概要 Appleは8月13日、傭兵スパイウェア(mercenary spyware)の標的にされたと判断したユーザーに対し、新形式の「脅威通知(Threat Notification)」を110カ国で一斉送付した。2021年後半に開始したこの警告プログラムにおいて、これまでに150カ国以上のユーザーに通知を行ってきたが、今回は約1年前に確認された100カ国規模の通知を上回る広範な一斉送信となった。通知はiPhoneのロック画面や設定画面へのプッシュ通知として表示されるほか、“threat-notifications@email.apple.com” からのメール、Apple Accountのページ上のバナーなど複数の経路で届く。ロック画面には「Apple detected a mercenary spyware attack targeted at your iPhone」というメッセージが表示され、通知から直接セキュリティ情報にアクセスできる新しいUXが導入された。真正性を確認したい場合は account.apple.com にログインし、ページ上部に表示される警告を確認できる。 技術的な詳細 Appleはこれらの通知を、社内の脅威インテリジェンス調査に基づく「high-confidence alerts(高確度の警告)」と位置づけている。一方で、検出手法の具体的な詳細は意図的に非公開としており、これは攻撃者が公開情報をもとに手口を調整することを防ぐためだと説明している。また、特定の攻撃者や地域への攻撃の帰属(アトリビューション)も行わない方針を貫いている。過去の事例では、フォレンジック調査によって一部の通知がPegasus(NSO Group製)への感染に関連していたことが確認されている。Appleは対策として、ロックダウンモードの有効化、ソフトウェアの最新化、生体認証セキュリティの利用、二要素認証と盗難デバイス保護の有効化、信頼できないアプリ配布元の回避、不審なリンクの無視などを推奨している。同社によれば、ロックダウンモード有効時にスパイウェア攻撃が成功した事例はこれまで報告されていない。 標的とされる層と背景 Appleは傭兵スパイウェア攻撃について、「現存する最も高度なデジタル脅威の一つ」であり、その「極めて高いコスト、洗練度、世界規模での展開」を特徴として挙げている。標的は主にジャーナリスト、活動家、政治家、外交官など、個人の立場や職務に基づいて狙われる非常に限定的な層であり、Apple自身も「大多数のユーザーが標的にされることは決してない」と強調している。こうした攻撃には数百万ドル規模の費用がかかる一方、検出を逃れるための「寿命の短さ」を特徴とし、発見が難しいとされる。 専門家の見解と今後の展望 市民社会の監視活動で知られるCitizen Labの研究者は、Appleの通知プログラムについて「通知は、あるコミュニティが標的にされているという重大なシグナルを生み出す」とコメントしている。実際に、同通知システムがきっかけとなってポーランドで旧政権が野党関係者に対してスパイウェアを乱用していた問題など、重大な調査につながった例も報告されている。専門家は、Appleから脅威通知を受け取った場合は誤報や過剰反応として片付けず、真剣に受け止めてセキュリティ専門家に相談することを勧めている。今回の110カ国という広範な一斉送付は、傭兵スパイウェア産業の拡大と、それに対抗するプラットフォーム側の検知・警告能力の強化という両面を示すものといえる。

概要 Expedia Groupは、LLMを使ってGraphQLのモックレスポンスを実行時に生成するRust製CLIツール「mockql-rs」をオープンソースとして公開した。同社のソフトウェアエンジニアSamuel Vazquez氏によれば、このアプローチの利点はGraphQLのセレクションセットをそのまま「組み込みの仕様」として活用できる点にある。同氏は「LLMは形を発明するのは苦手だが、形を埋めるのは得意だ」と述べており、スキーマという制約があるからこそ、もっともらしいだけのノイズではなく実用に耐えるダミーデータを生成できるという考え方が根底にある。