今日もネットで見つけた、個人的に気になった技術ニュースや記事を厳選して紹介します。ご意見や補足があればコメントで教えていただけると嬉しいです。
本日も残念ながらセキュリティからです。
セキュリティ
PHPにおける重大な脆弱性「php2shell」（CVE-2026-109618、CVE-2026-109619）が確認され、CVSS v4.0スコアは9.2と評価されています。本脆弱性はメモリ破壊に起因する外部からの任意コード実行（RCE）が可能と見られ、mod_phpやphp-fpm、WordPressやLaravelなど幅広い構成に影響が及ぶ可能性があります。
調査によると、デフォルトで有効化されているセッション管理機能（Session Upload Progress）に関係しているとみられています。設定変更による無効化はある程度の緩和につながるものの、攻撃を完全に防ぐことは難しく、既に悪用コードも出回り始めています。
根本的な対策は公式パッチの適用です。対象システムの洗い出し、アップデート手順やバックアップ・ログ設定の確認、最小権限の徹底などを速やかに進め、パッチ公開後は最優先で適用することが推奨されています。
感想
多分何を差し置いても確認/対応をする必要がある。
The PHP Groupは、2つの脆弱性に対応するセキュリティリリースを2026年10月21日23時に公開予定です。CERT-EUの注意喚起によると、PHP 5以降のバージョンが影響を受けるとされています。
現時点で修正プログラムは未公開ですが、悪用されるおそれがあるため、開発・運用プログラムや機器での利用状況を棚卸しし、公開後速やかに適用できるよう事前準備を行ってください。
プログラミング言語PHPに、サーバー乗っ取りやデータ窃盗のリスクがある重大な脆弱性「PHP2Shell」が発見され、緊急アップデートが配信されました。
この2件の脆弱性はセキュリティ企業のCalifとWizがAIを用いてそれぞれ独自に発見したものです。OpenAIやPHPセキュリティチーム、Google Geminiチームなどが連携して対策とパッチ検証を進め、主要クラウド事業者も緩和策の準備を支援しました。
ウェブサーバ「nginx」や関連製品において、DoS攻撃やコード実行、情報漏洩などにつながる計11件の脆弱性が判明しました。
OSSの公式サイトでは本体の脆弱性5件を「中」と評価していますが、F5のアドバイザリでは3件についてCVSSv4.0で9.2の「クリティカル」と評価されています。特定条件下でヒープバッファオーバーフローが発生する脆弱性などが確認されています。
インドの認証局eMudhraが発行した中間証明書8件において、秘密鍵の生成不備により第三者が容易に鍵を復元できる脆弱性が発覚しました。悪用されると正規のWebサイトになりすまされる危険性があります。
主要ブラウザは既に対象をブロックしており現時点で実際の被害は確認されていませんが、自動更新機能を持たないプログラム言語や各種ツール環境では個別の対応が呼びかけられています。
インドの認証局eMudhraにおいて、中間CA証明書8件の秘密鍵が暗号強度の不備により容易に復元できる脆弱性が発覚しました。鍵生成時の手順ミスが原因で、悪用されれば正規Webサイトになりすまされる恐れがあります。
同社は対象証明書を失効させ、主要ブラウザ等も遮断措置を取りました。実環境での不正発行や悪用は確認されておらず、影響は限定的と説明されています。
Goの緊急更新（1.27.3／1.26.10）により、危殆化が懸念されるeMudhraの中間認証局8件の公開鍵が拒否リストに追加されました。
修正は標準ライブラリに組み込まれるため、開発環境の更新だけでなくバイナリの再ビルドと再配布が必要です。
修正版でビルドしたプログラムは対象の中間CAを使うサーバーと接続できなくなるため、事前の証明書確認や相手先への発行し直し依頼が推奨されています。
感想
これも影響がでかすぎる。多くのソフトウェアでライブラリをこの認証局の証明書を拒否する改修されたライブラリに差し替えていく必要がある。もしくは対策されたクラウドのWAFやFWをプログラムの全面に立てて脅威を緩和する必要がありそう。
プログラミング
PHP
PHPにおいて「PHP2Shell」と呼ばれる深刻度9.2の脆弱性が2件確認され、サーバー乗っ取りの恐れがあるとして緊急パッチが公開されました。
これに対処するため、バージョン「8.5.12」「8.4.27」「8.3.36」「8.2.35」がリリースされています。修正対象となったのは、メモリ不足処理に起因するリモートコード実行の脆弱性と、リクエストの内部状態が残存することによるリモートコード実行の脆弱性です。公開直前には、各種ウェブサイトが対応のためメンテナンスを実施しました。
Go言語
Go開発チームは開発者の利用実態や課題を把握して今後の優先事項に反映させるため、2026年11月3日まで回答を受け付ける開発者アンケートの実施を発表しました。
