Previewing RSS of セキュリティホール memo

》 中東方面

• サウジアラビアのパイプライン復旧に3～5週間か　ドローン攻撃受けポンプ施設などが損傷　世界の原油供給 最大4％減の恐れも (TBS, 9/15)。修理に1か月。 追加攻撃が無いという前提で、だろうなあ。 なかなか厳しい。

• コラム：ホルムズ海峡依存の脱却困難、頼みのパイプラインも攻撃対象に (ロイター, 9/15)

• コラム：石油価格、イラン攻撃による急騰から持久戦へ (ロイター, 9/14)

• ホルムズ海峡通航が一段と減少　中東の攻撃激化で4隻に (ロイター, 9/15)

》 テラドローンがチェコ企業とJV設立を検討、ジェット型迎撃ドローン製品化 (航空万能論 GF, 9/15)。元気ですね。

》 米海軍長官代理、イランがバーレーンの米海軍基地を徹底的に破壊した (航空万能論 GF, 9/14)。イランがエスカレーションしない前提でしか動いてなかったんだろうなあ。兵站の限界が作戦の限界。

エピック･フューリー作戦に参加した兵士も「海上展開中の艦艇に対する食料、物資、スペアパーツなどの補給が完全に失敗していた」と証言し、これはイランの攻撃でバーレーン海軍支援活動基地が機能しなくなって兵站拠点を中東地域から2000マイル以上も離れたインド洋のディエゴガルシアに下げたためで、この兵士は「30日前に食料を発注するよう要求されたが、そもそもの兵站計画がずさんで補給スケジュールが悪化していたためそんなことは不可能だった。兵站拠点からの補給が期待できないため洋上補給艦から調達できるものをかき集めるしかなかった」と述べた。

》 米空軍は2032年までに無人戦闘機を500機配備、FQ-44の価格は2000万ドル以下 (航空万能論 GF, 9/15)。へぇ。

》 MQ-9A 後継機方面。 調達コスト目標は 1000 万ドルだそうで (MQ-9 はセンサー込みで 5000 万ドルだとか)。喪失前提で低コストを追及ということなんだろうなあ。

• GA-ASIがMQ-9A後継機にワイルドファイアを提案、Swarm Aeroも新型機を予告 (航空万能論 GF, 9/11)

• 米防衛スタートアップがMQ-9A後継機を発表、ステルスに頼るのは持続不可能 (航空万能論 GF, 9/15)。 Swarm Aero の「Gamera」。側面からジェット噴射する円盤型……ではなく、双胴の単発機。

  同社のオリバー･パーマー最高収益責任者もBreaking Defenseの取材に「我々がやったことは重要目標に対して遠距離からペイロードを投射する際『プラットフォームのステルス性能を追求し、あらゆる種類の防御手段で保護する必要がある』という従来の常識に反するもので、長距離飛行に極めて最適化された非常にシンプルで非ステルス機を開発したことだ」と述べ、米空軍がMQ-9Aの後継機に要求した「目標価格1,000万ドル」について「その目標を達成できる」と断言した上で「コスト削減に特効薬はない」「あらゆる設計段階でコスト削減に関する協調的な努力が必要だ」と付け加えた。

　関連: 米「空の暗殺者」リーパーの4分の1失う…損失額は最低でも13億ドルに (中央日報 / Yahoo, 8/14)。「少なくとも45機のMQ－9リーパードローンを失った」。

》 空自の無人偵察機が通信途絶、「機体の捜索最優先」と官房長官 (ロイター, 9/15)。RQ-4B グローバルホークがレーダーロスト!!! うひー。

　関連: 防衛省が装備品の取得費用や運用･維持費用を公開、RQ-4の年間維持費用は43.9億円 (航空万能論 GF, 2021.09.07)。LCC = ライフサイクルコスト。

各装備品の調達単価/LCC単価は (中略) RQ-4：204億円/1,084億円

　RQ-4B は戦闘機並に高価なのよね。

》 なぜ日本には「政府から独立した人権機関」がない？国連が繰り返し勧告、弁護士らが2028年設立めざす (弁護士ドットコムニュース, 9/10)

》 US confirms for first time it has deployed space weapons (BBC, 9/15)。DeepL AI 訳:

2024年、米国は、ロシアが他の同種の探査機を攻撃する能力を持つ可能性があるとみられる衛星を打ち上げたと発表した。ロシアはこの問題について公の場でコメントしなかった。

　こちらの件: US says Russia likely launched anti-satellite weapon (BBC, 2024.05.22)。DeepL AI 訳:

