概要 Node.jsの作者であるRyan Dahl氏が創業したDenoの開発チーム全員がCloudflareに参加することが発表された。CloudflareとDeno双方のブログで同時に公開されたこの発表によると、DenoチームはCloudflareのWorkersおよびDurable Objectsチームと合流し、分散アプリケーションのための統合プラットフォームの構築に取り組む。これに伴い、スタンドアロンのDenoランタイムは今後1年間、月次のバグ修正とセキュリティ更新のみを提供したのち公式開発を終了する。Deno Deployも、有料ユーザーをCloudflare Workersへ移行させるための6カ月の移行支援期間を経てサービスを終了する。両社は今回の統合を、スケーリングや永続状態の管理といった複雑性をインフラ側ではなくプログラミングモデル自体に組み込むための取り組みと位置づけている。 今後のスケジュールと各プロダクトの扱い 発表によれば、Denoランタイムは1年間のサポート期間後にオープンソースプロジェクトとして存続するものの、公式の開発体制は解消される。Deno Deployは6カ月以内にシャットダウンされ、既存の有料顧客にはCloudflare Workersへの移行サポートが提供される。一方、JavaScriptのパッケージレジストリであるJSRは運用を継続し、そのインフラは段階的にCloudflareの基盤へ移行される予定だ。DenoランタイムのV8バインディングであるrusty_v8も継続的にサポートされ、Cloudflareのオープンソースランタイムであるworkerdへの統合が進められる。技術面では、Ryan Dahl氏と共同創業者のBert Belder氏が、8月にリリースした分散実行基盤「celld」とworkerdの統合を主導し、Cloudflare WorkersとDurable Objectsのプログラミングモデルを自己ホスト環境でも利用可能にすることを目指すという。 背景と今後の展望 今回の統合の背景には、Denoがベンチャー資金を使い切り、次の資金調達ラウンドへの明確な道筋を描けていなかった事情があるとみられている。celldの8月のリリース時点で、業界内では事実上の買収シグナルと受け止める見方もあった。コミュニティの反応は賛否が分かれており、好意的な意見は一部にとどまる一方、今回の統合を「チームとcelldの技術を獲得するための実質的なアクハイア(acquihire)」と捉える批判的な声も目立つ。特に、独立したJavaScriptランタイムとしてNode.jsのみが残る形になることへの懸念も広がっている。本番環境でDenoを利用している開発者は、1年間のサポート期間内に移行計画を策定する必要があり、Deno依存のプロジェクトの中には代替ランタイムへの移行を検討するものも出てくるとみられる。Cloudflareにとっては、Durable Objectsが備える低コストの実行基盤や永続状態管理、WebSocket対応、高水準のJavaScriptインタフェースといった特性を、AI時代のエージェント実装向けの基盤として強化する狙いがあるとみられ、今後のWorkersプラットフォームの進化を左右する動きとして注目される。

概要 FBIと米司法省は10月8日、中国を拠点とする国家支援ハッカー集団「Flax Typhoon」(Ethereal Panda、RedJuliettとも呼ばれる)が使用していたハッキングツールに関連するドメイン7件を押収したと発表した。押収対象は、脆弱性スキャンツール「MicroScan」へのアクセスに使われたc0cc.cc、スピアフィッシングツール「FishHub」のマルウェア配布に使われた98aicai.com、98aicode.com、outlook3650.com、youtubecard.com、linkedinns.net、そしてSoftEther VPNによる持続的アクセス維持に使われた98aiblog.comの7ドメイン。これらのツールを開発・運用していたのは、中国政府との関係が指摘される北京のコンピュータセキュリティ企業Integrity Technology Group(Integrity Tech)で、同社インフラの無力化はこれが2024年9月以来、約2年ぶり2度目となる。FBIサイバー部門のBrett Leatherman次官補は「中国政府は請負企業を活用してサイバー攻撃の規模と範囲を拡大している。こうしたイネーブラーを摘発・無力化することで、PRC(中華人民共和国)が米国のネットワークを標的にすることを一層難しくする」と述べた。 