PHPの重大欠陥「php2shell」修正版公開、国内サービスが相次ぎ緊急メンテ
AI
PHPの重大脆弱性「PHP2Shell」はセキュリティ企業のCalifとWizがAIを用いて発見しOpenAIの枠組みを使って対策したことが判明
世界中のWebサイトを揺るがしたPHPの欠陥は、AIを使った調査で見つかっていた。Gigazineによると、CalifとWizの2社がそれぞれ独自に2026年8月に発見した。対応はOpenAIの「Patch the Planet」という脆弱性の連携公開の枠組みで進んだ。大手クラウド各社も加わり、修正前に一時しのぎの防御を用意したという。
Claude Duet
Anthropicが、頼まれる前に自分から動くAIエージェント「Claude Duet」を公開した。公式ページによると、朝に優先事項をまとめて届け、任された仕事を自分専用のクラウド上のPCで進める。終わったときや確認が必要なときは、向こうから連絡してくる。いまは米国のPro・Max契約者向けに、順番待ちで試験提供している。
OpenAI、「COBOL」など学習リソースの少ない言語でのコーディング能力が大幅向上 COBOL移行の正解率は最大97.9％に
OpenAIが、COBOLのような古い言語でもAIのコード生成が大きく伸びたと発表した。ITmedia NEWSによると、COBOLを別の言語へ書き換える試験で、新モデルの正解率は最大97.9％だった。銀行やATMの裏側には今もCOBOLが多く残っている。ただしOpenAIも、本番に使うなら専門家による確認が欠かせないとしている。
架空の統計データをウェブサイトで公開したらChatGPTが引用しまくっていたことが判明
でたらめな統計を並べたサイトが、AIを通じて本物の資料のように広まった。Gigazineが伝えた実験では、研究者がAIで約5万ページの架空データを1日で作って公開した。7カ月後には、学術論文や投資レポートにまで引用されていた。AIは数字の真偽を確かめないため、出典は人が確認する必要があるという警告だ。
OpenAI acquires startup Orchestra Bio to beef up its biotech business
OpenAIが、製薬会社向けのAIエージェントを作るOrchestra Bioを買収した。TechCrunchによると、同社は予算管理や治験の日程調整など、新薬開発の雑務をAIに任せる仕組みを作ってきた。チームはOpenAIの生命科学向けAI「Rosalind」の開発に加わる。大手AI企業が製薬のような大きな業界向けの製品を自ら作り始めた例と言える。
Infra
Cloudflare deploys protections against php2shell vulnerability
Cloudflareが、PHPの欠陥を狙う攻撃を自社の防御で止め始めたと公式ブログで報告した。WAF（Webサイトの手前で不審な通信を弾く盾）の新ルールを、詳細公開の約9時間前から無料プランにも自動で適用した。要求だけでは攻撃と見分けにくいため、サーバーの応答まで見て判定する新機能を作った。それでも根本対策はPHP本体の更新で、盾はあくまで時間稼ぎだとしている。
NVIDIA GTC Berlin 2026 NVIDIA Intros DSX PODs and More
NVIDIAが、AIサーバーをコンテナに丸ごと詰めて運ぶ設計図「DSX POD」を発表した。Serve The Homeによると、1つのコンテナに次世代機Vera Rubinのラック7本と周辺機器を収める。工場で組み立てと試験を済ませ、数カ月かかる現地作業を約14日に縮める狙いだ。以前のDSX Readyの認定制度と同じく、設備の規格化を進める動きと言える。
PFNとTenstorrentがタッグ、生成AI特化プロセッサ開発へ 超高メモリ帯域幅、光電融合技術を実装
国産AI企業のPFNと米Tenstorrentが、生成AI向けの専用チップを共同開発する。ITmedia AI＋によると、PFNがAI計算用のプロセッサを、TenstorrentがCPUを担当する。データを電気ではなく光で運ぶ技術で、消費電力を抑えつつ大量通信を狙う。NVIDIAのGPUが事実上の標準となるなか、国の公募に採択された2031年度までの長期計画だ。
日立、新開発のGPU冷却技術でAIデータセンターの電力30％削減
日立が、AIデータセンターの冷却電力を30％減らせる見込みのGPU冷却部品を試作した。AI Watchによると、冷却液をGPUの熱い部分へ向けて流し、U字に折り返して出す構造にした。冷たい液と温まった液が混ざらないため、ぬるめの液でも十分に冷やせる。外気との温度差で熱を逃がしやすくなり、冷却設備の負担が減る仕組みだ。
Intelの新量産拠点「Fab 62」は2028年末稼働へ。米国内の製造/開発を強化
Intelが、アリゾナ州の新工場「Fab 62」を2028年末までに動かすと明らかにした。PC Watchによると、オハイオ州の工場でも最初の主要な骨組みの設置が終わった。研究面では、最新の露光装置を量産に組み込んだのは業界初だと強調している。米国の半導体製造の世界シェアが1割程度まで落ちるなか、国内回帰を進める姿勢を示した。