セキュリティ修正を含むMicrosoft版Goの新しいリリース（1.27.3-1および1.26.10-1）が公開されました。
本バージョンでは、標準の環境設定を介してMicrosoftのテレメトリ設定を永続化する機能がサポートされています。
JavaScript
Node.jsプロジェクトは、セキュリティ脆弱性へ対処するため、2026年10月21日（水）またはその直後に26.x、24.x、22.xの各ラインで新バージョンをリリース予定です。
今回修正される脆弱性の最大重要度は「HIGH（高）」とされています。サポートが終了しているEOLバージョンも影響を受けるため、システムを安全に保つために最新バージョンへのアップデートが推奨されています。
2026年10月21日に公開されたNode.js 26.12.1は、複数の脆弱性に対処したセキュリティリリースです。
本バージョンでは、TLSにおける非正規IPアドレスの拒否やIP正規化の不具合修正、DNS入力値の検証、Brotliの更新など重要度の高い修正が適用されました。
また、HTTP通信や乱数キャッシュの保護、依存関係（V8やc-ares）の更新、macOS向けツールの改善などもあわせて実施されています。
Python
Python 3.15.1、3.14.9、および3.13.17のセキュリティリリースが公開されました。eMudhra／emSignのCA証明書インシデントに対応するため、同梱されるpipがcertifi 2026.10.19を含むバージョン26.2.2へ更新されています。
あわせて既存の仮想環境におけるpipやuvの更新が推奨されています。また、macOS版インストーラーではmacOS 27.0環境におけるtkinterのハング問題も修正されました。
Android
次期Androidリリース以降、アプリが連絡先へ直接書き込む際に用いられていた権限（WRITE_CONTACTS）が廃止されます。直接書き込みを行うと例外エラーが発生するため、今後は標準の連絡先インテント（ACTION_INSERTなど）への移行が推奨されます。
インテントを利用すれば権限不要で、統一された編集画面をユーザーに提供できます。なお、広範な連絡先管理が必要な一部のアプリ向けには、特別なアクセス権限（MANAGE_CONTACTS）が新たに提供されます。
Zed
Zedバージョン1.25.2では、各OS向けバイナリサイズの削減や起動・SSH接続速度の改善が行われました。
機能面では、インレイヒントのダブルクリック編集や外部エージェント向けコンテキスト圧縮に対応したほか、Amazon Bedrock向けに最新AIモデルを追加しています。
また、プロセス一覧で環境変数が露出する不具合や、特定条件下でのCPU負荷、表示崩れなどの各種バグが修正されています。
Visual Studio
Visual Studio 2026（バージョン18.11）に、過去のコミットと現在の作業内容を比較できる「Compare with Working Tree」機能が追加されました。
ブランチの切り替えやチェックアウトを行わずに、未コミットの変更を含めた差分を簡単に確認できます。
Visual Studio Code
Visual Studio Code 1.143では、新しいセッションの既定としてCopilotハーネスが採用されました。これによりエディタとAgentsウィンドウ間の移行がスムーズになります。
さらに、複数モデルの解法を比較・統合できる機能や、非アクティブなワークツリーを削除してストレージを解放する管理機能が追加されました。また、端末上で直接MAI Code 1.1 Flashを実行できるオンデバイス機能など、開発体験を向上させる各種機能が導入されています。
GitHub / GitHub Copilot
GitHubはリポジトリの99.99999%をAzureへ移行しましたが、高負荷な残りのリポジトリはリージョン間レイテンシが原因で移行が滞っていました。
そこで、リポジトリ全体を直列化する従来のクォーラムから、参照（ブランチ等）単位で並行処理する方式へと変更しました。さらに、Azure Blob Storageを活用した仮想レプリカによりストレージと計算リソースを分離し、読み取り性能の独立したスケールアウトを実現しています。
GitHub CLIにおいて、短時間で失効し自動更新されるOAuthトークンを利用できるパブリックプレビュー機能が導入され、再認証の手間を省きつつ資格情報漏洩時のセキュリティリスクを低減できるようになりました。
エージェンティックコーディング・仕様駆動開発
AIエージェントによる自律開発手法であるスペック駆動開発（SDD）の実践知見を体系化した記事です。
長時間の安定した自走を実現するため、外部エンジンではなく「1タスク100行以内の細分化ゴール」「3層サブエージェント（coder/reviewer/tester）」「決定論的テストループ」を連鎖させる構造を採用しています。これにより、エージェントが迷わずにタスクを連続実行できる環境を整えています。
