Posts: 2026/05/09

content/posts/2026/05/09/canvas-shinyhunters-breach.md

@@ -0,0 +1,25 @@
+---
+date: "2026-05-09T02:36:52+09:00"
+title: "ShinyHuntersがCanvas LMSを大規模侵害、約330校のログインポータルを改ざんし身代金を要求"
+description: "ハッカーグループShinyHuntersがInstructureのCanvas学習管理システムを侵害し、全米約330の教育機関のログインポータルを改ざんして身代金を要求した。"
+tags:
+  - Security
+references:
+  - "https://www.bleepingcomputer.com/news/security/canvas-login-portals-hacked-in-mass-shinyhunters-extortion-campaign/"
+---
+
+## 概要
+
+サイバー犯罪グループ「ShinyHunters」が、米国の学校・大学で広く使用されている学習管理システム（LMS）「Canvas」（開発元：Instructure）を標的にした大規模な侵害・恐喝キャンペーンを実施した。攻撃者はInstructureのシステムの脆弱性を突き、約330の教育機関のCanvasログインポータルを改ざん。「影響を受けた学校がデータの公開を阻止したい場合は、サイバーアドバイザリー企業に相談した上で、私たちに非公開で連絡してほしい」という警告メッセージを約30分間表示させた。改ざんはWebインターフェースだけでなく、Canvasモバイルアプリにも及んだ。身代金支払いの期限は2026年5月12日と設定されており、期限内に交渉がなければ盗んだデータを公開すると脅している。
+
+## 流出したデータと被害規模
+
+ShinyHuntersは今回の改ざん前から、8,809校・大学・教育プラットフォームから合計2億8,000万件にのぼる学生・職員レコードをすでに窃取したと主張しており、その規模の大きさが際立つ。流出したとされるデータには、ユーザーレコード、プライベートメッセージ、履修情報、Canvasのデータエクスポート機能やAPIを通じてアクセスされた各種情報が含まれるとされている。ユーザーレコードや履修情報など、学生・職員に関する個人情報が大量に流出しているとみられ、フィッシング詐欺などへの二次被害が懸念されている。
+
+## ShinyHuntersの手口と背景
+
+ShinyHuntersは2018年から活動するサイバー犯罪グループで、SaaS環境、とりわけSalesforceを標的にすることで知られる。これまでにGoogle、Cisco、PornHub、Match Groupなどを被害企業として名乗りを上げており、過去には大規模なデータ侵害を繰り返してきた実績がある。攻撃手法としては、SSOプラットフォームを狙ったボイスフィッシング（ビッシング）やデバイスコードビッシングを用いて認証トークンを詐取し、接続された企業サービスを乗っ取る手口が特徴的だ。
+
+## 対応状況
+
+Instructureは攻撃を受けてCanvasをオフラインにし、対応にあたっている。BleepingComputerがInstructureに対してコメントや通知の取り組みについて問い合わせたが、記事執筆時点では返答がなかったとされる。影響を受けた教育機関や学生・教職員は、フィッシング被害への警戒を高めるとともに、パスワードの変更や不審な連絡への注意が求められる。

