概要 ASUSのROGブランドは8月25日、gamescom 2026にあわせて携帯型ゲーミングPC「ROG Xbox Ally X20」の予約受付を開始したと発表した。本製品はROGブランド創立20周年を記念した特別モデルで、単体価格は1,299ドル、ARグラスやケースを含むバンドル版は2,499.99ドル。発売日は10月15日で、いずれも米国での価格として案内されている。従来モデルの「ROG Xbox Ally X」と比較すると約300ドルの値上げとなっており、OLEDディスプレイの採用や操作系の刷新がその主な要因とされる。 スペックとデザイン X20は7.4インチの新型「Nebula HDR Display」を搭載し、解像度は1920×1080、リフレッシュレートは120Hzに達する。プロセッサーにはAMD Ryzen AI Z2 Extremeを採用し、24GBのLPDDR5Xメモリと1TBのストレージを組み合わせる。冷却システムも刷新され、より高い持続性能を狙った設計になっているという。操作系では、アナログスティックにトンネル磁気抵抗（TMR）方式を、トリガーにはホール効果センサーを採用しており、ドリフトなどの経年劣化に強い構成となっている。筐体は半透明のブラックシャーシに内部構造が透けて見えるデザインを採用し、ゴールドのアクセントカラーで20周年モデルであることを演出している。 ARグラス同梱バンドル 2,499.99ドルのバンドル版には、ARグラス「ROG XREAL R1 Edition 20」が付属する。このグラスはBose製オーディオを搭載し、4メートル先に171インチ相当の仮想スクリーンを投影可能。表示パネルには240Hz駆動・視野角57度のマイクロOLEDを採用し、応答速度は0.01msをうたう。バンドルにはこのほか、dbrand製のKillswitchケース、Pelican製プロテクターケース、68W充電器が付属する。なお、ARグラス自体は本体と切り離して単体販売される可能性も示唆されている。 今後の見通し ROG Xbox Ally X20は10月15日に発売予定で、現時点では予約受付が先行してスタートしている。価格上昇についてはOLED化や新型冷却機構、耐久性の高いコントロール部品といったアップグレードが背景にあるとみられ、既存のAlly Xユーザーにとっては上位モデルとしての位置づけになりそうだ。携帯ゲーミングPC市場でARグラスとのバンドル販売という新しい提案がどこまで受け入れられるか、発売後の反応が注目される。

概要 AWSは2026年8月20日、AWS Direct Connectに「インバウンドプレフィックス制御」という新機能を追加したと発表した。この機能により、オンプレミスネットワークからAWSへ接続するプライベートVIF（Virtual Interface）およびトランジットVIFごとに、受け入れるインバウンドルートプレフィックスの割り当て数をワークロードの要件に応じて管理できるようになる。あわせて、VIF1本あたりに受け入れ可能な経路数の上限が、IPv4・IPv6それぞれ従来の100プレフィックスから1,000プレフィックスへと10倍に引き上げられた。 技術的な詳細 従来のDirect Connectでは、オンプレミス側からアドバタイズされる経路プレフィックスをプライベートまたはトランジットVIF上で受け入れる際の上限が100プレフィックスに固定されており、多数のVPCやオンプレミスセグメントを持つ大規模なネットワーク構成ではこの制約がボトルネックになりやすかった。新機能では、この上限が1,000プレフィックスまで拡張されるだけでなく、VIF単位でどれだけのプレフィックス容量を割り当てるかをユーザー自身が制御できる仕組みが導入される。 プレフィックスの容量プールは、専有接続（dedicated connection）レベルと、複数の接続やリージョンをまたいで経路を集約するDirect Connect Gateway（DXGW）レベルの両方に用意される。VIFを作成する際に特定数のプレフィックスを割り当てると、その割り当ては接続レベルとDXGWレベルの両方のプールから消費される仕組みとなっており、ネットワーク全体でのプレフィックス配分を柔軟に設計できる。設定はAWS Direct Connectコンソール、CLI、APIのいずれからも行える。 