米宇宙軍の広報担当者はロイター通信に対し、この衛星は「おそらく低軌道上の他の衛星を攻撃できる能力を持つ対宇宙兵器である可能性が高い」と述べた。

広報担当者は、この衛星「コスモス2576」が5月16日、モスクワの北約800km（497マイル）に位置するロシアのプレセツク宇宙基地から打ち上げられたと述べた。 (中略) 宇宙アナリストによると、コスモス2576は米国の衛星「USA 314」と同じ軌道上にあるようだという。

》 The Interview - Naomi Klein and Astra Taylor Say the End of the World Is Now on the Table (NYTimes, 9/12)。 新著 End Times Fascism and the Fight for the Living World. (naomiklein.org) にあわせたインタビュー。

》 米最高裁、郵便投票の制限認めず　トランプ氏の計画を阻止 (BBC, 9/15)。おめでとうございます。

　0-day は無いようです。 iida さん情報ありがとうございます。

• 全体

  • Apple security releases (Apple)

• iOS / iPadOS

  • About the security content of iOS 27 and iPadOS 27 (Apple, 2026.09.14)

  • About the security content of iOS 26.7 and iPadOS 26.7 (Apple, 2026.09.14)

• macOS

  • About the security content of macOS Golden Gate 27 (Apple, 2026.09.14)

  • About the security content of macOS Tahoe 26.7 (Apple, 2026.09.14)

  • About the security content of macOS Sequoia 15.8 (Apple, 2026.09.14)

• tvOS

  • About the security content of tvOS 27 (Apple, 2026.09.14)

• watchOS

  • About the security content of watchOS 27 (Apple, 2026.09.14)

• visionOS

  • About the security content of visionOS 27 (Apple, 2026.09.14)

• Safari

  • About the security content of Safari 27 (Apple, 2026.09.14)

• Xcode

  • About the security content of Xcode 27 (Apple, 2026.09.14)

　Cisco Secure Email Gateway に 0-day 欠陥、remote から無認証かつ root 権限で 任意のコマンドを実行できる。 cisco-sa-esa-inj-2bLVGmhX の DeepL AI 訳より:

攻撃者は、悪意のあるSQL文を含む細工された電子メールメッセージを、影響を受けるデバイスに送信することで (中略) 任意のSQL文を実行できるようになり (中略) root権限によるコマンド実行が可能となる

　Cisco AsyncOS 15.5.5-0141 / 16.0.4-3021 / 16.5.0-780 で対応されている。「シスコは、お客様がリリース 16.5.0-780 へ移行することを強く推奨します」だそうだ。 また、既にヤラれているかどうかについては、以下のように書かれている。

この脆弱性に対する攻撃の試みを確認するには、mail_logs を確認し、不審な SQL 文がないか調べてください。デバイスがクラスタの一部である場合は、各クラスタデバイスのログを確認してください。以下は、ログ内で悪意のある SQL 文を検出する方法の一例ですが、これに限られるわけではありません：

    cisco-esa> grep -i "COPY.*TO PROGRAM" [IronPort Text Mail Logs Log name - Default: mail_logs]

出力に何らかのエントリが含まれている場合は、悪意のある活動の兆候である可能性があります。

2026 年 9 月のセキュリティ更新プログラム (月例) (2026.09.09)

　RDS / Hyper-V / USB オーディオの不具合を修正した、累積的な「定例外更新」が公開されました。USB オーディオについては一部の不具合のみ修正だそうです。 セキュリティ修正も 2 件追加されています。

• September 14, 2026—KB5129194 (OS Build 28000.2956) Out-of-band (Microsoft, 2026.09.14)。 Windows 11 26H1 の update history。 DeepL AI 訳を若干調整:

  この定例外更新プログラムには、以下の機能改善が含まれています:

