OSS

概要 オープンソースゲームエンジンGodotの中核開発者らが設立したW4 Gamesが、Tencent主導のシリーズBラウンドで1800万ドルを調達した。これにより同社の累計調達額は3300万ドルに達する。ラウンドにはTencentのほか、OSS Capital、LUX、Naval Ravikant氏やTobias Lutke氏のファミリーオフィスも参加した。Tencentとは資金調達にとどまらず複数年にわたる戦略的パートナーシップも締結しており、W4 Gamesの共同CEOであるNicola Farronato氏は、グローバル展開を進めGodotをより多くのスタジオや開発者に届けるための重要な一歩だとコメントしている。 W4 GamesとGodotの関係 W4 GamesはGodotの創作者であるJuan Linietsky氏とFarronato氏らが設立した企業で、Godotエンジン自体を開発・所有しているわけではない。エンジン本体はMITライセンスの下で公開され、オランダに法的拠点を置く独立非営利組織Godot Foundationがコミュニティ主導で統括している。W4 Gamesはこの体制を支援する立場にあり、Foundationの理事会にも参加しつつ、エンタープライズ向けのツールやクラウドサービス、サポートといった商用レイヤーを提供することで事業を成立させている。オープンソースの中立性を保ちながら収益化の仕組みを別会社に持たせるという、近年のOSSプロジェクトでよく見られる構造だ。 資金の使途とアジア市場への展開 調達資金は主にチームの50%拡大と、エンタープライズ向けオファリングの加速に充てられる。特に注目されるのはTencentとの提携を軸としたアジア市場、なかでも中国市場への展開強化だ。Tencentは世界最大級のゲーム企業であり、その販路や技術基盤をW4 Gamesが活用できることは、Godotエコシステムがアジア地域のスタジオや開発者に浸透する上で大きな追い風になると見られる。 Godotの成長を裏付ける指標 今回の調達の背景には、Godotの急速な採用拡大がある。Steam上で公開されるGodot製ゲームのタイトル数は2024年から2025年にかけて年50%以上のペースで増加し、年間売上100万ドルを超えるGodot製ゲームはこの3年間で2本から50本以上へと急増した。またGlobal Game JamやGMTK Game Jamといったゲームジャムイベントでも、Godotの採用率は2022年の10%から現在では50%まで上昇している。UnityやUnreal Engineへの依存を見直す開発者が増える中、無料かつオープンソースであるGodotへの関心の高まりが、こうした投資家からの評価につながったといえる。

概要 OpenSSLプロジェクトは、暗号ライブラリの最新版となる4.0.2をリリースした。前バージョンの4.0.1から約2.5カ月というタイトな間隔での公開であり、CMS(Cryptographic Message Syntax)、DTLS、QUIC、OCSP、CMPという複数のコアコンポーネントにまたがる脆弱性を修正する内容となっている。深刻度の高いヒープバッファオーバーフローやダブルフリー、メモリ枯渇を引き起こす不具合が含まれており、TLS/DTLS/QUIC通信や証明書管理機能を利用する幅広いシステムに影響する可能性がある。プロジェクトは4.0系と並行して保守されている3.xブランチ(3.6.4、3.5.8、3.4.7、3.0.22)にも同時にセキュリティパッチを適用しており、旧バージョンを使い続けている利用者にも速やかな更新が推奨される。 技術的な詳細 今回修正された脆弱性のうち、CMSの鍵アンラップ処理に存在する「CVE-2026-63072」はヒープバッファオーバーフローを引き起こすもので、細工されたCMSメッセージの処理時に発生する。DTLSでは「CVE-2026-54874」としてレコードバッファリング処理における過剰なメモリ消費が指摘されており、サービス拒否につながりうる。OCSPクライアント側にはレスポンス検証時にメモリリークが生じる「CVE-2026-54876」が見つかっている。 CMP(Certificate Management Protocol)関連では、細工されたprotectionAlgパラメータによって無効なポインタ参照が発生する「CVE-2026-63076」に加え、信頼されていない送信者DNのフォーマット文字列に起因する脆弱性、そしてextraCertsキャッシュが際限なく肥大化する不具合の3件が修正された。 