10.0
Adobe ColdFusion RCE（CVE-2026-48282）のCVSS深刻度
295B
Tencent「Hy3」のパラメータ数（Apache 2.0）
$2.5B
Microsoft Frontier Companyへの投資額
🔥 Top Stories
Adobeが提供するWebアプリケーションサーバー「ColdFusion」に、CVSS満点の10.0を記録する重大なパストラバーサル脆弱性CVE-2026-48282が発見された。脆弱性はIDEからColdFusionサーバーとやり取りするためのRemote Development Services（RDS）機能に存在し、認証を経ない遠隔攻撃者が細工したHTTPリクエストを送信するだけでファイルシステムをトラバースし、任意のコード実行に至ることができる。Adobeは6月30日、この脆弱性を含む計11件の重大な脆弱性を修正するパッチを公開したが、7月2日、セキュリティ企業watchTowrが技術解析を公開した直後、KEVIntelのハニーポットセンサーがすでに実際の悪用を検知した。攻撃者はWebサーバーから直接アクセスできる場所に悪意のあるファイルをアップロードし、現在のユーザー権限下で任意コードを実行してホスト侵害につなげる手口をとる。悪用にはRDSが有効化されていること、かつRDS認証が無効化されていることの2条件が必要で、いずれもデフォルトでは無効になっている。Shadowserver Foundationはインターネットに公開されたColdFusionサーバーを約750台把握しているが、そのうち脆弱なバージョンかつRDSが有効な台数は不明としている。管理者にはColdFusion 2025 Update 10またはColdFusion 2023 Update 21への更新が推奨されている。
🧠 パッチ公開から攻撃コード解析までわずか2日、実悪用の検知までさらに数時間という速さは、脆弱性情報の公開が攻撃者にとってのゴーサインになっている現実を改めて突きつける。RDSはデフォルト無効とはいえ、レガシーな開発環境ほど「昔有効にしたまま放置」されているリスクが高く、資産棚卸しの甘さがそのまま被弾につながる典型例だ。ColdFusionのような古参プラットフォームを運用する組織は、パッチ適用だけでなくRDSの設定監査を定期タスク化すべきだろう。
- CVE-2026-48282（CVSS 10.0）——RDS機能のパストラバーサルにより認証不要でRCEが可能
- Adobeが6月30日に他10件と合わせてパッチ公開、7月2日には実悪用をKEVIntelハニーポットが検知
- Shadowserverは公開ColdFusionサーバー約750台を把握、修正版は2025 Update 10 / 2023 Update 21
💡 ColdFusionをインターネット公開環境で運用しているなら、RDSが有効になっていないか即座に確認し、/CFIDE/配下や公開ディレクトリへの不審なファイル設置がないか調査すべきだ。
Help Net Security
⏱ 4 min read
2026-07-07
Tencent Hunyuanチームが、総パラメータ295B・アクティブ21BのスパースMixture-of-Expertsモデル「Hy3」をApache 2.0ライセンスでオープンウェイト公開した。256Kトークンのコンテキスト長を持ち、192エキスパート・top-8ルーティングの構成に加え、投機的デコードを高速化する38億パラメータのMulti-Token Predictionレイヤーを搭載する。SWE-Bench Verifiedで78.0、GPQA Diamondで90.4を記録し、アクティブパラメータが約2倍のGLM-5.2（SWE-Bench Verified 84.2）にコーディング性能では一歩譲るものの、270人による盲検評価ではGLM-5.1（2.51点）を上回る2.67点を獲得した。7月21日まではOpenRouter経由で無料試用できる。
- 総パラメータ295B・アクティブ21B、256Kコンテキスト、Apache 2.0ライセンスでオープンウェイト公開
- SWE-Bench Verified 78.0・GPQA Diamond 90.4、270人の盲検評価でGLM-5.1（2.51点）を上回る2.67点を記録
MarkTechPost
⏱ 4 min read
2026-07-06
Figmaが、Y Combinator出身のバイブコーディング・AIエージェントプラットフォーム「Bud」（旧Orchids）のチームを買収したと発表した。BudはモバイルアプリやWebアプリ、Slack連携アプリなどを自然言語で作成できるエージェント型プラットフォームで、買収に伴いBud/Orchids自体は7月18日にサービスを終了し、ユーザーはそれまでにプロジェクトを移行する必要がある。Figmaは「Figma Make」でのWebアプリ生成やCodex・Claude Codeとの連携など、デザインからコーディング領域への拡張を進めており、今回の買収もその一環。Bud CEOのKevin Lu氏は「Figmaはアイデアが生まれ、形になる場所」とコメントしている。
