CVSS 10.0
Cisco Secure FMC認証バイパスの深刻度、CISA連邦機関対応期限は本日9/12
118.7M QPS
PlanetScale Neki実測ベンチマークの瞬間ピーク値
25人
AIと数学の「深刻な機能不全」宣言に署名したフィールズ賞受賞者数
🔥 Top Stories
Cisco Secure Firewall Management Center(FMC)の認証バイパス脆弱性CVE-2026-20079は、2026年3月の情報公開時点ではCVSS10.0の最大深刻度ながら実悪用は未確認だった。原因は起動時に生成されるシステムプロセスの実装不備で、細工したHTTPリクエストをWeb管理画面へ送るだけで未認証の攻撃者がルート権限でスクリプトやコマンドを実行できる。Ciscoは8月に実悪用の兆候を把握し、9月9日にアドバイザリを再更新した。同社の脅威インテリジェンス部門Talosは、この脆弱性と関連する別件CVE-2026-20316を突く3系統の攻撃クラスターを確認したと報告する。うち1系統「UAT-12197」は認証バイパスでWebシェルを設置し、認証情報を窃取する不正なJARファイルを配布した。もう1系統はロシアの国家支援型攻撃グループ「Sandworm」に関連づけられている。CISAはCVE-2026-20079を既知悪用脆弱性(KEV)カタログに追加し、連邦機関に本日9月12日までの対応完了を義務付けた。Ciscoは回避策は存在しないとし、最新版へのアップグレードのみが対処法だとしている。ファイアウォール管理基盤という性質上、侵害されれば配下の全ファイアウォールの設定が攻撃者の手に渡りかねない点が今回の深刻度を押し上げている。
🧠 開示から実悪用確認までに約5カ月の猶予があった脆弱性が今なお突破され続けている事実は、パッチ適用の実務がCVSSスコアの高さだけでは動かないことを物語る。Sandworm関連クラスターの関与が事実なら国家間の緊張を伴う話に発展しうるが、現時点で公表されているのは攻撃手口の外形であり、侵害されたFMCの総数や下流の被害範囲は未確定だ。KEVの期限は連邦機関向けだが、民間の一般企業にとっても「今日が実質的な対応デッドライン」と捉えるべき数字だろう。
- 2026年3月の開示から半年足らずでCVSS10.0の脆弱性が実悪用に至り、Ciscoは8月に気づき9月9日にアドバイザリを再更新
- Talosが3系統の攻撃クラスターを確認、「UAT-12197」はWebシェル設置と認証情報窃取JARを配布、別系統はSandworm関連と判定
- CISAがKEVカタログに追加し連邦機関へ本日9/12までの対応を義務付け、Ciscoは回避策なしアップグレード必須と明言
💡 Cisco Secure FMCを運用するチームは、今日中に最新版へのアップグレードとFMC管理画面のインターネット露出有無の点検を最優先で行うべきだ。
Help Net Security
⏱ 6 min read
2026-09-10
クラウドセキュリティ企業Wizは、JFrog Artifactoryの2件の脆弱性を連鎖させた攻撃が8月15日から9月8日の間に行われたと報告した。CVE-2026-42018は匿名アクセスを無効化していてもログイン前の呼び出し元に内部の匿名ユーザートークンを渡してしまう欠陥で、CVE-2026-42016がこの低権限トークンを管理者スコープのトークンへ交換可能にする。攻撃者は管理者アカウント作成後に悪意あるGroovyプラグインを仕込んで任意コマンドを実行し、Rust製バックドアを設置して永続化した。事例によっては管理者アカウント作成までに要した時間が5分未満だったという。別件のCVE-2026-82329(CVSS9.8)はデフォルト設定を突く認証バイパスで、9月1日に公開エクスプロイトが出回り、Fastlyは9月2日だけで約40万6千件の悪用試行を自社ネットワーク上で観測した。
- CVE-2026-42018が匿名ユーザートークンを未ログイン呼び出し元に払い出し、CVE-2026-42016で管理者スコープへ昇格。5分未満で管理者アカウント作成に至った事例もある
- 別件CVE-2026-82329(CVSS9.8)は9/1に公開エクスプロイトが出回り、Fastlyは9/2の1日だけで約40万6千件の悪用試行を観測
The Hacker News
⏱ 4 min read
2026-09-11
Terence TaoやPeter Scholze、Maryna Viazovska、June Huh、2026年受賞のYu Dengを含む25人のフィールズ賞受賞者が連名で声明"A Severe Misalignment of AI in Mathematics"を公開した。声明はAI企業の商業的インセンティブと、正しさの検証を最優先にしてきた数学界の文化が衝突していると指摘する。AI企業は数学の難問を解いたという主張を、数学コミュニティが検証しきれない速度で連発しており、証明の正しさよりも速報性が優先される風潮を懸念している。人間の数学者が新しいアイデアを吟味し数学の体系へ統合していく「伝達の連鎖」が、AIによる結果の一足飛びの生成によって断ち切られかねないとも警告する。
- Tao、Scholze、Viazovska、June Huh、2026年フィールズ賞受賞のYu Dengを含む25人が連名で声明に署名
- AI企業が数学の難問「解決」を検証不可能な速度で主張し続け、証明の正しさより速報性が優先される風潮に警鐘
Terence Tao's Blog
⏱ 3 min read
2026-09-11
▲ 28
⚡ Dev & Engineering