Backend
Today’s PHP Security Release, and How We’re Strengthening PHP Security
PHPが、認証なしで外部からコードを実行される欠陥2件を直した更新を公開した。PHP Foundationは公式ブログで、すべての利用者に今すぐの更新を求めた。原因は、メモリ不足やエラーで処理が途中で止まったときの後始末の不備だ。前日に予告されていた更新で、片方は2024年に兆候が見つかりながら修正が止まっていたと認めた。
Node.js — Wednesday, October 21, 2026 Security Releases
Node.jsが、現行の3系統（26.x・24.x・22.x）向けにセキュリティ更新を出した。公式ブログによると、深刻度「高」には、圧縮データの展開処理から外部のコードを動かされうる欠陥が含まれる。証明書の確認をすり抜けられる問題も複数直った。サーバーでNode.jsを動かしているなら更新が必要だ。
Announcing DuckDB 2.0.0 LTS “Cinnamon Teal”
分析用データベースDuckDBの2.0が、長期サポート版として正式に公開された。公式ブログによると、DuckDBをサーバーとして離れた場所から使う仕組みが仕上がった。8月のプレビュー版で示された機能が出そろい、少なくとも2027年10月までサポートされる。
CVE-2026-107891: musl libc: multiple integer overflow in regcomp, possibly leading to incorrect allocation sizes and out-of-bounds heap writes
軽量なC言語の標準ライブラリmuslに、正規表現の処理で領域外へ書き込める欠陥が見つかった。開発者がセキュリティ向けのメーリングリストで公表したもので、複雑な正規表現でメモリ量の計算があふれる。少なくとも強制終了、条件次第ではコード実行もありうる。外部から正規表現を受け付けるアプリは、修正を当てたい。
Google’s Rust Style Guide
Googleが社内で使うRustのスタイルガイドが公開され、話題になった。見た目だけでなく、関数の受け渡し方や型の選び方まで判断基準をまとめている。AndroidやChromeなど、複数の製品で書き方を揃えるのが目的だ。大規模にRustを使う組織の実例として参考になる。
Frontend
「Google Chrome 156」安定版リリース、CSSだけでランダムな配置が可能に＆IndexedDBの保存方式がSQLiteベースに変更
Chrome 156が公開され、JavaScriptなしでCSSだけで乱数を使えるようになった。Gigazineによると、新しいrandom()関数で、要素の位置や大きさをランダムにできる。ブラウザにデータを保存するIndexedDBの中身は、SQLiteに切り替わった。保存の信頼性を上げるためで、使う側のコードを変える必要はない。
The Future of CSS
主要ブラウザが共同で対応を揃える「Interop 2027」の候補から、注目のCSS機能を紹介した記事。著者は、CSSの中で関数を定義できる機能を筆頭に、10個の機能を挙げる。多くはChromeが先に対応し、FirefoxやSafariが追いついていない。Interopに選ばれた機能は1年ほどで全ブラウザに広まった実績があり、来年のCSSを先取りできる。
Firefox security patch tests are now private for at least a week
Firefoxが、セキュリティ修正に付けるテストの公開を、修正版の配布から1週間遅らせる。Mozillaのセキュリティチームが開発者向けの掲示板で通知した。AIの進歩を受けた方針変更だと説明している。テストが攻撃の手がかりになる前に、利用者が更新を済ませる時間を確保する狙いとみられる。
Firefox Local Mode
Firefoxの開発者ツールに、手元のフォルダをhttps://のURLで開ける「Local Mode」が入った。公式ドキュメントによると、Firefox 153で登場し、開発用のサーバーを立てずにページを試せる。安全な接続でしか使えない機能も、そのまま確かめられる。対応付けはFirefoxの中だけで有効で、開発者ツールを開いているときしか働かない。
Zig製GUIツールキット「nanoui」、複数OSでネイティブUIを開発、一部でGPU描画を利用
プログラミング言語Zigでデスクトップアプリの画面を作れる「nanoui」が公開された。gihyo.jpによると、HTMLやWebViewを使わず、macOS・Linux・Windowsで動く画面を書ける。macOSとLinuxではGPUで描画し、軽さと速さを売りにしている。開発にはZig 0.17が必要で、0.x系のうちはAPIが変わる可能性がある。
Products