content/posts/2026/05/09/iren-nvidia-ai-cloud-contract.md

@@ -0,0 +1,32 @@
+---
+date: "2026-05-09T02:36:52+09:00"
+title: "IRENがNVIDIAと34億ドル・5年間の管理型AIクラウド契約を締結、フルスタックプロバイダーへ転換"
+description: "AIインフラ企業のIREN LimitedがNVIDIAと5年間・総額34億ドルの管理型GPUクラウドサービス契約を締結し、Mirantis買収と合わせてフルスタックAIクラウドプロバイダーへの本格転換を加速する。"
+tags:
+  - Cloud
+references:
+  - "https://www.globenewswire.com/news-release/2026/05/07/3290760/0/en/IREN-Secures-3-4bn-AI-Cloud-Contract-with-NVIDIA.html"
+  - "https://www.cnbc.com/2026/05/07/iren-stock-ai-infrastructure-nvidia.html"
+---
+
+## 概要
+
+AIインフラ企業のIREN Limited（NASDAQ: IREN）は2026年5月7日、NVIDIAと5年間の大型AIクラウドサービス契約を締結したと発表した。契約総額は約34億ドルに上り、IRENはNVIDIAの社内AI・研究ワークロード向けに管理型GPUクラウドサービスを提供する。この契約は、IRENが単なるGPUデータセンター事業者から、ソフトウェアスタックを含むフルスタックAIクラウドプロバイダーへと転換を本格化させる重要なマイルストーンとなる。
+
+## 契約の技術的詳細
+
+本契約に基づくサービスは、テキサス州チルドレスキャンパス内の既存データセンターに展開される。主要な技術仕様は以下のとおりだ。
+
+- **プラットフォーム**：エアクール式NVIDIAブラックウェル（Blackwell）システム
+- **展開規模**：約60MWの電力容量
+- **ソフトウェア統合**：Mirantisと連携したオーケストレーションおよびクラスター管理ソフトウェア
+
+IREN共同創設者兼共同CEOのDaniel Roberts氏は「この契約は、ベアメタルの提供にとどまらず、包括的なマネージドクラウドソリューションを提供できる能力を実証するものだ」とコメントしており、ソフトウェア層を含むサービスの高度化を強調した。
+
+## フルスタックAIクラウドへの転換
+
+今回の契約発表は、IRENが直前に実施したMirantisの買収（6億2,500万ドル）と合わせて理解する必要がある。Mirantisはオーケストレーションやクラスター管理に強みを持つソフトウェア企業であり、その買収によってIRENはGPUハードウェアの提供だけでなく、AIワークロードの運用管理に必要なソフトウェアレイヤーも自社で賄えるようになった。NVIDIAとの本契約では、このMirantisの技術が実際に活用されており、買収の戦略的合理性を裏付ける形となっている。
+
+## 今後の展望
+
+IRENは北米・ヨーロッパ・アジア太平洋地域にわたる大規模データセンターと電力インフラを保有し、再生可能エネルギーが豊富な地域での展開を強みとしている。世界最大のGPUサプライヤーであるNVIDIA自身が顧客となったことは、IRENのインフラおよびサービス品質に対する強力なお墨付きとなり、今後の顧客獲得にも追い風となりそうだ。34億ドルという契約規模はAIクラウド業界においても際立っており、IRENが本格的な競合プロバイダーとしての地位を確立しつつあることを示している。

content/posts/2026/05/09/ivanti-epmm-rce-zero-day.md

@@ -0,0 +1,25 @@
+---
+date: "2026-05-09T02:36:52+09:00"
+title: "IvantiのEPMM、RCEゼロデイ脆弱性CVE-2026-6973が悪用中—12.8.0.0以前の全ユーザーに緊急パッチ適用を呼びかけ"
+description: "IvantiはEndpoint Manager Mobileにリモートコード実行の脆弱性CVE-2026-6973が実際に悪用されていると警告し、12.8.0.0以前の全ユーザーに対して直ちにパッチを適用するよう促している。"
+tags:
+  - Security
+references:
+  - "https://www.bleepingcomputer.com/news/security/ivanti-warns-of-new-epmm-flaw-exploited-in-zero-day-attacks/"
+---
+
+## 概要
+
+Ivantiは2026年5月7日、Endpoint Manager Mobile（EPMM）に存在するリモートコード実行（RCE）の脆弱性**CVE-2026-6973**がゼロデイ攻撃として実際に悪用されていると警告した。この脆弱性は不適切な入力検証に起因するもので、管理者権限を持つリモート攻撃者がシステム上で任意のコードを実行できる。IvantiはEPMMバージョン12.8.0.0以前のすべてのユーザーに対し、直ちにパッチの適用を促している。修正済みバージョンは12.6.1.1、12.7.0.1、12.8.0.1。米国サイバーセキュリティ・インフラセキュリティ庁（CISA）はこれまでにIvanti製品の脆弱性33件を実際の攻撃で悪用されたものとして記録しており、政府機関への影響も懸念される。
+
+## 脆弱性の技術的詳細
+
+CVE-2026-6973は重大度「高（High）」に分類されるRCE脆弱性で、攻撃には管理者レベルの認証情報が必要とされる。悪用が確認されているものの、開示時点では「非常に限定的な悪用」にとどまっているとされる。今回のセキュリティアップデートでは、CVE-2026-6973のほかに4件の高深刻度の脆弱性も同時に修正されている：**CVE-2026-5786**・**CVE-2026-5787**・**CVE-2026-5788**・**CVE-2026-7821**。これらは権限昇格、証明書スプーフィング、不正アクセスを可能にするものだが、現時点での野外悪用は確認されていない。Ivantiはパッチ適用に加えて、管理者アカウントの確認と認証情報のローテーションも推奨している。
+
+## インターネット上の露出状況
+
+セキュリティ企業Shadowserverの調査によると、インターネットに公開されているEPMMインスタンスが850件以上確認されており、地理的にはヨーロッパに508件、北米に182件が集中している。これらの露出したインスタンスが攻撃者にとっての標的となる可能性が高く、パッチ未適用の組織にとって早急な対応が求められる状況だ。
+
+## Ivanti製品の脆弱性問題と今後の対応
+
+今回のCVE-2026-6973は、Ivanti製品が抱える継続的な脆弱性問題の最新事例に過ぎない。CISAの記録によれば、これまでにIvantiの製品に関する脆弱性33件が実際の攻撃での悪用が確認されており、そのうち12件はランサムウェア攻撃に利用されている。2026年1月にIvantiは2件のコード注入ゼロデイ（CVE-2026-1281・CVE-2026-1340）を開示しており、4月にはCISAがCVE-2026-1340について連邦政府機関へ4日以内のパッチ適用を義務付けていた。EPMMを利用している組織は最新のパッチを直ちに適用するとともに、管理者アカウントの認証情報ローテーションを実施し、不審なアクセスログを精査することが強く推奨される。