ただし、この動きはExpediaだけのものではなく、Airbnbが先行して独自の仕組みを公開しているほか、GraphQL Foundation自身も標準化に向けたRFCを提案しており、三者三様のアプローチが同時期に登場したことで、業界標準としてまとまるのか、それとも互換性のない複数の実装が並立し続けるのかが今後の焦点となっている。 mockql-rsの仕組み mockql-rsはクライアントとサーバーの間に立つ独立したプロセスとして動作する。開発者はスキーマ上のフィールドに@mockディレクティブと任意のヒントを付与しておく。ツールはapollo-compilerを用いてクライアントからのオペレーションをスキーマに照らして解析し、モック対象として注釈されたフィールドと実際にバックエンドへ問い合わせるべきフィールドとを分離する。実データが必要なフィールドはそのまま上流のサーバーへ転送する一方、モック対象のフィールドについてはオペレーション内容とスキーマのサブセットをLLMに渡してレスポンスを生成させ、最終的に両者をマージして一つのレスポンスとしてクライアントに返す。この方式では呼び出しのたびに新しいモックデータが生成されるため、実行のたびに内容が変わる非決定的なフィクスチャになるのが特徴である。 Airbnbの先行実装との違い Airbnbは今年4月、@generateMockという名前のディレクティブを使う仕組みを公開していた。同名に近いディレクティブながら設計思想は大きく異なり、Expediaの実行時生成とは対照的に、こちらはビルド時にJSON形式のモックデータファイルと型付きのアクセサ関数を出力する方式を採っている。デモアプリやスナップショットテスト、ユニットテストでの利用を想定しており、一度生成した後にエンジニアが手動で加えた編集は、再実行時にも意図的に保持される設計になっている。つまりAirbnbの仕組みはスナップショットのように再現性のあるモックを生み出す一方、Expeditaの仕組みは実行のたびに異なる結果を生む点で、CI環境での挙動に関しても根本的な違いを持つが、記事はどちらの方式もこの非決定性がCIにどう影響するかを十分に扱っていないと指摘している。 GraphQL Foundationの提案と標準化の現状 GraphQL Foundationが提出したRFCは、両社とはさらに異なる第三の立場を取る。@mockをフィールドではなくオペレーションに対して定義し、クライアント側がネットワークリクエストを行わずにモックを返すことを求める設計になっている。モックレスポンスは__graphql_mocks__というディレクトリに配置される想定で、LLMによる生成はあくまで選択可能な一戦略として位置づけられており、必須の仕組みとはされていない。加えて、モックの妥当性検証をアプリケーションのテストスイートの一部として組み込むことを求めており、将来的にはAgent Skillとの連携も視野に入れているという。 ただし、このRFCは現時点でGraphQLの仕様策定プロセスにおける最初期の段階である「Stage 0」にとどまっている。これは提案がまだ「ストローマン(たたき台)」に過ぎず、正式なチャンピオン(推進担当者)も定まっていない状態であり、今後正式な仕様に進む保証は何もないことを意味する。一方でExpediaの実装は、ディレクティブの付与場所やネットワーク動作の扱いという点で、すでにこのRFCの方向性から外れており、標準化が定まる前にベンダーごとの実装が分岐しつつある状況が浮き彫りになっている。 今後の見通し 半年足らずの間に、同じ@mockに近い名前を使いながら意味の異なる複数の実装を含め、三つの異なるソリューションが登場したことになる。この状況について記事は「これが一つの仕様に収斂するのか、それとも互換性のない三つの実装のまま残るのかは、現時点では未解決の問題だ」と評している。標準化がまだStage 0という初期段階にある以上、今この分野のツールを採用するチームは、将来的な仕様変更や実装間の非互換性というリスクを引き受けることになる。GraphQLのスキーマを制約として活かしてLLM生成データの実用性を高めるという発想自体には説得力があるものの、エコシステム全体としてどの設計思想に落ち着くのかは、しばらく流動的な状態が続きそうだ。

