The Cloudflare Blog
A broken DNSSEC rollover took down .AL. Now 1.1.1.1 tells you when validation is bypassed
- 2026年7月3日、アルバニアの通信当局によるDNSSEC鍵ロールオーバーの失敗で「.al」ドメイン全体が名前解決できなくなった。
- Cloudflareは1.1.1.1リゾルバにNegative Trust Anchor(NTA)を適用し復旧させたが、検証がバイパスされていることは利用者に伝わらなかった。
- この課題を解決するため、Cloudflareは新しい拡張DNSエラー「EDE 33」を実装した。
- 国レベルのTLDでDNSSEC障害が起きた際、復旧のために検証を迂回していることが利用者側からも見えるようになる点は、DNS運用担当者にとって見過ごせない変化である。
- 同種の障害は過去にも他のTLDで起きており、今回のEDE 33が他のリゾルバ実装にも広がるかは今後の動向として追っておきたい。
GitHub Changelog
Security reviews now available in the GitHub Copilot app
- GitHubは2026年7月14日、Copilot CLIにあったAIによる脆弱性スキャン機能を、GitHub Copilotアプリにも「/security-review」コマンドとして公開プレビュー導入した。
- 作業中のコード変更を分析し、深刻度・確信度付きの脆弱性候補と、その場で適用・再検証できる修正案を提示する。
- インジェクション、クロスサイトスクリプティング、安全でないデータ処理、パストラバーサル、弱い暗号など主要な脆弱性クラスを対象とする。
- これまでCLIでしか使えなかった脆弱性チェックを、ターミナルを開かない開発者も日常の作業画面から使えるようになる。
- 公開プレビュー段階のAI判定である以上誤検知や見逃しの余地は残るため、既存のコードスキャンやDependabotの代わりではなく上乗せの防御層として扱うのが妥当だ。
- GitHub Copilot
- セキュリティ
- 開発ツール
15 ★★★ 最重要 英語記事 2026年7月14日
BleepingComputer
SonicWall warns of SMA1000 flaws exploited in zero-day attacks, patch now
- SonicWallはSMA1000シリーズの2件の脆弱性が実際の攻撃で悪用されていると警告した。
- CVE-2026-15409はCVSS 10.0の未認証SSRFで、Workplaceインターフェース経由で悪用可能。
- CVE-2026-15410は認証後のコード実行だが、両者を組み合わせた攻撃も懸念されている。
- SMA1000シリーズでリモートアクセス基盤を構築している企業のネットワーク管理者は、SSL-VPNやSMA 100系との違いを踏まえて対象機種かどうかをまず確認したい。
- パッチの適用手順や暫定回避策は製品ごとに異なるため、SonicWall公式のアドバイザリ番号を突き合わせて確認する必要がある。
Cloudflare Blog
Introducing Precursor: detecting agentic behavior with continuous client-side signals
- Cloudflareは2026年7月13日、クライアント側で継続的に行動シグナルを収集する新しいボット検知エンジン「Precursor」を発表した。
- ログインやチェックアウトなど特定の瞬間だけを守るTurnstileと異なり、動的に注入したJavaScriptでセッション全体の挙動(マウスの動きなど)を継続的に分析する。
- Enterprise向けBot Managementの追加機能(Turnstileの補完)として提供され、一般提供までは無料で利用できる。
- ログイン画面だけを固めていた従来のボット対策では見抜けなかった、セッション中盤以降の自動操作を警戒したいEC・会員制サイトの運営チームに関わる。
- 行動シグナルをどこまでプライバシーに配慮して扱っているかはCloudflare側の説明にとどまり、外部検証はまだない点を差し引いて読みたい。
Google Developers Blog
Unlocking the Next Era of On-Device AI with Google Tensor and Pixel
- Googleは2026年7月13日、Google I/O Connect Indiaで、Pixel 10シリーズのTPU向け「Tensor SDK」のベータ公開と、軽量モデル「Gemma 4 E2B」を発表した。
- Gemma 4 E2BはPixelのTPU上でネイティブに動作し、通信を一切使わずにAIチャットや画像認識、音声書き起こしなどをオフラインで実行できる。
- Tensor SDKはLiteRTと統合され、100以上の機械学習・生成AIモデルを開発者が利用できるモデルガーデンを提供する。
- 通信が不安定な現場や店舗でのAI活用を検討する開発者にとって、オフライン完結という選択肢が具体的になってきたことを示す。
- 対象機種は現行のPixel 10シリーズに限られ、開発者向けAPIの詳細はベータ版の案内で随時更新される点に注意したい。
18 ★★★ 最重要 英語記事 2026年7月11日
Socket
jscrambler npm Package Compromised in Supply Chain Attack
- コード保護ツールとして週間1万5800回ダウンロードされる npm パッケージ「jscrambler」の8.14.0が2026年7月11日に改ざんされた。
- preinstallフックが自動実行され、インストールしただけでOS別のインフォスティーラー(情報窃取マルウェア)が起動する仕組みだった。
- 暗号資産のシードフレーズやAIコーディングツールの設定、クラウド認証情報、SSH鍵などが窃取対象に含まれていた。
- AIコーディングツールの設定やクラウド認証情報をローカルに置きっぱなしにしている開発者ほど、今回のような攻撃で失うものが大きい。