content/posts/2026/05/09/kotlin-2-4-0-beta2.md

@@ -0,0 +1,38 @@
+---
+date: "2026-05-09T02:36:52+09:00"
+title: "Kotlin 2.4.0 Beta2 — コンテキストパラメータ等がStable化、Wasm向けインクリメンタルコンパイルもデフォルト有効に"
+description: "JetBrainsがKotlin 2.4.0のBeta2をリリースし、コンテキストパラメータや明示的バッキングフィールド、UUIDサポートのStable化に加え、Kotlin/Wasmのインクリメンタルコンパイルのデフォルト有効化やKotlin/NativeへのSwift Package Managerサポートなど多数の改善が含まれた。"
+tags:
+  - Programming Languages
+references:
+  - "https://blog.jetbrains.com/kotlin/2026/05/kodees-kotlin-roundup-golden-kodee-finalists-kotlin-2-4-0-beta2-and-new-learning-resources/"
+  - "https://kotlinlang.org/docs/whatsnew-eap.html"
+---
+
+## 概要
+
+JetBrainsは2026年4月22日、Kotlin 2.4.0のEarly Access Preview第2弾（Beta2）をリリースした。安定版のリリースは2026年6〜7月を予定しており、今回のBeta2では言語機能・標準ライブラリ・各プラットフォーム（JVM、Native、Wasm、JS）にわたる広範な改善が盛り込まれている。最大のポイントは、Experimentalステータスだった複数の機能がStableに昇格したことと、Kotlin/Wasmのインクリメンタルコンパイルがデフォルト有効化されたことだ。
+
+## 言語機能の安定化と新機能
+
+今回のリリースで最も注目されるのは、**コンテキストパラメータ（Context Parameters）** のStable昇格だ（呼び出し可能参照を除く）。コンテキストパラメータは関数シグネチャに暗黙的なコンテキストを宣言できる機能で、依存性の受け渡しを明示的に書くことなく表現できる。合わせて、**明示的バッキングフィールド（Explicit Backing Fields）** と **`@all` メタターゲット for properties** もStableとなった。
+
+新たにExperimentalで追加された機能として、**明示的コンテキスト引数** が挙げられる。同名の関数が複数のコンテキスト型に対してオーバーロードされている場合に曖昧さを解消するための構文で、`sendNotification(emailSender = defaultEmailSender)` のように名前付きで指定できる。また、**コレクションリテラル**（`-Xcollection-literals` フラグ）も新たに導入され、`val fruit = ["apple", "banana", "cherry"]` のような簡潔な構文でリストを生成できるようになった。さらに、**コンパイル時定数の改善**（`-XXLanguage:+IntrinsicConstEvaluation`）として、文字列関数（`.lowercase()`・`.uppercase()`・`.trim()`）や符号なし型演算、enumの `.name` プロパティがコンパイル時に評価されるようになった。
+
+## 標準ライブラリの変更
+
+`kotlin.uuid.Uuid` APIがStableに昇格した（V4/V7生成関数を除く）。また、コレクションのソート順序を検証する新しい拡張関数群（`isSorted()`・`isSortedBy()`・`isSortedDescending()`・`isSortedWith()` など）が追加された。JVM向けには、符号なし整数（`ULong`、`UInt`）から `BigInteger` への変換関数も追加されている。
+
+## プラットフォーム別の改善
+
+**Kotlin/JVM** では Java 26 のバイトコード生成に対応し、Kotlinメタデータに保存されたアノテーションへのアクセスがデフォルトで有効化された。
+
+**Kotlin/Native** では2つの大きな進展がある。GradleのビルドスクリプトからSwift Package Manager（SwiftPM）の依存関係を宣言できる **Swiftパッケージインポート** がExperimentalで追加された。また、**ガベージコレクタのデフォルトがCMS（Concurrent Mark Sweep）に変更** され、GCによる一時停止時間が短縮されてCompose Multiplatformなどのアプリでのレスポンスが向上する。さらに、**Swift Exportで `kotlinx.coroutines.Flow` をSwiftの `AsyncSequence` としてエクスポート** できるようになった。
+
+**Kotlin/Wasm** では、インクリメンタルコンパイルがStableに昇格しデフォルト有効化された。大規模プロジェクトではビルド時間の大幅な短縮が見込まれる。また、**WebAssembly Component Model** への対応により、言語非依存なコンポーネント構成やFaaS（サーバーレス）アプリケーションでの活用が可能になった。
+
+**Kotlin/JS** では、インライン `value class` をTypeScriptにエクスポートできるようになったほか、`js()` 関数内でアロー関数・ESクラス・テンプレート文字列・スプレッド演算子など主要なES2015構文が使用可能になった。
+
+## 今後の展望
+
+Kotlin 2.4.0の安定版は2026年6〜7月のリリースを予定している。今回Beta2でStableに昇格したコンテキストパラメータは、Kotlinのコードスタイルに大きな影響を与える機能であり、フレームワークやライブラリ側での対応が今後進むと見られる。Kotlin/Wasmの継続的な強化とKotlin Multiplatformのエコシステム拡充も着実に進んでおり、クロスプラットフォーム開発の選択肢としてのKotlinの地位がさらに高まりそうだ。