最も件数が多いのがQUICプロトコル関連で、サーバー側の受信チャネルキューでメモリが無制限に増加する「CVE-2026-14456」、INITIALパケット処理時のダブルフリーである「CVE-2026-18798」、ACKのみのパケットによるメモリ枯渇の3件が報告されている。このほか、RPK(Raw Public Key)証明書の処理に関する不具合、EVP_Cipher()を用いた空の暗号文によるAEAD偽造の可能性、CCMモードのAEAD暗号における認証タグ検証の不備も併せて修正されている。 今後の対応 OpenSSLはTLS/SSL通信の基盤として非常に広範なソフトウェアに組み込まれているため、今回のようにQUICやCMPを含む複数プロトコルにまたがる修正がまとめてリリースされるケースでは、利用側のシステムでの影響範囲確認と迅速なアップデートが重要になる。4.0系だけでなく3.6系・3.5系・3.4系・3.0系という4つの保守ブランチに同時にパッチが提供されている点からも、プロジェクト側が旧バージョン利用者を含めた広範な対応を重視していることがうかがえる。各ディストリビューションやクラウドベンダーによるパッケージ更新の追随状況にも注目したい。

概要 Kubernetesプロジェクトは8月26日、最新版となる「Kubernetes 1.37」を正式リリースした。今回の目玉は、実に9年近くベータ版のまま据え置かれていたMetrics API（metrics.k8s.io）がついに安定版（GA）へ到達したことだ。同APIは2017年3月にAlphaとして導入され、同年9月にBetaへ昇格して以降、Horizontal Pod Autoscaler（HPA）やkubectl topコマンドなど、実運用で広く使われながらも長らくベータのステータスにとどまっていた。スキーマ自体はほとんど変更されておらず、安定した実績を踏まえて今回ようやく正式に昇格した形だ。なお新しいv1と既存のv1beta1はAPIの見た目上は同一で、移行は非破壊的に行われ、v1beta1は今後のリリースで段階的に廃止される予定となっている。 Kubernetes 1.37全体では、KYAMLの出力サポートやPodレベルのリソース管理、DRA（Dynamic Resource Allocation）関連の機能強化など、合計16件のエンハンスメントが安定版に昇格した。これらを含め、Alpha・Beta・Stableの各段階への昇格を合わせると28件の変更が今回のリリースに盛り込まれている。 技術的な詳細 安定版に到達した主な機能としては、kubectl向けの新しい出力形式「KYAML」が挙げられる。KYAMLはマップを波括弧{}、リストを角括弧[]で表現することで、インデントの解釈違いなどYAML特有の落とし穴（いわゆる「ノルウェー問題」）を解消する標準フォーマットとして安定版入りした。また、コンテナ間でCPU・メモリ・hugepageのリソースプールを共有できる「Pod-level resources」も安定版に昇格している。 DRA関連では、ハードウェア障害時の扱いを制御する「デバイスレベルのtaintとtoleration」がGAに到達したほか、NUMAノードのトポロジー情報を標準的に公開するresource.kubernetes.io/numaNode属性の導入、ドライバー固有の状態情報を扱う「Resource Claim Status」の安定化、DRAのメタデータをDownward API経由でワークロードに公開する機能のBeta昇格など、ハードウェアリソースのきめ細かな管理に向けた改善が進んだ。このほか、SELinuxマウントの最適化が安定版に昇格し、コンテナ単位のulimit設定がAlpha機能として新たに追加されている。 非推奨化と廃止の動き 今回のリリースでは複数の機能で非推奨化・段階的廃止が進められた。kubectl runコマンドの--filename/-fフラグは、生成されるPodがCLI引数のみから構築される設計であることを理由に非推奨となった。また、Static PodがSecretやConfigMapを直接参照することも禁止される。Static PodはAPI経由で作成されないため、こうしたAPIリソースへの直接参照は本来の設計外だったための対応だ。 kube-proxyのIPVSモードについても、多リリースにわたる段階的な非推奨化が始まった。