🔥 Top Stories
セキュリティ研究者 Hyunwoo Kim 氏（@v4bel）が、Linux カーネルのハイパーバイザーコンポーネント「KVM」において 16 年間見過ごされてきたゲスト→ホスト脱出脆弱性を発見した。「Januscape」と命名されたこの脆弱性は CVE-2026-53359 として追跡されており、Intel と AMD の両 x86 アーキテクチャで共有されるシャドウ MMU（メモリ管理ユニット）のエミュレーションコードに存在する use-after-free（解放後使用）バグに起因する。公になっている情報の限り、Intel・AMD 双方で発動可能なゲスト→ホスト脱出エクスプロイトとしては初の事例だという。悪用にはゲスト側で 2 つの条件がそろう必要がある——VM 内で root であること（レンタルクラウドインスタンスではよくある状況）と、ホスト側でネステッド仮想化が有効になっていることだ。公開されている PoC はホストをパニック（クラッシュ）させるに留まるが、研究者は未公開の別エクスプロイトでホスト上での完全なコード実行にまで発展させられると主張している。修正済みの安定版カーネルは 7 月 4 日にリリースされた——7.1.3、6.18.38、6.12.95、6.6.144、6.1.177、5.15.211、5.10.260 の各バージョンが対象。すぐにパッチを適用できない場合は、kvm_intel.nested=0 または kvm_amd.nested=0 でネステッド仮想化を無効化することで、信頼できないゲストからの攻撃経路を遮断できる。
🧠 16 年間見過ごされてきたという事実は、ハイパーバイザーの分離モデルへの過信に警鐘を鳴らす。マルチテナントクラウドの安全性は「ゲストは信用できない」という大前提の上に成り立っているが、今回のバグはまさにその前提を突き崩すものだ。ネステッド仮想化を有効にしているマネージド Kubernetes や CI/CD のセルフホストランナー環境は特に要注意で、パッチ適用が完了するまでは一時的にネステッド仮想化を無効化する判断もありうるだろう。
- CVE-2026-53359「Januscape」——KVM/x86 のシャドウ MMU における use-after-free、Intel・AMD 双方で発動可能な初の公開ゲスト→ホスト脱出脆弱性
- 公開 PoC はホストクラッシュのみだが、研究者は未公開の完全コード実行エクスプロイトの存在を主張
- 修正版カーネル 7.1.3/6.18.38/6.12.95/6.6.144/6.1.177/5.15.211/5.10.260 が 7 月 4 日リリース
💡 レンタル VM やマネージド Kubernetes 上でネステッド仮想化を有効にしている環境は、カーネルの即時アップデートまたは nested=0 設定での一時的な無効化を検討すべきだ。
The Hacker News
⏱ 6 min read
2026-07-05
AI 推論プラットフォームの Together AI が、Aramco Ventures が主導し Vista Equity Partners・General Catalyst・NVIDIA など多数の投資家が参加するシリーズ C で $800M を調達したと発表した。評価額は $8.3B に達し、前回ラウンドから倍増した。同社は DeepSeek・MiniMax・Kimi などオープンソースモデルの学習・推論基盤を企業向けに提供しており、年間契約高（ARR 換算）は直近四半期で $1.15B を突破。調達資金は今後 5 年で計算インフラを約 50 倍に拡大する計画に充てられ、投資家からは独立して 500 メガワット超のコンピュート容量確保の確約も取り付けている。
- 評価額 $8.3B——Aramco Ventures 主導、NVIDIA・Vista Equity Partners 等が参加
- 年間契約高（ARR）は直近四半期で $1.15B 突破、オープンソースモデル利用は業界全体で前年比 3 倍に
Together AI Blog
⏱ 3 min read
2026-07-01
GitHub が VS Code 向け GitHub Copilot エージェントの「Browser Tools」機能を正式提供（GA）に移行したと発表した。プレビュー版へのフィードバックを反映し、既定で有効になる。エージェントはページを開いて操作し、クリック・入力・ホバー・ドラッグ・ダイアログ処理を実行しつつ、ページ内容の読み取り・コンソールエラーの捕捉・スクリーンショット撮影が可能。プライバシー面では、ユーザーが明示的に「Share with Agent」を選択するまでエージェントは開いているタブを操作できず、エージェントが開いたタブは既存の Cookie にアクセスできない分離セッションで動作する。
