概要 米商務長官ハワード・ラトニックが、オランダの半導体製造装置メーカーASMLの幹部に対し、輸出規制の対象となっている最先端のEUV（極端紫外線）露光装置が中国に持ち込まれた可能性があるとの懸念を直接伝えたことが明らかになった。EUV装置はトランプ第1次政権時代から中国への輸出が禁じられており、今回の疑惑は米中間の半導体輸出規制をめぐる緊張を再び高める形となっている。ASMLはこれに対し、中国にEUV装置を出荷した事実は一切ないと強く否定している。 EUV技術の戦略的重要性 EUV露光装置は「地球上で最先端の半導体パターンを描画できる唯一のツール」とされており、ASMLがこの技術を独占している。同社は約20年をかけてEUV光源の生成という核心課題を解決し、現在の独占的地位を築いた。技術の約80%は既存の知識を基盤としているが、EUV光そのものを生成する部分だけで20年の開発期間を要したとされる。ASMLはヨーロッパで最も時価総額の高い上場企業の一つで、その評価額はおよそ7,000億ドルに達する。 ASMLの反論と管理体制 ASMLは疑惑を全面否定し、「自社が出荷したすべての装置を追跡管理しており、それらは顧客のもとで稼働中か、解体されて返却済みだ」と説明した。同社はEUVへのアクセス権を持つ従業員と中国拠点のスタッフを社内で分離するファイアウォールも設けている。一方、米政府側は証拠が存在すると主張しているものの、その内容をASMLや報道機関に開示していない。 ASMLは中国に対して旧世代のDUV（深紫外線）露光装置を合法的に販売しており、これが2026年の売上予想の約20%を占める見込みだ。CEOのクリストフ・フーケは、中国向け販売を「搾取」ではなく「戦略的な保護措置」と位置づけているが、米議会では与野党超党派でASMLのDUV装置も含む対中輸出を全面禁止する法案が検討されている。 背景と今後の動向 この問題は、米国が半導体サプライチェーンにおける対中依存を戦略的リスクと捉え始めた流れの中に位置する。米商務省はEUV代替技術を開発するスタートアップ「xLight」に1億5,000万ドルを投資しており、ピーター・ティールが支援する「Substrate」も別のEUV代替技術を追求している。ASMLの独占が崩れれば装置コストの低減が期待できる一方、中国が独自のEUV技術を確保するリスクも高まることから、米国は輸出規制の強化と国内代替技術の育成を並行して進める姿勢を示している。今回の疑惑の真偽と米政府が持つとされる証拠の内容が、今後の米蘭間および米中間の半導体政策に大きな影響を与える可能性がある。

概要 DragonForceランサムウェアグループが、Microsoft TeamsのTURN（Traversal Using Relays around NAT）リレーインフラを悪用してコマンド＆コントロール（C2）通信を隠蔽する新たな手口を用いていたことが、Symantecの調査によって明らかになった。攻撃者はGoベースのカスタムバックドア「Backdoor.Turn」を展開し、正規のMicrosoftサーバーへのトラフィックとして偽装することで、防御側による検知を1〜2か月にわたって回避した。これはTURNリレーインフラを悪用したマルウェアとして野生環境で初めて確認された事例とされる。標的となったのは米国の大手サービス企業である。 Backdoor.Turnの技術的仕組み Backdoor.Turnが採用するC2通信の隠蔽技術は「Ghost Calls」と呼ばれる手法に基づく。具体的には、MicrosoftのSkypeアイデンティティサービスから匿名のTeamsビジタートークンを取得し、正規のMicrosoft TURNリレーサーバーを接続確立に利用したうえで、攻撃者のC2サーバーへのQUICセッションを確立する仕組みだ。ネットワークを監視する防御担当者には正規のMicrosoft Teamsサーバーへの通信しか見えないため、データが外部に持ち出されていることに気付くことが極めて困難となる。 マルウェアの機能は多岐にわたる。コマンド実行・プロセス起動、ネットワークスキャン、TLS証明書情報の取得、LDAP/Active Directoryの列挙、盗んだ認証情報を用いたラテラルムーブメント、ブラウザに保存された認証情報の窃取などが実装されており、ランサムウェア展開後も持続的なアクセス維持のために同バックドアが注入されることが確認されている。