MicroScanとFishHub、ボットネットの技術的詳細 MicroScanは2017年から運用されてきたPythonベースの脆弱性スキャナーで、1,300件以上のペネトレーションテスト用スクリプトを内蔵し、NMAPやFscan、WPScanといったオープンソースツールを統合していた。標的にはOracle WebLogic、Apache Struts、WordPress、Jenkins、OpenSSLなど広く使われるソフトウェアが含まれ、Shellshock(CVE-2014-6278)、ProFTPDの脆弱性(CVE-2015-3306)、GitLabのリモートコード実行(CVE-2021-22205)など8件の既知の脆弱性が頻繁に悪用されていた。スキャン対象の探索には、IoT機器やSOHOルーターなどに感染したMirai系ボットネットが併用され、その管理には「Sparrow」という独自アプリケーションが使われていた。2024年6月時点で120万台以上の感染デバイス情報を記録したデータベースサーバーが確認されている。米国内の感染デバイスは約38万5千台に及び、常時アクティブな感染端末は約26万台(うち米国内約12.6万台)に達していたという。一方、2026年3月時点でも稼働が確認されていたFishHubはスピアフィッシングとマルウェア展開を担うツールで、米司法省によれば「Integrity Techの顧客に対し、被害者ネットワークへの不正リモートアクセスを提供するか、特定ファイルを検索してIntegrity Tech管理下のサーバーへ送信していた」。さらに、Microsoft 365アカウントを狙うパスワードスプレー攻撃にはオープンソースの総当たりツール「EBurst」が使われ、窃取したメールを直接のアカウントアクセスなしに第三者が閲覧できる独自アプリケーションも運用されていたことが判明している。 標的となった重要インフラと被害範囲 被害に遭った組織は多岐にわたり、米国政府機関、サウスカロライナ州の電力会社、日本とポーランドの空港、台湾のエネルギー・天然ガス関連の重要インフラ企業、台湾の大学(FishHub関連で約20校)、さらには医療・製造・教育分野の組織や多国籍NGOも含まれていた。押収されたサーバーからは20以上の組織(台湾の大学6校を含む)に関するデータが発見されており、攻撃は2022年4月から12月にかけて活発化していたことも確認されている。英国の国家サイバーセキュリティセンター(NCSC)は、Integrity Techに支援された攻撃者が「自動スキャンのようなAIツールを、大規模ボットネットや手動の侵入技術と組み合わせて独自に活用している」と指摘した。 背景と今後の展望 Integrity Techのインフラ無力化は今回が初めてではない。FBIは2024年9月にも、同社が運用していた20万台超のデバイスからなるMiraiボットネット「Raptor Train」を裁判所の許可を得て解体しており、今回の作戦はそれに続く2度目の措置となる。同社は2025年に英国の制裁対象となり、2026年にはEUも追随して制裁を科した。今回の摘発は、FBI・CISA・NSAに加え、英国・オーストラリア・カナダ・日本・ニュージーランド・スペインの関係機関が参加した共同作業の結果であり、侵害の痕跡(IoC)を含む共同勧告も公開され、各組織にパッチ適用、不要サービスの無効化、多要素認証の導入、入力のサニタイズなどの対策が呼びかけられている。ただし、Flax Typhoonはこれまでも持続的な侵入能力を示してきた高度な脅威であり、今回の摘発が攻撃活動の完全な終息を意味するわけではなく、関係機関は引き続き警戒を求めている。

概要 GitHubはCopilot CLI・アプリ・SDKのランタイムを、TypeScript/Node.jsからRustへと全面的に書き換えたことを明らかにした。対象となった本番コードは80万行超に及び、AIエージェントを主体とした「AI支援リライト」によって約14.5週間、128件のプルリクエストという比較的短期間で移行を完了させている。注目すべきは、この移行作業と並行して通常のリリースサイクルも維持し続けた点で、移行期間中だけで135件(安定版35件、プレリリース100件)のリリースを出荷したという。最大の成果はパフォーマンスで、クライアントの起動からシングルターンのセッション生成までの時間が5.25秒から292ミリ秒へと、約18倍に短縮された。