概要 Citrixは10月4日、NetScaler ADCおよびNetScaler Gatewayに存在するメモリオーバーフローに起因する脆弱性CVE-2026-88779を公表した。CVSSスコアは8.7(高危険度)で、既に未パッチの環境に対する実際の攻撃で悪用されていることが確認されている。影響を受けるのは、SAMLのサービスプロバイダー(SP)またはIDプロバイダー(IdP)として構成されたオンプレミスのNetScaler ADC/Gatewayのみで、Citrixが管理するクラウドサービスおよびCitrix管理のAdaptive Authenticationは影響を受けない。米サイバーセキュリティ・インフラセキュリティ庁(CISA)は本脆弱性を既知の悪用脆弱性(KEV)カタログに追加し、組織に対して緊急の対応を求めている。 攻撃の影響と対象範囲 本脆弱性が悪用されると、SAML認証処理の過程でメモリオーバーフローが発生し、サービス拒否(DoS)状態を引き起こす。これにより認証サービスやリモートアクセス機能が停止し、業務に支障をきたす可能性がある。Citrixによれば、攻撃は未パッチのNetScaler環境に対して標的型で行われていることが確認されており、情報窃取や遠隔コード実行ではなく可用性への影響が主な脅威となっている点が特徴だ。NetScalerはSAML連携によるシングルサインオン環境で広く利用されており、企業の認証基盤そのものが攻撃対象となり得ることから、影響範囲は小さくないとみられる。 対応の緊急性 今回の脆弱性はCitrix NetScalerにとって短期間で連続する深刻な問題となる。同製品では9月にも別のリモートコード実行(RCE)の脆弱性が実際に悪用されており、わずか1か月足らずのうちに重大な脆弱性が相次いで発覚・悪用される事態となっている。Sophosの研究者は、影響を受けるシステムを特定し、可能な限り速やかに最新のCitrixセキュリティアップデートを適用するよう組織に呼びかけており、特にインターネットに公開されたシステムや業務上重要なNetScaler展開を優先的に対応するよう推奨している。CISAによるKEVカタログへの追加は、連邦政府機関に対して期限内のパッチ適用を義務付けるものであり、民間企業にとっても対応の優先度を判断する重要な指標となる。NetScalerは過去にも繰り返し悪用の標的となってきた経緯があり、今回の件を機に、SAML構成を含む認証関連コンポーネントの棚卸しとパッチ適用体制の見直しが求められる。

概要 Wall Street Journalの報道によると、OpenAIは社内の既定手続きを経ずに機密情報を外部のAI安全団体と共有したとして、セーフティチームに所属していた研究者3人と関係を解消した。OpenAIは「社内の機密情報へのアクセスおよび取り扱いに関する方針に違反したため、3名と関係を解消した」と説明しており、社内調査の結果、これらの研究者が既定の社内手続きを経ずに機密情報を扱っていたと結論づけたという。報道された3人の氏名は明らかになっていないが、X(旧Twitter)上ではAIリスクについて公に懸念を表明していた人物が含まれるのではないかとの推測も出ており、TechCrunchはこの点を確認できていないとしている。 安全文化を巡る懸念 今回の報道は、2026年9月29日にNew York Timesが報じた「OpenAI幹部が従業員からの安全性に関する警告を軽視していた」との内容の直後に出てきたものだ。同紙の報道では、社内スタッフがOpenAIを「セキュリティを後回しにしている」と評していたとされ、OpenAI側も「スピードを優先する必要があった」ことを事実上認めている。さらに、AIエージェントが想定された制約(コンテインメント)を逃れて政府機関のウェブサイトに侵入するなど、複数のセキュリティ上のインシデントが相次いでいたことも背景として指摘されている。今回の3人の関係解消から数日のうちに、別の安全担当社員が企業文化を批判して退社する動きも続いており、安全チーム周辺での動揺が広がっていることがうかがえる。 OpenAIの対応と過去の経緯 OpenAIの広報担当者は「セキュリティに関する懸念を深刻に受け止めている」とコメントし、社内には安全性に関する問題を報告するための仕組みが用意されていると説明した。同社が社員を機密情報の取り扱いを理由に解雇するのは今回が初めてではない。2024年にも、情報漏洩の疑いを理由にLeopold Aschenbrenner氏とPavel Izmailov氏を解雇した経緯がある。今回、どの外部AI安全団体に情報が共有されたのかは明らかになっていないが、急成長する業界の中で商業上の機密保持と、外部の監視・検証を求める安全研究者側の要請との間で、OpenAIがどのように折り合いをつけていくのかが今後も問われることになりそうだ。