また、EARS記法を用いた要件定義や静的バリデータによる事前監査を導入し、仕様の欠落や乖離を機械的に防止しています。言語環境もPythonからGo、Rust、TypeScriptへ拡張され、各言語に応じた品質ゲートが整備されました。
さらに、モジュール境界を守るL1 IntentやADRの記録、カバレッジ検証を経たパッケージング自動化までを組み合わせ、個別の技術検証にとどまらない総合的なシステムとして高い生産性を実証しています。
AI
Hugging Face
Appleプラットフォーム向けライブラリ「AnyLanguageModel 1.0」が正式公開されました。
本ライブラリはAppleのFoundation Modelsフレームワークと互換性を持ち、llama.cppやMLXを用いたローカルモデルに加え、各種ホスト型APIを共通コードで利用できます。ツール呼び出しや画像入力にも対応しています。
今後は音声モデルや判断モデルなどへの対応拡大が予定されています。
OpenAI models are coming to Google Cloud
OpenAIとGoogle Cloudの提携により、OpenAIの最先端モデルやCodexがGoogle CloudのModel Gardenに導入されます。
企業は既存のインフラやデータ管理体制のもとで、モデルを活用した自律型ワークフローを安全に構築・運用できるようになります。
Cloudflare
Cloudflareが発表したAIモデル「Clairic」は、LLMのように文章を生成するのではなく、文章や画像などの非構造化データから指定された型の数値や日付などの値を直接抽出し、計算や推定結果をJSON形式で出力します。
Strata
推論エンジン「Strata」向けに、7,630億パラメータの超大型AIモデルを圧縮・最適化したモデルが登場します。
ゲーミングPCなどの一般的な環境でも動作可能になる見込みで、注目を集めています。
感想
ほんまかいな。
論文・その他
Microsoftが社内エンジニアを対象にCLI型AIツールの導入効果を調査しました。利用のきっかけは上司や同僚の影響が大きく、多忙な人ほど定着する傾向が見られました。
導入週はマージされたプルリクエスト数が平均24％増加し、効果は持続しています。
AIによるコード生成の急増に対し、軽微で範囲の狭い変更はAIに任せつつ、大規模な差分やリファクタリング、セキュリティ、AI生成テストの期待値などは人間が責任を持って精査することが推奨されています。
本書は、AIの普及に伴う新たな脅威やリスクに対処するためには、防御側における専門ツールの導入だけでなく、組織的なポリシーの策定や予算確保、スキルの向上が不可欠であると説いています。
エンジニア
AIとお仕事
AIを活用すれば短時間でコードやテストを生成できますが、それだけでエンジニアとしての「規律（原則や作業手順）」が自然に身につくわけではありません。規律を守らなくても開発自体は可能ですが、規律の本質はリスクを減らし、品質を継続的に確保することにあります。
バグ修正時の再現テスト作成、テスト駆動開発、テストを伴うリファクタリング、API仕様ファースト開発といった規律は、実装より先に期待される振る舞いを明確にするために欠かせません。AIに任せきりにすると、誤った実装を基準にした不十分なテストが生成されたり、潜在的なバグを見落としたりする恐れがあります。
AIが規律に従って作業できることと、開発者自身が規律を体得することは別問題です。AIが多くの作業を代行する時代だからこそ、単なるツールの使い方にとどまらず、開発者が規律の意義を深く理解し、実践を通して習得する機会をどう確保するかが問われています。
感想
そもそもプログラマ自身が規律を理解していなければAIエージェントのハーネスの話には入っていけないはず。結局そこの理解もAIには外注できない。
生成AIを使う新人の実力を確かめるには、AIを取り上げるのではなく、AIを外した状態での出来を「別のAIの使い方をした人」と比較することが有効です。
測定は直後と日をおいた後の2回行い、成果の定着度を見極めます。
また正答率だけでなく、AI特有の誤りを繰り返していないかも確認します。まずは役割ごとにAIなしでこなすべき業務を定め、小さな検証から始めることが推奨されています。
クラウド
Cloudflare
Cloudflareは、PHP 5.4以降に影響しリモートコード実行などの恐れがある脆弱性「php2shell」に対し、WAF防御を無料・有料プラン向けに配備しました。
リクエストとレスポンスを併せて検証する新機能「full transaction detection」により誤検知を防ぎつつ攻撃を遮断します。ただしWAFは多層防御の一環であるため、管理者にはPHP本体の速やかな更新が推奨されています。
Cloudflareは、HTTPリクエストとオリジンのレスポンスを併せて評価することで悪用の痕跡を検知し、機密情報の漏洩などをインラインで遮断できる「フル・トランザクション検出」およびレスポンスルールを全プラン向けに提供開始しました。