Node.js/V8ランタイムのオーバーヘッドが解消されたことで、クライアント1つあたりのメモリ使用量も約100MB削減されている。 移行の手法とスケール 今回の移行では、TypeScript版とRust版を並行開発してある時点で切り替えるのではなく、個々のコンポーネントを段階的にRust実装へ置き換えていく漸進的な手法が採られた。移行途中はTypeScriptとRustが共存するため、両者を橋渡しする一時的なN-API相互運用レイヤーを構築。このレイヤーは移行のピーク時には内部向けN-APIエクスポート2,019件、TypeScript側の呼び出し箇所3,356か所にまで膨れ上がったが、移行完了とともに撤去されている。最終的な成果物は本番用Rustコード832,378行、Rust単体テスト468,689行という規模に達し、移行中には4,478回のcargo checkが実行され、そのうち87.1%がクリーンに完了したという。実装の大部分はAIエージェントが生成し、人間はコンパイル・テスト・レビューを担当する役割分担で進められた。新しいRustランタイムはC ABI経由の組み込み統合と、プロセス外モードの両方をサポートしており、Copilot SDK自体は引き続きTypeScript、Python、Go、.NET、Java、Rustといった言語別インターフェースを提供し続けている。 課題と今後の展望 一方でコミュニティからは、この種の大規模書き換えにおける検証の難しさを指摘する声も上がっている。特に「キャンセル処理、リトライ、バックプレッシャー」といった非同期処理まわりの挙動や、レガシーシステムに潜む「文書化されていない暗黙の動作契約」をAIエージェント主導の書き換えでどこまで正確に再現できるかが懸念点として挙げられた。大規模コードベースのAI支援移行は今後も増えていくと見られるが、今回のGitHubの事例は、段階的な置き換えと一時的な相互運用レイヤーによってリリースを止めずに大規模書き換えを完遂できることを示した一方、非決定的な振る舞いや暗黙の契約の検証という課題が依然として残ることも浮き彫りにしている。

概要 Microsoftはサンフランシスコで開催した発表会で、サティア・ナデラ氏とNVIDIAのジェンスン・フアン氏が共演し、NVIDIAの「RTX Spark」SoCを搭載した新型ノートPC「Surface Laptop Ultra」と、同チップを使う開発者向けデスクトップ「Surface RTX Spark Dev Box」を披露した。両社の提携は、クラウド依存を前提としてきたAI PCの構図を、ローカルで大規模な推論・生成処理を完結させる方向へ転換させる狙いがある。Surface Laptop Ultraは2,599ドルから、Surface RTX Spark Dev Boxは5,999ドルからで、いずれも予約受付を開始している。Surface Laptop Ultraの発売は10月16日、Surface RTX Spark Dev Boxの出荷開始は11月の予定。 Surface Laptop UltraとRTX Spark SoCの技術的詳細 RTX Spark SoCはARMベースで、Blackwell世代のRTX GPUコアを最大6,144基搭載し、NVIDIAのGrace CPUを最大20コア組み合わせる構成となっている。GPU性能はGeForce RTX 5070に匹敵するとされ、レイトレーシング、DLSS、NVIDIA Reflexにも対応する。Copilot+ PCの要件を満たす専用NPUも備える。Surface Laptop Ultraは最大128GBのユニファイドメモリを搭載し、SSDは交換可能な設計で修理性にも配慮している。 ディスプレイは15インチのmini-LEDタッチパネルで、3:2のアスペクト比とピーク輝度2,000nitを実現、MacBook Pro M5と比べて最大25%高いHDRピーク輝度を謳う。本体重量は4.5ポンド未満、厚さ18mm未満に抑えられ、トラックパッドは第7世代Surface Laptopより30%大型化、放熱容量は従来の15インチモデルの2.5倍に向上した。ポート構成はUSB-A、USB-C、HDMI、3.5mmジャック、フルサイズSDカードリーダーを備え、マグネット式USB-C充電にも対応するなど、バッテリーは終日駆動をうたう。価格はMacBook Proからの乗り換えで最大1,000ドルのキャッシュバック施策も用意された。 