OpenAIは、GPT-6 Astraのような高性能モデルには旧モデル向けの過剰な足場・詳細指示・慎重すぎる制約がむしろ性能を妨げると解説した。Skillの説明文は「データベース作業全般で使う」のような広い記述ではなく「マイグレーションの追加・変更時に使う」のように発動条件を絞るべきだとし、手順を逐一書いた「レシピ」型より、詳細情報への導線だけを示す最小限のルータ文書を推奨する。AGENTS.mdについても、軽微な変更の前に全リポジトリを精査させる指示や、安全な操作へのローカルテスト承認チェックポイントを撤廃するよう提案している。
- Skill説明は「いつ使うか」を狭く specific に書く(悪い例「データベース作業で使う」→良い例「マイグレーションの追加・変更時に使う」)
- 逐一手順のレシピ型指示ではなく、詳細資料への導線のみを示す最小限のルータ文書と、完了条件を明示した継続指示を推奨
OpenAI Developers
⏱ 4 min read
2026-09-11
🔖 9
ターミナル出力を圧縮してAIエージェントに読ませるツールRTKは「bashの出力を最大90%削減する」と謳い、SNSでは「Claude Codeのトークンを60%削減」という投稿が31万回超表示されるなど話題を呼んだ。QuesmaがTerminal-Bench 2.1で計1,740回の試行を行ったところ、Claude Code(Fable 5.0)ではコストはわずか5%減にとどまり、タスク単位の重み付けでは逆に1%増加した。OpenCode(DeepSeek)ではコストが5%増加、タスク加重では17%増となり、いずれも合格率が1〜2ポイント低下した。RTK公式指標「rtk gain」が示す3億4920万トークン削減は、削除したバイト数を測っているだけでコスト削減とは無関係だとQuesmaは結論づけている。
- Terminal-Bench 2.1で1,740試行を実施、Claude Code(Fable 5.0)のコスト削減はわずか5%、タスク加重では逆に1%増加
- OpenCode(DeepSeek)はコスト5%増・タスク加重17%増、両モデルとも合格率が1〜2ポイント低下し「rtk gain」指標は実コストと無関係と判定
Quesma Blog
⏱ 4 min read
2026-09-11
SlopCodeBenchは、コードの「雑さ」を測る2つの指標を提案する。「Verbosity」はAST-Grepとクローン検出で重複・冗長な行の割合を測り、「Erosion」は循環的複雑度×ソース行数の平方根で求めた「質量」が大きい関数への複雑度の集中度を測る。人間のリポジトリの平均はVerbosity 0.15±0.06・Erosion 0.31±0.17だったのに対し、AIエージェント生成コードはVerbosity 0.33±0.10・Erosion 0.68±0.20と、いずれもおよそ2倍に達した。実運用を模した反復テストのシナリオでは、最先端モデルでも合格率が0%になるケースがあり、判断の蓄積的な劣化が示唆されている。
- Verbosity(重複・冗長行の割合)は人間0.15±0.06に対しAIエージェント生成コードは0.33±0.10と約2.2倍
- Erosion(大規模関数への複雑度集中)は人間0.31±0.17に対しAIエージェント生成コードは0.68±0.20、反復シナリオでは最先端モデルでも合格率0%の事例あり
earendil.com
⏱ 3 min read
2026-09-11
▲ 229
GrapheneOSは標準メッセージアプリの全画面をJetpack ComposeとMaterial 3で書き直したv13をリリースした。会話削除処理中に届いたメッセージが消失していた不具合を修正し、写真・動画撮影とフラッシュ制御、Android標準フォトピッカーを備えたメディアピッカーを刷新した。音声録音はスライドでキャンセルとハンズフリー録音ロックに対応し、ピンチズームと詳細表示に対応した写真ビューア、連絡先変更時に自動更新されるvCardビューアも新規実装された。コンテンツ検証や共有コンテンツ処理、ウィジェットのセキュリティに関する修正も複数含まれる。
- 全画面をJetpack Compose/Material 3で刷新し、会話削除中に届いたメッセージが消失する不具合を修正
- スライドキャンセル対応の音声録音、ピンチズーム写真ビューア、自動更新vCardビューアなど主要機能を全面再実装
GrapheneOS (GitHub Releases)
⏱ 3 min read
2026-09-11
▲ 152
PlanetScaleは新製品「Neki」で、512個のPostgresシャード(r8g.16xlarge)と480台のNekiルーター(8xlarge)、合計1.22PiBのデータを使い、主キー1行取得のみの単一シャード点検索ベンチマークを実施した。16分間持続した実測ピークは118,538,803QPS、瞬間最大では118.7M QPSに達し、シャード当たり約23.1万QPSを処理した。ルーター側のp99レイテンシは6.06ミリ秒、クライアント側では13.95ミリ秒で、エラー率は1秒あたり67件(約180万クエリに1件)。ネットワークスループットは2Tbps超に達し、シャード数を倍にするとスループットもほぼ倍増する線形スケーラビリティを確認したという。
- 512シャード・480ルーター・1.22PiBの構成で16分間持続する118,538,803QPS(瞬間118.7M QPS)を記録、シャード当たり約23.1万QPS
- p99レイテンシはルーター側6.06ms・クライアント側13.95ms、エラー率は約180万クエリに1件で、シャード倍増によりスループットもほぼ倍増
PlanetScale Blog
⏱ 3 min read
2026-09-11
▲ 83