  • [セキュリティ] この更新プログラムには CVE-2026-62721 に記載されている保護対策が含まれています。これは、Windows ユーザーモード パワー サービス (UMPS) の権限昇格の脆弱性に関するものです。
  • [セキュリティ] この更新プログラムには CVE-2026-85921 に記載されている保護対策が含まれています。これは、Windows セキュアカーネルモードの権限昇格の脆弱性に関するものです。
  • [リモート デスクトップ サービス (既知の問題)] 修正済み: この更新プログラムは、2026年9月の Windows セキュリティ更新プログラム (KB5124012) のインストール後にリモート デスクトップ サービス (RDS) に影響を及ぼす問題を解決します。影響を受ける環境では、RDS が不安定になり、RDP 接続やサインインの失敗、またはリモート デスクトップの設定中にサーバーが応答しなくなる可能性があります。Microsoft Management Console (MMC)、RDS ライセンス診断ツール、ファイル エクスプローラー、Windows Update ページなどの関連ツールも、応答しなくなる可能性があります。
  • [Hyper-V (既知の問題)] 修正済み: HCS 管理対象 仮想マシンを使用する一部のアプリケーションで、Plan9 を使用して Linux VM とホストフォルダーを共有する際に問題が発生していました。Plan9 を使用して Windows ホストから共有されたフォルダーが、ゲスト環境に表示されない、またはアクセスできない状態になっていました。
  • [8 チャンネルまたは 3D オーディオ モード] 修正済み: 標準のステレオ構成では正常に動作していた一部の USB オーディオ クラス 1.0 デバイスが、8 チャンネルまたは 3D オーディオ モードを含むマルチチャンネル オーディオ機能を使用する際に動作しなくなっていた問題を修正しました。(注: この定例外更新では解決されていないその他のオーディオ関連の問題があります。詳細については、「このアップデートの既知の問題」セクションを参照してください。)

  CVE-2026-62721 は Windows 全般。 CVE-2026-85921 は Windows 11 26H1 のみ対象。 いずれも 0-day ではない。

• Microsoft、Windowsの9月パッチで発生した不具合に緊急対処 ～定例外更新をリリース (窓の杜, 2026.09.15)

  なお、「Windows 11 バージョン 24H2」以降の場合、今回のパッチは 適用必須のセキュリティアップデート という位置付けになっている。 (中略) 　一方、「Windows 11 バージョン 23H2」と「Windows 10 バージョン 22H2」（ESU）では、今回のパッチは オプションの非セキュリティ更新プログラム として提供される。

  Windows Update で流れてくるのは Windows 11 24H2 以降と。 多分 Windows Server 2025 (Microsoft Server Operating System-24H2) も同様かと (使ってないから確認できないんだけど)。

• 2026-09 (Microsoft Update カタログ)。 Windows 11 23H2、Windows 10 22H2、 Windows Server 2022 (Microsoft Server operating system-21H2) 以前についてはこちらから。

》 AnthropicのアモデイCEO、AI開発の「ペース調整」訴えるエッセイ公開　アルトマン氏とマスク氏も賛同 (ITmedia, 9/13)

• We Must Pace the Frontier (Dario Amodei, 2026.09)。DeepL AI 訳を若干調整:

  しかし、ここ数か月の間に、リスクに完全に対処するためには、さらに慎重な姿勢が必要だと確信するようになりました。 (中略) AIモデルの能力向上ペースを緩めなければなりません。それでも進歩は速く感じられるでしょうが、そこで得られた時間を賢く活用しなければなりません。 私をそう確信させたのは、2つの理由があります。

  私がまず懸念しているのは、およそこの夏頃から、主に次世代AIを構築するAIの能力が高まったことを原動力として、AIの進歩が飛躍的に加速しているという点です。(中略) これを放置すれば、これらのシステムを理解し制御する私たちの能力を上回ってしまう恐れがあるため、もし取り組むとしても、極めて慎重に進める必要があります。

  2つ目の懸念は、OpenAI-Hugging Face事件（OAI-HF）です。 (中略) AI能力の開発ペースが加速していることを踏まえると、6～12か月後には、そのようなスウォームが持続的なボットネットを用いてインターネット全体を乗っ取る能力を獲得し（潜在的に数千億ドルの損害をもたらす可能性があり）、必要な安全策が講じられずにAIがさらに強力になれば、その損害の規模はそこからさらに拡大し続けるのではないかと懸念しています。

  そこで私は、フロンティアのペースを調整することを目標とした3段階の計画を提案します。(中略) そのステップは以下の通りです：

  1. 常駐評価者。 各最先端AI企業は、常駐する第三者評価者チーム（METRなど）に対し、従業員と同等の継続的なアクセス権を付与することを約束します。 (中略)
  2. 民主的な連携。 (中略)
  3. 国際的な調整。 (中略)

  戦略兵器削減交渉じゃん。 AI はマジで核兵器と同様に扱うべき案件になった。 問題は、「弾頭数」とか「射程距離」とかいった単位では計れないところだなあ。

》 「低所得の母親に現金を給付する実験」で子どもの老化に変化が生じたことが判明 (gigazine, 9/14)

》 「投稿した記憶のない娘の個人情報」をMeta AIが知人の投稿などから正確に推測するという恐怖体験を母親が告白 (gigazine, 9/14)

》 韓国のスパイ防止法が70年以上ぶりに拡大され9月13日に施行、外国のスパイが韓国の半導体産業を標的にするケースが増えているため (gigazine, 9/14)