研究者たちは「ランサムウェア攻撃者が自前のカスタムツールを使用すること自体が珍しいが、Backdoor.Turnほど洗練されたカスタムツールを使用するのはさらに例外的だ」と指摘している。 攻撃のタイムラインと手法 攻撃の初期侵入は2025年12月に遡り、SQL/MSSQLサーバーの脆弱性悪用またはアクセスブローカーの関与が疑われている。侵入後は正規のVirtualBoxやDbgViewをDLLサイドローディングに悪用して追加マルウェアを取得し、偵察活動を開始した。 権限昇格には複数の署名済み脆弱なドライバを持ち込むBYOVD（Bring Your Own Vulnerable Driver）戦略が採用された。悪用されたドライバには、HuaweiのHWAuidoOs2Ec.sys、Topaz AntifraudのCVE-2023-52271（wsftprm.sys）、Tower of FantasyのCVE-2025-61155（GameDriverx64.sys）、K7 SecurityのCVE-2025-1055（K7RKScan.sys）、そしてPalo Alto Networksのドライバを偽装したカスタムドライバ「ABYSSWORKER」が含まれる。セキュリティプロセスを無効化したうえでデータを外部流出させ、最終的にランサムウェアペイロードを展開するまでに1〜2か月の潜伏期間が設けられていた。 背景と対応 DragonForceはランサムウェア・アズ・ア・サービス（RaaS）モデルから、高度な標的型攻撃を行う組織的なカルテル構造へと移行しており、今回の攻撃はその継続的な能力開発の一端を示している。Microsoftのクラウドインフラを盾に利用するこの手口は、エンタープライズ環境において広く展開されているコラボレーションツールが新たな攻撃ベクターになり得ることを示す重大な事例だ。Symantecは侵害指標（IoC）を公開しており、セキュリティチームはネットワーク上のTeamsトラフィックの精査と、脆弱なドライバの監視を強化することが求められる。

概要 Snapは6月16日、オーグメンテッドワールドエキスポ（AWE）にて待望のARスマートグラス「Specs」を正式発表した。価格は2,195ドルで、同日より200ドルの返金可能デポジットによる予約受付を開始。2026年秋よりアメリカ、イギリス、フランスで順次配送される予定だ。CEO エバン・スピーゲル氏は、Specsをスマートフォン後の時代を見据えた製品として位置づけており、10年以上にわたる開発期間を経てついに消費者向け製品としてお披露目した形となる。 技術仕様 Specsはデュアル Qualcomm Snapdragonチップを搭載し、51度の視野角と1,600万色表示に対応したディスプレイを備える。バッテリーは単体で最大4時間の連続使用が可能で、付属の充電ケースを活用すれば合計20時間まで延長できる。重量は47mmモデルで132g、52mmモデルで136gと、本格的なAR機能を持つグラスとしては比較的コンパクトに仕上げられている。 主な機能 ゲームや動画視聴、一人称視点の録画といったエンターテインメント用途に加え、「コンテキストAI」と呼ばれる機能が注目される。ユーザーが視線を向けたオブジェクトについて質問すると、AI がリアルタイムで情報を提供する仕組みだ。また「EyeConnect」機能では、2人のユーザーが視線を合わせるだけでマルチプレイヤーセッションを共有できるなど、ARならではのソーシャル体験も盛り込まれている。 競合との比較と課題 ARグラス市場では、手頃な価格帯のMeta Ray-Ban（350ドル〜）と高価格帯のApple Vision Pro（3,500ドル）が先行している。Specsの2,195ドルという価格はその中間に位置するが、一般消費者にとって依然ハードルは高い。業界全体として消費者の関心が一定の好奇心にとどまり、継続的な購買につながっていないという課題も抱えており、Specsがその壁を打ち破れるかが注目される。Snapにとっては10年超の開発投資を回収する正念場でもあり、スマートグラス市場のメインストリーム化に向けた試金石となりそうだ。