対応リージョンと料金 この機能はすべての商用AWSリージョンに加え、AWS GovCloud（US-East、US-West）、および中国の北京・寧夏の各リージョンで利用可能となっている。機能の利用に追加費用は発生せず、既存のDirect Connect利用者はそのまま新しい制御機能を使い始められる。 背景と今後の展望 近年、企業のハイブリッドクラウド環境は多数のVPCやオンプレミスサブネットを抱えるケースが増えており、経路プレフィックス数の上限は大規模なマルチアカウント・マルチVPC構成を運用する組織にとって現実的な制約となっていた。今回の10倍への拡張とVIF単位での柔軟な割り当て管理により、AWSはより大規模で複雑なネットワークトポロジーをDirect Connect経由で構築しやすくする狙いがあるとみられる。詳細な設定方法については、AWSが公開しているDirect Connectユーザーガイドの該当ページで確認できる。

概要 Next.jsチームは8月25日、Active LTS系列のv16.3.3とMaintenance LTS系列のv15.5.24をリリースし、深刻度「Critical」の脆弱性を2件修正した。1件目は画像最適化APIがAVIF画像を処理する際に、内部で利用するsharpライブラリの依存先であるlibheifの脆弱性（GHSA-g89c-p67h-r497）を突かれることで、未認証のリモートコード実行が可能になるというもの（Next.js側の識別子はGHSA-2xp9-vwfh-vxw4）。2件目はPages RouterとApp Routerを併用し、かつCache Componentsを使用していないアプリケーションをWindows上のファイルシステムでホストしている場合に、未認証のRCEが成立するというもの（CVE-2026-75604 / GHSA-p293-qw3h-jr36）。後者はLinuxおよびmacOS環境では発生せず、既知の回避策も存在しないため、該当するWindows環境のユーザーは早急なアップデートが求められる。 Next.jsチームは5日前の8月20日に今回のリリース予告を行っていたが、公開当日に追加のCritical脆弱性を新たに特定したことを受けてリリース時期を前倒ししたと説明している。 技術的な詳細 AVIF関連の脆弱性は、Next.jsの画像最適化APIが攻撃者の制御下にあるAVIF画像を処理する過程で、依存ライブラリsharpが利用するlibheifのデコード処理に起因する欠陥を突かれることで発生する。上流のlibheif側での修正が完全に行き渡るまでの措置として、パッチ適用版のNext.jsではAVIF画像の最適化処理自体を無効化する対応が取られている。つまり、AVIF画像はそのままの形で配信され、脆弱性のある処理経路を通過しなくなる。 Windows関連の脆弱性は、Pages RouterとApp Routerの両方を組み合わせて使用し、かつCache Componentsを有効化していない構成のアプリケーションが対象となる。Next.jsサーバーがWindowsのファイルシステム上で動作している場合にRCEへとつながる可能性があり、Linux・macOS環境は影響を受けない。回避策が存在しないため、該当環境の運用者はアップデート以外に有効な対処手段がない。 修正版へのアップデートは以下のコマンドで行える。 npm install next@15.5.24 # 15.5系の場合 npm install next@16.3.3 # 16.3系の場合 Vercelでのホスティングへの影響 Vercelは自社プラットフォーム上にホストされているNext.jsアプリケーションについて、両脆弱性から既に保護されていると発表した。同社によれば、ユーザー側でのアップグレードや設定変更、再デプロイは一切不要だという。AVIF関連の脆弱性については、Vercelの画像最適化サービス全体でAVIF最適化処理をあらかじめ無効化しており、悪意のあるAVIFファイルが送られてきても脆弱な処理経路を通らずそのまま配信される。Windows関連の脆弱性についても、Vercelのランタイムは元々Linux上で稼働しているため影響を受けない。一方で自前でホスティングしている運用者は、この保護の恩恵を受けられないため、速やかにNext.js 15.5.24または16.3.3へのアップグレードが必要となる。 Next.jsチームは、こうした脆弱性の発見と対応がVercelのオープンソースバグバウンティプログラムを通じた研究者との協力によるものだとしており、セキュリティ体制の強化を継続する姿勢を示している。

