421件
Microsoft 8月Patch Tuesdayで修正されたCVE件数
14MB
エージェント型LLM「Needle 2」の圧縮後モデルサイズ(45Mパラメータ)
36億円
KADOKAWAランサムウェア被害の特別損失額
🔥 Top Stories
Microsoftは2026年8月11日(現地時間)の月例セキュリティ更新で421件の脆弱性を修正した。今回の特徴は修正数の多さそのものより、実際に悪用が確認されているゼロデイの中身にある。afd.sys(WinSockの補助関数ドライバ)に存在するuse-after-freeの欠陥CVE-2026-68820は、ローカルで認証済みの攻撃者が特別に細工したアプリケーションでレースコンディションを引き起こし、SYSTEM権限を奪取できる。セキュリティ研究者の分析によれば、afd.sysのゼロデイは2022年以降でこれが3件目であり、うち1件は北朝鮮系Lazarusグループによる悪用が疑われている。同一のカーネルコンポーネントが繰り返し攻撃対象になっている事実は、Windowsのネットワークスタックの奥深くにある検証しづらい経路が、国家主体の攻撃者にとって継続的な標的になっていることを示す。今回はほかに、公開済みで将来の悪用が見込まれるWindows User Profile Serviceの権限昇格(CVE-2026-62832)や、Windows DNS・Deployment Services・Microsoft QUICのリモートコード実行脆弱性も含まれる。内訳ではWindows本体が236件、Officeが98件、SharePoint Serverが30件、Exchange Serverが7件と、依然としてWindowsとOfficeが修正の大半を占める。TPM 2.0参照実装に関する非Microsoft由来のCVEも2件含まれ、業界標準の実装レベルでの脆弱性も浮き彫りになった。
🧠 同一のドライバが3度目のゼロデイ舞台になった点は、パッチ適用の速さだけでは解決しない構造問題を示している。afd.sysはWindowsのネットワーク処理の根幹に位置し、攻撃面を減らすには設計自体の見直しが必要になるはずだが、Microsoftがどこまで踏み込むかは今回のリリースノートからは読み取れない。ローカル権限昇格である以上、今回の実害はリモートから直接侵入されるケースより限定的だが、初期侵入後のラテラルムーブメントの足がかりとして使われる可能性は高い。
- CVE-2026-68820はafd.sysのuse-after-free、ローカル権限昇格でSYSTEM権限を奪取——実悪用確認済みで2022年以降3件目のafd.sysゼロデイ
- 内訳はWindows236件・Office98件・SharePoint Server30件・Exchange Server7件、計421件のCVEを一括修正
- 公開済み未実悪用のCVE-2026-62832(User Profile Service権限昇格)のほか、Windows DNS・Deployment Services・Microsoft QUICのRCEも同時修正
💡 afd.sys系の脆弱性は繰り返し攻撃対象になっており、Windows環境の運用者は月例パッチの即時適用に加え、ローカル権限昇格を前提とした多層防御(EDRでのプロセス監視等)を検討すべきだ。
SecurityWeek
⏱ 4 min read
2026-08-11
Modularは、AI時代向けシステムプログラミング言語「Mojo」の1.0版を公開した。2023年の初版公開から3年、単一のPointer型や`var`宣言への統一など言語仕様を整理し、Python風のラムダ構文と参照無効化を検出するメモリ安全性診断を追加した。開発は約200人のコントリビューターが1,100件超のプルリクエストを提出し、20万行超のコードに影響した共同作業の成果。1.xの間は破壊的変更を避け加算的な進化のみを約束し、コンパイラとツールチェーンは2026年中にオープンソース化する計画。
- 単一Pointer型・`var`宣言への統一など言語仕様を簡素化、参照無効化を検出するメモリ安全性診断とPython風ラムダ構文を追加
- 約200人のコントリビューターが1,100件超のPRを提出し20万行超に影響、2026年中にコンパイラ・ツールチェーンをオープンソース化予定
💡 GPU・アクセラレータ横断の高性能コードをPythonライクな構文で書きたいAI/MLエンジニアにとって、言語仕様が固まった今が学習・移行を検討する好機になる。
Modular
⏱ 4 min read
2026-08-11
▲ 196
AIエージェント「Manus」が、2025年12月29日のMeta買収からわずか8ヶ月足らずで独立企業として再出発することになった。公式ブログは「特定地域の規制要件を順守するための措置」と説明する。買収後にデータを生成した対象ユーザーは、2026年8月23〜24日(シンガポール時間)にデータが削除されるため、それまでにバックアップが必須。復元は8月25日から可能で、バックアップ期間中の課金はなく復帰ボーナスも提供される。買収前からの利用者には影響がない。
