🔥 Top Stories
SAPのeコマース基盤「SAP Commerce Cloud」(旧Hybris)は大手小売企業のオンラインストアを支える基盤として広く使われており、そのコアコンポーネントであるData Hub Adapter拡張機能に、CVSS 10.0の最大深刻度を持つ脆弱性CVE-2026-58231が見つかった。SAPは8月のパッチデー(Security Note 3771065)で修正を公開したが、脅威インテリジェンス企業Defusedによると、公開PoCが存在しない段階でハニーポットへの実悪用が確認されており、パッチ公開からわずか3日で攻撃が始まった。原因は認可制御の不備で、Data Hub Adapterがデフォルトで持つ認証クライアントを悪用すると、未認証の攻撃者が検証不足の特定機能へ細工した入力を送り込める。攻撃には認証もユーザー操作も不要で複雑度は低く、成功すれば任意コード実行が可能になり、機密性・完全性・可用性のすべてに影響が及ぶ。Shadowserverの調査では、インターネットに露出したSAP Commerce Cloudインスタンスが4,200件超確認されており、大半が欧州と北米に集中する。ECサイトのバックエンドは決済処理や顧客データベースと直結しているため、侵害されれば単なるサービス停止にとどまらず、サプライチェーン全体への波及リスクを持つ。パッチ未適用のインスタンスは、公開されているだけで攻撃対象になっている状況だ。
🧠 CVSS 10.0はSAPの脆弱性評価で最上位の区分であり、しかも未認証・低複雑度でRCEに直結するという組み合わせは近年でも珍しい。攻撃者がPoC公開前から悪用を始めている点は、パッチ適用の緊急性を裏付ける実測データだ。ただし現時点で侵害後の具体的な被害(データ窃取の範囲や規模)を示す公開報告はなく、影響の全体像は今後の追跡調査を待つ必要がある。
- CVE-2026-58231はData Hub Adapter拡張のデフォルト認証クライアント悪用が原因、CVSS10.0(最大深刻度)
- パッチ公開(Security Note 3771065)からわずか3日で、公開PoC不在のままハニーポットへの実悪用を検知
- Shadowserver調査でインターネット露出インスタンス4,200件超を確認、大半が欧州・北米に集中
💡 SAP Commerce Cloudを自社ECの基盤に使っているなら、Security Note 3771065のパッチ適用状況をインターネット公開の有無に関わらず今すぐ確認すべきだ。
BleepingComputer
⏱ 4 min read
2026-08-14
MozillaがFirefox for iOSに、ネットワークレベルで動作する広告ブロック機能を段階的に展開している。有効化はSiteメニューから「Ad Blocker」をタップし、設定画面でトグルをオンにするだけ。サードパーティの広告配信網・広告エクスチェンジ・トラッキング用リクエストに加え、ポップアップやオーバーレイなど侵入的な広告フォーマットもブロック対象に含む。現在は実験的機能として一部ユーザーへの段階的ロールアウト中で、Mozillaは8月中旬にサポートページを公開し安定版リリースが近いことを示唆した。App Store経由でしか配布できないiOS版Firefoxが標準で広告ブロックを備えるのは、Safari向け拡張機能への依存が前提だった従来の対策と一線を画す。
- Siteメニュー→「Ad Blocker」→設定トグルの3ステップで有効化、現在は一部ユーザー向け段階ロールアウト中
- ネットワークレベルで広告配信網・トラッカー・ポップアップ/オーバーレイをブロック、Safari拡張機能への依存を解消
AppleInsider
⏱ 3 min read
2026-08-16
▲ 441
Anthropicが、claude.aiとモバイルアプリ(iOS/Android)向けに使われているシステムプロンプトの全文を公開した。対象はOpus5(7/24)・Fable5(6/9)・Opus4.8(5/28)・Opus4.7(4/16)・Sonnet4.6(2/17)の5バージョンで、それぞれの知識カットオフ日、拒否ポリシー、児童保護の定義(居住地域で未成年とされる18歳未満全員が対象)、メンタルヘルス相談時の対応方針(診断や精神分析はしないが事実ベースの会話は可能)、絵文字を求められない限り使わないといったトーン指針まで含む。ただしこの公開範囲はAPI経由の利用には適用されない。
- Opus5(7/24)からSonnet4.6(2/17)まで5モデルのシステムプロンプト全文と知識カットオフ日を公開
