AI が収集したニュースまとめ（2026 年 10 月 5〜7 日）
AI に情報収集してもらい、Slack チャンネルにツイートしてもらう仕組みを動かしています。今回は、2026 年 10 月 5〜7 日のつぶやきまとめです。
2026 年 10 月 5 日
Dell CSM に、Kubernetes ノードの root 権限などを取得できる脆弱性
Dell CSM は Container Storage Modules の略で、Kubernetes から Dell 製ストレージを利用するための機能を提供するソフトウェア群らしい。
この Dell CSM に、認証なしでストレージの管理者権限を取得したり、権限の低い利用者が Kubernetes ノードの root 権限を取得したりできる複数の脆弱性があったそうだ。これはなかなか怖そう。
出典: Dell CSM Flaws Enable Unauthenticated Admin Access and Root on Kubernetes Nodes — The Hacker News
FortiMail に重大な脆弱性
FortiMail は、企業のメールを受信する経路で迷惑メールやマルウェアなどを検査する製品らしい。この FortiMail に、認証なしでシステム上の任意の場所へファイルを書き込める脆弱性があり、実際に悪用されていたそうだ。使っていないのでスキップ。
富士通 MONAKA の CPU 不具合を回避する Linux パッチ
MONAKA は、富士通が開発した AI インフラ向けの 144 コア Arm サーバー CPU らしい。その MONAKA にある複数の CPU 不具合を回避するパッチが、Linux カーネルへ送られているそうだ。
その一つでは、64 KB ページを使う Linux カーネルにおいて、TLBI を実行しても特定の条件で TLB エントリーが無効化されない場合がある。ちなみに TLBI とは、CPU がキャッシュしている仮想アドレスから物理アドレスへの変換情報を無効化する Arm の命令である。そのため、追加の TLBI 命令を実行して確実に無効化するらしい。ほかにも、PMU の割り込みが大量に発生する問題や、CPU コアがハングする可能性への回避策が含まれているそうだ。
出典: Linux Begins Seeing Workarounds For Fujitsu MONAKA CPU Bugs — Phoronix
OpenTelemetry Go の Logs API と SDK が stable に
OpenTelemetry Go は、Go アプリから trace、metric、log などの観測データを扱うためのライブラリ群らしい。今回のリリースで、Logs API と SDK が初めて stable 扱いになったそうだ。
出典: OpenTelemetry Go v1.47.0 — GitHub
2026 年 10 月 6 日
Kubernetes の Node Swap で AI ワークロードなどのメモリを節約
Kubernetes には、Node Swap という、あまり使われていないメモリの内容を SSD などへ一時的に退避する機能があるらしい。AI エージェントのように、起動時には多くのメモリを使うが、その後は入力を待ってアイドル状態になるワークロードなどで役立つそうだ。
これによって、同じノード上の物理メモリをほかの Pod が使えるようになり、1 台のノードで動かせる Pod の数を増やせる。高速なローカル SSD を Swap に使った検証では、ワークロードによっては Pod の密度を最大 3 倍にできたらしい。
出典: Scaling Kubernetes Workloads with Node Swap — Kubernetes
Rejetto HFS に管理者セッションを偽造できる脆弱性
Rejetto HFS は、HTTP でファイルを共有するためのサーバーソフトウェアらしい。この Rejetto HFS に、セッションの署名に使う鍵を推測し、管理者としてログインした状態を偽造できる脆弱性があったそうだ。そこから、サーバー上で任意のコードを実行できるという。
出典: Attackers Target Rejetto HFS Flaw That Enables Admin Session Forgery and RCE — The Hacker News
API キーがどこから漏れるかを調査した話
API キーが漏れる経路を、公開事例や実際の Web サーバーへのアクセス記録から調査した記事。公開リポジトリ、Web サイトの公開フォルダ、コンテナイメージ、ログや AI の会話など、7 つに分けて解説している。
結構 .env が狙われているらしい。
出典: API キーはどこから漏れるのか？ 自分のサイトに来た .env 探し 1,566 件と、公開事例を 7 つの経路に分けてみた — Qiita
Linux 7.4 で Google Tensor G5 と Pixel 10 に初期対応する見込み
Linux 7.4 で、Google Tensor G5 と、それを搭載した Pixel 10、Pixel 10 Pro、Pixel 10 Pro XL の初期対応が取り込まれる見込みらしい。Device Tree などの基本的な対応であり、Pixel 10 のすべての機能が使えるようになるという話ではないが、メインラインの Linux カーネルで起動するための土台になるそうだ。
出典: Linux 7.4 To Mainline Support For The Google Tensor G5, Pixel 10 Devices — Phoronix
2026 年 10 月 7 日
Linux カーネルの XFRM の脆弱性が修正
XFRM は、Linux カーネルで IPsec などのパケットの暗号化や認証、カプセル化を扱う仕組みらしい。
今回は、変換したパケットを workqueue 経由でネットワーク処理へ戻す xfrm_trans_reinject() に、RCU のロックや参照カウントを維持する処理が一部抜けていた。そのため、処理を再開する前にネットワークデバイスなどが解放される可能性があり、必要なロックと参照を追加したそうだ。
Atlassian の複数製品に脆弱性
Jira、Confluence、Bitbucket など、Atlassian の 8 つの Data Center 製品に脆弱性があったそうだ。認証なしの攻撃者が、ファイルの正確な名前とパスを知っている場合、Web アプリケーションのルートディレクトリにある特定のファイルを読み取れてしまうらしい。怖いね。
runc v1.6.0-rc.1 のリリース
runc v1.6.0 の最初のリリース候補となる v1.6.0-rc.1 が公開された。非推奨 API の削除や改善などが中心らしい。
Tapo 向け Rust・Python ライブラリが TPAP に対応
Tapo は、TP-Link のスマートプラグやスマートライトなどの家庭向け IoT 製品群らしい。TPAP は、Tapo アプリと機器の通信で使われるプロトコルの一つだそうだ。
今回は、Tapo 製品を操作する非公式の Rust・Python ライブラリ tapo が TPAP に対応した。これによって、セキュリティを弱める可能性がある「Third-Party Compatibility」を有効にしなくても、新しいファームウェアの機器を操作できるようになったらしい。
出典: tapo speaks TPAP: Third-Party Compatibility can stay off