- Meta買収(2025年12月29日)から8ヶ月足らずで分離、公式理由は「特定地域の規制要件への対応」
- 買収後にデータを生成したユーザーのみ対象、2026年8月23〜24日(SGT)にデータ削除、8月25日から復元可能でバックアップ期間中は無課金
💡 対象ユーザーは8月23日までにデータのバックアップを完了させる必要があり、Meta連携で構築したワークフローがある場合は移行計画を早めに立てるべきだ。
Manus
⏱ 3 min read
2026-08-11
▲ 112
⚡ Dev & Engineering
開発者がmitmproxyでGitHub Copilotの通信を傍受したところ、無関係な`.env`ファイルを開いただけなのに、直後に開いた別ファイルへの補完リクエストに環境変数の値が紛れ込んで送信されていた。ローカルのSQLiteデータベース`session-store.db`には全会話が平文保存され、書き込み処理にスクラビング(機密情報の除去)工程が存在しないこともコード上から確認できたという。
- 無関係な`pyproject.toml`を開いた直後の補完リクエストに、直前に開いた`.env`の中身が紛れ込んで送信される挙動を確認
- ローカルの`session-store.db`(SQLite)は全会話を平文保存、書き込みパスにスクラビング処理が存在しないことをコードから確認
lighthousenewsletter.com
⏱ 4 min read
2026-08-11
▲ 137
OpenSSH 10.5/10.5p1が公開され、`session-bind@openssh.com`拡張によるssh-agentのロックバイパスとssh-agent経由でのPKCS#11トークン追加、クライアントのリモートフォワーディング処理でのuse-after-freeなど3件のセキュリティ修正が入った。FIDO認証鍵の試行順序を低摩擦なものから優先する最適化や、試行される鍵を事前表示する`-Z user@host`モードも追加された。
- ssh-agentロック中でも`session-bind@openssh.com`拡張経由でPKCS#11トークン追加が可能だった不具合など3件のセキュリティ修正
- FIDO認証鍵は生体認証なしのものから低摩擦順に試行するよう最適化、`-Z user@host`で試行される鍵を事前確認可能に
OpenSSH
⏱ 3 min read
2026-08-11
▲ 73
セキュリティ研究者がドメイン`noreply.net`と`noreply.us`を取得したところ、多数の企業が「使われていない」と思い込んで送信していた実際のメールが届き始めた。負傷報告書やピザの注文、テスト用の認証情報まで含む数十万通のメールを受信しており、`noreply@`宛のメールを無検証で外部ドメインに送る設定ミスが業界に広く存在することを示した。
- ドメイン取得後、企業からの誤送信メールを累計数十万通受信——内容は負傷報告書からテスト認証情報まで多岐にわたる
- 原因は多くの組織が自社管理下にない`noreply.net`等の外部ドメインを送信元/宛先として誤設定していたこと
Ars Technica
⏱ 4 min read
2026-08-11
著者は、ローカルAIモデルがクラウド推論を代替することはないと論じる。ユーザーは常に予算内で最も強力なモデルを選ぶ傾向があり、家庭用GPUが実用的な性能に達する頃にはデータセンター側のモデルはさらに先を行っている。加えてデータセンターは複数ユーザーのリクエストをバッチ処理できる一方、B200のようなデータセンター向けGPUはコンシューマ向けゲーミングGPU比で約30倍の効率を持つとし、経済合理性の面でも家庭用推論は劣勢だと結論づける。
- ほぼ全てのユーザーは予算内で最も強いモデルを選ぶため、家庭で動かせる性能に達した頃にはデータセンター側がさらに先行するという構造的な遅れ
- データセンター向けGPU(B200等)はコンシューマ向けゲーミングGPUの約30倍の効率、バッチ処理による稼働率の差も経済性で不利に働く
seangoedecke.com
⏱ 4 min read
2026-08-11
コードレビューは生まれつきの才能ではなく、訓練で伸ばせるスキルだと論じる記事。研究では教育・規範維持・門番・バグ防止という複数機能を果たすとされ、著者自身も「30〜100 SLOC/コメント」の密度でレビューできるまでに成長した経験を紹介する。ジュニアに理由を問うソクラテス式対話や、ヒヤリハットの録画振り返りなど具体的な鍛え方も提示する。
- コードレビューの効果は教育・規範維持・門番・バグ防止の複数機能に分解でき、著者は「30〜100 SLOC/コメント」の密度まで習熟
- ジュニアに理由を問うソクラテス式対話、ヒヤリハットの録画振り返り、コードを読まずにモデルを作る形式的検証など具体的な訓練法を提示
typesanitizer.com
⏱ 3 min read
2026-08-11