概要 自動運転トラック開発企業のAurora InnovationとKodiak AIが、カリフォルニア州車両管理局(DMV)から公道での自動運転トラックのテスト許可を取得した。安全運転手が同乗した状態でのテストが認められ、大型自動運転車両の商用化に向けた規制上の重要な一歩となる。Kodiakはすでにテストを開始しているが、Auroraはテスト許可を取得したものの、記事執筆時点で同州でのテスト開始時期は明らかにされていない。 規制の内容 DMVは4月28日にルールを更新し、最大積載量10,000ポンドを超える車両のテストを新たに認可した。テストには複数の制約が課されており、制限時速25mph以下の道路(直結ルートを除く)での走行は禁止されるほか、運転席には安全オペレーターの配置が必須となる。加えて、保険や車両登録、安全基準など既存の要件も満たす必要がある。これまで両社は主にテキサス州で運用を集中させてきたが、今回の許可によりカリフォルニア州でも本格的な実証が可能になった。 両社のこれまでの実績 Auroraは2025年5月にテキサス州で商業運用を開始し、ダラス〜ヒューストン間のルートを皮切りに、フォートワース〜エルパソ、ラレド〜ダラスなど複数ルートへと展開してきた。一方Kodiakは2025年1月、ウェストテキサスの遠隔地で無人配送を開始し、その後ダラス〜ヒューストン間の高速道路運用へと拡大している。両社にとって今回のカリフォルニア進出は、テキサス州以外での実績を積む重要な機会となる。 反発と今後の焦点 一方で、トラック運転手組合Teamsters Californiaは今回のDMVの決定に反発し、提訴に踏み切った。組合側は、経済的影響の調査と結果の公開を義務付ける法律の趣旨をDMVが迂回したと主張しているほか、運転手の安全リスクへの配慮が不十分だとも指摘している。自動運転トラックの商用化が進む中、労働への影響や安全性を巡る議論は今後さらに激しくなる可能性があり、規制当局と業界、労働組合の三者間の綱引きが焦点となりそうだ。

概要 The Informationの報道によると、Nvidiaは新たなオープンソースAIモデルファミリー「Nemotron 4」を開発中で、最大版は少なくとも1兆パラメータの規模になる見込みだ。複数の従業員によれば、最終的な訓練はまだ完了していないものの、早ければ秋遅くにはリリース可能な段階に達する可能性があるという。ただし正式なリリース日はまだ決定されていない。Nvidiaはオープンソースモデルを提供する数少ない米大手企業の一社として、OpenAIやAnthropicなど主要AI企業と開発者・企業予算を巡る競争を強めている。 開発の背景 Nemotron 4の開発を後押しする要因として、AI開発コストの急増、中国企業による安価かつ高性能なモデルの台頭、自律型AIエージェントに関連するセキュリティ侵害事件の増加などが挙げられている。こうした状況の中で、企業や国家がアクセス可能なフロンティア級のオープンモデルへの需要が高まっているとされる。Nvidiaの生成AI担当副社長Kari Briski氏は、「すべての企業と国が、安全性とセキュリティを強化し、革新を加速させるためにアクセス可能なフロンティアオープンモデルを必要としている」と述べている。 技術的な詳細と関連製品 Nemotron 4の最大モデルは少なくとも1兆パラメータを備える見込みで、これが実現すればNvidiaにとって過去最大規模のオープンモデルとなる。オープンソースである特性上、商用クローズドモデルに比べて利用上の制限が少ない点も特徴とされる。これに先立ち、Nvidiaは同じNemotronファミリーの「Nemotron 3.5 Lightning」と、AIタスクを自動的に最適なモデルへ振り分ける「NeMo Switchyard」をすでにリリースしている。Nemotron 4はこれらに続く、より大規模なフラッグシップモデルという位置づけになる。 今後の見通し 正式なリリース時期は未定だが、秋までに公開される可能性があるとの見方が従業員から示されている。1兆パラメータ級のオープンモデルが実際に登場すれば、OpenAIやAnthropicといったクローズドモデル陣営に加え、中国発のオープンモデルとの競争構図にも大きな影響を与えることになりそうだ。Nvidiaがハードウェア企業としての立場を超え、フロンティアモデル開発でも存在感を強めていく動きとして注目される。

