AI が収集したニュースまとめ（2026 年 10 月 19〜21 日）
AI に情報収集してもらい、Slack チャンネルにツイートしてもらう仕組みを動かしています。今回は、2026 年 10 月 19〜21 日のつぶやきまとめです。
2026 年 10 月 19 日
Lean に形式検証された証明検査器が付属
これは、AI が kernel という言葉に釣られて、Linux カーネルとは関係ない話をピックしたのでスキップ。
出典: Lean Now Ships with Verified Kernels — Leonardo de Moura
OpenBSD で root 権限を取得できる脆弱性
OpenBSD 7.9 に、ローカルユーザーが root 権限を取得できる脆弱性があったそうだ。約 37 年前から残っていた共有メモリのカウンターにある整数オーバーフローと、use-after-free などを組み合わせて攻撃するらしい。
中国系の攻撃者が BeyondTrust のゼロデイ脆弱性を悪用
BeyondTrust は、管理者やサポート担当者が離れた場所にある端末へ接続し、操作や保守を行うための製品を提供している会社らしい。
中国との関係が指摘されている攻撃者が、BeyondTrust Remote Support のゼロデイ脆弱性を悪用し、サーバーを乗っ取っていたそうだ。侵入後は、保存された認証情報を盗んだり、管理対象の端末へ接続したりしていたらしい。
Intel TDX で不要なキャッシュフラッシュを削減
Intel TDX は、ホスト側からも VM のメモリを見えにくくする Confidential VM の仕組みである。VM ごとに異なる暗号鍵を使うため、メモリに割り当てられた KeyID を切り替える際には、古い暗号鍵に対応するデータが CPU キャッシュへ残らないよう、ソフトウェア側でキャッシュをフラッシュする必要があると考えられていたらしい。
しかし、実際に製品化された CPU ではハードウェア側だけで正しく処理できており、ソフトウェアからのフラッシュは不要だったそうだ。そのため、Linux カーネルからその処理を削除するパッチが提案されている。これは面白い。
出典: It Turns Out Intel TDX Doesn’t Need So Much Cache Flushing — Phoronix
2026 年 10 月 20 日
AI が書いたコードをどこまで理解してから公開するべきか
AI が書いたコードを、自分が完全には理解していない状態で公開することへ不安を感じているという Hacker News の質問。
議論では、人間が先に設計して AI には実装だけを任せる、小さな単位に分ける、公開するコードは必ず自分で理解するといった意見が出ていた。今の自分にも関係する話なので、ちゃんと読んでおきたい。
出典: Ask HN: How to deal with shipping AI-written code you don’t understand? — Hacker News
Anthropic の IPO と Long-Term Benefit Trust
Anthropic が IPO した後の会社運営に関する記事だ。Anthropic には Long-Term Benefit Trust という、Anthropic への金銭的利害を持たない外部メンバーで構成された組織がある。この組織は最終的に取締役の過半数を選ぶ権限を持ち、短期的な利益だけでなく、AI を人類の長期的な利益になるよう開発するという目的を会社へ残す仕組みらしい。株主が増える IPO 後も、この仕組みが機能するのかという話。変わった会社の構造だな。
出典: What to Know About the Obscure Trust Looming Over Anthropic’s IPO — The Wall Street Journal
Linux カーネルの net/sched で race condition を修正
net/sched はネットワークパケットの振り分けや帯域制御を行う仕組みらしい。この net/sched に、同じ場所へ二つの tc filter を同時に追加し、両方が失敗すると、空になったフィルターの管理情報が残り続ける場合があったそうだ。今回、失敗時に空の管理情報を回収するよう修正された。
出典: CVE-2026-98811: net/sched: cls_api: reclaim an empty proto on the error path — linux-cve-announce
Plex Media Server の脆弱性が実際に悪用
Plex Media Server は、手元に保存した動画や音楽などを整理し、ほかの端末へ配信できるソフトウェアらしい。
四つの脆弱性を組み合わせ、認証なしでサーバー上のコードを実行できる Plex2Shell という攻撃手法が公開された。その翌日には実際の攻撃が確認され、暗号資産のマイニングソフトや、感染したサーバーを通信の中継地点にするバックドアが設置されていたそうだ。Plex Media Server 1.43.3.10861 で修正済みとのこと。
出典: Hackers Exploit Plex2Shell Flaws to Install Crypto Miners and Linux Proxy Backdoor — The Hacker News
2026 年 10 月 21 日
FortiSIEM に認証なしでリモートコードを実行できる脆弱性
FortiSIEM は、サーバーやネットワーク機器などのログを集め、攻撃や異常を検知するための製品らしい。 その FortiSIEM に、認証なしで任意のファイルを上書きし、サーバー上のコードを実行できる脆弱性があったそうだ。
Linux 7.4 で 2 byte の cmpxchg を共通コードから利用可能に
cmpxchg は compare and exchange の略で、メモリ上の値が期待した値と一致していた場合だけ、新しい値へ置き換える操作らしい。比較と書き換えをほかの処理が割り込めない一つの操作として行うため、複数の CPU が同じデータを扱う際などに使われる。
Linux 7.4 では、2 byte の cmpxchg 命令を持たない SH、ARC、CSKY、Xtensa などの CPU 向けに、4 byte の cmpxchg を使って再現する処理が追加された。これによって、CPU ごとの差を気にせず、Linux カーネルの共通コードから 2 byte の cmpxchg を使えるようになるそうだ。
出典: Linux 7.4 Adding New Emulation Function While Some Old CPUs May Soon Be Phased Out — Phoronix
NixOS によってセルフホストへの抵抗が減った話
作者が、サーバー上で RSS を管理できる FreshRSS を NixOS に導入した話。FreshRSS の設定とバックアップを 9 行ほどの Nix コードで記述でき、その後はほぼ手をかけずに動いているそうだ。サーバーが壊れても、同じ設定を使って 15 分ほどで作り直せる見込みらしい。
出典: NixOS is making me less afraid — Entropic Thoughts
NVIDIA の BlueField-4 STX という小型サーバーボード
NVIDIA の BlueField は、CPU からネットワークやストレージ、セキュリティの処理を引き受ける DPU のシリーズである。その BlueField-4 を使った、AI のコンテキスト用ストレージを支える BlueField-4 STX Server が OCP 2026 で展示されたそうだ。
出典: NVIDIA BlueField-4 STX Server for CMX at OCP 2026 — ServeTheHome