content/posts/2026/05/09/linux-dirty-frag-zero-day.md

@@ -0,0 +1,33 @@
+---
+date: "2026-05-09T02:36:52+09:00"
+title: "Linuxカーネルの新ゼロデイ「Dirty Frag」、競合状態不要で主要ディストリビューションのroot奪取が可能に"
+description: "Linuxカーネルに長年潜んでいた2つのページキャッシュ書き込み脆弱性を連鎖させた「Dirty Frag」が公開され、Ubuntu・RHEL・Fedoraなど主要ディストリビューションでroot権限昇格が確認された。"
+tags:
+  - Security
+references:
+  - "https://www.bleepingcomputer.com/news/security/new-linux-dirty-frag-zero-day-with-poc-exploit-gives-root-privileges/"
+  - "https://thehackernews.com/2026/05/linux-kernel-dirty-frag-lpe-exploit.html"
+---
+
+## 概要
+
+セキュリティ研究者のHyunwoo Kim氏は2026年5月7日、Linuxカーネルに存在する新たなローカル権限昇格（LPE）脆弱性「Dirty Frag」を公開した。この脆弱性はカーネルの暗号アルゴリズムインターフェース（algif_aead）に約9年前から潜んでいたとされており、Ubuntu 24.04.4、RHEL 10.1、CentOS Stream 10、AlmaLinux 10、openSUSE Tumbleweed、Fedora 44など主要なLinuxディストリビューションすべてに影響する。権限を持たないローカルユーザーがroot権限を取得できるPoC（概念実証コード）もすでに公開されており、早急な対応が求められる状況だ。なお、今回の早期開示はKim氏ではなく第三者が独自にエクスプロイトを公開したことでエンバーゴが破られたことによるものとされている。
+
+## 技術的な詳細
+
+Dirty Fragは、2つの独立したカーネル脆弱性を連鎖させることで成立する。
+
+- **xfrm-ESP Page-Cache Write**（CVE-2026-43284）：2017年1月のコミットに由来するIPSecサブシステムの欠陥
+- **RxRPC Page-Cache Write**（CVE-2026-43500）：2023年6月に導入されたRxRPCサブシステムの欠陥
+
+2つの脆弱性を組み合わせることで、カーネルが所有していないメモリ領域へのページキャッシュ書き込みプリミティブが実現する。Dirty PipeやCopy Failと同じバグクラスに属するものの、タイミングウィンドウに依存しない**決定論的なロジックバグ**であることが最大の特徴だ。競合状態（race condition）を必要とせず、失敗時にカーネルパニックを引き起こさないため、攻撃の信頼性が非常に高い。また、Copy Failに対して有効とされてきたalgif_aeadのブロックリスト緩和策を適用済みの環境でも、この連鎖攻撃は依然として機能することが確認されている。
+
+## パッチと緩和策
+
+CVE-2026-43284（xfrm-ESP）はコミット `f4c50a4034e6` で修正されたが、CVE-2026-43500（RxRPC）については公開時点でパッチが提供されていない。各ディストリビューションの公式パッチを待つ間の暫定的な緩和策として、脆弱なカーネルモジュールを無効化する方法が案内されている。
+
+```bash
+sudo sh -c "printf 'install esp4 /bin/false\ninstall esp6 /bin/false\ninstall rxrpc /bin/false\n' > /etc/modprobe.d/dirtyfrag.conf"
+```
+
+ただし、このモジュール無効化はIPsec VPNおよびAFS分散ファイルシステムを利用不能にする副作用がある。IPsecを業務で使用している環境では影響を十分に評価したうえで対応する必要がある。ユーザーは各ディストリビューターのセキュリティアドバイザリを監視し、正式なカーネルアップデートが公開され次第、速やかに適用することが推奨される。