Surface RTX Spark Dev BoxとWindowsのローカルAI機能 Surface RTX Spark Dev Boxは同じRTX Spark SoCと128GBのユニファイドメモリを搭載した開発者向けミニPCで、最大1ペタフロップスのAI性能を発揮するとされ、AppleのMac StudioやMac miniを競合に見据えた製品となっている。Microsoftはこの発表会で、WindowsをAIエージェントにとって「最も安全なプラットフォーム」と位置づけ、ローカルモデル実行とクラウド補完を組み合わせたCopilotの強化策も明らかにした。権限を与えればローカルファイルに基づいた行動ベースの応答やアプリ・ウィジェットの生成が可能になるほか、2026年秋以降はタスクバーの検索から数千種類のクイックアクション(ダークモード切り替えやスクリーンショット取得、音量調整など)を呼び出せるようになる予定だ。PerplexityのPersonal ComputerやMetaのMuseといったAIエージェントもネイティブ選択肢として利用可能になる。 展望 今回の発表は、NVIDIAのデータセンター向けAIチップ技術がコンシューマー向けPCに降りてくる象徴的な事例といえる。Lenovo、Asus、Dell、MSI、HPなど他社もRTX Spark搭載PCを合わせて発表しており、今後は同SoCを軸にしたAI PC製品群が業界全体に広がる可能性がある。ローカルで大規模な推論処理を完結できる性能が実際にどこまでユーザー体験を変えるか、10月16日の発売後の評価が注目される。

概要 OpenAIは、社内で開発した未公開のChatGPTフロンティアモデルを用いて生成した372件の数学的問題に関する722本の成果物を、GitHub上のopenai/mathリポジトリで公開した。内容には証明、予想、推論過程、Lean形式化ファイルなどが含まれ、中には4次元Kakeya予想の解決や、リーマン予想への貢献を主張するものも含まれている。ほとんどの論文は単一のエージェントへの単発のプロンプトから生成されており、平均してChatGPT Proで約3時間の計算時間を要したという。公開にあたっては、OpenAIが設置した数学とAIに関する諮問グループ(Advisory Group on Mathematics and AI、AGMAI)のガイドラインに沿って、推論過程や計算量の見積もり、問題への取り組み結果が併せて示された。 検証をめぐる懸念 一方で、この発表は数学界に大きな懐疑をもたらしている。MITの数学者Andrew Sutherland氏は、「モデル自体が公開され、人々が結果を再現できるようになるまでは、単一エージェントによる“ワンショット”での問題解決に関する主張は未検証のものとして扱うべきだ」と警鐘を鳴らしている。実際、OpenAIはAGMAIの推奨に反して、具体的な計算時間や使用した正確なプロンプトを公開していない。モデル自体へのアクセスも閉じられたままであり、第三者が同じ条件で結果を再現し検証することは事実上できない状態にある。 今回の発表は、以前のNavier-Stokes方程式をめぐる論争で既に高まっていた数学コミュニティとOpenAIとの緊張関係をさらに増幅させる形となった。専門家たちは、同社が主張する成果の真の意義を判断する前に、査読や独立した検証を待つべきだとしている。AIが生成した数学的成果物が量産される一方で、その信頼性を担保する透明性が伴っていない点が、今後の焦点になりそうだ。

概要 AWSは10月8日、ホワイトハウスが推進する科学研究イニシアチブ「Genesis Mission」の拡大を支援する新プログラム「Golden Age of Science Accelerator」を発表した。米連邦科学機関とその研究パートナーを対象に、3年間で最大5000万ドル相当のクラウドクレジットを提供する内容で、AI活用による科学研究の加速を目的としている。トランプ政権がGenesis Missionの対象機関をさらに14の連邦機関分拡大する計画を進める中、AWSはそのインフラ基盤を担う形で名乗りを上げたことになる。 Genesis Missionとの関係 Genesis Missionは、AIを活用して科学研究のスピードと規模を飛躍的に高めることを目指すホワイトハウス主導の取り組みで、今回の拡大により参加する連邦機関の数が大幅に増える見通しだ。AWSの「Golden Age of Science Accelerator」はこの拡大に合わせて設計されており、対象機関や研究パートナーが抱える科学研究およびAI関連のワークロードを、クラウドクレジットという形で直接支援する。