- Y Combinator出身「Bud」（旧Orchids）チームを買収、7月18日にサービス終了・ユーザーはプロジェクト移行が必須
- Figma MakeやCodex・Claude Code連携に続く、デザインからコーディング領域への布石
TechCrunch
⏱ 3 min read
2026-07-07
⚡ Dev & Engineering
Microsoftが、企業のAI導入を実現まで伴走する新事業体「Microsoft Frontier Company」を立ち上げた。$2.5Bの投資と6,000人のエンジニア・コンサルタントを投入し、ロンドン証券取引所グループやユニリーバ、Land O'Lakes、Accentureなどを早期顧客に迎える。Commercial Business CEOのJudson Althoff氏は「業界最大かつ最も成果志向のエンジニアリング組織になる」と述べている。
- $2.5Bの投資・6,000人体制で、AI導入の設計から運用改善までを直接担う事業体を新設
- ロンドン証券取引所グループ・ユニリーバ・Land O'Lakes・Accentureが早期顧客
TechCrunch
⏱ 2 min read
2026-07-02
SvelteKit公式ブログが2026年7月分のアップデートをまとめて公開した。SvelteKit 2.62.0でsvelte.config.jsを使わずvite.config.js内に設定を直接書けるようになったほか、2.63.0では次期SvelteKit 3を見据えた実験的な環境変数の明示的な扱いが導入された。Remote Functionsも強化され、2.64.0でFileオブジェクトをFormData変換なしで直接扱えるようになり、2.65.0では他クエリを再取得できる機能が追加されている。
- SvelteKit 2.62.0でvite.config.js内へ設定を統合、svelte.config.js不要に
- Remote Functionsが強化——2.64.0でFileオブジェクトの直接処理、2.65.0でクエリ間の再取得に対応
Svelte Blog
⏱ 3 min read
2026-07
GitHubが、自然言語のMarkdownでリポジトリの自動化タスクを記述できる「GitHub Agentic Workflows」をパブリックプレビューに移行した。Issueのトリアージ・CI失敗の解析・ドキュメント更新などを、コーディングエージェントがMarkdownの指示から標準的なActions YAMLへコンパイルして実行する。既定で読み取り専用権限・サンドボックス実行の「Agent Workflow Firewall」・安全な出力検証を備え、既存のランナーグループや組織ポリシーとも統合できる。
- Markdownで自動化を記述しGitHub Actions YAMLへコンパイル、Issueトリアージやコード品質改善に活用可能
- 既定で読み取り専用権限・サンドボックス実行「Agent Workflow Firewall」・安全な出力検証を搭載
GitHub Changelog
⏱ 2 min read
2026-06-11
GiteaのDocker公式イメージに含まれる「X-WEBAUTH-USER」ヘッダーの検証不備CVE-2026-20896（CVSS 9.8）について、公開から13日後に実際の悪用探索が確認された。既定設定でREVERSE_PROXY_TRUSTED_PROXIES=*がハードコードされており、リバースプロキシ認証を有効にした構成では、任意のIPから送られた同ヘッダーだけでパスワードなしに任意ユーザーとして認証されてしまう。ProtonVPN経由のIPから最初の探索が検知されており、インターネットに公開されたGiteaインスタンスは約6,200台に上る。
- REVERSE_PROXY_TRUSTED_PROXIES=*の既定値が原因、X-WEBAUTH-USERヘッダーだけで任意ユーザーになりすまし可能
- 公開13日後にProtonVPN経由での実悪用探索を検知、対象インスタンスは約6,200台、1.26.3で修正済み
The Hacker News
⏱ 3 min read
2026-07
Proofpointが、中国と関連が疑われる脅威クラスター「UNK_MassTraction」による米国・カナダの大学を狙った攻撃キャンペーンを報告した。フィッシングメール経由でRoundcubeのXSS脆弱性CVE-2024-42009（CVSS 9.3）を悪用し認証情報・2FA・Cookieを窃取する「IceCube」ペイロードを配布したうえで、認証後RCE脆弱性CVE-2025-49113（CVSS 9.9）を突きPHP製Webシェル「SquareShell」やGo製RAT「VShell」を展開する。国家安全保障や天体物理学関連の研究者・管理者が標的とされた。
- CVE-2024-42009（XSS）→CVE-2025-49113（認証後RCE）の連鎖で侵害、標的は米加大学の教職員
- 中国系グループによるRoundcube悪用としては初の事例、これまではロシア系グループが主流だった
The Hacker News
⏱ 4 min read
2026-07