodeツールのセキュリティ強化とCSS・設定周りの柔軟性向上
ワンポイントTailwindCSSは単体実行ファイル非対応、Node.jsパッケージ必須に
静的サイトジェネレーターHugoの新バージョン**v0.161.0**が公開されました。PostCSSやTailwindCSSなど外部Nodeツールの実行に権限制限を導入するセキュリティ強化に加え、CSSのネスト変数対応、permalinksやファイル名識別子の設定をより柔軟にする改善が加わっています。
tech/ai news
Kubernetes v1.36、削除できないアドミッションポリシーを実現する新機能をアルファ提供
ワンポイントなどのラベルを持つAPIベースのポリシーやWebhook設定を、クラスタ管理者であっても変更・削除できないよう保護するポリシーを書けます。共有クラスタを運用するプラットフォームチームにとって、ベースラインのセキュリティポリシーが誤操作や悪意ある操作で失われないことを保証できるのは大きな前進です。また、ファイルは実行時に監視されており、更新すればAPIサーバーを再起動せずに検証・原子的な差し替えが行われるため、Ansible、Puppet、あるいはマウントしたConfigMapといった既存の構成管理ツールでダウンタイムなくポリシーをロールアウトできます。
## 利用時の注意点
マニフェスト設定は起動時にetcdすら利用可能でない状態でも動作する必要があるため、意図的に自己完結型に制限されています。ポリシーのparamKindやWebhookのService参照は使えず、URLのみの指定になります。バインディングも同じマニフェット群内のポリシーしか参照できません。また複数のAPIサーバーインスタンスを運用している場合、各インスタンスが個別にファイルを読み込む仕様で、サーバー間の同期機構は用意されていません(暗号化設定など他のファイルベース設定と同じモデルです)。起動時の読み込みは厳格で、マニフェストが1つでも不正だとAPIサーバー自体が起動しません。これは意図的な設計で、想定外のポリシー欠如状態で稼働するよりフェイルファストを優先しています。試す場合は`ManifestBasedAdmissionControlConfig`フィーチャーゲートを有効化し、マニフェスト用ディレクトリを用意してAdmissionConfigurationに指定する手順になります。
## まとめ
今回追加された機能により、Kubernetesのアドミッション制御は「APIで管理する動的なポリシー」と「ディスク上で常時有効な不可変ポリシー」の二層構造を持てるようになりました。ブートストラップ時の防御の空白を埋めつつ、クラスタ管理者からも保護されたベースラインポリシーを実現できる点は、マルチテナント環境やコンプライアンス要件の厳しい現場にとって特に価値があります。現時点ではアルファ機能のため、フィードバックはKubernetes Slackの#sig-api-machineryチャンネルで受け付けられています。
Kubernetes v1.36で、アドミッションWebhookやCELベースのポリシーをAPIオブジェクトではなくディスク上のファイルとして定義できる「マニフェストベースのアドミッション制御」がアルファ機能として追加されました。APIサーバー起動時に読み込まれるため、クラスタのブートストラップ時の防御の空白や、特権ユーザーによるポリシー削除を防げます。SIG API Machineryが開発し、KEP-5793として進行中です。
tech/ai news
Vercelが2026年8月のNext.js脆弱性から自動的にアプリケーションを保護
ワンポイントVercelホスト環境は対応不要、セルフホストは即アップグレード必須
Next.jsの2026年8月セキュリティリリースで、AVIF画像処理とWindows環境に関する2件の重大な脆弱性が公表されました。Vercelでホストされているアプリケーションは対応不要で保護される一方、セルフホスト環境では速やかなアップグレードが必要です。
Redis 8.4.3リリース、5件のRCE脆弱性を修正する緊急セキュリティアップデート
ワンポイントRCEにつながる脆弱性5件を一挙修正、Redis 8.4.3が緊急リリース
Redisの公式GitHubリリースで8.4.3が公開されました。今回は「SECURITY」区分の緊急更新で、リモートコード実行(RCE)につながる可能性のある脆弱性が5件修正されています。加えてコア機能やRediSearchモジュールの多数のバグ修正も含まれており、本番環境の運用者には早期のアップグレードが推奨されます。
tech/ai news
Next.js、13件の脆弱性に対応した緊急セキュリティリリースを公開
ワンポイントNext.jsとReactに13件の脆弱性、WAF緩和なしで即アップデート必須
Vercelは2026年5月、Next.jsに対してDoSや認証バイパス、SSRF、キャッシュポイズニング、XSSなど13件のセキュリティアドバイザリに対応する協調リリースを実施しました。うち1件はReact Server Components側の脆弱性CVE-2026-23870に関するもので、React・Next.js双方のパッチ適用が必要です。WAFによる緩和は提供されないため、影響を受ける全ユーザーは速やかなアップグレードが求められます。
Supabase、2026年5月アップデート ― カスタムOAuth対応とデータAPI自動公開の廃止が本丸
ワンポイントpublicテーブルのデータAPI自動公開が5月30日から廃止に
Supabaseの2026年5月の開発者向けアップデートでは、Authでの任意のOAuth2/OIDCプロバイダー対応や、publicスキーマのテーブルがデータAPIに自動公開されなくなる仕様変更が発表されました。ほかにもISO 27001認証取得、Stripe Sync EngineのStripe移管、新SDK「@supabase/server」の公開など、セキュリティと開発体験の両面で動きがありました。
Next.js 16.2.6・15.5.18がリリース、複数の脆弱性に対応するセキュリティアップデート
ワンポイントNext.js 16.2.6/15.5.18でReact由来含む複数脆弱性を修正
Next.jsの公式アカウントが、バージョン16.2.6と15.5.18をリリースしたことを発表しました。高・中・低の各深刻度にまたがる複数の脆弱性を修正しており、そのうち1件はReact側に起因する問題です。運用中のアプリケーションは速やかなアップデートが推奨されています。
tech/ai news
Vercel Firewall、自然言語でWAFカスタムルールを作成可能に
ワンポイントWAFルールを自然言語の指示文だけで自動生成できるように
Vercelは、ダッシュボード上で自然言語による指示文からWAFのカスタムルールを自動生成できる新機能を発表しました。IPアドレスやパス、国、ユーザーエージェントなどの条件に基づき、ログ記録・ブロック・チャレンジ・レート制限・リダイレクトといった制御をルール記述の専門知識なしで設定できるようになります。ダッシュボードのほかVercel CLIからも利用可能です。