AWS担当副社長のDavid Appelは、「研究者がアイデアを思いついてから、それをスケーラブルな実装へ移すまでの期間を数日単位に短縮できるよう支援することが目標だ」と述べ、研究の実験段階から本格運用までを一気通貫で後押しする狙いを説明している。 提供内容と申請の仕組み 対象となるのは米連邦科学機関、その研究パートナー、そしてGenesis Missionに参加する連邦機関で、希望する機関はまず「Government Accelerator Initiative Portal」に登録し、その後AWSとの個別相談を経て選定されるプロセスを取る。クレジットの金額は最大5000万ドルで、提供期間は3年間とされている。具体的な配分方法や個別機関への割当額は明らかにされていないが、申請から選定までのプロセスを設けている点から、全機関に一律で提供するのではなく、研究内容や規模に応じて重点的に配分する方針とみられる。 政府関連投資の積み重ねという文脈 今回の発表は、AWSが米政府関連で続けてきた大型投資の一環として位置づけられる。2025年8月には米連邦調達庁(GSA)とのOneGov契約で最大10億ドル規模の合意を結び、同年11月にはAIおよびスーパーコンピューティング基盤への最大500億ドル投資を発表していた。さらに2026年2月には国防・科学分野向けに最大1億ドルのクレジットを提供し、同年6月には米インテリジェンスコミュニティ向けに最大10億ドルのクレジットを発表するなど、政府機関のAI活用を後押しする動きを段階的に積み重ねてきた。今回の「Golden Age of Science Accelerator」もこの流れに沿ったもので、米政府とクラウド大手の連携が科学研究分野にも一段と広がっていることを示している。

概要 Googleは10月8日、「Gemini at Work 2026」カンファレンスで、Geminiを単なる対話型AIから実行型のエージェントへと進化させる新機能「Gemini agent」を発表した。単一のプロンプトウィンドウから知識作業、質問応答、コンテンツ作成、コーディングまでを横断的に処理できる汎用エージェントで、まず企業向けに展開を開始した。設計上の原則は「instructions（指示）ではなくobjectives（目標)」を与えるというもので、ユーザーが細かい手順を指示しなくても、エージェント自身が計画を立てて実行する点が特徴だ。 主な機能とアーキテクチャ Gemini agentは、組織のビジネスコンテキスト全体にアクセスし、スキルやツールを活用しながら作業を計画・実行する。サブエージェントへ作業を委任できる仕組みを備え、複雑な業務タスクを単一の指示で計画・実行し、組織内のシステムと連携して成果物を仕上げることが可能だ。統合先はGoogle WorkspaceやMicrosoft 365、Slack、Jira、Confluence、BigQuery、Databricks、Snowflakeなど多岐にわたり、Model Context Protocol（MCP）サーバーにも対応する。 特に注目されるのは、エージェントが「職場アイデンティティ」を持つ点だ。Gemini agentは専用のメールアドレスと独自のコンテキストを保持し、チーム構成やタイムゾーン、承認権限を認識した上で、処理内容の監査証跡を生成する。これにより、人間の従業員に近い形で組織内のワークフローに組み込まれることになる。また、エージェントは職務に最適なモデルを自動選択する仕組みを持ちながら、ユーザーが用途に応じてAnthropicのClaudeなど第三者モデルを選べる柔軟性も備える。将来的にはオープンソースモデルやプライベートモデルへの対応も予定されている。コスト管理機能も組み込まれており、企業が利用料を制御しやすい設計になっている。 企業向けからの展開と競争環境 Googleは消費者向けに先駆けて企業向けからGemini agentの展開を始めた理由として、セキュリティ、スケール、パフォーマンスといった課題を先に解決する狙いがあるとしている。早期テスターにはOn、Shopify、PayPalが名を連ね、大企業顧客としてBNP Paribas、Merck、Ulta Beautyなどが挙げられている。 この発表の背景には、企業向けAIエージェント市場での競争激化がある。GoogleはGeminiの月間利用者数が10億人を超え、Fortune 100企業の約9割がGemini Enterpriseを採用していることを強調しており、OpenAIの「ChatGPT Dots」やMetaの「Muse」といった消費者向けエージェントの台頭を背景とした動きとみられる。業務アプリやシステムを横断して自律的にタスクを遂行するエージェントは各社が注力する領域であり、Googleは自社のクラウド基盤と既存の企業導入実績を武器に、この競争で存在感を強めたい考えだ。

