885万件
ショップサーブで流出した最大顧客情報件数
$2,000
OpenAI Astraが数学10問の証明探索に要した推定コスト
50GB/s超
PlanetScaleのペタバイト級Postgresバックアップ速度
🔥 Top Stories
JFrog Security ResearchのAfek Berger氏らは、GitHub上で公開されたSQLiteの脆弱性報告群を検証した結果、55件のうち54件が実在しない脆弱性のでっち上げだったと発表した。CVE-2026-51302・51303(いずれもCVSS 9.8)は存在しない関数のuse-after-freeを主張し、CVE-2026-51300は無関係なコード行を参照していた。中には該当バージョンに存在しない関数への言及や、実際のファイル行数を超える行番号を指定した報告もあった。検証チームは公式SQLiteリポジトリを実際にDockerでビルドし、AddressSanitizerを組み込んだ環境でPoCコードを実行、さらにソースコードを直接精査するという地道な手法で一件ずつ反証した。加えて、報告文書をまとめてAI生成コンテンツ検知ツールGPTZeroにかけたところ、AI生成を示す警告がトリガーされたという。背景には、NISTが2024年2月に人手による脆弱性分析を大幅縮小して以降、CVE番号の発行にPoCの再現性確認が義務付けられていないという構造的な緩さがある。番号が振られている以上「本物らしく」見えてしまう脆弱性報告が、検証コストをかけずに大量生産できる状態が続いている。
🧠 実測ベースで55件中54件がでっち上げと確認された点は動かしがたい事実だ。ただし、これが悪意ある愉快犯によるものか、CVE量産を目的にしたAIツールの暴走かは記事内でも断定されていない。CVE番号が正式に採番されている以上、NVDのデータ品質管理プロセスそのものに構造的な欠陥があることは間違いなく、生成AIがCVE報告の入口として使われ始めた今、「番号が振られている」ことと「実在する脆弱性である」ことの間に距離が生まれる前提での運用転換が必要になるだろう。
- CVE-2026-51302・51303はCVSS 9.8、存在しない関数への参照やファイル実行数を超える行番号指定など、55件中54件がでっち上げと判定された
- JFrogは公式SQLiteリポジトリを実際にDockerでビルドし、AddressSanitizer付き環境でPoCコードを実行して一件ずつ反証、報告文書をGPTZeroにかけるとAI生成コンテンツの警告が出た
- NISTが2024年2月に手動分析を縮小して以降、CVE公開にPoC再現の義務がないことが偽CVE量産の温床になっていると指摘
💡 CVE番号だけを見て対応工数を割く運用のままでは今後同種の偽CVEに振り回されるリスクが高く、一次情報からPoCが実際に再現できるかを確認する検証フローを組み込むべきだ。
JFrog Security Research
⏱ 5 min read
2026-08-03
▲ 685
BASEの子会社Eストアーが運営するECサイト構築サービス「ショップサーブ」が不正アクセスを受け、最大885万3839件の顧客情報が流出した可能性があると8月2日に発表した。侵入は5月21日から8月1日まで約2カ月半にわたり継続し、氏名・住所・電話番号・メールアドレス・会員IDに加え、暗号化されたパスワードも対象となった。クレジットカード情報はカード名義とカード番号の先頭6桁・下4桁、有効期限が流出したが、セキュリティコードは含まれない。店舗運営者側の管理画面ID・パスワードやFTP情報、振込先口座情報も漏えいの対象となった。攻撃元との通信は遮断済みで、8月2日時点で二次被害は確認されていない。
- 侵入期間は5月21日〜8月1日の約2カ月半、8月1日の第1報から8月2日に詳細情報を公開
- クレジットカードはセキュリティコードを除く番号の一部(先頭6桁・下4桁)と有効期限が対象、店舗側のFTP・管理画面認証情報も流出
💡 ショップサーブでECサイトを運営する事業者は、パスワード変更に加えて管理画面の二段階認証設定を至急確認すべきだ。カード番号の一部が流出しているため、これを悪用したフィッシング詐欺の的中率が上がる点にも注意したい。
ITmedia
⏱ 3 min read
2026-08-02
