🔥 Top Stories
製品ライフサイクル管理（PLM）ソフトウェア大手 PTC が提供する Windchill と FlexPLM に、信頼できないデータのデシリアライズに起因する深刻なリモートコード実行（RCE）脆弱性 CVE-2026-12569（CVSS 9.3）が存在することが明らかになった。PTC は 2026 年 6 月 17 日に脆弱性を警告し、翌 18 日には修正パッチをリリースすると同時に、実際の攻撃での悪用をすでに確認したと発表した。攻撃者は未パッチのインスタンスに対し JSP 形式の Web シェルを設置しており、Windchill・FlexPLM 史上初めて実環境での悪用が確認された事例となる。CISA は 6 月 25 日、本脆弱性を Known Exploited Vulnerabilities（KEV）カタログに追加し、Binding Operational Directive（BOD）26-04 に基づき連邦政府機関に対しわずか 3 日後の 6 月 28 日までの対応完了を義務付けた。PTC は 6 月 25 日以降、悪用活動の高まりを確認したとしており、被害拡大への警戒を強めている。Windchill・FlexPLM は自動車・航空宇宙・製造業など幅広い業界で製品設計データや部品構成情報を管理する基盤として使われており、侵害された場合の影響は知的財産の流出にとどまらずサプライチェーン全体に波及しうる。連邦機関以外の組織についても、CISA は速やかなパッチ適用と侵害兆候の確認を強く推奨している。
🧠 わずか 3 日間という異例に短い対応期限は、CISA が本脆弱性の危険度をいかに深刻視しているかの表れだ。PLM という「製造業の設計図の心臓部」を狙う攻撃は金銭目的だけでなく産業スパイの匂いもする。PTC 製品を導入している製造業・自動車・航空宇宙系の企業は、今回のパッチ適用状況を経営層にまで報告する体制を整えるべきだろう。
- CVE-2026-12569（CVSS 9.3）——デシリアライズ起因の RCE、Windchill・FlexPLM 史上初の実攻撃での悪用
- PTC が 6 月 17 日警告・18 日パッチ公開、攻撃者は JSP Web シェルを設置
- CISA が 6 月 25 日 KEV 追加、BOD 26-04 に基づき連邦機関に 6 月 28 日までの対応を指令（実質 3 日間）
💡 PTC Windchill・FlexPLM を製造業の設計データ管理基盤として運用しているなら、パッチ適用状況を即座に確認し、侵入兆候（不審な JSP ファイル）の有無も合わせて調査すべきだ。
SecurityWeek
⏱ 5 min read
2026-06-25
中国 Moonshot AI が、1 兆パラメータ（アクティブ 320 億）の Mixture-of-Experts モデル「Kimi K2.6」を Modified MIT License でオープンウェイト公開した。26 万 2144 トークンのコンテキスト長を持ち、テキスト・画像・動画をネイティブに扱うマルチモーダル構成。SWE-Bench Pro で 58.6% を記録し GPT-5.5 と同水準、Humanity's Last Exam（ツール利用あり）では 54.0% で首位。最大 300 のサブエージェントを並列展開し 4,000 ステップの自律タスクをこなせる点も特徴で、API 利用コストは競合フロンティアモデル比で約 80% 安いという。
- 1 兆パラメータ・アクティブ 320 億、26 万 2144 トークンのコンテキスト長でネイティブにマルチモーダル対応
- SWE-Bench Pro で 58.6%（GPT-5.5 と同水準）、最大 300 サブエージェント並列で 4,000 ステップの自律タスクに対応
Hugging Face
⏱ 4 min read
2026-04
Anthropic の年間換算収益（ARR）が 2026 年 4 月時点で約 $30B に達し、2 月末時点で $25B だった OpenAI を上回ったと報じられた。フロンティア AI の挑戦者が収益で業界最大手を追い抜くのは今回が初めてとされる。背景には事業戦略の違いがあり、Anthropic はエンタープライズ向け導入を重視し、特にソフトウェア開発・業務自動化領域で Claude 系モデルの採用が急速に進んだことが成長を牽引した一方、OpenAI は ChatGPT を軸にした個人ユーザー向け展開を主軸としてきた。
- Anthropic の ARR は 2026 年 4 月時点で約 $30B——2 月末の OpenAI（$25B）を上回る
- エンタープライズ・ソフトウェア開発領域での Claude 導入拡大が成長の主因
Trending Topics
⏱ 3 min read
2026-07-03
⚡ Dev & Engineering