概要 OpenSSLプロジェクトは、暗号ライブラリの最新版となる4.0.2をリリースした。前バージョンの4.0.1から約2.5カ月というタイトな間隔での公開であり、CMS(Cryptographic Message Syntax)、DTLS、QUIC、OCSP、CMPという複数のコアコンポーネントにまたがる脆弱性を修正する内容となっている。深刻度の高いヒープバッファオーバーフローやダブルフリー、メモリ枯渇を引き起こす不具合が含まれており、TLS/DTLS/QUIC通信や証明書管理機能を利用する幅広いシステムに影響する可能性がある。プロジェクトは4.0系と並行して保守されている3.xブランチ(3.6.4、3.5.8、3.4.7、3.0.22)にも同時にセキュリティパッチを適用しており、旧バージョンを使い続けている利用者にも速やかな更新が推奨される。 技術的な詳細 今回修正された脆弱性のうち、CMSの鍵アンラップ処理に存在する「CVE-2026-63072」はヒープバッファオーバーフローを引き起こすもので、細工されたCMSメッセージの処理時に発生する。DTLSでは「CVE-2026-54874」としてレコードバッファリング処理における過剰なメモリ消費が指摘されており、サービス拒否につながりうる。OCSPクライアント側にはレスポンス検証時にメモリリークが生じる「CVE-2026-54876」が見つかっている。 CMP(Certificate Management Protocol)関連では、細工されたprotectionAlgパラメータによって無効なポインタ参照が発生する「CVE-2026-63076」に加え、信頼されていない送信者DNのフォーマット文字列に起因する脆弱性、そしてextraCertsキャッシュが際限なく肥大化する不具合の3件が修正された。 最も件数が多いのがQUICプロトコル関連で、サーバー側の受信チャネルキューでメモリが無制限に増加する「CVE-2026-14456」、INITIALパケット処理時のダブルフリーである「CVE-2026-18798」、ACKのみのパケットによるメモリ枯渇の3件が報告されている。このほか、RPK(Raw Public Key)証明書の処理に関する不具合、EVP_Cipher()を用いた空の暗号文によるAEAD偽造の可能性、CCMモードのAEAD暗号における認証タグ検証の不備も併せて修正されている。 今後の対応 OpenSSLはTLS/SSL通信の基盤として非常に広範なソフトウェアに組み込まれているため、今回のようにQUICやCMPを含む複数プロトコルにまたがる修正がまとめてリリースされるケースでは、利用側のシステムでの影響範囲確認と迅速なアップデートが重要になる。4.0系だけでなく3.6系・3.5系・3.4系・3.0系という4つの保守ブランチに同時にパッチが提供されている点からも、プロジェクト側が旧バージョン利用者を含めた広範な対応を重視していることがうかがえる。各ディストリビューションやクラウドベンダーによるパッケージ更新の追随状況にも注目したい。

概要 独インフィニオン・テクノロジーズは、インド・バンガロールを拠点とするファブレス企業C2i Semiconductorsを買収すると発表した。取引は2026年第3四半期の完了を予定しており、買収金額は非開示となっている。狙いはAIデータセンター向けの電力管理ソリューションを強化することで、AIプロセッサーの高性能化に伴い急激に変動する電力需要に、より迅速かつ正確に対応できる技術基盤を獲得することにある。 C2iの技術と買収の狙い C2i Semiconductorsは、ソフトウェア定義型のマルチフェーズコントローラー、スマート電源ステージ、垂直方向の電力供給アーキテクチャなどに専門性を持つ企業である。同社の技術は、パワー半導体とデジタル制御・ソフトウェアアルゴリズムを組み合わせ、電力変換や電圧レギュレーションをリアルタイムに調整する点が特徴で、AIプロセッサーや高性能コンピューティングシステムが引き起こす急峻な電力負荷変動への対応を可能にする。