OpenAIは8月1日、次期主力モデル「Astra」の内部版が、10年以上大きな進展のなかった数学・理論計算機科学の未解決問題10件に取り組み成果を上げたと発表した。1978年以来更新のなかった高次元球充填密度の上限を改善したほか、凸体に関するEhrhartの体積予想の証明、量子もつれの並行反復定理の拡張、Connesの剛性予想への反証などが含まれる。Astraが生成した数学的議論を研究者が論文形式にまとめ、形式検証ソフトウェアLean 4で各推論ステップを機械的に検証した。証明探索に要したトークン費用はSol APIの価格換算で約$2,000(約31万円)。249ページの論文とLean 4の検証証明一式をGitHubで公開した。
- 1978年以来更新のなかった高次元球充填密度の上限改善やConnesの剛性予想への反証など、10年以上進展のなかった問題10件に成果
- Astraが生成した議論をLean 4で機械的に形式検証、証明探索の総コストはSol API換算で約$2,000(約31万円)
💡 形式検証済みの証明を数千ドル規模のコストで得られるようになったことで、未解決問題への取り組み方自体が変わる可能性がある。ただしLean 4による機械検証を経たとはいえ、査読前の内部成果である点は割り引いて見るべきだ。
GIGAZINE
⏱ 3 min read
2026-08-03
⚡ Dev & Engineering
Rustプロジェクトは2026-2027年の目標として、値を安全に移動できない「不動型」をPin頼みではなく`Move`トレイトとして型に組み込む提案を採択した。あわせて`mem::forget`を無効化できる`Destruct`/`Forget`トレイトを導入し、デストラクタの実行を保証する。非同期処理の自己参照型やスコープ付きタスクスポーンの安全性向上が狙いで、Linuxカーネルでの検証を通じて設計を固める。
- 現状`Pin`が「場所の性質」として不動性を表現しているのに対し、新提案は`Move`トレイトで「型の性質」として扱う
- `mem::forget`を無効化する`Forget`トレイトにより、デストラクタが必ず実行されることを保証しスコープ付きタスクスポーンを安全にする
GitHub
⏱ 3 min read
2026-08-03
▲ 224
PlanetScaleは、シャーディングしたPostgresのバックアップをシャードごとに一時的なコンピュートノードを立ち上げて並列実行する手法を解説した。各ノードはオブジェクトストレージから直近のバックアップを復元し、S3のアーカイブWALとプライマリからのストリーミングを組み合わせて差分を再生する。32TBの単一データベースなら約22時間かかるバックアップが、8シャードに分散すると約2.8時間に短縮される。
- 32TBの非シャードDBは500MBps換算で約22時間、同容量を8シャードに分散すると約2.8時間まで短縮
- 100テラバイトを100シャードに分散した場合、1テラバイトを1シャードでバックアップするのとほぼ同じ速度を維持、ペタバイト級では50GB/s超を達成
PlanetScale
⏱ 3 min read
2026-08-03
▲ 73
Rust 1.98から、`algebraic_add()`など「実数の代数的性質を前提にコンパイラが順序を並べ替えてよい」ことを明示する演算子が使えるようになった。浮動小数点演算は結合則が成り立たずコンパイラが最適化を控えてきたが、明示的に許可することでSIMDベクトル化などの積極的な最適化が可能になる。
- ペアワイズ総和は通常の浮動小数点演算で563.1マイクロ秒、代数演算子を使うと144.5マイクロ秒に短縮
- 二乗和差分の計算は628.7マイクロ秒から371.1マイクロ秒に短縮、約70%の高速化を実測
pythonspeed.com
⏱ 2 min read
2026-08-02
記事は、Zig向けの「安全」なコンパイルターゲットを謳うFil-Cを例に、メモリ安全性が二値ではなくスペクトラムであることを論じる。8文字のname領域を持つ構造体に`strcpy()`で長い文字列を書き込むと隣接するis_rootフィールドが上書きされるが、Fil-Cはこれをアロケーション境界内に収まるため「安全」と判定してしまう。
- 12バイトの構造体は実際には16バイトに切り上げて確保されるため、隣接フィールドへの書き込みがアロケーション境界内に収まり「安全」と判定されてしまう
- Rustの`unsafe`キーワードのような明示的な境界表示がないと、危険な操作が通常のコードに紛れ込み気づきにくくなると指摘
ohadravid.github.io
⏱ 3 min read
2026-08-03