🤖 AIニュース
1. MetaのAIエージェント「Muse」に関する新機能とウェアラブル展開の発表
Metaは年次イベント「Connect」において、同社のAIエージェント「Muse」に関する多数の新機能を発表しました。CEOのマーク・ザッカーバーグ氏は基調講演でMuseへの注力を強調し、AIグラスへの搭載やMuse向けたまごっち風のウェアラブルデバイスなど、多様なハードウェア展開構想を明らかにしました。
2. ChatGPTモバイルアプリに音声ベースのエージェント機能が追加
OpenAIはChatGPTのモバイルアプリにおいて、ProおよびPlusユーザー向けに「Work」タブを介した音声ベースのエージェント機能の提供を開始しました。これにより利用者はスマートフォン上の音声操作を通じて、複雑なエージェントタスクを完了させることが可能になります。
3. OpenAIが民間インフラ防衛のためウクライナ支援プログラムのアクセスを拡大
OpenAIは、民間重要インフラのサイバー防衛を支援することを目的として、ウクライナ政府に対する同社の「Daybreak」プログラムの利用権限を拡大したことを発表しました。
4. サム・アルトマン氏が国連安全保障理事会でAIの安全性と国際協調を訴求
OpenAIのCEOであるサム・アルトマン氏が国連安全保障理事会にて演説を行い、AIの安全性向上、人間による管理体制の重視、ならびに国際的な協力体制の構築に向けた議論を展開しました。
5. Anthropicがバイオ研究での成果を発表する一方、人間の介入継続を強調
Anthropicは自社のバイオロジー研究室において大きな発見が得られたことを明かしました。一方で、AIモデル「Claude」を自律的に単独運用させるのではなく、安全確保のため現在も人間の研究者がプロセスに介在する運用を維持していることを強調しています。
6. HEMAがMCPとAmazon Bedrockを活用して社内AIアシスタント「HAL」を構築
オランダの老舗小売企業HEMAは、Amazon Bedrock AgentCoreとModel Context Protocol（MCP）を利用して内部AIアシスタント「HAL」を構築しました。開発者が外部ポータルを行き来することなく、セキュリティを保ちつつ既存ツール上で即座に統合された回答を得られる環境を実現しています。
7. Amazon Bedrockにおけるオープンウェイトモデルを活用したAIコーディングエージェント構築
AWSは、オープンソースのターミナル対応AIコーディングエージェント「OpenCode」とAmazon Bedrock上のオープンウェイトモデルを組み合わせて、安全で柔軟なコーディング環境を構築する手法を公開しました。自社AWSアカウント内でインフラ管理なしにマルチモデルのワークフローを運用可能です。
🛡️ 脆弱性情報
1. F5 BIG-IP APMにおける未認証リモートコード実行のゼロデイ脆弱性
- 【概要】 BIG-IP APMがOAuth認可サーバーとして機能している環境において、未認証の第三者がリモートで任意コードを実行できる重大なゼロデイ脆弱性が判明し、実際に攻撃者による悪用が確認されています。
- 【影響範囲】 BIG-IP APMがOAuth認可サーバーとして構成されている環境
- 【推奨対策】 F5が提供するエンジニアリングホットフィックスおよびセキュリティ更新の適用
2. Check Point Security GatewayのVPN機能における事前認証リモートコード実行の脆弱性
- 【概要】 Check Point Security GatewayのVPN証明書処理機能に、事前認証で任意コードを実行できる脆弱性が存在し、攻撃者による能動的な悪用が確認されています。
- 【影響範囲】 VPN証明書処理機能を利用しているCheck Point Security Gateway
- 【推奨対策】 Check Pointから提供されている該当セキュリティパッチの適用
3. WordPressにおけるファイル書き込みとコマンド実行の脆弱性
- 【概要】 WordPressに存在するクリティカルな脆弱性が攻撃者に悪用されており、ディスクへの任意ファイル書き込みを通じてシェルコマンドが実行される被害が発生しています。
- 【影響範囲】 CVE-2026-87902の影響を受けるWordPressのバージョン
- 【推奨対策】 WordPress本体および関連コンポーネントの最新セキュリティパッチへの更新
4. Next.js ImageResponse機能における細工されたSVGによるサーバーコード実行の脆弱性
- 【概要】 Open Graph等のプレビュー画像を生成するImageResponse機能において、外部からの入力を画像内に埋め込む際に細工されたSVGを介してサーバー上で任意コードが実行されるリスクが存在します。
- 【影響範囲】 2026年9月22日に修正される前のNext.jsのバージョン
- 【推奨対策】 Vercelがリリースした修正済みバージョン（2026年9月22日以降公開）へのアップデート
5. Arista VeloCloud Orchestratorにおけるアクティブに悪用中のゼロデイ脆弱性
- 【概要】 オンプレミス環境で展開されているVeloCloud Orchestrator（VCO）に悪用が確認されたゼロデイ脆弱性が判明し、パッチが公開されました。
- 【影響範囲】 VeloCloud Orchestrator (VCO) On-Prem デプロイメント環境
- 【推奨対策】 Aristaが提供する修正パッチの速やかな適用
6. LinuxカーネルのAF_UNIXサブシステムにおけるコンテナ脱出およびroot昇格の脆弱性
- 【概要】 AF_UNIXソケットサブシステムのUse-After-Free脆弱性により、コンテナ内部から脱出してホスト側でroot権限を取得することが可能です。実証コードが公開されています。
- 【影響範囲】 Ubuntu 26.04、24.04、22.04 LTS等の修正未適用カーネル
- 【推奨対策】 アップストリームの修正を取り込んだカーネルバージョンへの更新
7. MikroTik RouterOSにおける認証なしでの完全制御の脆弱性（MikroTrick）
- 【概要】 SSHステートマシンの欠陥とログイン処理の引数注入バグを組み合わせることで、パスワードやSSHキーによる認証なしにルーターの完全な管理者権限が奪取されるリスクがあります。
- 【影響範囲】 MikroTik RouterOS
- 【推奨対策】 ベンダーが提供する修正済みRouterOSへのバージョンアップ
8. cPanelのCalDAV/CardDAVサービスおよびWP Toolkitにおける権限昇格の脆弱性
- 【概要】 cPanelのCalDAVおよびCardDAVサービスにおいてホスティングアカウントからroot権限でコード実行が可能になる脆弱性や、WP Toolkitにおける他アカウントのデータベース改ざんを許す欠陥が確認されました。
- 【影響範囲】 修正パッチ適用前のcPanelおよびWP Toolkitプラグイン
- 【推奨対策】 cPanelが提供する最新の修正版へのアップデート
9. スマートフォンアプリ「東北電力 よりそうｅねっと」における暗号鍵ハードコードの脆弱性
- 【概要】 公式スマートフォンアプリ「東北電力 よりそうｅねっと」内に暗号鍵がハードコードされている脆弱性が報告されました。
- 【影響範囲】 修正適用前のスマートフォンアプリ「東北電力 よりそうｅねっと」
- 【推奨対策】 公式アプリストアより最新バージョンへアップデートを行う