概要 Splunk EnterpriseにCVSSスコア9.8（最高レベル）の深刻な脆弱性CVE-2026-20253が発見された。PostgreSQL sidecarサービスのエンドポイントに認証制御が欠如しており、ネットワークから到達可能な未認証ユーザーが任意のファイル操作やリモートコード実行（RCE）を行える。CISAは2026年6月18日時点で実際の悪用を確認し、Known Exploited Vulnerabilities（KEV）カタログに追加した。Binding Operational Directive 26-04に基づき、米連邦機関は6月21日（日曜日）までにパッチを適用することが義務付けられた。 技術的な詳細 watchTowr Labsが公開した技術分析によると、攻撃チェーンは以下の手順で構成される。まず /v1/postgres/recovery/backup エンドポイントを介して攻撃者が制御するデータベースの内容をファイルに書き出し、続いて /v1/postgres/recovery/restore エンドポイントで悪意あるデータベースダンプを復元する。復元処理中にSQL関数 lo_export を利用して任意のファイルを書き込み、最終的にPythonスクリプトを上書きすることでコード実行を達成する。同LabはPoC（概念実証）コードも公開しており、攻撃の再現が容易になっている。 影響を受けるバージョンと修正版 影響を受けるのはSplunk Enterprise 10.0.0〜10.0.6（修正版: 10.0.7）および10.2.0〜10.2.3（修正版: 10.2.4）。Splunk Enterprise 10.4以降とSplunk CloudはPostgreSQL sidecarを使用していないため影響を受けない。Shadowserverの調査によると、インターネット上に公開されているSplunkインスタンスは世界で1,400件以上確認されており、うち北米で952件、欧州で223件が露出している。 推奨される対策 最優先の対策は修正済みバージョンへの即時アップデートである。即時のパッチ適用が困難な場合の一時的な回避策として、PostgreSQL sidecarサービスを無効化する方法があるが、この操作によりEdge Processor、OpAmp、SPL2データパイプラインが機能しなくなる点に注意が必要だ。Splunk PSIRTは6月18日に「限定的な悪用を確認した」と発表しており、パッチ未適用のシステムはすでに攻撃対象となっているリスクが高い。連邦機関以外の組織も早急な対応が求められる。

概要 2026年6月9日、インド・デリーに設置された第三者データセンター施設で火災が発生し、ネットワーク機器の緊急シャットダウンが余儀なくされた。この事故を発端として、Google Cloudのサービス障害がデリーを中心に、チェンナイやムンバイを含むインド主要都市に及び、数日にわたって影響が継続した。Googleの公式ステータス更新によれば、6月11日時点でも一部顧客はレイテンシの増加やパケットロスを経験しており、完全な復旧には至っていない状況だ。 技術的な詳細と影響範囲 火災によってデリーのPoint of Presence（POP）が孤立した結果、地域内のネットワーク容量が大幅に低下した。影響を受けたのは主にHybrid ConnectivityおよびVirtual Private Cloud（VPC）を利用する顧客で、通信の断続的な遅延・非最適ルーティングが報告されている。6月11日の公式更新では「インド各都市および地域ISPを合わせた需要が利用可能な容量を超過している」と説明されており、復旧を急ぐものの供給が追いついていない状態が続いている。 Googleの対応策 Googleは複数の緩和策を実施している。まず、影響を受けた施設から別ルートへのトラフィック迂回を行い、バックボーンネットワーク容量の最適化を進めた。さらにデリーPOPインフラの拡張工事にも着手し、一部のピアリングパートナーを新たな経路に移行することで地域全体の耐障害性向上を図っている。6月11日時点で一部顧客は状況の改善を確認しており、Google側は施設の完全復旧を見込んで6月15日に次回のステータス更新を予定していた。 今後の見通し 今回の事故は、クラウドインフラの地理的リスク分散と第三者施設への依存に改めて注目を集めるきっかけとなった。デリーPOPの増強・ピアリングパートナーの再配置など、Googleが講じた対策は短期的な復旧にとどまらず、インド地域の長期的な冗長性強化への布石とも読める。Hybrid ConnectivityやVPCを活用するエンタープライズ顧客にとっては、今後の障害対策としてマルチリージョン構成の検討が一層重要になるだろう。