1.37では非推奨の警告ログが出力されるようになり、1.40でデフォルト無効化、1.43で完全削除される計画が示されている。背景にはIPVSがKubernetes Servicesの実装を完全にはカバーしておらず、内部的にiptablesへの依存が残っていることがある。並行してkube-proxyのデフォルトをNFTablesへ移行する動きも進んでおり、1.37ではその移行に向けた警告が出始めている。さらに、cgroup v1のサポート廃止に向けた動きも継続しており、1.35以降kubeletの設定でfailCgroupV1がデフォルトで有効になっているため、明示的な設定なしにcgroup v1に依存するノードはkubeletの起動に失敗するようになっている。 今後の展望 Metrics APIのGA到達は、長年ベータのまま実運用を支えてきたコンポーネントに正式な安定性の裏付けが与えられたという意味で象徴的な出来事だ。一方で、IPVSモードやcgroup v1、kubectl run -fなど複数の機能が今後複数リリースにわたって段階的に姿を消していく方針が示されており、運用者にはNFTablesやcgroup v2への移行、CLIスクリプトの見直しなど、計画的な対応が求められることになる。

概要 WordPress向けのSAML 2.0シングルサインオン(SSO)プラグイン「miniOrange SAML」に存在する2件の未認証認証バイパス脆弱性が、実際の攻撃者に悪用されていることが明らかになった。DigitalOceanのセキュリティチームが、信頼できないネットワークから発生した不審なWordPress管理者セッションの試行を検出したことで発覚した。攻撃者はすでにこの脆弱性を利用して管理者セッションクッキーを取得していたが、DigitalOcean側の信頼できるネットワークに関する制限によって実害には至らなかったという。 技術的な詳細 悪用されている脆弱性は2つで、いずれもStandard版で修正されている。1つはCVE-2026-61979(CVSS 8.1)で、署名アルゴリズムの混同により未認証のまま権限を昇格できる欠陥であり、バージョン17.0.5で修正済みだ。もう1つはCVE-2026-15981(CVSS 9.8)で、不正な署名を正当なものとして受け入れてしまう認証バイパスの欠陥であり、バージョン17.0.6で修正されている。 根本原因は、署名検証を担うmo_saml_validate_signature()関数の実装にある。この関数はPHPのopenssl_verify()が返す3値の整数(検証成功で1、失敗で0、エラーで-1)を適切に扱っておらず、エラーを示す戻り値-1を真(検証成功)と誤って評価してしまう。この結果、細工されたSAMLレスポンスや不正な署名であっても認証を通過させてしまい、攻撃者が任意のユーザー、特に管理者としてログインできる状態が生まれていた。 悪用の実態 攻撃者は複数のIPアドレス(207.211.214.41、79.127.224.14、102.91.71.83、162.243.116.148、84.201.6.54、64.225.25.188など)から機会的なスキャンを行っており、特定の組織を狙い撃ちにするのではなく、このプラグインを導入しているサイト全般を無差別に対象としているとみられる。概念実証(PoC)コードがすでに公開されていることも、悪用リスクを大幅に押し上げている要因となっている。 今後の対応 miniOrange SAMLプラグインを利用しているWordPressサイトの管理者は、Standard版17.0.6以降への即時アップデートが強く推奨される。PoCの公開により攻撃の裾野が広がっていることから、パッチ未適用の環境は早急な対応が必要だ。あわせて、管理者セッションログの確認や、信頼できないネットワークからのアクセス制限といった追加的な防御策も有効な対策となる。