AI関連ワークロードの拡大により、電力供給はAIインフラ構築における重要な競争領域の一つになりつつあり、インフィニオンはこの分野での技術的優位性を早期に確保する狙いがあるとみられる。 技術的シナジーと今後の展開 インフィニオンは、C2iの技術が同社が既に持つシリコン、シリコンカーバイド(SiC)、窒化ガリウム(GaN)のパワー半導体ポートフォリオを補完するものになると説明している。両社は今後、プロセッサーの直近まで電圧レギュレーションを近づける「基板統合型電圧レギュレータ(Substrate Integrated Voltage Regulator, SIVR)」を含む、垂直方向の電力供給技術の開発でも協業する方針だ。これにより、電力変換の経路を短縮し、AIプロセッサーへの給電効率と応答性を高めることが期待される。 インド事業拡大という側面も 今回の買収は、インフィニオンにとって研究開発体制の強化という側面も持つ。同社はインドに約2,800人の従業員を抱えており、C2iの高度に専門化されたソフトウェア定義型電力管理の知見をグローバルなR&Dネットワークに取り込むことで、インドにおけるイノベーション拠点としての位置づけをさらに強固にする狙いがある。AIデータセンター向け半導体をめぐっては主要プレーヤーによる技術獲得競争が激化しており、今回の買収もその流れに沿った動きといえる。

概要 国際刑事警察機構(Interpol)は、22カ国の法執行機関が参加した国際作戦「Operation Jackal IV」の結果を発表し、西アフリカ発の犯罪ネットワークに関与した容疑者263人を特定、58人を逮捕したと明らかにした。2025年11月から2026年6月にかけて実施された本作戦は、ナイジェリア人主導の犯罪組織「Black Axe」を主な標的とし、イタリア、アルゼンチン、南アフリカ、ルーマニアなど複数の国・地域で摘発活動が展開された。Black Axeは高度に組織化された階層構造を持ち、世界各国で小規模な詐欺行為を分散して実行することで、年間数十億ドル規模の犯罪収益を上げているとされる。 犯罪の手口と摘発の詳細 今回の作戦で明らかになった手口は多岐にわたる。ロマンス詐欺や暗号資産・投資詐欺、ビジネスメール詐欺(BEC)といった従来型の金融犯罪に加え、車両の密輸、シェル企業を利用したマネーロンダリング、さらには14歳前後の未成年者を標的にした「セクストーション(性的搾取・恐喝)」まで確認された。アルゼンチンでは、詐欺グループにドメインやマネーロンダリング支援を提供する「Crime-as-a-Service」型のインフラを運営していたとして17人が拘束され、196人がこのネットワークに関連付けられた。南アフリカではロマンス詐欺・投資詐欺の実行犯39人が摘発されたほか、ルーマニアでは暗号資産を利用した投資詐欺のコールセンター関係者11人が逮捕された。イタリアでは、シェル企業を介した汎欧州規模の資金洗浄ネットワークが摘発されている。 押収資産と成果 各国での資産凍結・押収も大きな成果として報告されている。南アフリカでは約267万ドルを差し押さえ、257の銀行口座を凍結した。ルーマニアでは現金・暗号資産合わせて約37万9,000ドルを押収したほか、電子ウォレットで管理されていた盗難・資金洗浄関連の資金として約1億6,600万ドル相当が特定された。イタリアでは560件の取引を通じて動かされた84万5,000ユーロの資金の流れが解明されている。Interpolの金融犯罪局長は、「不正な資金の流れを国境を越えて追跡することで、組織犯罪の生命線そのものに打撃を与えている」とコメントし、資金の追跡が組織の中枢に迫る手段になっていると強調した。 背景と今後の展望 Black Axeは2021年以降、米国をはじめとする各国の法執行機関から継続的に捜査対象とされてきた組織で、Operation Jackalシリーズは過去にも複数回実施されている。2024年の前回作戦では300人以上が逮捕され、約300万ドルが押収、720の口座が凍結されるなど、今回を上回る規模の摘発が行われた実績がある。西アフリカ発の組織犯罪ネットワークは分散型の実行体制と国際的な資金洗浄インフラを組み合わせることで摘発を逃れやすい構造を持っており、Interpolは各国の連携を継続することで、こうした国境を越えた犯罪エコシステムの解体を今後も進める方針とみられる。