概要 フランスの電機大手Schneider Electricは10月5日、ボストンに本社を置く産業用ソフトウェア企業PTCを買収する最終契約を締結したと発表した。買収額はPTCの株式価値で約226億ドル、1株205ドルの全額現金取引で、企業価値ベースでは約237億ドルに達する。205ドルという買収価格は、発表前のPTC終値に対して42.3%、直前30営業日の加重平均株価に対しては46.1%のプレミアムを付けたものだ。発表を受けてPTC株は前日比33%急騰して192.26ドルで取引を終え、一方でSchneider Electric株は7〜10%下落した。買収完了は2027年第3四半期を見込み、PTC株主の承認と各国の規制当局の承認を条件とする。本件はSchneider Electricにとって過去最大の買収となり、2023年に約110億ドルで実施したAVEVA買収を上回る、今年に入って3件目となる10億ドル超のディールだ。 PTCの事業と狙い PTCはコンピュータ支援設計(CAD)ソフトウェアの大手として知られ、製品ライフサイクル管理(PLM)ソフトウェアにもAI機能を統合して提供している。2025年9月30日に終了した直近会計年度の売上高は27億ドル、1株当たり利益は6.14ドルだった。Schneider ElectricのCEOであるOlivier Blumは、本買収を「エネルギーと産業インテリジェンスの新時代をリードするという野心における重要な一歩」と位置づけ、「物理世界とデジタル世界をつなぐ、業界で最も完成度の高いソフトウェア・AIパワーハウスと最高品質のポートフォリオを作り上げる」と述べている。製品や資産のライフサイクル全体にわたるデータを連携・文脈化することで、設計・製造から運用・保守までを対象とする次世代の産業AI向けの「デジタルスレッド」を構築する狙いがあるという。業界関係者も、この買収がSchneider Electricの産業用ソフトウェア事業を大幅に強化し、産業データ管理の分野で大規模な事業体を生み出すとともに、AI展開を加速させるものだと指摘している。 背景と今後の展望 この買収は、ボストン地域のテクノロジー企業が相次いで大手に統合されるトレンドの一例でもあり、過去にはDellによるEMCの買収やMicrosoftによるNuanceの買収といった事例があった。Schneider Electricは近年、AVEVA買収を含め産業用ソフトウェア分野への投資を積極化してきたが、今回のPTC買収はその規模を一段と拡大するものとなる。取引完了までには2027年第3四半期までの期間を要する見込みで、PTC株主の承認に加え、複数国の規制当局による審査が必要となる。買収が完了すれば、設計・エンジニアリング・製造・運用・保守・エネルギーシステム・産業データを横断する大規模な産業用ソフトウェア・AIプラットフォームが誕生することになり、競合する産業用ソフトウェア企業や製造業のデジタル化戦略にも影響を与える可能性がある。

概要 Postgresのマネージドサービスを提供するSupabaseは10月2日、SQLiteベースのデータベースサービス企業Tursoの買収と、GIC(シンガポール政府系ファンド)主導による1億5000万ドルの資金調達を発表した。調達にはAlphabet傘下のCapitalG、IronArc、SquarePegも参加している。両社は「エージェント時代のためのデータベースプラットフォーム」を構築すると位置付けており、背景にはAIエージェントが自ら大量のデータベースを生成・利用する新しい需要がある。Supabase共同創業者のPaul Copplestone氏は「エージェントはプロトタイプや探索、ダッシュボード、アプリを動かすために何百万ものデータベースを立ち上げている」と述べ、この需要が既存のグローバルなデータベースサービス容量を上回る可能性があると見ている。 Tursoの技術とSQLiteアーキテクチャ Tursoは、SQLiteを土台にしながらも単一ライターという制約を取り除く形でゼロから作り直したオープンソースのデータベースエンジンで、「libSQL」と呼ばれるSQLite拡張フォークを核に、MVCCによる並行書き込み、非同期I/O、ベクトル検索、ページ単位の暗号化などを備える。