概要 DuckDB Labsは開発コード名「Cyanoptera」ことDuckDB v2.0のプレビューを公開した。バージョン1.5以降、1万を超えるコミットを積み重ねた大型アップデートで、組み込み型（インプロセス）データベースとして知られてきたDuckDBを、ネットワーク接続やリモート運用を前提とした分散アーキテクチャへと拡張する内容となっている。正式なGA（一般提供）リリースは2026年秋を予定している。 最大の目玉は、新しい「quack」プロトコル拡張と新設のSQL文CONNECTによって実現されるクライアント/サーバーモードの導入だ。これによりDuckDBのインスタンスをネットワークデーモンとして起動し、リモートからの接続を受け付けられるようになる。さらにPostgreSQLやMySQLといった外部データベースをアタッチし、クエリのプッシュダウン最適化を効かせた連携も可能になる。組み込み用途に特化してきたDuckDBが、サーバー型のワークロードにも対応範囲を広げる格好だ。 技術的な詳細 拡張機能（エクステンション）エコシステムも刷新される。従来課題とされてきた移植性の問題に対応するため、YAMLで明示的に定義されたバージョン管理付きC APIが導入され、安定したABI（Application Binary Interface）保証が提供される。これにより組織は独自の拡張機能リポジトリを暗号学的ピン留め付きでセルフホストできるようになり、C++以外の言語バインディングを持つ開発者にとっても恩恵が大きいとみられる。 データ型まわりでは、半構造化データの検出やJSONのカラム表現へのシュレッディング（分解格納）に対応するVARIANT型が本格的に成熟した。SQLパーサーもPostgreSQL由来のものから、カスタム構文の登録に対応する独自のPEGベース文法へと置き換えられる。ストレージ・パフォーマンス面では、クラウドオブジェクトストレージ全体にわたる非同期I/O、パーティションを意識したクエリプランニング、DICT_FSST辞書をデフォルトとした文字列圧縮の最適化、ICU依存を排したIANAベースのタイムゾーン・照合順序サブシステムへの刷新など、多岐にわたる改善が加えられている。 反響と今後の見通し Hacker Newsでは、コンシューマー向けハードウェア上でもアウトオブコア（メモリに収まらないデータ）の分析ワークロードを実行できることで、クラウドインフラのコストを大幅に削減できる点が評価されている。Redditでの議論では、DuckDBがPostgreSQLのようなOLTP（トランザクション処理）の代替ではなく、あくまでOLAP（分析処理)ツールとして独自の立ち位置を保っている点が強調され、C ABIの安定性向上がC++以外の言語バインディングにもたらすメリットについても評価の声が上がっている。GAリリースが予定される2026年秋に向けて、組み込み型データベースの定番であったDuckDBが分散環境でどこまで存在感を発揮できるか注目される。

概要 Vercelは2026年8月3日、Reactフレームワーク「Next.js」の最新版となる16.3を正式リリースした。今回のリリースはパフォーマンス改善に主眼が置かれており、バンドラ「Turbopack」のメモリ使用量を最大90%削減したほか、サーバサイドレンダリング（SSR）を最大22%高速化、さらにGo言語に移植された「TypeScript 7」の採用によりビルド時の型チェック処理も高速化された。加えて、SPA（Single Page Application）並みの画面遷移を実現する新機能「Instant Navigations」も追加されている。 Turbopackのメモリ削減とビルド高速化 Turbopackでは、ファイルシステムキャッシュの改善とキャッシュのメモリ解放機能の最適化により、開発時のメモリ使用量を最大90%削減した。この最適化の副次効果として、再ビルド処理も最大5.5倍高速化されており、大規模プロジェクトでの開発体験が大きく改善される見込みだ。 SSR高速化とTypeScript 7による型チェックの高速化 SSRについては、これまでNode.jsのWeb Streams APIを経由していた処理を、Node.jsネイティブなStream APIへと置き換えた。WHATWG標準APIとの間で発生していた内部変換処理を削除したことで、高負荷時のレンダリング性能が最大22%向上している。 また、ビルド時の型チェックには、Go言語に移植された次世代の「TypeScript 7」が採用された。トランスパイラの実行速度が向上したことで、型チェックにかかる時間が短縮されている。 Instant NavigationsとInstant Insights 新機能「Instant Navigations」は、SPAに匹敵する応答性の高い画面遷移を実現するもので、（1）ローディングUIを即座に表示した上で残りのUIをストリーミング配信する、（2）過去にレンダリング済みのUIをキャッシュして再利用する、という2つの実装パターンを組み合わせて実現している。あわせて、パフォーマンス上のボトルネックを検知できる開発ツール「Instant Insights」も搭載された。 このほか、AIエージェント向けの開発ツールの改善や、カスタムエラーバウンダリー機能の追加も行われており、開発体験とアプリケーションの安定性の両面で強化が図られている。