概要 SoftBank Group傘下のIDCフロンティアが提供する「IDCFクラウド」で、10月7日午前3時40分頃に障害が発生した。同社は原因を第三者によるランサムウェア攻撃と発表し、影響を受けた東日本リージョン1をネットワークから遮断してシステムを停止、各リージョンの管理コンソールへの外部アクセスも一時的に停止した。影響範囲は自治体を含む495の企業・団体に及び、日本国内のクラウド基盤を標的にした事案としては大規模なものとなっている。IDCフロンティアは侵入経路の特定と詳細な原因調査を進めているが、現時点で全容は明らかになっていない。 攻撃の規模と技術的被害 攻撃者が顧客の管理コンソール上に残したとされる犯行声明によれば、攻撃自体の実行には約7分しかかからなかったという。被害の内容として、225のデータベース(計3.6ペタバイト相当)の暗号化、239台のハイパーバイザーの侵害、1万6000台分の仮想マシンディスクの封鎖、さらに55万4153個のスナップショットの破壊が挙げられている。IDCフロンティアはデータの取り出しや復元が「困難な見通し」としており、通常のインシデント対応では想定しにくい規模のデータ損失が懸念される状況だ。 下流サービスへの影響 障害はIDCFクラウド上で稼働する複数のサービスにも波及した。シックス・アパートが運営する「Movable Type クラウド版」では31台のサーバーで管理画面やWebサイトが利用できなくなり、同社はバックアップデータを用いて「さくらのクラウド」への移行を進めている。在庫管理サービス「らくらく在庫」を手がけるグリニッジでも、在庫連携や価格更新ができない状態が続いた。さらに、ニッスイの子会社である日水物流では、委託先データセンターへの不正アクセスが原因とみられる障害で入出荷業務が停止したが、この障害とIDCFクラウドへの攻撃との関連は現時点で明確になっていない。親会社のソフトバンクが顧客窓口となって調査・復旧を支援している。個人情報や顧客データが外部に流出した可能性についても確認作業が進められているが、現時点で結論は出ていない。 背景と今後の見通し セキュリティ企業Macnicaの集計では、2026年に入ってから日本国内でデータ窃取や情報漏えいを伴う確認済みインシデントが119件発生しており、これは2025年の年間件数(84件)を既に上回っている。設定ミスや既知の脆弱性を突いた攻撃が増加傾向にあり、AIツールの悪用によって攻撃者側の偵察活動が効率化している可能性も指摘されている。IDCFクラウドの一件は、クラウド基盤そのものが攻撃対象となった場合に、契約企業や自治体の業務に広範囲かつ長期的な影響が及ぶリスクを改めて示した。復旧の具体的な見通しは現時点で示されておらず、データ復元が困難な場合は代替クラウドへの移行を迫られる利用者がさらに増える可能性がある。

概要 Python Software Foundationは10月9日、「Python 3.15.0」の正式版をリリースした。1,012人の貢献者による5,643件のコミットが取り込まれており、実験的なJITコンパイラの性能向上、新しい組み込み型の追加、デフォルトエンコーディングのUTF-8統一など、パフォーマンスと国際化の両面で大きな進展を含むリリースとなった。 JITコンパイラの性能向上 Python 3.13で実験的機能として導入されたJITコンパイラは、3.15で大幅にアップグレードされた。公式発表によると、x86-64 Linux環境では幾何平均で7〜8%の性能向上、AArch64macOS環境では11〜12%の高速化を達成したという。ベンチマークのアーキテクチャ間での差は大きいものの、インタプリタの根本的な高速化が着実に進んでいることを示す結果だ。これに加え、Windows 64ビット版ではテイルコール方式のインタプリタが採用され、macOS版ではフリースレッド(GILなし)ビルドがデフォルトで提供されるようになるなど、プラットフォームごとの実行基盤も強化されている。 新しい組み込み型とUTF-8統一 言語仕様面では、番兵値を明確に表現するためのsentinel型(PEP 661)と、不変な辞書を提供するfrozendict型(PEP 814)が新たに組み込み型として追加された。