概要 クラウド型ビジネス通話サービスを提供するRingCentralが、恐喝グループ「ShinyHunters」による攻撃を受け、約160万件のアカウント情報が流出した。同社は7月28日にこのセキュリティインシデントを公表し、「巧妙なソーシャルエンジニアリングキャンペーンの標的になった」と説明している。漏洩したデータは氏名、メールアドレス、電話番号、住所などの連絡先情報で、8月に入りダークウェブのリークサイト上で一般に公開された。データ漏洩情報の確認サービスHave I Been Pwnedもこのデータを分析し、約160万件のアカウントレコードが含まれていることを確認した。 侵害の経緯 今回の侵害は、RingCentralの従業員を標的としたビッシング(音声フィッシング)攻撃が起点となった。攻撃者は電話を通じて従業員をだまし、認証情報を窃取することでシステムへの不正アクセスに成功したとみられる。ShinyHuntersは7月27日に犯行声明を出し、623GB相当のデータを窃取したと主張。7月30日を期限とする身代金要求を行ったが、RingCentralが支払いを拒否したことを受け、8月3日に約280GB分のファイルをダークウェブ上のリークサイトで公開した。同グループは「同社は我々の多大な忍耐にもかかわらず、合意に至ることができなかった」と犯行声明で述べている。 RingCentralの対応と被害範囲 RingCentralは声明で「侵入を検知後、直ちに対応し、不正な活動を停止するための措置を講じた」とし、第三者のフォレンジック専門会社と連携して調査を進めたことを明らかにした。同社は、コアとなるRingCentralプラットフォーム自体には影響がなく、サービスは継続して稼働していると強調している。また、修復措置後には新たな不正アクティビティは検出されていないとし、直接連絡を受けた顧客のみが影響を受けたとの見解を示した。 今後のリスクと背景 流出した連絡先情報は、氏名や電話番号、メールアドレス、住所が組み合わさっているため、今後のビッシング攻撃や標的型フィッシングに悪用される懸念が指摘されている。攻撃者が実在する氏名や連絡先を把握した状態で電話をかけてくることで、被害者が詐欺と気づきにくくなるリスクがある。ShinyHuntersは2026年初頭以降、教育テクノロジー企業や医療機関、さらには最近ではAbbottのがん診断事業部門など、100以上の組織を侵害してきた「トップクラスの脅威グループ」として、セキュリティアナリストから警戒されている。数百のSalesforce顧客や複数のSnowflake顧客への侵害にも関与しているとされ、今回のRingCentral事件も同グループによる一連の大規模な恐喝キャンペーンの一部と位置づけられる。

概要 中国のAI企業DeepSeekは、フラグシップモデルであるV4-FlashおよびV4-ProのAPI価格を8月16日から大幅に引き上げると発表した。値上げ幅は項目によって異なるが、最も上昇率の大きいキャッシュヒット時の入力トークン価格では1,100%を超える引き上げとなるケースもある。同社は今回の改定にあわせて、需要の高いピーク時間帯と、その約半額となるオフピーク時間帯を分ける動的価格体系を新たに導入した。 価格改定の詳細 V4-Flashモデルは、ピーク時の価格が100万トークンあたり0.28ドルから1.32ドルへと4倍以上に引き上げられる。より細かく見ると、キャッシュミス時の入力トークンは0.14ドルから0.22～0.44ドル（57～214%上昇）、出力トークンは0.28ドルから0.66～1.32ドル（136～371%上昇）となる。V4-Proモデルも同様の傾向で、ピーク時の価格は0.87ドルから3.96ドルへ引き上げられ、入力トークンは0.435ドルから0.66～1.32ドル（51～203%上昇）、出力トークンは0.87ドルから1.98～3.96ドル（127～355%上昇）となる。