概要 Model Context Protocol(MCP)のリードメンテナーであるDavid Soria Parra氏とDen Delimarsky氏は8月22日、プロトコルの新たなロードマップを公開した。今回示されたのは、(1) エージェンティック・メッセージング・プリミティブの強化、(2) HTTPネイティブ転送方式への統一、(3) エージェントIDとエンタープライズセキュリティの標準化、(4) 既存プリミティブの改善、(5) SDK開発者体験の向上、という5つの優先領域だ。MCPはLLMエージェントが外部ツールやデータソースと接続するための標準プロトコルとして急速に普及しており、今回のロードマップはエージェント同士が長時間にわたり非同期に連携し、企業環境で安全に運用されるための基盤整備を目指すものとなる。 5つの優先領域 最も重点が置かれているのが、エージェンティック・メッセージング・プリミティブの拡充だ。従来のリクエスト・レスポンス型のやり取りでは、長時間かかる非同期処理やエージェント間の継続的な連携に対応しきれないという課題があった。これを解決するため、サーバー側から能動的にイベントを送信する仕組み(webhookやチャネル)の実装や、既存のTasks拡張の成熟化、サーバーがストリーム形式で結果をプッシュできる仕組みの整備が計画されている。 2点目のHTTPネイティブ転送の統一では、リモートのMCPサーバーを標準的なHTTPワークロードとして扱えるようにする方向性が示された。現在はStreamable HTTPとstdioという複数の転送方式が併存しているが、これを単一の転送層に統一することで実装や運用の複雑さを減らす狙いがある。 3点目のエージェントIDとエンタープライズセキュリティは、企業でのMCP導入拡大を見据えた項目だ。クラウド上で稼働するエージェントを標準化された方法で識別し、信頼を構築できるようにするため、DPoP(Demonstrating Proof of Possession)やWorkload Identity Federationの採用、IETFのOAuthおよびWIMSEといった標準化団体との連携を進めるとしている。 このほか、ツール呼び出しの結果形式が複数存在する問題を解消する「プリミティブの改善」、大規模なツールカタログを段階的に公開できるプログレッシブディスカバリー、仕様適合性テストの強化やAPIドキュメントの充実といった「SDK開発者体験の向上」も優先領域に含まれる。 背景と今後の展望 前回のロードマップは今年3月に公開されており、それから5ヶ月の間に2026-07-28付の仕様リリースで大きな進展があった。特に、プロトコルレベルのセッションと初期化ハンドシェイクが廃止されたことで、MCPサーバーの水平スケーリングが可能になっている。今回のロードマップは、この流れを踏まえてさらにエンタープライズ利用や複雑なマルチエージェント構成への対応を進めるものだ。 メンテナー陣は、優先領域に該当する仕様拡張提案(SEP)については審査を迅速化するとしており、ワーキンググループへの参加、SEPの提案・コメント、実験的拡張の開発などを通じたコミュニティ参加を呼びかけている。エージェント間連携やエンタープライズ導入が今後さらに広がる中で、MCPがどこまで標準として成熟していくかが注目される。

概要 OpenAIは2026年8月20日、コーディングエージェントCodexを支える実行エンジン「Harness」をApache-2.0ライセンスでオープンソース化した。公開されたのは「codex exec」（CLIツール）、公式Codex SDK（TypeScript/Python対応）、「app-server」（コアエンジンサーバー）の3コンポーネントで、GitHub上で公開されている。Apache-2.0ライセンスにより、開発者は汎用チャットインターフェースに縛られることなく、自由に改変・組み込み・商用化ができる。Harnessは単なるモデルではなく、会話状態の管理、実行のストリーミング、ツール呼び出し、サンドボックスや承認ポリシーの適用、ターン間での作業の引き継ぎといった処理を担う実行システムであり、インターフェース設計やビジネス固有のツール、承認フローの設計はアプリケーション側が担うという役割分担になっている。 