Mouse-1
AIエージェントが作業中に下す細かな選択だけを受け持つ、判断専用の小型モデル。今の状態と選択肢を渡すと、それぞれの選択肢の確率を返す。日常の判断をこれに任せ、高価な大型モデルは難しい推論だけに回せる。エージェントを運用する開発者の費用と待ち時間を減らす道具だ。
Triage by Chodeberg
OSSに届いたバグ報告を、きれいな隔離環境で自動的に再現するサービス。利用者はClaude CodeなどのAIからMCP経由で報告し、Triageが該当バージョンで何度も再現を試す。手順と最小の再現例を付けた報告書が、メンテナーに届く。勝手にissueを立てないので、報告の山に悩むメンテナーの負担を減らせる。
Agent Pets
Claude Codeなどの作業状況を、ブラウザの下に住むペットで見せるChrome拡張。セッションごとに1匹のペットが付き、「考え中」「許可待ち」などの状態を表示する。どのタブにいてもペットをクリックすれば、そのまま許可や指示を出せる。複数のエージェントを並行して走らせる開発者向けだ。
hibi
Obsidianの代わりを目指す、無料でオープンソースのメモアプリ。メモは独自形式ではなく手元のフォルダにそのまま保存し、既存のObsidianの保管庫も変換なしで開ける。Markdownに加えて、数式や組版に使うLaTeXやTypstも書ける。まだアルファ段階の趣味のプロジェクトだと作者は位置づけている。
Koi
音声入力・会議メモ・AIアシスタントの3つを1つにまとめたMac用アプリ。Fnキーとの組み合わせで、それぞれを呼び出す。音声入力はオフラインでも使え、会議の録音には参加用のボットを入れずに済む。いくつものアプリを使い分けているMacユーザー向けだ。
Others
著名ITサービス相次いで緊急メンテへ コドモン、シャドバ、BASE、さくらのレンタルサーバなど 「PHP」脆弱性に起因か
PHPの欠陥を受け、国内の有名サービスが相次いで緊急メンテナンスに入った。ITmedia NEWSによると、コドモン、シャドウバース、BASE、さくらのレンタルサーバなどが対象だ。修正版が出る21日深夜に合わせ、一斉に更新を当てる動きとみられる。PHPが多くのサービスの裏側で動いていることが、改めて浮き彫りになった。
Compromised LiteLLM 1.107.0 on PyPI Installs a Credential Stealer and Backdoor
複数のAIをまとめて呼べるPythonライブラリLiteLLMの1.107.0に、不正なコードが仕込まれていた。SafeDepの分析では、入れただけでSSH鍵やクラウドの認証情報を盗み、外部の指示で任意のコードを動かす。Pythonが起動するたびに動くため、LiteLLMを使わない処理でも被害を受ける。PyPIからは削除済みだが、入れた環境では認証情報の入れ替えを検討したい。
2010年から存在するWi-Fiの欠陥でパスワードを知らなくてもルーターを乗っ取れるバグが発覚、数百万台が影響を受ける可能性
Broadcom製チップを使う無線ルーターに、パスワードなしで乗っ取れる欠陥が見つかった。Gigazineによると、「WPSplinter」と名付けられ、数百万台に影響する可能性がある。Broadcomは2018年に把握しながら、公表もCVE番号の割り当ても拒んだという。古い機器は修正されないまま残り、「永遠のゼロデイ」になりかねない。
Meta ordered to pay $25B in New Mexico Cambridge Analytica case
米ニューメキシコ州の裁判所が、Metaに250億ドルの制裁金を命じた。CNBCによると、陪審はMetaが個人データの扱いで州民を欺いたと認定していた。発端は、約10年前に政治コンサル会社へ利用者情報が渡ったケンブリッジ・アナリティカ事件だ。Metaは控訴で覆せると強気の姿勢を見せている。
MetaのAI「Muse」で共有した会話が第三者に丸見えになる問題が発覚、6800件以上の共有リンクが発見される
MetaのAIエージェント「Muse」で共有した会話が、第三者に見つけられる状態だった。Gigazineによると、共有URLに会話のタイトルが入っており、DNS（ネットの住所録）の記録から辿れた。見つかった共有リンクは6800件超で、売上報告や銀行記録なども含まれていた。Metaは共有機能を止めたが、DNSの記録そのものは残っている。
管理人のピックアップ
PHPの重大な脆弱性「php2shell」（CVE-2026-109618、CVE-2026-109619）の概要と対応指針 - GMO Flatt Security Blog
PHPの欠陥「php2shell」について、何が起きていて何をすべきかをGMO Flatt Securityがまとめた。公式情報と自社の検証をもとに、WordPressやLaravelなど一般的な構成でも攻撃が成立すると説明している。設定変更による回避策は一部の攻撃にしか効かず、完全ではないという。攻撃コードとされるものも出回り始めており、すぐ更新するよう呼びかけている。