》 独立系Wikiが「Google監獄」に放り込まれ開設から1年近く検索結果に表示されない現象が多数発生中 (gigazine, 9/10)

》 OpenAIのAIエージェントによるハッキング事件で他にも最低10件のサイトが侵害されていたことが判明 (gigazine, 9/10)

》 Anthropicが「テスト中のAIで他社を攻撃してしまったインシデント」の発生原因を報告 (gigazine, 9/10)

》 カナダを「EU準加盟国」に　カーニー氏の大胆な賭け (Wall Street Journal, 9/14)

》 本物そっくり“AI生成レシート“が経費精算の脅威に　マネフォ「自力で見破るのは難しい」　企業はどう備える？ (ITmedia, 9/11)

　では、企業はどう対策すればいいのか。松岡氏は、「画像（領収書）の見た目」で偽造を見抜こうとするのではなく、「領収書そのものに頼らない仕組み」を作ることが有効だと指摘する。

　具体策として挙げるのは、コーポレートカードの配布などで社員の支払いをキャッシュレス決済に一本化し、その決済データを経費精算システムに直接取り込む方法だ。社員が個人のクレジットカードで支払う場合でも、決済データをシステムに連携させれば、明細から支払いが実際にあったかを確認できる。

　ですよねえ。

》 中露・北朝鮮の関与が疑われるサイバー攻撃への言及増加、警察庁がサイバー空間の脅威情勢レポート (Internet Watch, 9/14)

》 X、新「Twitter」の名称を禁じる仮差止命令を獲得も「ツイート」「鳥ロゴ」は認められず (Internet Watch, 9/7)

》 ガバメントソリューションサービス（GSS）に不正アクセス、政府職員らの個人情報約24.6万件が漏えいの可能性 (Internet Watch, 9/11)

》 Androidスマホに不正アプリをインストールさせるフィッシング、「今すぐポイントが受け取れます」などのメールに注意！ (Internet Watch, 9/9)

》 States That Gave Data Centers Billions in Tax Breaks Are Now Ripping Up the Deals (Wall Street Journal, 9/9)。税優遇終了のお知らせ。

10年以上前、オハイオ州の議員たちは、データセンターに必要なコンピュータサーバーやその他の機器に対する売上税をテクノロジー企業に免除した。(中略) 人工知能（AI）ブームにより、この免税措置の規模が膨れ上がり、昨年には15億ドル以上に達し、州の当初の推計の10倍以上となった。報道機関「シグナル・オハイオ」がこの措置の規模を報じたことを受け、有権者から激しい反発が巻き起こり、これを受けて共和党のマイク・デワイン知事は5月、売上税免税の新規申請を一時停止した。

(中略)

同様の動きが全米各地で広がっており、イリノイ州、ニュージャージー州、ワシントン州を含む10州以上の州議会議員や州知事が、税制優遇措置に急ブレーキをかけている。こうした方針転換は、かつてAIブームを牽引する施設を経済の原動力として歓迎していた州の指導者たちが、突然それらを政治的な足かせのように扱うようになったことを浮き彫りにしている。

GitLab

• 「GitLab」に緊急パッチ、CVSS満点「10.0」の脆弱性 ～認証なしでサーバーファイルを読まれる (窓の杜, 2026.09.11)

GIMP

• 画像編集ソフト「GIMP 3.2.6」が公開 ～8月に報じた脆弱性など、27件のCVEに対処 (窓の杜, 2026.09.11)

2026 年 9 月のセキュリティ更新プログラム (月例) (2026.09.09)

　不具合情報です。

• Windowsの9月セキュリティパッチでリモートデスクトップが不安定に、Microsoftが認める (窓の杜, 2026.09.14)

• Windows 11の9月セキュリティパッチでUSBオーディオ機器に問題、Microsoftが確認 (窓の杜, 2026.09.14)。 影響するのは「USB Audio Class 1.0 準拠のデバイス」だそうです。

• 「WSL」「Claude Cowork」に影響、Windows 11の9月パッチに「Hyper-V」がらみの問題 (窓の杜, 2026.09.14)

》 「レジリエントPNTワークショップ」 2026年7月29日開催のお知らせ (JAXA, 7/13)。こんなのやってたのですね。知らんかった。 資料が掲載されています。 一部を紹介:

• GPS等のGNSSに依存しない低軌道測位 （LEO PNT）: システム、サービス (村田眞哉 / JAXA, 7/29)

• QZSSシステムへのLEO衛星群追加について (秋山 恭平、Galletti Elena / JAXA, 7/29)

