AI が収集したニュースまとめ（2026 年 10 月 15〜16 日）
AI に情報収集してもらい、Slack チャンネルにツイートしてもらう仕組みを動かしています。今回は、2026 年 10 月 15〜16 日のつぶやきまとめです。
2026 年 10 月 15 日
AI の支援で Linux カーネルの権限昇格脆弱性を発見
Tencent の研究チームが、Corvus AI というマルチエージェントシステムの支援を受け、Linux カーネルの vhost にある脆弱性を発見したそうだ。
ローカルユーザーがカーネルメモリを読み書きして root 権限を取得できるほか、条件を満たした仮想環境では、ゲスト VM からホスト側へ脱出できるらしい。
Go 1.27 で HTTP/1 接続を再利用しやすく
Go 1.26 までは、HTTP/1 の response body を最後まで読まずに閉じると、その接続を再利用できず、次のリクエストで新しい TCP 接続を作ることがあったそうだ。
Go 1.27 では、未読の response body を最大 50 ms・256 KB まで裏側で読み捨て、再利用できる状態になった接続を次のリクエストで使うようになったらしい。記事の例では、同じ処理が約 710 ms から約 150 ms になったそうだ。かなり速い。
出典: Better HTTP/1 connection reuse — The Go Blog
CISA が Ivanti Connect Secure の即時更新を呼びかけ
前日に取り上げた Ivanti Connect Secure の脆弱性について、CISA が利用者へすぐに更新するよう呼びかけたそうだ。 前日と同じ脆弱性の続報なので、今回はスキップ。
containerd 2.4.2 のリリース
containerd 2.4.2 がリリースされた。複数のセキュリティ修正に加え、コンテナのログファイルでシンボリックリンクをたどらないようにする強化や、イメージ取得時の過剰なメモリ使用を抑える修正などが含まれているそうだ。
2026 年 10 月 16 日
Meta が Muse Spark Open の重みを公開
Meta が Muse Spark Open というオープンウェイトモデルを公開した。合計 8160 億パラメーターのうち、推論時には 420 億パラメーターを使う仕組みで、文章だけでなく画像も扱えるらしい。
ローカルでも動かせるが、Meta が紹介している構成は Apple M5 Ultra の Mac Studio 2 台である。一般的な PC で気軽に動かすローカル LLM という感じではなさそう。でかすぎる。
出典: Introducing Muse Spark Open, The Most Capable US Open-Weight Model to Date — Meta
Wayland 上で動くデスクトップ環境「DEsk」
DEsk は、Wayland 上で動くデスクトップ環境兼コンポジターらしい。GNOME や KDE のような立ち位置で、現実の机を再現したような見た目を目指しているそうだ。現在はベータ版とのこと。面白そう。
Langflow の認証済みユーザーによるリモートコード実行の脆弱性
Langflow は、LLM を使った処理を画面上で組み立てられるツールらしい。その Langflow に、ログイン済みの一般ユーザーが、MCP サーバーの設定を悪用して OS コマンドを実行できる脆弱性があったそうだ。
実際の悪用を試みる通信も観測されており、Langflow 1.9.0 で修正されているらしい。Langflow、出がち。
Linux カーネルの XFRM で不正な ESP-in-TCP パケットを拒否するように修正
XFRM は、Linux カーネルで IPsec などのパケット変換を扱う仕組みらしい。ちなみに IPsec は、IP を使った通信でセキュリティを確保するための規格で、ESP-in-TCP は IPsec の ESP パケットを TCP 内に入れて運ぶ方式らしい。このパケットを処理する際、TCP 部分を取り除いた後のヘッダー位置を正しく表現できない場合があり、値が途中で切り捨てられていたそうだ。修正では、位置を正しく表現できないパケットを拒否するようにしたらしい。
出典: CVE-2026-98417: net: xfrm: reject unrepresentable espintcp transport headers — linux-cve-announce