概要 Kubernetesプロジェクトは8月26日、最新版となる「Kubernetes 1.37」を正式リリースした。今回の目玉は、実に9年近くベータ版のまま据え置かれていたMetrics API（metrics.k8s.io）がついに安定版（GA）へ到達したことだ。同APIは2017年3月にAlphaとして導入され、同年9月にBetaへ昇格して以降、Horizontal Pod Autoscaler（HPA）やkubectl topコマンドなど、実運用で広く使われながらも長らくベータのステータスにとどまっていた。スキーマ自体はほとんど変更されておらず、安定した実績を踏まえて今回ようやく正式に昇格した形だ。なお新しいv1と既存のv1beta1はAPIの見た目上は同一で、移行は非破壊的に行われ、v1beta1は今後のリリースで段階的に廃止される予定となっている。 Kubernetes 1.37全体では、KYAMLの出力サポートやPodレベルのリソース管理、DRA（Dynamic Resource Allocation）関連の機能強化など、合計16件のエンハンスメントが安定版に昇格した。これらを含め、Alpha・Beta・Stableの各段階への昇格を合わせると28件の変更が今回のリリースに盛り込まれている。 技術的な詳細 安定版に到達した主な機能としては、kubectl向けの新しい出力形式「KYAML」が挙げられる。KYAMLはマップを波括弧{}、リストを角括弧[]で表現することで、インデントの解釈違いなどYAML特有の落とし穴（いわゆる「ノルウェー問題」）を解消する標準フォーマットとして安定版入りした。また、コンテナ間でCPU・メモリ・hugepageのリソースプールを共有できる「Pod-level resources」も安定版に昇格している。 DRA関連では、ハードウェア障害時の扱いを制御する「デバイスレベルのtaintとtoleration」がGAに到達したほか、NUMAノードのトポロジー情報を標準的に公開するresource.kubernetes.io/numaNode属性の導入、ドライバー固有の状態情報を扱う「Resource Claim Status」の安定化、DRAのメタデータをDownward API経由でワークロードに公開する機能のBeta昇格など、ハードウェアリソースのきめ細かな管理に向けた改善が進んだ。このほか、SELinuxマウントの最適化が安定版に昇格し、コンテナ単位のulimit設定がAlpha機能として新たに追加されている。 非推奨化と廃止の動き 今回のリリースでは複数の機能で非推奨化・段階的廃止が進められた。kubectl runコマンドの--filename/-fフラグは、生成されるPodがCLI引数のみから構築される設計であることを理由に非推奨となった。また、Static PodがSecretやConfigMapを直接参照することも禁止される。Static PodはAPI経由で作成されないため、こうしたAPIリソースへの直接参照は本来の設計外だったための対応だ。 kube-proxyのIPVSモードについても、多リリースにわたる段階的な非推奨化が始まった。1.37では非推奨の警告ログが出力されるようになり、1.40でデフォルト無効化、1.43で完全削除される計画が示されている。背景にはIPVSがKubernetes Servicesの実装を完全にはカバーしておらず、内部的にiptablesへの依存が残っていることがある。並行してkube-proxyのデフォルトをNFTablesへ移行する動きも進んでおり、1.37ではその移行に向けた警告が出始めている。さらに、cgroup v1のサポート廃止に向けた動きも継続しており、1.35以降kubeletの設定でfailCgroupV1がデフォルトで有効になっているため、明示的な設定なしにcgroup v1に依存するノードはkubeletの起動に失敗するようになっている。 今後の展望 Metrics APIのGA到達は、長年ベータのまま実運用を支えてきたコンポーネントに正式な安定性の裏付けが与えられたという意味で象徴的な出来事だ。一方で、IPVSモードやcgroup v1、kubectl run -fなど複数の機能が今後複数リリースにわたって段階的に姿を消していく方針が示されており、運用者にはNFTablesやcgroup v2への移行、CLIスクリプトの見直しなど、計画的な対応が求められることになる。