概要 セキュリティ研究者のBob Diachenkoが公開サーバー上に「FortiBleed」と名付けられた大規模な認証情報漏洩を発見した。このデータセットには194カ国にわたる約73,932台のFortinetファイアウォールに対応するURLが含まれており、ユーザー名・メールアドレス・平文パスワードを含む有効なFortigate VPN認証情報が記録されていた。これはインターネット上にアクセス可能な全FortiGateデバイスの約半数に相当し、影響を受けたユニークドメイン数は21,632件に上る。 影響を受けた主な組織には、Chevron・Samsung・Foxconn・Comcast・AT&T・Mercedes-Benz・Toyota・PwC・Accenture・Oracleなどのグローバル大企業に加え、複数の政府機関が含まれている。地理的には、インド・米国・台湾・メキシコ・トルコ・タイ・コロンビア・マレーシア・チリ・UAEが上位の被害国として挙げられている。 攻撃手法と流出経緯 研究者らによると、脅威アクターは320,777台のFortiGateターゲットに対して約11.6億回ものクレデンシャル試行を実施した。また、Hashtopolisというソフトウェアで管理された45基のGPUクラスターを使用してSSL VPN認証ハッシュを解読したとされている。流出した認証情報はFortinetの設定ファイルから抽出されたと見られているが、その初期取得方法については依然として不明であり、既知の脆弱性の悪用なのか、未公開の欠陥を突いたものなのか、あるいは別の攻撃ベクターによるものなのかは確認されていない。 推奨される対策 影響を受ける可能性のある組織は、以下の対策を速やかに実施することが強く推奨されている。 認証情報のローテーション：Fortinetデバイスに関連するすべてのパスワードを直ちに変更する 多要素認証（MFA）の有効化：VPN接続に対してMFAを設定し、認証情報が漏洩しても不正アクセスを防ぐ ゲートウェイログの精査：不審なアクセスや認証試行の痕跡がないかログを確認する 従業員認証情報の監視：Hudson Rockの無料ルックアップツール等を活用して、組織の認証情報がデータ漏洩に含まれていないかを確認する 今回の事案は、Fortinetデバイスを含むネットワーク境界機器に対する大規模かつ組織的な認証情報収集キャンペーンが継続していることを改めて示しており、ゼロトラスト原則の実装や特権アクセス管理の強化が急務であることを浮き彫りにしている。

概要 Googleは2026年6月16日、Android 17とWear OS 7を正式リリースした。今回のリリースはPixel 6以降のPixelデバイスへの展開から始まり、Samsung・OnePlus・Xiaomiなどの他社デバイスへは2026年後半に対応予定となっている。新機能として即座に利用可能なものと、夏にかけて段階的に提供されるものとに分かれており、Googleは次のメジャーバージョンを待つことなく継続的な機能拡充を図る戦略をとっている。 AIモデルとGemini統合 Android 17の目玉の一つが最新AIモデルのサポート拡充だ。Gemini Omniはビデオ編集機能を会話形式で提供し、ユーザーが自然言語を通してコンテンツを操作できるようになった。また音楽生成モデルLyria 3がAndroid 17に統合され、テキストプロンプトや画像から楽曲を生成することが可能になった。翻訳面ではPixel 10aにAudioLMを活用した改良版リアルタイム音声翻訳ツールが搭載されている。 夏季にかけて提供予定のAI機能としては、不自然な発話を自動修正するAI音声入力システムRambler、自然言語でホーム画面ウィジェットを生成できるCreate My Widget、さらにGeminiによる通知要約や文脈的な操作推薦の拡張などが控えている。 マルチタスクとその他の新機能 マルチタスク面ではバブルバー（Bubbles）が大きな変化をもたらす。画面下部にフローティングウィンドウ形式でアプリを表示し、複数アプリを素早く切り替えられるデスクトップに近い操作体験を実現する。またScreen Reactions（セルフィー反応動画）により、画面録画と前面カメラの映像を同時にキャプチャして共有することが可能になった。 折りたたみデバイス向けには50:50の画面分割レイアウト対応やゲームモードの強化が行われ、コントローラーのボタン再マッピングなどゲーマー向けの改善も含まれている。セキュリティ面では「紛失マーク」機能とライブ脅威検出が追加されたほか、Googleアカウント不要で設定できる保護者向けPIN機能も加わった。なお、同時にリリースされたWear OS 7ではバッテリー効率が最大10%向上したとされている。 展開スケジュールと今後の見通し 高度なGemini AI機能の多くは初回リリースには含まれず、夏を通じて順次配信される。GoogleはAppleとの競争を意識しつつ、Pixelデバイスを最新AIモデルの第一実装環境として位置づける戦略をとっている。すべての機能が一度に提供されるわけではない点には注意が必要だが、継続的アップデートによる機能拡充モデルは、ユーザーに長期にわたって新鮮な体験を提供し続けるという狙いがある。