Azure
Azure Updates (2026-10-22) | ブチザッキ
本ページは、2026年10月22日付のMicrosoft Azureおよび関連テクノロジーに関する最新アップデート情報をまとめた記事です。
インフラ面では、Virtual Machine Scale SetsのAZ自動バランスや、VNetとPaaSを接続する標準サービスエンドポイントが一般提供（GA）となりました。また、Cosmos DBの安全なキーローテーションや、Azure Container Registryのデータ転送メトリクスなども正式リリースされています。さらに、App Service on LinuxにおけるPHPの緊急脆弱性への対応など、セキュリティ関連の重要な動向も取り上げられています。
AIやデータ基盤分野では、Microsoft Foundryにおける各種モデルの追加やブラウザ自動化ツールのGA、Fabricの機能拡張やデータエージェントの更新など、開発および運用を支援するエージェント機能の強化が多数紹介されています。
Azure Cosmos DBにおいて、アカウントキーの最終使用日時を確認して予期せぬサービス停止を防ぎながら安全にキーの再生成や移行を行える「Safe Key Rotation」機能が提供開始されました。
OS
macOS
Claude Codeを用いた開発を6週間続けたところ、Macの起動に約20分かかる問題が発生しました。ハードウェアの故障を疑い診断した結果、原因は起動時に一時ファイルを消去する「dirhelper」の処理でした。
AIセッションごとに作成された一時ディレクトリ内に、node_modulesを含む膨大なファイル群が蓄積しており、起動時の削除に膨大な時間を要していました。終了した作業ディレクトリの定期的な削除が推奨されています。
MacのSecure Enclaveで秘密鍵を作成し、Touch IDでSSH認証を行う手順が解説されています。
鍵の抽出を防ぎ安全性や利便性が向上しますが、再起動ごとの再登録が必要です。
macOS用オーディオミキサーアプリ「Ladiocast」が約8年ぶりに「v1.0.0」へアップデートされ、Apple Siliconネイティブ対応（Universal 2）やシステム要件の刷新、RTMPストリーマーのエンコード形式追加などが行われました。
Perplexity AIは、Mac上でデータをクラウドに送信せず完全にローカル動作するAIエージェント「Perplexity Computer」の提供を開始し、推奨メモリ要件を24GBから32GBへ変更しました。
Windows
PowerToys 0.102が公開されました。マウスのドラッグ状態を維持する機能やカーソル非表示機能が追加されています。
さらにコマンドパレットの機能拡張、ZoomItの音声入力対応、コマンドラインツールの拡充など多彩な更新が行われました。
Linux
Linux 7.3がリリースされました。疑似ファイルシステムfailfsと新システムコールfchroot()を組み合わせ、ファイルディスクリプタを介したアクセスのみを許可する新しいサンドボックス技術が導入されています。これによりAIエージェントなどのアクセス経路を厳密に制限できます。
加えて、VRAM管理改善によるGPU性能向上や次世代プラットフォームへの対応など、幅広い機能強化が行われています。
Ubuntu環境においてオープンソースツール「Solaar」を活用し、ロジクール製のBoltやUnifyingレシーバーとデバイスをペアリングする方法や、キー割り当てのカスタマイズ、ルールの設定および自動起動の停止手順について解説しています。
PC
生成AIを手元で運用する際の課題は、機密データの保護やモデルサイズによるメモリ不足です。
本記事では、128GBのメモリとNVIDIA GB10を搭載した小型デスクトップ「Dell Pro Precision with GB10」を検証しています。オフライン環境での実用性や、2台を接続してメモリを256GBに拡張した際の巨大モデルの動作状況を動画で紹介しています。
業界動向・時事
多くの中小企業は従業員の高齢化が進む一方、大企業の好待遇に太刀打ちできず若手の採用が困難になっています。さらにコスト高も重なり、待遇改善の余力も乏しい状況です。
筆者の勤務先でも、若手採用の原資を捻出するために既存社員の定期昇給を永久凍結する案が出されるなど混迷を極めています。特別な技術を持たない平凡な中小企業は、世代交代が進まないまま十数年で滅びに向かうと筆者は警鐘を鳴らしています。
世界のウェブサイトの約7割で使われる開発言語「PHP」に深刻な脆弱性が見つかりました。AIが発見したこの欠陥によりサイト乗っ取りなどの恐れが生じています。
国内外の企業や政府系サイトが停止するなど影響が拡大しており、米当局や各国が迅速なソフト更新などの緊急対応を呼びかけています。