概要 NVIDIAは半導体カンファレンス「Hot Chips 2026」において、Grace CPUの後継となる自社製Armサーバー向けCPU「Vera」のアーキテクチャ詳細を公開した。Veraは新開発の「Olympus」コアを88基搭載し、NVLink-C2Cインターフェースを介してRubin GPUと統合される「Vera Rubin」プラットフォームの中核を担う。公開されたベンチマークでは、Linuxカーネルのコンパイル性能においてVeraが96コアのAMD EPYC 9655Pを14〜22%上回ったとされ、エージェント型AIワークロードを見据えた自社シリコン戦略の本格展開が印象づけられた。 技術的な詳細 Veraの設計思想の特徴は、コア数の最大化よりも1コアあたりのIPC(命令レベルの並列性)を優先した点にある。NVIDIAはAIエージェントによる推論やツール呼び出しなど、単一スレッド性能が重要となるワークロードが増えていることを設計判断の根拠として挙げている。メモリ面では8基の128ビットLPDDR5Xメモリコントローラを備え、帯域幅は約1.2TB/秒に達する。またダイ単体でのリティクル制限を回避するため、演算コアを1枚のモノリシックダイに集約しつつ、メモリ・I/O部分を別チップレットに分離する6ダイ構成が採用されている。NVIDIA独自のSPEC CPU 2026ベースの内部ベンチマークでは、エージェント型ワークロードで約1.8倍、データ処理ワークロードで約1.5倍の性能向上を主張している。セキュリティ面ではCPU・GPU・NICを統合した機密コンピューティング機能により、ラック全体を改ざん耐性のあるシステムとして扱える設計とした。 プラットフォーム全体としての位置づけ NVIDIAはVera CPUとRubin GPUを、単体チップの性能競争ではなく「AI Factory」と呼ぶシステム全体の最適化課題として位置づけている。同社が並行して発表したネットワーク技術「Spectrum-X Multiplane」は、追加のスイッチ階層を設けずに最大51万2000基のGPUをまとめて接続できるとされ、8プレーン構成であれば1プレーンが障害を起こしても帯域幅の約9割を維持できるという。さらにデータセンターをまたいで接続する「Spectrum-XGS」は、複数拠点間のNCCL集合通信を1.9倍高速化するとしている。こうしたCPU・GPU・ネットワークの垂直統合により、コンテキスト処理からトークン生成、通信、ストレージ、セキュリティまでを一体で最適化する姿勢を強調した形だ。 今後の展望 今回発表されたVera CPUの性能値は現時点でNVIDIA自身が実施した内部ベンチマークに基づくものであり、第三者による独立検証はまだ示されていない。とはいえ、GPU一辺倒だった従来のAI基盤戦略から一歩踏み込み、CPU・GPU・ネットワークを自社設計でフルスタック化する動きは、AMDやIntelなど競合のデータセンター向けCPU事業にとって新たな脅威となりうる。エージェント型AIの普及に伴い、単一スレッド性能やレイテンシ最適化を重視したVeraのような設計が今後の業界標準になるかどうか、独立系ベンチマークの登場を含めて注目される。

概要 OpenAIは8月25日(現地時間)、Hot Chipsカンファレンスにおいて、Broadcomと共同開発した自社製推論チップ「Jalapeño」の初となる実測ベンチマーク結果を公開した。第三者機関SemiAnalysisが提供する推論性能評価「InferenceXベンチマーク」でのテストにおいて、Jalapeñoは「ユーザーあたりのトークン数」および「1キロワットあたりのスループット」の両指標で、現在市場で入手可能な最先端の推論プロセッサを上回ったという。比較対象にはNvidiaのBlackwellシステムが用いられている。OpenAIハードウェア部門責任者のRichard Ho氏は、この結果について「最先端技術に対する非常に大きな性能面での進歩を示すものだ」とコメントしている。 