🔥 Top Stories
SimpleHelp RMM（リモート監視・管理）プラットフォームに存在する認証バイパス脆弱性 CVE-2026-48558 が、CISA の KEV カタログに追加された。CVSS スコアは最高値の 10.0。OIDC グループ認証ログイン設定時に、攻撃者が ID トークンを偽造して多要素認証を迂回し、正規の技術者権限でサーバーに侵入できる。
Arctic Wolf と Blackpoint の観測では、攻撃者がこのアクセスを悪用して 2 種類のマルウェアを展開している。Node.js ベースのローダー「TaskWeaver」と、クロスプラットフォーム情報窃取型マルウェア「Djinn Stealer」だ。Djinn Stealer はクラウドプラットフォーム・ソースコード管理・パッケージレジストリ・インフラツール・AI 開発アシスタント・ブラウザ・SSH・暗号通貨ウォレットの認証情報を収集する。
RMM プラットフォームの特性上、1 台の SimpleHelp サーバーが侵害されると、そのプロバイダーが管理する全組織にアクセスが拡大する——MSP（マネージドサービスプロバイダー）のサプライチェーン攻撃として最悪のシナリオだ。しかも悪意のある活動は信頼されたソースから発信されるように見えるため、検知が極めて困難。修正版は SimpleHelp 5.5.16 および 6.0 RC2 で提供済み。CISA は BOD 26-04 に基づき、連邦機関に 7 月 7 日までの修正適用とフォレンジックトリアージを指示している。
🧠 RMM ツールは「信頼された管理チャネル」だからこそ、侵害されたときのインパクトが桁違いに大きい。Djinn Stealer が AI 開発アシスタントの認証情報まで窃取対象にしている点は、2026 年の攻撃者が「開発者の AI ツールチェーン」を高価値ターゲットとして明確に認識していることを示している。SimpleHelp を使っていなくても、自社の MSP が何の RMM を使っているかを確認する良いタイミングだ。
- CVSS 10.0——OIDC トークン偽造で MFA を迂回、正規技術者権限を奪取
- Djinn Stealer が AI 開発ツール・クラウド・SSH・暗号通貨ウォレットの認証情報を窃取
- MSP サプライチェーン攻撃: 1 サーバー侵害 → 全顧客組織にアクセス拡大
💡 SimpleHelp 利用組織は 5.5.16 / 6.0 RC2 への即時更新を。MSP 経由で管理されている組織は、自社の MSP が使用する RMM ツールのパッチ状況を問い合わせるべきだ。
Help Net Security / Arctic Wolf
⏱ 8 min read
2026-06-30
EU 司法裁判所（CJEU）は 7 月 2 日、Google と Alphabet による €4.1B（約 47 億ドル）の独禁法制裁金取消訴訟を棄却した。2018 年に欧州委員会が課した制裁は、Google が Play ストアのライセンス条件として端末メーカーに Google 検索と Chrome のプリインストールを義務付けた行為が競争法に違反すると認定したもの。2022 年に一般裁判所が €4.1B に減額した判決を CJEU が支持し、8 年にわたる法廷闘争が決着した。この決定は法的拘束力を持ち、さらなる上訴は不可能。競合他社による損害賠償請求の道が開かれた。
- EU 最高裁（CJEU）が最終判決——Google の上訴棄却、€4.1B 制裁金が確定
- Play ストアライセンスに Google 検索・Chrome プリインストールを抱き合わせた行為が違法と確定
- 競合他社による損害賠償請求が可能に——テック業界への波及効果は今後拡大の見込み
Dataconomy / Bloomberg
⏱ 5 min read
2026-07-03
OpenAI が米政府に同社の 5% 株式（約 426 億ドル相当）を提供する案を提示したと Financial Times が報じた。CEO の Sam Altman は「AI のアップサイドを公共に還元する最善策」と主張し、Anthropic・Google・Meta など他の主要 AI 企業にも同様の拠出を求めるソブリンウェルスファンド構想を描いている。提案は初期段階で議会承認が必要。GPT-5.6 の輸出管理をめぐるワシントンとの緊張を和らげる狙いもあるとされる。
- $852B 評価額の 5%（約 $42.6B）を米政府に拠出する提案——AI ソブリンファンド構想
- Anthropic・Google・Meta にも同様の拠出を求める枠組みを構想
- GPT-5.6 輸出管理問題の緩和と政治的バックラッシュへの対応が背景
CNBC / Financial Times
⏱ 4 min read
2026-07-02
⚡ Dev & Engineering