- エージェントが実ブラウザを操作——ページ遷移・クリック・入力・スクリーンショット取得・コンソールエラー捕捉が可能に
- タブは既定で非共有、エージェント操作タブは既存 Cookie にアクセスできない分離セッションで動作
GitHub Changelog
⏱ 2 min read
2026-07-01
⚡ Dev & Engineering
静的サイトジェネレーター Astro のメジャーアップデート「Astro 7.0」が公開された。.astro コンポーネントのコンパイラを Go から Rust へ全面書き換え、Vite 8 が採用する Rust 製バンドラー「Rolldown」（esbuild・Rollup 比 10〜30 倍高速）を統合。新設計の Markdown/MDX エンジン「Sätteri」も標準搭載された。ビルド時間は既存プロジェクトの設定変更なしで 15〜61% 短縮された。
- コンパイラを Go から Rust へ全面書き換え、Vite 8 の Rolldown（esbuild 比 10〜30 倍高速）を統合
- 新 Markdown/MDX エンジン「Sätteri」標準搭載、ビルド時間は既存プロジェクトのままで 15〜61% 短縮
Astro Blog
⏱ 3 min read
2026-06-22
セキュリティ企業 Sekoia と YesWeHack が、著名な CVE の実証コード（PoC）を装った GitHub リポジトリ経由で拡散するマルウェア「ChocoPoC」を報告した。悪意のあるコードを PoC 本体には埋め込まず、依存パッケージ側に仕込む手口が特徴で、PoC のコードを読んでも異常に気づきにくい。少なくとも 7 件の偽リポジトリが確認されており、悪性パッケージの一つ「skytext」は主に Linux 環境で約 2,400 回ダウンロードされていた。C2 通信は Mapbox の API を装うドメインフロンティング技術で検知を回避する。
- 悪性コードは PoC 本体でなく依存パッケージ側に仕込まれる——確認された偽リポジトリは少なくとも 7 件
- 悪性パッケージ「skytext」は約 2,400 回ダウンロード、C2 通信は Mapbox API を装うドメインフロンティングで検知回避
The Hacker News
⏱ 4 min read
2026-07-02
既知の Langflow RCE 脆弱性を、攻撃者が AI コーディングエージェントに自律的に悪用させ、データベースへのランサムウェア攻撃チェーンを自動生成・実行させていた事例が報告された。人間のオペレーターが逐一コマンドを書く代わりに、AI エージェントが脆弱性のスキャンからペイロード生成、データ持ち出し、暗号化までの一連の攻撃手順を自動化しており、攻撃者側にも AI エージェント活用が広がっている実態を示す。
- Langflow の既知 RCE 脆弱性を AI エージェントが自律的に悪用し、攻撃チェーンを自動生成
- スキャンからペイロード生成・データ持ち出し・暗号化までを人手を介さず自動実行
The Hacker News
⏱ 3 min read
2026-07-02
Microsoft が、量子コンピュータによる暗号解読リスクに備えた「耐量子暗号（Post-Quantum Cryptography）」への移行スケジュールを前倒しし、2029 年までに主要製品・サービスでの対応完了を目指すと発表した。Windows・Azure・Microsoft 365 など広範な製品群が対象となり、暗号アジリティ（暗号方式を迅速に切り替えられる設計）の強化も並行して進める方針。
- 2029 年までに Windows・Azure・Microsoft 365 含む主要製品で PQC 対応を完了する計画
- 「暗号アジリティ」強化を並行実施——将来の暗号方式移行を迅速化する設計方針
The Hacker News
⏱ 3 min read
2026-07-01
GitHub が Issues に対してカスタムの「フィールド」を追加できる機能を正式提供（GA）に移行したと発表した。Free・Team・Enterprise の全プラン、およびデータレジデンシー対応の GitHub Enterprise Cloud でも利用可能になった。優先度・見積もり工数・担当チームなど任意の属性を Issue に直接付与でき、GitHub Projects 側でのフィルタリングやレポート作成に活用できる。
- Free・Team・Enterprise 全プラン、データレジデンシー対応の Enterprise Cloud でも利用可能に
- 優先度や見積もり工数など任意のカスタム属性を Issue に付与し、Projects でのフィルタ・集計に活用可能
GitHub Changelog
⏱ 2 min read
2026-07-02