$69,875
2bit量子化Kimi K2.7 CodeがMac Studioで稼いだ額
CVSS 10
n8nの任意ファイル読み取り脆弱性の深刻度
26.1%
脆弱性を含むAIエージェントSkillsの割合（SkillSpector調査）
🔥 Top Stories
SharePointのオンプレミス版（Subscription Edition・2019・2016全て）に、信頼できないデータのデシリアライズに起因するリモートコード実行の脆弱性CVE-2026-50522が存在する。CVSSスコアは9.8で、Site Owner権限を持つ認証済みユーザーが任意のコードをサーバーに注入・実行できてしまう。7月のMicrosoft Patch Tuesdayでパッチが公開されたが、DEVCORE所属の研究者splitline氏が詳細な検証コードを公開したことで状況が悪化し、実際の悪用が確認された。攻撃者はこの脆弱性を使ってSharePointサーバーのマシンキー（ASP.NET暗号化・署名鍵）をわずか1回のリクエストで窃取する手口を確立しており、この鍵さえ盗めればパッチ適用後もその鍵を使った偽造リクエストで永続的にアクセスし続けられる。つまりパッチを当てるだけでは不十分で、鍵自体をローテーションしない限り侵害状態が継続する。CISAは7月22日にこの脆弱性を既知悪用脆弱性（KEV）カタログへ追加し、連邦機関に7月25日までの対応を義務付けたが、この期限はすでに過ぎている。オンプレミスSharePointを運用する組織全般が対象で、マシンキーの窃取という性質上、パッチ適用の有無だけでは侵害の有無を判断できない点が実務上の最大の課題だ。
🧠 マシンキーを盗まれた後にパッチを当てても、盗まれた鍵自体は無効化されないため、パッチ適用と鍵ローテーションの両方を実施しない限り「パッチ済みなのに侵害されたまま」という状態が続く。実務ではパッチ適用ログよりも鍵ローテーション実施ログの方が重要な指標になるだろう。ただし鍵ローテーションの徹底度合いは組織ごとにばらつきが大きく、この脆弱性の実害がどこまで広がっているかは今後の観測を待つ必要がある。
- CVSS 9.8、Site Owner権限を持つ認証済みユーザーがデシリアライズ経由で任意コードを実行可能
- 攻撃者は1回のリクエストでSharePointサーバーのマシンキーを窃取、パッチ適用後もこの鍵で偽造リクエストを継続できる
- CISAは7月22日にKEVカタログへ追加し連邦機関に7月25日までの対応を義務付けたが、期限は既に経過
💡 オンプレミスSharePointを運用しているなら、パッチ適用だけでなくASP.NETマシンキーのローテーションまで完了させないと侵害状態が続く。
The Hacker News
⏱ 5 min read
2026-07-25
Docker上で1億回超プルされているワークフロー自動化基盤n8nに、CVSS満点10のCVE-2026-21858が存在する。フォームベースのワークフローが持つファイルコピー機能がcontent-typeを検証しないため、filepathパラメータを細工するとアップロードされたファイルの代わりにサーバー上の任意のローカルファイルを読み取れてしまう。修正は2025年11月18日リリースのv1.121.0で既に配布済みだが、セキュリティ企業Cyeraが悪用の技術的詳細を公開したことで、未パッチのインターネット公開インスタンスへの攻撃リスクが改めて高まっている。
- content-type未検証のファイルコピー処理をfilepathパラメータの細工で悪用し、任意のローカルファイルを読み取り可能。CVSSは満点の10
- 修正版v1.121.0は2025年11月18日提供済みだが、Cyeraの技術詳細公開で未パッチのWebhook・フォームエンドポイント公開インスタンスのリスクが再燃
SecurityWeek
⏱ 4 min read
2026-07-24