Git 2.55 が 6 月 29 日にリリースされた。Rust コードがデフォルト有効（NO_RUST オプトアウトで無効化可）になり、Git のシステム言語移行が本格化した。新コマンド git history fixup はステージ済み変更を過去のコミットに直接マージでき、対話的リベース不要で履歴修正が可能に。Linux 向け FSMonitor デーモンが追加され macOS/Windows に続き全主要 OS をカバー。設定ベースの並列 hooks で lint とユニットテストの同時実行が可能になった。リネーム検出アルゴリズムの刷新でマージ解決時間が最大 40% 短縮。
- Rust がデフォルト有効——Git のシステム言語移行が本格段階に突入
- git history fixup で対話的リベースなしに過去コミットへステージ変更を直接統合
GitHub Blog / Phoronix
⏱ 6 min read
2026-06-29
イタリアのテック持株会社 Bending Spoons が 7 月 1 日に Nasdaq に上場し、IPO 価格 $29 に対して初日終値 $40.50（+39.7%）を記録、時価総額は約 $25B に達した。$1.68B を調達し、2026 年最大のソフトウェア IPO となった。同社は AOL・Brightcove・Eventbrite・Evernote・Harvest・Vimeo・WeTransfer など「レガシーデジタルブランド」を次々に買収・運営するロールアップ戦略で成長してきた。
- IPO 価格 $29 → 初日終値 $40.50（+39.7%）——2026 年最大のソフトウェア IPO
- AOL・Vimeo・Evernote 等レガシーブランドを買収・再生するロールアップモデル
Fast Company / Bloomberg
⏱ 4 min read
2026-07-01
Microsoft 365 の商用価格改定が 7 月 1 日に発効した。E5 に Microsoft Security Copilot がバンドルされ、E3 に Defender for Office 365 Plan 1 が追加、E1・Business Basic/Standard には URL の time-of-click 保護が含まれるようになった。エンドポイント管理では Intune Remote Help・Advanced Analytics・Plan 2 が E3 に、E5 には Endpoint Privilege Management と Cloud PKI が追加。Business Basic/Standard は 50GB の追加メールボックスストレージと Copilot Chat エージェント機能も獲得。
- E5 に Security Copilot、E3 に Defender for Office 365 P1——セキュリティ機能の下方展開
- Intune 系管理機能が E3/E5 にバンドル——別ライセンス購入が不要に
Microsoft / Team Ascend
⏱ 5 min read
2026-07-01
GitHub が Advanced Security（GHAS）の新機能「License Compliance」をパブリックプレビューで公開した。PR で依存関係を追加・更新すると、直接依存と推移的依存の両方のライセンスを組織のコンプライアンスポリシーに照合して自動検証する。Evaluate モードでは注意喚起のみ、Active モードではポリシー違反時にマージをブロック。GitHub 社内 OSPO が 2 カ月のドッグフーディングを経て公開。Enterprise Cloud の GHAS Code Security ライセンス保持組織で利用可能。
- 直接依存と推移的依存の両方を PR 単位で自動検証——Active モードでマージブロック可能
- GitHub 社内 OSPO が 2 カ月テスト済み——Enterprise Cloud GHAS 対象
GitHub Changelog
⏱ 3 min read
2026-06-30
カリフォルニア州が開発した AI アシスタント「Poppy」（州花にちなんだ命名）が 7 月 1 日から全庁的に展開された。2025 年 9 月のパイロットでは 67 部門 2,800+ 名が参加。10 種類の AI モデルを統合した州独自プラットフォームで、文書作成・大規模データ分析・政策調査に特化。州政府ネットワーク上で動作し CA.gov 公式サイトのみからデータを取得、入力データはモデルの学習に使用されない。PII 自動検出機能を搭載しセキュリティコンプライアンスを確保。
- 10 モデル統合プラットフォーム——州政府ネットワーク内で動作、外部データ送信なし
- 67 部門 2,800+ 名のパイロットを経て全庁展開——米国最大の政府 AI デプロイメント
GovTech / CDT
⏱ 4 min read
2026-07-01