技術的な詳細 性能面では、「reasoningの保持」と「コンテキスト圧縮」という2つの調整により、GPT-5.6 SolのARC-AGI-3ベンチマークスコアが13.3%から38.3%へと大幅に向上し、同時に出力トークン消費量を約6分の1に削減したという。ただし、公式のARC Prizeテストでは7.8%にとどまっており、評価方法の違いによってスコアに差が生じている点には留意が必要だ。開発者向けには用途に応じて3段階の統合レイヤーが用意されている。非対話的なタスクを自動化パイプラインで実行し構造化出力を返す「codex exec」、プログラムからスレッドやタスクのライフサイクルを制御できる「Codex SDK」、そしてJSON-RPCプロトコル経由でローカルプロセスに接続し永続的な会話とイベントストリーミングに対応する「app-server」の3つで、製品の要件に応じて選択できる。 導入事例と今後の展望 実運用の例として、物流ダッシュボードを模した「Relay」では、エージェントがアプリケーション所有のMCPツールと連携し、出荷の再手配前には人間の承認を必須とする設計が示された。実際の商用導入としては、税務申告サービスで7,000件の申告処理にHarnessベースのエージェントを活用し準備時間を約3分の1削減したほか、Ciscoがクラウド管理プラットフォーム内のApp Builder構築に採用するなど、企業導入も進んでいる。背景には、AnthropicをはじめとするAIエージェント・Computer Use領域での競争激化があり、モデルがスクリーンショット解析に加えてページ構造やアクセシビリティ情報を直接読み込む「ハイブリッドなツール活用」へと進化しつつある。OpenAIは今後、セキュリティと利便性のバランスを取る「confirmation policies（承認ポリシー)」の研究も進めるとしている。

概要 Mozillaは8月18日、デスクトップ版Firefoxの最新安定版「Firefox 154」を公開した。今回のアップデートでは、WebSocket接続を悪用したローカルネットワークへの不正アクセスを防ぐ保護機能の拡張や、AIによるタブグループの自動提案、Cookie管理の柔軟化など、プライバシーと利便性の両面で改善が図られている。なお、Firefox 154は月次リリースとしては最後のバージョンとなり、9月からはFirefox 155を皮切りに2週間サイクルでのリリースへと移行する。 主な新機能 セキュリティ面では、これまでHTTP/HTTPSリクエストに限定されていたLocal Network Access保護がWebSocket接続にも拡張され、Webサイトがローカルネットワーク上のデバイスへWebSocket接続を試みる際に、ユーザーの許可を求めるようになった。ルーターやIoT機器など、外部からアクセス可能なローカル機器を悪意あるWebサイトから守る狙いがある。あわせて、Cookie削除の対象からトラッキング保護は維持したまま特定サイトを除外できるようになり、プライバシー設定の柔軟性が向上した。 利便性の面では、Smart Window機能の一部として、関連するタブをAIがグループ化し、グループ名まで自動で提案する機能が段階的に展開されている。タブグループ機能自体にも改善が加えられた。またアドレスバーからワンクリックでAI関連設定にアクセスできる「Manage AI」クイックアクションが追加されたほか、動画のシーク処理が高速化され、PDF内のテキスト選択・ハイライトも改善されている。Windows版ではNVIDIA GeForce NOWに対応し、ブラウザ上で対応ゲームをストリーミングできるようになったほか、アプリアイコンをカスタマイズする機能も加わった。 技術的な詳細 開発者向けには、CSS関連の新機能が複数追加された。要素の兄弟要素数を返すsibling-count()関数と、兄弟要素内での位置を返すsibling-index()関数がサポートされたほか、ブロック方向のテキスト余白を制御するtext-box-edge・text-box-trimプロパティおよびtext-boxショートハンドにも対応した。さらに、CSSの値を型付きJavaScriptオブジェクトとして扱えるCSS Typed Object Model APIがNightly版でデフォルト有効化され、CSSプロパティの操作を簡素化する取り組みが進められている（安定版では実験的機能としてlayout.css.typed-om.enabledの手動有効化が必要）。