概要 米国土安全保障省サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）は、JoomlaのContent Editor（JCE）拡張機能に存在する脆弱性CVE-2026-48907（CVSSスコア10.0）を既知の悪用済み脆弱性カタログ（KEV）に追加した。この脆弱性は不適切なアクセス制御に起因し、未認証のユーザーが悪意のあるPHPコードをサーバー上にアップロード・実行することを可能にする最大深刻度の欠陥だ。CISAはすべての連邦政府機関（FCEB）に対し、2026年6月19日までに修正パッチを適用するよう義務付けている。 技術的な詳細 Widget Factory社が開発するJCE拡張機能のバージョン1.0.0から2.9.99.4までが対象となる。攻撃者は「index.php?option=com_jce&task=profiles.import」へのリクエストを通じて不正なエディタープロファイルをインポートし、Webシェルを展開してサーバーへの永続的なバックドアを確立する。既にパブリックな悪用コードが公開されており、攻撃は自動化されているため、被害が広がるリスクが高い。修正版はバージョン2.9.99.5として2026年6月3日にリリース済みだ。 対応と注意事項 Joomlaは、更新を適用しても「すでに侵害されたサイトはクリーンアップされない」と警告している。Joomlaサイトの管理者はJCEを最新版（2.9.99.5以降）へアップデートするとともに、アクセスログを精査して不審なエディタープロファイルのインポートリクエストがなかったか確認することが推奨される。既に侵害を受けている場合はサーバー全体のフォレンジック調査が必要となる。公開されているエクスプロイトコードにより攻撃の自動化が進んでいることから、パッチ適用は一刻を争う対応が求められる。

GitHub CLI v2.95.0：クローン不要のリモートリポジトリ参照 GitHub CLIのバージョン2.95.0に、リモートリポジトリのファイルをクローンせずにターミナルから直接参照できる2つの新コマンドが追加された。gh repo read-file は指定したリモートリポジトリから単一ファイルの内容を取得し、gh repo read-dir はリポジトリのディレクトリ構造を一覧表示する。どちらのコマンドもパブリック・プライベートを問わず、アクセス権のある全リポジトリで利用可能で、GitHub Enterprise Serverも対象に含まれる。 ユースケースとして、READMEやドキュメントの素早い確認、複数リポジトリをまたいだ設定ファイルの比較、スクリプトや自動化処理への組み込みなどが想定されている。特にAIエージェントやCIワークフローとの統合において、クローン操作のオーバーヘッドなしにリポジトリ内容を参照できる点が有用とされており、開発者の日常的な作業効率向上に加えてツール・自動化統合への活用が期待される。 PR数制限：外部コントリビューターによる大量PR問題に対処 GitHubは書き込みアクセス権を持たないユーザー（外部コントリビューター）がオープンできるプルリクエスト数に上限を設定できる管理機能を追加した。リポジトリ管理者は「maximum number of open pull requests」を設定でき、上限に達したユーザーは既存のPRをクローズまたはマージしない限り新規のPRを作成できなくなる。 この機能の背景には、活発なオープンソースリポジトリで大量の低品質または投機的なプルリクエストがトリアージと審査キューを圧迫するという課題がある。信頼できるコントリビューターを対象外とするホワイトリスト機能も用意されており、フルのコラボレーターアクセスを付与することなく制限を個別に回避させることができる。なお、ドラフト状態のプルリクエストは上限カウントには含まれないため、準備中の作業は影響を受けない。 