47ヶ国
VMware vCenter脆弱性の実悪用による被害国数(361台)
512TB
DapuStorが展示したエンタープライズNVMe SSDの新記録容量(従来比2倍)
750 tok/s
Cerebras Ultrafast Modeの出力速度(Claude Fable 5比11倍)
📊 今週のキーワード
AIエージェント基盤
重大脆弱性の実悪用
推論高速化競争
今週はAIエージェントを構築するための実行基盤が相次いで登場した一週間だった。Agent Plugins 1.0.0の標準化を皮切りに、OpenChamber・Ante・Docker Sandboxes・DeepSeek Harnessと、エージェント実行環境そのものを差別化しようとする動きが加速している。一方でMetabase・Patch Tuesday・GitHub Actions OIDC・Zoom・VMware vCenterと重大脆弱性の実悪用が途切れず、防御側の対応速度が追いついていない現実も浮き彫りになった。
🔥 Top Stories
Broadcomは7月29日、VMware vCenter Serverに影響する複数の脆弱性を公表するセキュリティアドバイザリVMSA-2026-0006を発表した。中でも深刻度が最も高いのがCVE-2026-59310で、CVSSスコアは満点に近い9.8。vCenterのSyslogサーバーに存在するディレクトリトラバーサルの欠陥で、ネットワーク経由でアクセス可能な未認証の攻撃者が任意コードを実行できる。姉妹脆弱性のCVE-2026-59309(認証バイパス)と組み合わせれば、認証情報なしに管理コンソールへ侵入する経路が成立する。Broadcomはパッチ以外の回避策を提供しておらず、緊急アップデートの適用のみが対処法だと明言していた。この警告が現実の脅威であることは、公開からわずか5日後の8月3日に裏付けられた。脅威インテリジェンス企業QUIRSOが、攻撃者管理下のC2インフラと通信する侵害済みシステムの検出を報告したのだ。攻撃チェーンはディレクトリトラバーサルの痕跡に続いて悪意あるcronジョブを設置し、永続化のためにオープンソースツール「reverse_ssh」を用いた持続的リモートアクセスを確立するパターンが確認されている。現時点で被害は361台のIPアドレス、47ヶ国に及び、うちドイツ・米国・トルコ・イラン・フランスだけで過半数を占める。vCenterは仮想化基盤の管理プレーンそのものであり、侵害されれば配下の全仮想マシン・バックアップ・ネットワーク設定への足がかりを攻撃者に与える。
🧠 5日という短さは、公開されたパッチのdiffから脆弱性を逆算する「patch diffing」がすでに定型作業として高速化していることを示している。ただし今回observedされているのはreverse_sshによる持続的アクセスの確立までで、ランサムウェア展開や大規模なデータ窃取の実例はまだ報告されていない——被害の全容はこれから拡大する可能性があり、361台という数字を「収束した被害規模」と読むのは早計だ。
- CVE-2026-59310(CVSS 9.8)はSyslogサーバーのディレクトリトラバーサルで未認証RCEが成立、姉妹脆弱性CVE-2026-59309との連鎖で認証情報なしの侵入経路が完成する
- Broadcomの7月29日公開から8月3日の実悪用検出までわずか5日、Broadcomはパッチ以外の回避策を提供していない
- 攻撃はcronジョブでreverse_sshを設置し持続的アクセスを確立するパターンで、361台・47ヶ国に感染が拡大(ドイツ・米国・トルコ・イラン・フランスが上位)
💡 vCenterを運用する組織は緊急アップデートの適用を最優先とし、パッチ未適用の環境ではSyslogサーバーへの外部アクセス遮断とreverse_ssh関連プロセスなどC2通信の兆候を直ちに監視すべきだ。
SecurityWeek
⏱ 5 min read
2026-08-12
Googleは2026年8月13日、「Gemini 3.7 Flash」を公開した。コーディングとエージェントタスク向けの主力モデルと位置付け、3.6 Flashからわずか3週間での投入となる。FrontierCode 1.1のスコアは34.4%から43.6%へ、DeepSWE v1.1は49.0%から65.3%へ向上し、Webアプリ生成の質を測るWebDev Arena Eloも1538から1588に上昇した。価格は2026年12月31日までの導入価格として入力100万トークンあたり0.75ドル・出力3.75ドルとなり、3.6 Flash比で50%引き下げられた。Google AI Studio・Android Studio・Gemini Enterprise・Gemini Sparkなど各プラットフォームで即日提供される。
- FrontierCode 1.1が34.4%→43.6%、DeepSWE v1.1が49.0%→65.3%、WebDev Arena Eloが1538→1588に向上——3.6 Flashからわずか3週間での投入
- 導入価格は入力$0.75/出力$3.75(100万トークンあたり、2026年12月31日まで)で3.6 Flash比50%引き下げ、標準価格は2027年1月から適用
💡 コーディングエージェント用途で速度とコストを優先するチームは、3.6 Flashからの切り替えを試す価値がある——標準価格への切り替わり時期(2027年1月)も見込んだコスト試算をしておきたい。
Google
⏱ 3 min read
2026-08-13
▲ 460
DeepSeekは、AIエージェントを構築するためのオープンソースフレームワーク「Harness」を開発者プレビューとして公開した。モデル・ツール・スキル・ストレージ・スケジューリング・UIまで、あらゆる機能をCordisプラグインシステム上の差し替え可能なプラグインとして実装しているのが特徴で、依存関係の解決もCordisが担う。モデルが実際に見たプロンプト・推論過程・ツール呼び出し・コンテキスト注入のすべてを追記専用のイベントログに記録し、セッションの再開・分岐・検索・再生を可能にする。実行モードはフルツールセットの標準・モデル生成TypeScriptでオーケストレーションするCode・ベンチマーク用のMinimal・カスタムプリセットのCreatorの4種類を用意する。