オフピーク時間帯はこれらの価格の半額に設定されており、1日24時間のうち17時間がオフピーク料金の対象となる。新価格は8月16日から大部分の地域で適用が始まる。 背景 DeepSeekは今回の価格改定について、「リソースをより合理的に配分するため」と説明しており、開発者や企業に対して混雑していない時間帯への処理シフトを促す狙いがあるとみられる。Info-Tech Research GroupのMark Tauschek氏は、今回の値上げについて「需要が増えれば価格が上がるという単純な需給関係」だと指摘し、AI需要の急増による供給能力の逼迫が主因だとの見方を示した。また、Greyhound ResearchのSanchit Vir Gogia氏は、DeepSeekの低価格戦略を支えてきた約98%という高いキャッシュヒット率が同社のコスト優位性の重要な要素だったと指摘し、新しい価格体系はこの仕組み自体に変化をもたらすことになると述べている。 業界への影響 大幅な値上げにもかかわらず、DeepSeekの価格水準は依然として競合の主要AIサービスと比べて低い水準にとどまっている。DeepSeekのこれまでの積極的な低価格戦略は、AI業界においていわゆる"デスゾーン"と呼ばれる価格競争環境を生み出し、OpenAIやAnthropicなど大手AI企業のIPO計画にとってもリスク要因の一つとして意識されてきた。今回の値上げが、需要逼迫に対する一時的な調整にとどまるのか、それとも業界全体の価格構造に影響を及ぼす転換点となるのかが今後注目される。

概要 Google Cloudは8月11日、Database Migration Service（DMS）にGeminiを統合したAIコード変換機能を発表した。OracleやSQL ServerからPostgreSQL（AlloyDB for PostgreSQLおよびCloud SQL for PostgreSQL）へのデータベース移行において、これまで数ヶ月を要していたストアドプロシージャ・トリガー・カスタム関数などの手続き型ロジックの変換作業を、数日単位に短縮できるとしている。 「最後の1マイル」問題 Google Cloudによれば、データベース移行はスキーマ変換やデータ移行そのものは比較的スムーズに進む一方、数百個に及ぶストアドプロシージャやトリガー、カスタム関数を専有のSQL方言（PL/SQLやT-SQLなど）からPostgreSQLのPL/pgSQLへ手作業で書き換える工程がボトルネックとなってきた。数千行規模の手続き型コードを人手で翻訳するには長い期間がかかるうえ、変換ミスによるリスクも高い。この「最後の1マイル」を解消することが、今回の機能追加の主眼だという。 技術的な詳細 新機能は、ソースデータベースのテーブル関係やデータ型、外部キー制約、プロシージャ間の依存関係といったスキーマ全体のコンテキストを自動的に読み込んだ上で、Geminiが変換対象のコードを生成する仕組みを採る。標準的なDDLやスカラ関数の変換には決定論的なコンパイラルールによる1対1マッピングを用い、条件分岐やNULLハンドリングなど複雑な手続きブロックの変換にGeminiのコンテキスト理解を組み合わせることで精度を担保する。生成後は構文・依存関係の自動検証を経て、変換前後のコードをサイドバイサイドで表示し、変換理由をインラインで説明する評価画面が提示される。開発者はここで内容を確認・編集した上で、Cloud SQLやAlloyDB上のステージング環境にデプロイして機能・性能を検証できる。処理はすべて利用組織のGoogle CloudプロジェクトIAMガバナンス配下で完結するため、複数ファイルの手作業コピー&ペーストや、コードの外部持ち出しを避けられる点もセキュリティ面での特徴として挙げられている。 利用方法と今後 機能はGoogle Cloudコンソールのmigration assessmentウィザードから呼び出す形で提供される。記事では料金体系やプレビュー・GA(一般提供)の区分については明記されておらず、詳細はデータベース移行および料金の公式ドキュメントを参照する必要がある。あわせて公開された動画シリーズ「Gemini taught me PostgreSQL」では、OracleやSQL Serverからの典型的な変換シナリオが紹介されている。Google Cloudは関連するデータベース運用エージェントや、複数結果セットの変換自動化といった取り組みも進めており、AIを活用したデータベース移行・運用の自動化を今後も拡張していく方針とみられる。