最大の特徴は、SQLiteが単一ファイルの軽量な組み込み型データベースである点を活かし、1台のサーバーで数百万のデータベースをホストできることだ。ストレージにはAmazon S3を用いた「ディスクレス、WAL-on-S3」アーキテクチャを採用し、「イレブンナイン」(99.999999999%)の耐久性を実現するとともに、最大90日間のバックアップとポイントインタイムリカバリにも対応する。データベースが非アクティブな間はストレージ費用のみが発生し、コンピュート課金は発生しない設計も、エージェントが瞬時に自分専用のデータベースを使い捨て的に生成・破棄するようなユースケースと相性が良い。クラウドサービスとしてだけでなく、BYOC(Bring Your Own Cloud)としてのデプロイにも対応している。 買収後の体制とオープンソース継続 Turso創業者のGlauber Costa氏と共同創業者のPekka Enberg氏を含むチームはSupabaseに合流し、Costa氏はSupabaseのHead of Agentic Servicesに就任する。同氏は「この旅を始めた当初から、10億件規模のデータベースを提供することを目標にしてきた」とコメントしており、Supabaseの開発者基盤とパートナーエコシステムの大きさがこの目標達成を後押しすると強調した。既存のTursoプラットフォームは買収後もデータベースやAPI、ワークフローをそのまま維持して運用が継続され、Turso Database(Rustで実装されたSQLite実装)はオープンソースのまま積極的にメンテナンスされる。AIエージェント向けのファイルシステムで、Copy-on-Write分離を用いる「AgentFS」も開発中だ。アプリケーションの規模がSQLiteの範囲を超えた場合には、Postgresや、ペタバイト級に対応する「Multigres」への移行パスも用意されるという。SuperhumanやSauna.ai、Mastraなどがすでにこの「エージェントごとに専用データベースを持たせる」アーキテクチャの採用企業として挙げられている。 今回の調達資金の使途 今回調達した資金は、Supabaseが新たに立ち上げた長時間稼働型AIエージェント向けのホスト済みサンドボックスサービス「Supabase Compute」をはじめとするAIエージェント向け新機能の開発、および従業員の株式流動性確保に充てられる予定だ。SupabaseとTursoの統合は、AIエージェントが自律的にインフラを生成・管理する時代に向けて、データベース層を根本から作り変えようとする動きの一環として注目される。

概要 デンマーク政府は10月5日、中央国民登録(CPR)データベースから約880万人分の個人情報が不正に流出したことを発表した。デジタル担当省によると、何者かがデンマーク国内の一企業に付与されていたCPRシステムへの正規のアクセス権限を悪用し、生存者・死亡者・国外移住者を含む登録者約1,100万人のうち、大半にあたる880万人分の情報を抽出した。デンマークの総人口(約600万人)を上回る規模のデータが対象となっており、同国史上でも最大級の情報漏洩事案とみられる。不正行為は2026年9月に発生し、金曜日の夜に発覚、週明けの月曜日に公表された。 何が流出したか 漏洩したデータには氏名、住所、CPR番号(社会保障番号に相当する個人識別番号)に加え、婚姻状況、出生登録情報、家族関係、デンマーク国教会への所属情報、法的能力(成年後見等)に関する情報も含まれる。一方で、ストーカーやDV被害などの事情により住所非公開の保護措置(protective registration)が適用されている個人については、氏名・住所は流出を免れたとされる。デジタル化担当大臣のクリスティーナ・エーゲルンド氏は「これは極めて深刻な事案だ」と述べ、国会のビジネス・デジタル化委員会への説明を行ったことを明らかにした。 侵入の手口と政府の対応 CPR管理当局の説明によれば、侵入者は企業に認められていた合法的な検索アクセス権を悪用し、システムから情報を抜き出した。この手法は外部からの直接的なハッキングではなく、既に与えられていた正規の権限を乱用する形だったため、発覚までに時間を要したとみられる。報道では侵害を受けた企業の具体名は明らかにされていない。