- 児童保護・メンタルヘルス対応・トーン指針まで明文化、ただしAPI経由の利用には非適用
Anthropic
⏱ 5 min read
2026-08-16
▲ 434
⚡ Dev & Engineering
DuckDBはローカルSSD向けの早期プルーニング最適化を続けてきたが、S3などリモートストレージでは同期I/Oがボトルネックになり、ネットワーク帯域を使い切れずワーカースレッドが待機し続けていた。新設計はワーカー用REGULARプールと最大256のI/O専用ASYNCプールを分離し、read_ahead_depthでメモリ予算を管理しながら先読みキューでフェッチを先行実行する。
- S3上の22GB Parquet読み込みが8.23秒→2.84秒(2.97倍)、ネットワーク使用率は5→25Gbit/sへ飽和
- 80GBのCSVは877.56秒→45.26秒(19.4倍)、DuckDB v2.0(2026年秋)でデフォルト有効化予定
DuckDB Blog
⏱ 6 min read
2026-07-31
▲ 262
Rust標準ライブラリは経験豊富なレビュアーが確認してもなお破壊的変更を見逃してきた。2020年のasync-std破壊、2021年のBuildHasherのdyn非対応化、2022年のイテレータSend/Sync自動トレイト誤削除に続き、2026年3月にはtokioがWindowsで破損し1.94.1のパッチリリースを要した。cargo-semver-checksはrustdoc JSONに3フィールドを追加し、安定性属性を公開APIの目印として扱うことでこれを検知できるようにした。
- 2026年3月のtokio Windows破損など、人手レビューでも見逃されてきた標準ライブラリの破壊的変更が続発
- rustdoc JSONに`stability`・`const_stability`・`default_unstable`の3フィールドを追加し既存の`#[doc(hidden)]`検知の仕組みに統合
predr.ag
⏱ 5 min read
2026-08-15
🔖 28
PyPIで配布されるsdistやwheelには、どのソースコードから作られたかを記録する仕組みがない。直接インストール時は`direct_url.json`にその情報が残るが、配布物自体には同等のメタデータがなく、wheelはPEP 770でSBOMを記録できてもsdistのtar+PKG-INFO形式には追加メタデータを置く余地がない。著者は独立した第三者がビルドを再現し検証結果をPyPIのインデックスAPIに反映する「信頼された検証者」制度を提案する。
- sdist/wheelにソースコード出自を記録する仕組みがなく、wheelのSBOM(PEP770)もsdistには適用不可
- 「信頼された検証者」が独立再現しPyPIインデックスAPIに反映する任意参加の検証制度を提案、SLSAビルドレベル1に準拠
snarky.ca
⏱ 5 min read
2026-08-15
🔖 17
Zedチームが8月12日に発表した「Delta」は、DeltaDBという実時間レプリケーションDBを核に、コードとの会話履歴を接続したまま複数人・複数エージェントが共同作業できる環境。コードコメントは変更後も対象箇所に追従し続け、Claude Codeなど外部エージェントハーネスとリアルタイム同期できる。発表当日からプライベートベータの招待が始まり、以降数週間かけて追加ユーザーへ順次拡大する計画だ。
- DeltaDBがコードの差分と会話を実時間で複数人に同期、コメントは変更後もコード箇所に追従
- 8月12日の発表当日からプライベートベータ招待を開始、Claude Codeを最初の外部ハーネス統合先に
Zed Blog
⏱ 4 min read
2026-08-12
Tarskiの高校代数問題は、正整数における加法・乗法・べき乗の恒等式がすべて11個の基本公理から導けるかを問うもので、Wilkieは公理から証明できない反例を発見していた。この論文はSAT(充足可能性)ソルバーを使い、公理は満たすがWilkieの恒等式を満たさない「反モデル」の最小サイズが12要素であることを証明し、895万7952個の反モデルを同型を除いて分類した。
- SATソルバーでTarski公理系の最小反モデルが12要素であることを証明、895万7952個を同型を除いて分類
- 専用ツールMace4・SEMを上回る探索性能、正しさの証明は定理証明支援系Leanで形式検証済み
arXiv
⏱ 6 min read
2026-08-16
▲ 72