- 全機能がCordisプラグインシステム上の差し替え可能なプラグインとして実装され、依存関係解決も同カーネルが担う設計
- セッションログは追記専用のイベントストリームで再開・分岐・検索・再生に対応、実行モードは標準/Code/Minimal/Creatorの4種類、`npx @deepseek-ai/dsh web`で試用可能
💡 独自エージェントを構築中のチームは、Cordisプラグイン設計とセッションログの再生機能をデバッグ・監査基盤として参考にできる——MITライセンスなので商用への組み込み障壁も低い。
DeepSeek
⏱ 3 min read
2026-08-13
▲ 503
⚡ Dev & Engineering
セキュリティ研究チームが、Zoomの注釈機能を処理する`libannotate.so`ライブラリにメモリ破損の脆弱性(CVE-2026-53413/53414/53415)を発見した。テキスト注釈のデシリアライズ処理に固定バッファへの無制限コピーとオーバーリードがあり、細工した注釈プロトコルメッセージを送るだけでユーザー操作なしにRCEが成立する。6月8日の発見から6月22日にクライアント側、7月15日にサーバー側の対処を経て8月11日に公開された。
- Windows/macOS/iOS/Android/Linuxの全プラットフォームでZoom Workplace 7.1.5未満・Zoom Rooms/Meeting SDK 7.1.0未満が対象
- 6月8日の発見から6月22日クライアントパッチ・7月15日サーバー側緩和を経て8月11日公開、E2E暗号化会議のみクライアント更新が別途必要
a.security
⏱ 3 min read
2026-08-11
XFSファイルシステム上でHAProxyが2秒に1行程度のログしか出力していないのに、仮想マシンが約50 IOPSものディスクI/Oを消費しているとGitHub issueで報告された。報告者はDebian 13・Linux 6.12.57・systemd 257.9の環境で検証し、カーネルレベルの書き込みまとめ処理があるにもかかわらず過剰なI/Oが発生している点から、原因はOSのバッファリングではなくjournald自体のファイル形式にあると指摘する。ジャーナルファイルは実際に書き込まれたデータの数倍のサイズになっており、非クリーンな再起動時にファイルが破損した経験も複数回あるという。
- Debian 13/systemd 257.9環境で2秒に1回程度のログ出力が約50 IOPSを消費、ジャーナルファイルは実データの数倍のサイズに膨張
- 過去にも同種の指摘(issue #15292)があったが未対処のままクローズされており、非クリーンな再起動時の破損も複数回報告されている
GitHub
⏱ 3 min read
2026-08-13
▲ 86
GitHubが新たに提供したスタックPR機能を、Git互換のバージョン管理システムJujutsu(jj)から使うための実践ガイド。スタック内の各コミットにブックマーク(ブランチ)を作成し`gh stack link`で連結されたドラフトPR群を生成する。著者はJujutsu 0.43.0以降・Git 2.52.0以降・GitHub CLI 2.96.0以降と`gh-stack`拡張が必要だと説明する一方、スタックの先頭へのコミット追加はブックマーク作成の繰り返しで済むが、中間や末尾のコミットを変更する場合はGitHub上のスタックを一度削除して作り直す必要があると指摘する。
- Jujutsu 0.43.0+・Git 2.52.0+・GitHub CLI 2.96.0+と`gh-stack`拡張が前提、`gh stack link`でブックマークをドラフトPR群に変換
- スタック先頭への追加はブックマーク作成のみで対応可能だが、中間・末尾コミットの変更はGitHub側のスタックを削除して再作成する必要がある
alan.norbauer.com
⏱ 3 min read
2026-08-13
▲ 42
OpenAIは8月11日、ChatGPTデスクトップアプリのLinux版プレビューを公開した。ChatGPT・Work・Codexを単一のネイティブデスクトップ体験に統合し、プロジェクト管理やファイル操作、ブラウザワークフロー、Codexの実行をChatGPTと並行して行えるワークスペースとして機能する。対応ディストリビューションはUbuntu 24.04/26.04 LTS・Debian 13・Fedora 43/44で、x64・ARM64双方のアーキテクチャ向けに.deb・.rpm形式で提供される。
- Ubuntu 24.04/26.04 LTS・Debian 13・Fedora 43/44にx64/ARM64・.deb/.rpm形式で対応、8月11日提供開始
- コミュニティのフィードバックではWindows/macOS版と機能的に同等との声がある一方、一部Linux環境でIME互換性の問題が報告されている
OpenAI Community
⏱ 3 min read
2026-08-11
▲ 436
Flutter 3.47が公開された。macOS・Windows・LinuxのデスクトップでレンダリングエンジンがSkiaからImpellerへ切り替わり既定化された。Impellerは事前コンパイル済みシェーダーを使うことで「シェーダーコンパイルのカクつき」を解消し、初回フレームから滑らかなアニメーションを実現する。MaterialとCupertinoのウィジェットは`material_ui`・`cupertino_ui`という独立パッケージとしてpub.devでバージョン1.0に到達し、四半期ごとのSDKリリースを待たずに週次で更新できるようになった。次期Xcode 27対応に向け、iOSの最小対応バージョンは13から15へ、macOSは10.15から12へ引き上げられた。
- デスクトップの既定レンダラーがImpellerに切り替わりシェーダーコンパイルのカクつきを解消、Material/CupertinoウィジェットはSDKと独立して週次更新可能な`material_ui`/`cupertino_ui`(v1.0)に分離
- Xcode 27対応でiOS最小バージョンが13→15・macOSが10.15→12に引き上げ、Javaは17以上・AndroidはcompileSdk/targetSdk 36が必須に
Flutter
⏱ 3 min read
2026-08-12