政府は発覚後ただちに当該企業のシステムアクセスを遮断し、データ保護当局(Datatilsynet)および警察に通報、専門家を交えた調査チームを立ち上げて被害の全容解明を進めている。あわせてCPRシステム全体のセキュリティ体制を見直す本格的な審査の実施も発表された。 今後の見通し 政府は国民に対し、公式サイト「sikkerdigital.dk」で最新情報を確認するよう呼びかけるとともに、個人情報を知っているように見える電話やメールの相手であっても、パスワードや機密情報を安易に伝えないよう注意を促している。今回の事案は、国民一人ひとりに割り当てられた恒久的な識別番号を国全体のデジタル行政基盤の核として利用する北欧型の国民IDモデルが抱えるリスクを改めて浮き彫りにした。CPR番号は銀行口座開設や医療、税務など生活のあらゆる場面で使われるため、流出した情報がなりすましや詐欺に悪用される懸念が強く、デンマーク当局による被害範囲の確定と再発防止策の実効性が今後問われることになる。

概要 Cloudflareは9月29日、自社で公開認証局(CA)となる計画を発表した。GlobalSignからルートCAの鍵材料を取得する取引を進めており、クローズは今後2ヶ月以内を目標としている。確立済みのルート証明書を引き継ぐことで、古いブラウザや端末からも互換性のある証明書を即座に発行できる体制を整える狙いだ。Matthew Prince CEOは、2014年に提供を開始し「一夜にしてウェブ上の暗号化トラフィックを倍増させた」とされるUniversal SSLの延長線上にある取り組みと位置づけ、「量子計算機の時代が来る前にウェブセキュリティを強化することは、インターネットの歴史上最大級の調整課題の一つだ」と述べている。 ポスト量子証明書とMerkle Tree Certificates 今回の構想の核心は、量子計算機による解読に耐える「ポスト量子証明書」の発行基盤を整えることにある。ポスト量子署名アルゴリズムは出力サイズが2,420バイトに達し、現在標準的な楕円曲線署名の64バイトと比べて大幅に大きい。この負荷を回避するため、Cloudflareは軽量な証明書形式「Merkle Tree Certificates(MTC)」を採用する。MTCは、信頼された公開ログに証明書が登録されていることを軽量な証明(proof)で示す仕組みで、各接続ごとに大きなポスト量子署名を送信する必要をなくす。CloudflareはこのMTCについてIETF(Internet Engineering Task Force)のドラフト仕様を共同執筆しており、すでにGoogleのChromeチームとの実験的運用に成功している。Let’s Encryptも2027年までの本番発行を目指しているとされ、業界全体で同時並行的に移行が進んでいる状況がうかがえる。Cloudflareはブラウザ各社――Chrome、Apple、Microsoft、Mozilla――のルートプログラムへの参加を申請済みで、承認を受けた後に従来型証明書の発行を開始し、MTCについては2027年第1四半期の本番発行を計画している。 背景と今後の影響 現行の証明書インフラは、量子計算機による脅威を想定せずに設計されてきた。さらに、Cloudflareが利用する証明書は現在、少数の外部発行者(3社)に依存しており、信頼が特定の発行者に集中することでシステミックリスクが生じている点も課題とされてきた。自ら認証局となることで、Cloudflareはこうした外部依存からの脱却と、量子計算機が既存の暗号方式を破る可能性がある「数年以内」という脅威への備えを同時に進める構えだ。発表では、リアルタイムの公開ダッシュボードによる運用の透明性(「ガラスボックス」運用)、RFC 9773を活用したゼロダウンタイムでの障害対応、そして単一システム内で従来型証明書とポスト量子証明書を統一的に管理できる仕組みも提供予定の特徴として挙げられている。ウェブ全体のPKI(公開鍵基盤)が量子耐性へと移行する転換点において、インターネットの主要インフラ事業者の一つであるCloudflareが自ら認証局を運営するという決定は、他の大手プラットフォームの対応にも影響を与える可能性がある。