概要 macOSの標準リモートデスクトップ機能「画面共有(Screen Sharing)」に存在する認証バイパスの脆弱性CVE-2026-65400が実際の攻撃で悪用され、Monero(モネロ)の暗号資産マイナーを設置する事例が確認された。オランダの国家サイバーセキュリティセンター(NCSC)によると、画面共有が利用するTCPポート5900をインターネットに公開しているシステムで能動的な悪用が観測されており、攻撃者は正当な認証情報なしにroot権限を取得しているという。CVSSスコアは7.1で、Appleは8月6日付でmacOS Tahoe 26.6.1、Sequoia 15.7.9、Sonoma 14.8.9として修正版を配布済みだが、未適用の端末は依然としてリスクにさらされている。 技術的な詳細 画面共有機能はVNCプロトコルをベースにポート5900で通信を行う。今回の脆弱性は状態管理メカニズムの不備に起因し、正しい認証情報の検証を回避できてしまう問題だった。影響を受けるのはmacOS Tahoe 26.6.1以前、Sequoia 15.7.9以前、Sonoma 14.8.9以前で、Appleは修正版で認証試行時の状態管理を強化し、不正な認証試行を防止する対応を行った。攻撃者はこの欠陥を突いてroot権限を獲得し、複数のシステムにMoneroマイナーを配置していることが確認されている。現時点では攻撃の主目的は暗号資産マイニングにとどまっているが、専門家は今後マルウェア配布や認証情報窃取など、より深刻な悪用に発展する可能性も懸念している。 推奨される対策 Appleおよびセキュリティ専門家は、まず該当のセキュリティアップデートを速やかに適用することを推奨している。パッチ適用が困難な場合の緊急措置としては、「システム設定」→「一般」→「共有」から画面共有機能自体を無効化することが挙げられる。また、画面共有をどうしても利用する必要がある場合でも、ポート5900をインターネットに直接公開せず、VPNやSSHトンネリングを経由してアクセスするようネットワーク構成を見直すことが強く推奨されている。NCSCの報告以降、攻撃の開始時期や被害システムの規模、マイニング以外への悪用の有無といった詳細情報は明らかになっていないが、ポート5900が外部に露出したMacは引き続き標的になり得るため、継続的な警戒が必要とされている。

概要 ファイル同期ツールrsyncの新バージョン3.5が2026年8月13日にリリースされた。今回のリリースでは合計33件のセキュリティ問題が修正されており、その中にはproxy protocol = trueを有効にしたrsyncデーモンに影響する重大な脆弱性CVE-2026-53791が含まれる。この脆弱性は、デーモンに直接接続した攻撃者が独自のPROXYヘッダーを送信できてしまう問題で、送信元IPアドレスを偽装し、ホストベースのアクセス制御を回避される恐れがある。影響範囲の広さと深刻度から、利用者・管理者には速やかなアップグレードが推奨されている。 修正されたセキュリティ問題 33件の修正の中には、シンボリックリンクの扱いに起因する深刻度「High」の複数の脆弱性が含まれており、任意のファイルの読み取りや書き込みにつながる可能性がある。また、フィルタ処理・引数解析・ハードリンク処理においてヒープ領域の範囲外書き込み(heap out-of-bounds write)が発生する問題や、デーモンプロトコル経由で到達可能なメモリ安全性の問題も修正された。このほか、細工されたチェックサムチェーンによってCPUリソースを消費させる二次関数的(quadratic)なDoS攻撃の手法や、悪意のあるピアがクライアントのI/Oタイムアウトを操作できる問題も対処されている。