- 検知後も複数の悪性バージョンが立て続けに公開された経緯があるため、該当パッケージに触れていた場合はSocketの分析記事で対象バージョンの範囲を照合しておくべきだ。
GitHub Changelog
CodeQL 2.26.0 adds Kotlin 2.4.0 support and AI prompt injection detection
- GitHubは2026年7月10日、静的解析ツールCodeQLの2.26.0をリリースし、Kotlin 2.4.0対応とAIアプリ向けの新しいセキュリティクエリを追加した。
- 新設された`js/system-prompt-injection`クエリは、信頼できない値がAIモデルのシステムプロンプトに流れ込む経路をJavaScript/TypeScriptコード上で検出する。
- OpenAI・Anthropic・Google GenAIなど複数のSDK APIのシンクに対応し、Soraのプロンプトやシステムプロンプトの汚染などのシナリオを検出対象に含む。
- OpenAIやAnthropicなど複数のAI SDKを自社アプリに組み込んでいる開発者にとって、レビュー工程に加えられる検知手段が一つ増えたことになる。
- コード上のデータフローを追う仕組みである以上、難読化された入力までは捕捉しきれない可能性があり、他の対策と併用する前提で位置づけたい。
20 ★★ 重要 日本語記事 2026年7月10日
JVN (Japan Vulnerability Notes)
JVNVU#91295052: Siemens製品に対するアップデート（2026年7月）
- JPCERT/CCとJVNは2026年7月10日、Siemens製品向けの月次アップデート情報を公開した。
- SICAM 8やSIMATIC S7-1500、Opcenter Xなど産業用制御システム(ICS)関連製品を中心に、新規10件・既報7件の脆弱性が対象。
- バッファオーバーフロー、サービス拒否、クロスサイトスクリプティングなど複数種類の脆弱性が含まれる。
- 工場やプラントでSICAMやSIMATIC S7-1500系の機器を運用する現場は、計画停止のタイミングと修正適用の優先順位をあらかじめ整理しておく必要がある。
- 個々のCVEのCVSSスコアや修正版の有無はJVNの記載だけでは分からず、Siemens公式アドバイザリを個別に照会する必要がある。
Nasdaq
Global Innovation Meets Global Capital: SK hynix Lists on Nasdaq
- 韓国の半導体大手SKハイニックスは2026年7月10日、米Nasdaqに米国預託証券(ADR)を新規上場し、外国企業による過去最大規模の米国上場を達成した。
- ADR価格は1株149ドルで、取引開始時には170ドルまで上昇。調達額は約265億ドルで、米国での外国企業による株式売り出しとしては史上2番目の規模となった。
- SKハイニックスはAI処理に不可欠な高帯域幅メモリ(HBM)で世界シェア約6割を握っており、上場の狙いはAI関連の巨額投資を支える資金調達基盤の拡大にある。
- HBMサプライチェーンに関心がある投資家にとって、韓国市場に加え米国市場からも資金調達できる体制になった点は成長投資の原資を見る上で意味を持つ。
- 上場後の株価推移や調達資金の具体的な使途は、この時点の発表以降の続報を追って確認する必要がある。
GitHub Changelog
New pull requests dashboard is now generally available
- GitHubは2026年7月9日、github.com/pulls の新しいPull Requestsダッシュボードを一般提供にした。
- レビュー依頼・要修正・マージ準備完了などをInboxとしてまとめて表示し、セクションの並び替えや非表示ができる。
- 検索クエリを保存できるカスタムビューや、チームレビュー・Copilotのプルリクエストに対応した新しいフィルタも加わった。
- 複数リポジトリを掛け持ちしてレビュー依頼を追いかけている開発者ほど、Inbox形式の一元管理による恩恵を感じやすい。
- Copilot起票のPRを区別するフィルタなど新しい検索構文は今後も追加が見込まれるため、最新の対応状況はその都度追いかけたい。
Google Developers Blog
LiteRT.js, Google's high performance Web AI Inference
- Googleは2026年7月9日、モバイルやデスクトップ向けだったLiteRTをWebに拡張した『LiteRT.js』を公開した。
- JavaScript/TypeScriptからブラウザ内でML推論を実行でき、既存のWeb AIランタイムより最大3倍速いとしている。
- WebGPUやWebNNによるハードウェアアクセラレーションに対応し、GPU/NPU利用時はCPU実行比で5〜60倍の高速化を見込めるという。
- サーバー側GPUのコストに悩んできたWebサービス運営者にとって、推論をブラウザ側に逃がす選択肢が現実味を帯びてきたと言える。
- ブラウザごとの実際の速度差やモデル形式の対応状況は環境依存の部分が大きく、導入前に手元での検証を挟みたい。
Azure SDK Blog (Microsoft)
Announcing the end of support for Node.js 20.x in the Azure SDK for JavaScript
- Node.js 20系は2026年4月30日付でNode.js公式のサポート(セキュリティパッチ提供)が終了している。
- これを受け、Microsoftは2026年7月9日、Azure SDK for JavaScriptが今後Node.js 20.xをサポート対象外とすることを発表した。
- Node.js 20は歴代でも特に広く使われたLTS系列のひとつで、今もこのバージョンで動く本番環境が少なくないとみられる。
- CIやDockerfileでNode 20を指定したままのプロジェクトを抱えるチームには、周辺ライブラリの追従が止まる前に22系へ切り替えるかどうかを判断する材料になる。
- 移行先の推奨バージョンや対象パッケージの範囲はAzure SDK Blogの発表本文に書かれているため、そちらを直接あたってほしい。