GitHub Actions：Node 24がデフォルトランタイムに 2026年6月16日より、GitHubホストランナーにおけるJavaScriptアクションのデフォルト実行環境がNode 20からNode 24に変更された。Node 20が2026年4月にEnd-of-Life（EOL）を迎えたことを受けた対応で、Node 20の完全削除は2026年秋に予定されている。 移行に際しては互換性の注意点がある。Node 24はmacOS 13.4以下の環境では動作しないため、古いmacOSランナーを使用しているワークフローは影響を受ける可能性がある。またARM32アーキテクチャへの公式サポートがないため、ARM32上のセルフホストランナーはNode 20廃止後にサポート対象外となる。移行準備のためにNode 24での動作を事前テストしたい場合は FORCE_JAVASCRIPT_ACTIONS_TO_NODE24=true 環境変数を設定することで確認できる。Node 20を一時的に継続使用するための ACTIONS_ALLOW_USE_UNSECURE_NODE_VERSION=true も用意されているが、あくまで移行期間の暫定対応として位置づけられている。

概要 中国のAIスタートアップZ.ai（旧Zhipu AI）は2026年6月、オープンウェイトの大規模言語モデル「GLM-5.2」をHugging Face上で公開した。同モデルはFrontierSWEベンチマークでOpenAIのGPT-5.5を約1%上回り、長期的な自律コーディングタスクにおいてオープンソースモデルの中でトップに位置する性能を示した。また、API利用コストはGPT-5.5の約6分の1とされており、価格競争力の面でも注目を集めている。GLM-5.2はMITライセンスのもとで公開されており、商用利用を含む実質的に制限のない使用・改変・再配布が可能だ。 技術的な詳細 GLM-5.2はMixture-of-Experts（MoE）アーキテクチャを採用しており、総パラメータ数は7440億〜7530億に上る。ただし推論時に実際に活性化されるのはクエリごとに約400億パラメータのみで、特化した専門コンポーネントへタスクをルーティングする仕組みによって、高い能力と計算効率のバランスを実現している。コンテキストウィンドウは100万トークンに拡張されており、前モデルの20万トークンから大幅に向上した。これにより、大規模なコードベース全体を一度に解析するといったユースケースが現実的になる。 ベンチマーク性能としては、Terminal-Bench 2.1で81.0点、SWE-bench Proで62.1点を記録しており、多段階の工学的課題における強さが示されている。モデルはHugging Face上のzai-org/GLM-5.2で重みが公開されており、APIとセルフホストの両方で利用可能。推論時には「High」と「Max」の2段階のエフォートレベルが選択でき、速度と性能のトレードオフを調整できる。 背景と連続リリースの動向 Z.aiは2026年初頭にGLM-5、5.1、5.2を立て続けにリリースしており、急速な開発イテレーションを続けている。同社はもともとZhipu AIとして知られていた中国の研究機関・企業発のスタートアップであり、GLMシリーズはオープンな重みと商用利用可能なライセンスで中国発AIモデルの存在感を高めてきた。 一方で、API経由でGLM-5.2を利用する場合にはデータプライバシー上のリスクが指摘されている。処理されたデータが中国国内の法規制の適用下に置かれる可能性があるため、特に企業・政府機関での利用にあたっては、セルフホストでの運用やデータの機密性に関する検討が推奨されている。オープンウェイトモデルとして重みが完全公開されているため、クラウドAPIを使わずローカル環境で運用する選択肢が取れる点は、こうしたリスクを回避する有力な手段となる。 今後の展望 GLM-5.2の登場は、オープンソースの自律コーディングエージェント分野においてGPT-5.5やその他のプロプライエタリモデルに匹敵する実力を持つモデルが低コストで利用可能になったことを示している。MITライセンスによる完全な商用利用の自由と、MoEによる推論効率の高さは、エンタープライズ向けの組み込みや研究目的での採用を加速させる可能性がある。今後のGLMシリーズのさらなるリリースや、コーディング以外の領域への性能拡張に引き続き注目が集まる。