いずれもこれまでサードパーティライブラリやイディオムで代替されてきた機能を標準化するもので、コードの意図をより明示的に記述できるようになる。また、PEP 686に基づき、デフォルトの文字エンコーディングがUTF-8に統一された。プラットフォームやロケール設定に依存した挙動の違いを解消し、国際化対応をさらに前進させる変更となる。 プロファイリングとその他の改善 パフォーマンス分析の分野では、PEP 799により専用のプロファイリングパッケージが導入され、高周波統計サンプリングプロファイラ「Tachyon」が新たに提供される。既存のツール群を統合する形で、開発者がボトルネックを特定しやすくする狙いがある。その他にも、起動時間を短縮する遅延インポート(PEP 810)、内包表記内でのアンパッキングを可能にするPEP 798、TypedDictやTypeForm、Disjoint Basesなど型システムの拡張が盛り込まれた。なお、macOS 27.0環境ではIDLEやtkinter使用時のダイアログ関連の問題が報告されているが、これはTkフレームワーク全体に起因するOS側の問題であり、Python本体の不具合ではないとされている。

概要 SonicWallは10月7日、Secure Mobile Access(SMA)1000シリーズアプライアンスに存在する4件の脆弱性を修正するホットフィックスを公開した。最も深刻なCVE-2026-102255はCVSS10.0の認証前SSRF(サーバーサイドリクエストフォージェリ)で、WorkPlaceインターフェースに細工したリクエストを送るだけで、認証なしの遠隔攻撃者がアプライアンスに代わってリクエストを発行させ、内部機能に到達して権限のない操作を実行できる。現時点でこれらの脆弱性が実際に悪用された証拠は確認されていないが、SonicWallは管理者に対し早急な対応を強く推奨している。 脆弱性の詳細 CVE-2026-102255は、WorkPlaceインターフェースに存在する「意図しない代替アクセスパス」の弱点を悪用するもので、認証やユーザーの操作を必要とせず、攻撃の複雑さも低い。インターネットに公開されたポータルに向けて細工したリクエストを送信するだけで、アプライアンス内部の機能に到達できてしまう点が特に危険とされる。 同時に修正された残り3件は、いずれも管理者権限での認証を前提とする。CVE-2026-102256(CVSS7.8)はSMA1000アプライアンス本体でのOSコマンドインジェクションで、遠隔コード実行につながる。CVE-2026-102257(CVSS7.2)はAMC(Appliance Management Console)における「Zip Slip」型のパストラバーサルで、これも遠隔コード実行を許す。CVE-2026-102258(CVSS5.5)はAMC上の格納型クロスサイトスクリプティングだ。 対象製品と対応状況 影響を受けるのは物理・仮想のSMA1000シリーズ(6210、7210、8200v)で、バージョン12.4.3-03526以前および12.5.0-02952以前が該当する。SonicWallはそれぞれ12.4.3-03670以降、12.5.0-03082以降で修正済みのビルドを提供しており、MySonicWallポータルから入手したホットフィックスを適用するとアプライアンスが再起動して反映される。なお、この脆弱性はSMA100シリーズやSonicWallファイアウォール上のSSL-VPN機能には影響しない。 背景と今後の見通し SonicWallのSMA1000 WorkPlaceを舞台にしたCVSS10.0のSSRF脆弱性は、今年に入ってすでに3件目となる。7月のCVE-2026-15409/15410、9月のCVE-2026-83548/83549はいずれもゼロデイとして実際に悪用されていた経緯があり、今回のCVE-2026-102255も同様のパターンを踏む可能性への警戒感が強い。セキュリティ監視団体Shadowserverの調査では、インターネットに露出したSMA1000アプライアンスが400台以上確認されている。これらのアプライアンスは政府機関、マネージドサービスプロバイダー、大企業のVPNアクセスに広く使われており、CISAは19件のSonicWall関連脆弱性を実際に悪用されたものとしてリストに挙げ、そのうち13件はランサムウェア攻撃と関連付けられている。こうした経緯を踏まえ、SMA1000を運用する組織は悪用証拠の有無にかかわらず、速やかにホットフィックスを適用することが求められる。