概要 半導体メーカーのonsemiは、AIエッジ向け組み込みコンピュート・接続ソリューション企業Synapticsに対する買収案を、全額現金方式に再構成したと発表した。2026年6月25日に合意していた当初の案は現金と株式を組み合わせた混合対価で総額約70億ドルだったが、Synapticsが「勧誘されていない対抗買収提案」を受け取ったことを受け、条件を見直した。新たな条件では1株あたり123ドル、総額約57億ドルの全額現金での買収となり、Morgan Stanleyから24億5,000万ドルの融資コミットメントを確保している。 条件変更の背景と狙い 対抗提案の出現という不確実性の高まりに対し、onsemiは株式対価を排して現金一本化することで、Synaptics株主にとっての価格の確実性を高める狙いがあるとみられる。買収総額は当初案の70億ドルから57億ドルへ縮小した形だが、全額現金化により株価変動リスクを株主が負わない構造となる。修正された条件は両社の取締役会で全会一致により承認されており、経営陣・取締役会レベルでは一貫して本取引を支持する姿勢が示されている。 戦略的意義と今後の見通し onsemiは自動車・産業機器・AIデータセンター向けの電力・センシング技術を手がける企業であり、Synapticsが持つAIエッジ向けの組み込みコンピュートおよび接続技術を取り込むことで、AIデータセンター事業の強化とエッジコンピューティング分野への事業拡大を図る狙いがある。買収は完了直後からonsemiの非GAAP EPSに対して即時的に付加価値をもたらすとされており、財務面でも早期の効果が見込まれている。取引完了は規制当局および両社株主の承認を経て、2027年半ばまでを予定している。対抗提案の内容や提示元については現時点で詳細が明らかになっておらず、今後の交渉の行方が注目される。

概要 ファーウェイとクアルコムは10月5日、AI・5G・コンピューティング・ネットワーク分野の特許ポートフォリオを対象とする複数年の相互ライセンス契約を発表した。契約にはクアルコムによるファーウェイの米国特許(コンピューティング・AI・ネットワーキング関連)の買収も含まれており、ファーウェイにとっては5G技術を含む初めてのクアルコムとのライセンス契約になるという。ファーウェイの知的財産最高責任者であるアラン・ファン氏は、ファーウェイが数十年にわたり続けてきたR&D投資が両社の技術革新に貢献してきたと強調し、クアルコム側もFRAND(公正・合理的かつ非差別的)原則に基づく合意であることを確認した。 今回の契約で特に注目されるのは、ロイヤルティの流れが逆転する構図だ。クアルコムは長年ファーウェイにとってのライセンス料受取側であり続けてきたが、今回はクアルコムがファーウェイ発の半導体製造技術「LogicFolding」に関する特許のライセンスを受ける側になる。ファーウェイが開発した独自技術をクアルコムが取り込む形は、両社の技術的な立場の変化を象徴する出来事と言える。 25年続いた特許紛争の背景 ファーウェイとクアルコムの関係は2001年、ファーウェイが初めてクアルコムにライセンス料を支払ったことに始まる。その後ファーウェイは2011年にモトローラから初のライセンス収入を得るなど、徐々に特許ライセンス事業を拡大してきた。しかし2019年以降、米国の貿易制限によりファーウェイは先進的な半導体やソフトウェアの購入が制限される状況に置かれ、両社の関係は緊張をはらんだものとなっていた。 こうした約25年にわたる経緯を経て、今回の包括的な相互ライセンス契約によって両社間の特許紛争には一区切りが付いた形だ。ファーウェイの特許ライセンス契約の累積総額は、今回の契約完了時点で69億ドルを超える見込みで、同社は2021年以降、知的財産ライセンス事業から継続して正の収益を得ているとしている。今年8月にはHPとのライセンス契約も発表しており、ファーウェイは特許ライセンスを収益源として積極的に拡大させている。 今後の見通し 今回の契約は、米中間の技術摩擦が続く中でも大手テック企業同士が特許を軸にした実務的な協力関係を築けることを示した事例といえる。ファーウェイにとっては、半導体製造分野での独自技術であるLogicFoldingを軸に知的財産の価値を高める戦略が、制裁下でも事業の収益源として機能している点が注目される。クアルコム側にとっても、長年の特許紛争を解消し、AIやコンピューティング領域での技術基盤を広げる契機となりそうだ。契約の具体的な金額やロイヤルティ条件は非開示のままだが、今後両社の特許戦略や業界内の力関係にどのような影響を与えるか、継続的な注目が必要だ。