rsync-sslについては証明書検証とホスト名バインディングの強化も行われた。 その他の改善点 セキュリティ修正に加え、いくつかの防御的な機能強化も導入された。制限付きSSHラッパーであるrrsyncには、ディレクトリからの脱出を防ぐ追加の保護機能が加わった。また、ファイル名に含まれる制御文字はログ出力前にエスケープされるようになり、ターミナルインジェクションを防止する。シンボリックリンクされた宛先ディレクトリは、rootまたはrsyncユーザーが所有する場合のみ辿られるよう制限され、proxy protocol = trueが設定されているにもかかわらず信頼するプロキシホストが構成されていない場合は接続が拒否されるようになった。全体として、複数の操作にわたりアクセス制御の検証とパスの閉じ込め(path confinement)が強化されている。 今後の対応 今回のリリースは、ネットワーク越しにアクセス可能な脆弱性を含む大規模なセキュリティ修正パッチであり、特にデーモンモードでrsyncを運用している環境では影響が大きい。CVE-2026-53791はアクセス制御の根幹に関わる問題であるため、proxy protocolを有効にしている管理者は優先的に3.5へのアップグレードを検討すべきである。

概要 SAP Commerce Cloud(旧SAP Hybris)のData Hub Adapter拡張機能に存在する最大深刻度の脆弱性CVE-2026-58231(CVSS 10.0)が、SAPによるパッチ公開からわずか3日後の2026年8月14日に、実際の攻撃で悪用され始めたことが明らかになった。この脆弱性は認可不備に起因するもので、未認証の攻撃者がデフォルトの認証クライアントを悪用し、十分な検証を経ていない特定の機能に細工した入力を送り込むことで、任意コード実行を達成できる。攻撃には特権を必要とせず、複雑さも低いため、脆弱なシステムを持つ企業にとって極めて深刻なリスクとなっている。 脅威インテリジェンス企業Defusedは、自社のハニーポットに対してCVE-2026-58231を狙った最初の悪用試行が「パッチ公開日から3日後」に検知されたと報告した。この時点で本脆弱性の公開PoC(概念実証コード)は存在しておらず、攻撃者が独自にエクスプロイトを開発した可能性が高いとみられている。 技術的な詳細 SAPは2026年8月11日の月例パッチデー(August Patch Day)において、セキュリティノート#3771065を通じてCVE-2026-58231の修正を公開した。脆弱性はData Hub Adapter拡張機能の認可処理に存在し、デフォルトで設定されている認証クライアントを悪用することで、未認証のリモート攻撃者が内部コンポーネントを侵害し任意コードを実行できてしまう。SAPはこの脆弱性を最大深刻度であるCVSS 10.0と評価しており、対象顧客およびパートナーに対して「直ちにシステムにパッチを適用する」よう強く呼びかけている。 インターネットに公開されたSAP Commerce Cloudインスタンスの実態調査を行うShadowserverによれば、脆弱性の影響を受けうる公開インスタンスは4,200件以上確認されており、その多くは欧州および北米に集中しているという。パッチが公開されてから攻撃が観測されるまでの期間がわずか3日と極めて短かったことは、攻撃者側の脆弱性解析・武器化の速度が年々向上していることを改めて示す事例といえる。 今後の対応 現時点で公開されたPoCは確認されていないものの、既に実際の攻撃が観測されている以上、パッチ未適用の環境は速やかにリスクにさらされる可能性が高い。SAP Commerce Cloudを運用する企業は、SAPのセキュリティノート#3771065の内容を確認し、対象拡張機能の適用状況を点検した上で、至急アップグレードを実施することが強く推奨される。あわせて、インターネットに公開されたインスタンスの棚卸しや、Data Hub Adapterへのアクセス制御の見直しも合わせて検討すべきだろう。