このほか、JSON Viewerでは選択したエントリの階層位置をパンくずリストで表示できるようになり、ページのハードリロード時にファビコンのキャッシュも合わせてクリア・更新されるようになった。 macOSではウィンドウが非表示になる不具合、Windowsではタスクバーの自動非表示に関する問題、フルスクリーンでのPicture-in-Picture表示順序、垂直タブサイドバー使用時のフルスクリーンモードでの非表示、PDF印刷プレビューの不具合など複数のバグ修正に加え、セキュリティ上の問題も複数解消されている。 今後の展望 Mozillaは今回のFirefox 154を最後に、月次リリースサイクルを終了する。9月1日にはFirefox 155が公開され、以降はFirefox 156(9月15日)、Firefox 157(9月29日)と、2週間おきのリリースへ移行する予定だ。Mozillaはこの変更を実験的な試みと位置づけており、リリース品質や開発者の負荷、ユーザー体験への影響を見極めたうえで恒久化するかどうかを判断するとしている。新機能をより頻繁に届けられるようになる一方、短期間での品質担保が今後の課題となりそうだ。

概要 オープンソースのID・アクセス管理サーバーKeycloakにおいて、未認証の攻撃者が任意のユーザーアカウントを乗っ取れる重大な脆弱性CVE-2026-18963(CVSS 9.1)が発見された。対象ユーザーのユーザー名またはメールアドレスさえ知っていれば、メール経由の本人確認を経ずにパスワードを新しい値に書き換えられてしまうもので、管理者アカウントを含むあらゆるアカウントが標的になり得る。この脆弱性はJames Paremain氏によって報告され、Red Hatは2026年8月18日にCVEアドバイザリと修正パッチを公開した。修正版であるKeycloak 26.7.2(および26.4.15、26.6.6へのバックポート)が2026年8月19日にリリースされており、影響を受ける環境では早急なアップデートが求められている。8月24日時点で公開されている悪用コードは確認されていないが、CVSSスコアの高さから優先度の高い対応が推奨されている。 技術的な詳細 脆弱性の根本原因は、/realms/{realm}/login-actions/reset-credentialsエンドポイントを中心とするパスワードリセットフロー内の「ステップ順序の検証不備」にある。本来Keycloakのパスワードリセットは、ユーザーがメールで送られる署名付きアクショントークン(verify-emailステップ)を経由してメールの所有権を証明した後にのみ、新しいパスワードの設定に進める設計になっている。しかし今回の欠陥では、認証セッションの中間状態が十分な検証なしに信頼されており、攻撃者が細工したリクエストを送ることで、このメール確認ステップを経ずに認証セッションをパスワード更新フェーズへ直接遷移させることができてしまう。CWE-640(脆弱なパスワード回復メカニズム)に分類されるこの欠陥は、CVSSベクター AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N が示す通り、ネットワーク経由・低い攻撃条件・権限不要・ユーザー操作不要で悪用可能であり、攻撃の再現性が非常に高い点が特に深刻とされている。 対応状況と推奨される対策 Red Hatはこの問題に対し、RHSA-2026:56519、56520、56523、56524の各セキュリティアドバイザリを通じて修正パッケージを提供している。ただちにパッチを適用できない環境向けの緩和策としては、管理コンソールの「Realm settings → Login → Forgot password」から全レルムで「パスワードを忘れた場合」機能を無効化する方法が案内されている。加えて、パッチ適用後には特権アカウントのパスワードを強制的にリセットすること、また認証ログを精査しVERIFY_EMAILイベントを伴わないUPDATE_PASSWORDイベントがないか確認することも推奨されている。パスワードリセット機能はIDプロバイダの中核をなす機能であるだけに、今回のような認証フロー自体の設計不備は影響範囲が広く、Keycloakを利用する組織は自社の実装状況を速やかに確認する必要がある。