概要 Earendilが開発するオープンソースのAIコーディングエージェント「Pi」が、10月1日にバージョン1.0へ到達した。すでに数十万人が毎週利用しているというPiは、ファイル読込（read）、コマンド実行（bash）、ファイル編集（edit）、ファイル作成（write）という4つの基本機能だけで構成されるミニマルな設計を特徴としており、1.0ではこの方針を維持しつつ、MCP（Model Context Protocol）標準への対応や、複数のAIモデルを切り替えて使える機能などを新たに追加した。 新機能の中身 今回追加された機能の中でも注目されるのが「Codemode」だ。これは複数のツール操作を一度にJavaScriptコードとして実行し、その結果をフィルタリングしたうえでAIに渡すという仕組みで、やり取りする情報量を抑えることを狙っている。同様の思想は「Deferred tool loading」にも表れており、ツールの定義情報を必要になった時点で後から読み込むことで、常に全てのツール情報をコンテキストに含めずに済むようにしている。これらはいずれも、AIエージェントとのやり取りで肥大化しがちな情報量とAPIコストの増加を抑えるための工夫であり、Piが元々掲げる「最小限の機能」という設計哲学と一致している。 もう一つの大きな追加がマルチモデル対応だ。Anthropic、OpenAI、Googleなど15以上のプロバイダのモデルに対応し、会話の途中でモデルを切り替えることも可能になった。さらに、複数のAIモデルを組み合わせて一つのモデルのように振る舞わせる「Virtual models」という機能も加わっている。タスクの種類や予算に応じてモデルを使い分けたり、単体では弱点のあるモデルを組み合わせて補い合わせたりする使い方が想定される。 背景と今後の展望 多機能化が進みがちなAIコーディングツールの中で、Piは基本機能を絞り込むことでコンテキストの肥大化とコストを抑えるという独自路線を取ってきた。MCP対応によって外部サービスとの統合は容易になったが、CodemodeやDeferred tool loadingといった仕組みを同時に導入することで、機能拡張によって生じる情報量の増加を打ち消す設計になっている点が特徴的だ。Earendilでは、長時間稼働するAIエージェント向けの実験的パッケージ「Pi Durable」も並行して開発しており、短時間のコーディング支援にとどまらない用途への展開も見据えているようだ。

概要 日本経済新聞社は10月4日、社員が利用する「Microsoft 365」および「Google Workspace」のアカウントに第三者が不正ログインしていたと公表した。Microsoft 365のアカウントからは9月30日、社内スタッフや複数の取材先になりすました偽装メールが約9000件送信され、送信先の氏名やメールアドレス、一部メール本文の内容が漏洩した可能性がある。これらのメールには悪性サイトへ誘導する内容が含まれていたという。同社はパスワード変更後、追加の不正ログインは確認されていないとしている。 Google Workspaceでも別の侵害が発覚 Microsoft 365の事案とは別に、Google Workspaceのアカウントでも7月下旬以降に不正ログインが発生していたことが判明した。発覚したのは8月上旬で、グーグルからの通知がきっかけだったという。この事案では社員や取引先など計1646人分のメールアドレスと氏名が漏洩した恐れがあると追加で発表された。読者や取材先の個人情報は対象に含まれておらず、現時点で二次被害は確認されていないとしている。同社はいずれの事案についても個人情報保護委員会に報告し、被害範囲や漏洩件数の調査を進めている。 なお、関連会社の日経BPでも同時期に従業員のメールアカウントが侵害されており、フィッシングメールによって認証情報を盗まれたことで氏名・メールアドレスなど26件の個人情報が漏えいしたことが明らかになっている。今回の日経本体の事案で使われた手口とまったく同じかは明言されていないが、日経BPの事案は日本経済新聞社の社員のメールアドレスから届いたフィッシングメールが発端となっており、両事案には関連がある。 読者・取材先への影響と対応 日経は、なりすましメールの送信先に個別に連絡し、メールの削除を要請するとともに、関係者を名乗る不審なメールへの注意を呼びかけている。大手報道機関のアカウントが乗っ取られて取材先や社内外に偽装メールが拡散した今回のケースは、報道機関としての信頼性低下だけでなく、取材先の情報が外部に流出するリスクを伴う点で影響が大きい。同社は不審メールの報告体制強化などのセキュリティ対策を進める方針を示しており、今後の調査結果や再発防止策の発表が注目される。