Debianプロジェクトで7月22日に提出された一般決議案が7月24日から公式討議期間に入った。提案Aはソースパッケージ・公式Web資産・ドキュメント・翻訳・プロジェクト内コミュニケーションを含む全領域で、LLM生成・LLM支援コードの直接的な貢献を著作権・品質・コミュニティ・倫理の観点から明示的に拒否する内容。対抗する提案Bは、投稿者が利用を宣言し著作権フリーであることを保証し責任を負う限りAI利用コードを許容する内容で、両案が投票にかけられる見通しだ。2026年2〜3月の前回討議では投票自体が見送られ、ケースバイケースの運用が続いていた。
- 提案Aの適用範囲はソースパッケージ・公式Web資産・ドキュメント・翻訳・プロジェクト内コミュニケーションまで全域に及ぶ
- 提案Bは利用宣言・著作権フリー保証・責任負担の3条件付きでAI利用コードを許容。2〜3月の前回討議は投票見送りで終わっていた
Debian.org
⏱ 4 min read
2026-07-24
⚡ Dev & Engineering
単一のPythonプログラムからGPUクラスタ全体をアクター方式で制御する分散フレームワークPyTorch Monarchが、CUDA限定からAMD Instinct/ROCmエコシステムに対応範囲を広げた。hipify_torchでCUDA C++をHIPへ変換しNCCL相当のRCCLに接続、CUDA Driver API呼び出しをHIPへ自動振り分けするrocm_compatモジュールも新設した。
- SLURM上の16ノード・MI300 GPU128基構成で、180秒ごとにRCCL障害を注入しても学習継続を確認
- Kubernetes上の32ノード・MI355 GPU256基構成でLlama 3 8Bのlossが12から4へ収束、ROCm 7.0以降でテスト1,171件が全てパス
PyTorch Blog
⏱ 4 min read
2026-07-24
公開したMCPサーバーが、GETリクエストに対してMCP Streamable HTTP仕様上あるべき405やtext/event-streamではなく200とJSONを返していた。クライアントはストリームが開いていない200応答を切断と解釈し、約0.2秒間隔で即座に再接続し続けるループに陥った。ステータスコードは常に0%エラーのままで詳細ログも無効だったため異常に気付けず、無料枠10万リクエスト/日を7時間で使い切って初めて91%到達の警告で発覚した。
- GET /mcpへの誤った200応答が、クライアント側で約0.2秒間隔の無限再接続ループを誘発
- 405 Method Not Allowedを返す修正後、リクエスト量は修正前の約1/1000に低下
Qiita
⏱ 4 min read
2026-07-24
Android上で動作しADBコマンドを発行するShizukuやlibadbベースのツール群が、将来のAndroidバージョンで想定されている端末上ADB利用制限の影響を受ける可能性があると報告された。これらのツールはUSB経由でPCから発行するADBコマンドを、ルート化やPC接続なしに端末単体で実行できるようにする仕組みで、開発者向けデバッグや上級者向けツールの基盤になっている。
- Shizuku・libadbなど端末単体でのADB実行に依存するツール群が影響対象になる可能性
- Hacker Newsフロントページで825ポイントを獲得し、開発者コミュニティで広く議論
kitsumed.github.io
⏱ 3 min read
2026-07-25
▲ 825
SAPは7月14日、新規セキュリティノート16件とGitHubセキュリティアドバイザリ1件、既存ノートの更新3件を公開した。うち緊急度Criticalは4件。最も深刻なのはNetWeaver ABAPカーネルのメモリ破損CVE-2026-44747（CVSS 9.9）で、低権限の攻撃者が遠隔から機密性・完全性・可用性を侵害できる。AppRouter 20.10未満のHTTPリクエストスマグリングCVE-2026-27690（CVSS 9.1）は認証不要で遠隔攻撃可能だ。
- NetWeaver ABAPカーネルのメモリ破損CVE-2026-44747はCVSS 9.9、低権限アカウントからの遠隔攻撃が可能
- AppRouter 20.10未満のリクエストスマグリングCVE-2026-27690は認証不要でCVSS 9.1、Critical計4件・High 6件を含む20件を公開
GBHackers
⏱ 4 min read
2026-07-14