Next.js 16 が公開され、ルーティング・キャッシュ・開発体験に大幅な改善が加わった。目玉機能「Cache Components」は Partial Pre-Rendering（PPR）と use cache ディレクティブを組み合わせた新しいプログラミングモデルで、即時ページ遷移を実現する。あわせて Model Context Protocol（MCP）ベースの「Next.js DevTools MCP」が導入され、AI エージェントが開発中のアプリの挙動を診断・説明し、修正案を提示できるようになった。
- Cache Components——PPR と use cache による即時ナビゲーションの新モデル
- Next.js DevTools MCP で AI エージェントがアプリの診断・修正提案を実行
Next.js Blog
⏱ 3 min read
2026-06
アムステルダムで開催された JSNation / React Summit ウィーク内の「2026 Open Source Awards」で、フルスタック React フレームワーク TanStack Start が Breakthrough of the Year を受賞した。競争の激しいフルスタック React 領域において、TanStack Router の型安全なルートモデルを土台に、SSR・ストリーミング・サーバー関数・サーバールートをそのまま拡張する設計思想が評価された。同時に TanStack AI も AI Project of the Year を受賞している。
- JSNation 主催・第 7 回 JavaScript Open Source Awards（2026 年 6 月 11 日）で受賞
- TanStack Router の型安全なルートモデルに SSR・サーバー関数を統合する設計を評価
TanStack Blog
⏱ 3 min read
2026-06-11
セキュリティ企業 Arctic Wolf が、ランサムウェアグループ Anubis による攻撃キャンペーンを分析した。攻撃者は NetScaler の認証前脆弱性「Citrix Bleed 2」（CVE-2025-5777）を悪用してセッショントークンを窃取し、多要素認証（MFA）を回避したうえで侵入。ScreenConnect・Zoho Assist・MeshAgent など正規のリモート管理ツールを悪用して通常の IT 活動に紛れ、暗号化に至るまで検知を逃れていた。これまでに 91 組織が被害を受けたと報告されている。
- CVE-2025-5777（Citrix Bleed 2）でセッショントークンを窃取し MFA を回避——被害組織は 91 件に到達
- ScreenConnect・Zoho Assist・MeshAgent など正規 RMM ツールを悪用し検知を回避
The Hacker News
⏱ 4 min read
2026-07-02
セキュリティ企業 runZero が、USB ドライブや SD カードの FAT/exFAT 形式を扱う組込みファイルシステムライブラリ「FatFs」に 7 件の脆弱性を開示した。FatFs は防犯カメラ・ドローン・産業用コントローラ・ハードウェア暗号ウォレットなど、リアルタイム OS ベースの機器に広く組み込まれている。最も深刻な CVE-2026-6682（CVSS 7.6）は FAT32 マウント時の整数オーバーフローでメモリ破壊とコード実行につながる恐れがあり、ファームウェア更新経路からも到達可能という。上流の修正やセキュリティメーリングリストが存在しないため、影響を受ける製品側が対象かどうかを知る手段がないのが実情だ。
- 最重要の CVE-2026-6682（CVSS 7.6）は FAT32 マウント時の整数オーバーフロー——メモリ破壊・コード実行の恐れ
- 上流修正・セキュリティメーリングリストともに存在せず、対象製品側は影響有無を知る術がない
runZero
⏱ 4 min read
2026-07-03
GitHub が無料の AI モデル検証環境「GitHub Models」を 2026 年 7 月 30 日をもって全面終了すると発表した。プレイグラウンド・モデルカタログ・推論 API・BYOK エンドポイントのすべてが対象で、Free・Team・Enterprise の全プランで猶予期間なく廃止される。移行に備え 7 月 16 日・23 日に短時間のサービス停止（ブラウンアウト）を予告済み。GitHub は移行先として Azure AI Foundry を、Copilot ワークフロー内での AI 活用には GitHub Copilot の継続利用を案内している。
- 2026 年 7 月 30 日に全プラン対象で完全終了、7 月 16 日・23 日に予告済みブラウンアウトを実施
- 移行先として Azure AI Foundry を案内、猶予期間や個別延長はなし
GitHub Changelog
⏱ 2 min read
2026-07-01