技術的な特徴 Jalapeñoは、推論処理特有のボトルネックである「プリフィル」フェーズと「通信」フェーズにおける遅延の最小化を狙って設計されている点が特徴だ。不要なデータ移動を減らすアーキテクチャを採用することで、モデルの状態やKVキャッシュをチップ側にローカルに保持できるようにし、各処理段階に応じて計算資源・メモリ・ネットワーク資源を最適配分する仕組みを備える。これにより、大量のAIワークロードを効率的にさばきつつ、応答速度に直結する低レイテンシも同時に実現することを目指しているという。 開発の背景と今後の展開 JalapeñoはBroadcomとの協業により開発され、2025年10月に構想が発表されていた。OpenAI自身のAIモデル群、ハードウェア、メモリを一体的に統合するフルスタックのアプローチを採る点が特徴とされる。展開スケジュールについては、2026年末までにごく限定的な規模での導入を開始し、2027年により大規模な本格展開を計画しているとHo氏は述べている。自社インフラ向けにカスタムAIチップを開発する動きは、GoogleのTPUやAmazonのTrainium/Inferentiaなど大手クラウド事業者の間で先行しており、OpenAIも推論コストの削減とNvidia依存の低減を狙って自社チップ開発を進めているとみられる。 今後の注目点 現時点で公開されているのは限定的なベンチマーク結果にとどまり、具体的なモデルごとの性能数値や消費電力、量産スケジュールの詳細など、多くの情報はまだ明らかにされていない。2026年末の初期導入以降、実際の運用環境でどの程度の性能とコスト効率を発揮できるかが、OpenAIの推論インフラ戦略の成否を占う試金石になりそうだ。

概要 WordPress向けのSAML 2.0シングルサインオン(SSO)プラグイン「miniOrange SAML」に存在する2件の未認証認証バイパス脆弱性が、実際の攻撃者に悪用されていることが明らかになった。DigitalOceanのセキュリティチームが、信頼できないネットワークから発生した不審なWordPress管理者セッションの試行を検出したことで発覚した。攻撃者はすでにこの脆弱性を利用して管理者セッションクッキーを取得していたが、DigitalOcean側の信頼できるネットワークに関する制限によって実害には至らなかったという。 技術的な詳細 悪用されている脆弱性は2つで、いずれもStandard版で修正されている。1つはCVE-2026-61979(CVSS 8.1)で、署名アルゴリズムの混同により未認証のまま権限を昇格できる欠陥であり、バージョン17.0.5で修正済みだ。もう1つはCVE-2026-15981(CVSS 9.8)で、不正な署名を正当なものとして受け入れてしまう認証バイパスの欠陥であり、バージョン17.0.6で修正されている。 根本原因は、署名検証を担うmo_saml_validate_signature()関数の実装にある。この関数はPHPのopenssl_verify()が返す3値の整数(検証成功で1、失敗で0、エラーで-1)を適切に扱っておらず、エラーを示す戻り値-1を真(検証成功)と誤って評価してしまう。この結果、細工されたSAMLレスポンスや不正な署名であっても認証を通過させてしまい、攻撃者が任意のユーザー、特に管理者としてログインできる状態が生まれていた。 悪用の実態 攻撃者は複数のIPアドレス(207.211.214.41、79.127.224.14、102.91.71.83、162.243.116.148、84.201.6.54、64.225.25.188など)から機会的なスキャンを行っており、特定の組織を狙い撃ちにするのではなく、このプラグインを導入しているサイト全般を無差別に対象としているとみられる。概念実証(PoC)コードがすでに公開されていることも、悪用リスクを大幅に押し上げている要因となっている。 今後の対応 miniOrange SAMLプラグインを利用しているWordPressサイトの管理者は、Standard版17.0.6以降への即時アップデートが強く推奨される。PoCの公開により攻撃の裾野が広がっていることから、パッチ未適用の環境は早急な対応が必要だ。あわせて、管理者セッションログの確認や、信頼できないネットワークからのアクセス制限といった追加的な防御策も有効な対策となる。