　関連:

• eLoran Surging as Protection for GNSS and Users (Inside GNSS, 8/5)。Loran-C を大幅に改良した eLoran というものがあるのですね。

• 衛星測位技術の国際会議「ION GNSS+ 2026」にて、LEO PNTに関する研究成果を発表 (古野電気, 9/10)

》 当社システムへの不正アクセスに関する調査結果および再発防止策について（第三報） (さくらインターネット, 9/10)

》 Googleが「AIで飛行機雲を避ける」実証実験を航空会社と連携して実施、温暖化影響を約40％削減 (gigazine, 9/8)

Googleによると、飛行機雲を避けることは理論的には非常に簡単であり、航空機は飛行機雲が発生しやすい冷たく湿ったエリアを避けるために高度をわずかに調整するだけでOKとのこと。Googleのシステムは、AIによる予測・衛星画像・高度な気象情報を統合し、飛行機雲が発生する領域を事前に特定することで、管制官とパイロットがそれらの領域を迂回する微調整を計画できるようにしています。

》 音楽の「物理メディア」が復活、CDの売上が2026年上半期のアメリカで59％増・レコードも18％増 (gigazine, 9/8)

》 InstagramのAI検出ラベルが誤作動しまくっていると話題に (gigazine, 9/8)

》 テスラ車の一時停止標識無視により発生した交通事故で対向車のドライバーが死亡、自動運転システムは動作 (gigazine, 9/9)

》 テトリス公式からの苦情を受けホワイトハウスがArcadeからテトリスライクなゲームを削除 (gigazine, 9/9)

》 ヒューレット・パッカード・エンタープライズ、H3Cの残り9%の株式を6億4300万ドルで売却 (investing.com, 2025.12.02)。

この取引は、HPEが2週間前に発表したH3Cの約10%の株式売却に続くものであり、両取引を合わせて約13億ドルの純収入を生み出し、HPEのH3Cからの完全な撤退を完了させるものである。

　そんなことになっていたのか。知らんかった。 まあ、Juniper 買ったしなあ。

》 スレッドNo.744: GB2312の解釈 (sylpheed-support ML, 2014.09.05)

　中国からのメール（SPAMじゃなく必要なメールです）なんですが、多くの場合 は文字コードがUTF8ではなくGB18030になっています。しかし困ったことにメール ヘッダは多くの場合charset=gb2312と書かれています。簡体中国語の文字コード はGB2312→GBK→GB18030と拡張された歴史があり、新しいコードは上位互換性が あるそうです。古いメーラへの配慮からヘッダを変えなかったのでしょう。

　なるほど。手元の charset=gb2312 な文字化けメールを charset=gb18030 で解釈してみたら、文字化けが直った。

　関連: Outlook on the Webの言語設定が英語だと文字コードが中国語になる (雑多制作, 2024.11.21)

対応方法
表示言語を日本語にすると、文字コードが iso-2022-jp と、日本語に変更され、文字化けは解消されました。

》 「Tera Term 5.7.0」が公開 ～シリアル送信時の送信サイズ制限などに対応 (窓の杜, 9/10)

》 その「物忘れ」単なる老化が原因ではないかも…知られざる5つの意外な要因 (クーリエ・ジャポン, 9/3)。 元ねたは多分これなのだが、「5つ」じゃなくて「6つ」なんだよなあ: I treat brain fog. Here are 6 surprising causes many people overlook. (Washington Post, 8/10)。URL は「5-surprising-causes」になっているので、多分元ねたは改訂されて計 6 つになったのだろう。

　元ねたで挙げられている「6 つ」は以下:

• 腸の炎症
• ロング・コビッド
• 閉経周辺期と閉経
• 睡眠時無呼吸症候群
• ビタミンB12欠乏症
• 慢性疼痛

》 「９・１１」で崩れ落ちた世界貿易センターを設計したのは日系人建築家だった　「祖父の目指した建築はもっと違うもの」孫が明かす２５年目の真実 (共同, 9/10)。ミノル・ヤマサキ。

　ケイティに「あなたが最も好きで、ミノルの思想を最も表していると考える作品は」と尋ねると、即座に、デトロイト中心部にある「ウェイン州立大のマクレガー・メモリアル・カンファレンス・センター」という答えが返ってきた。１９５８年完成、米国建築家協会の賞も受けた作品で、ケイティが結婚式を挙げた思い出の場所だった。

　関連:

• McGregor Memorial Conference Center (wayne.edu)

• 「なぜ日本人建築家なんだ」　ミノル・ヤマサキが世界貿易センタービルの建築家に選ばれた理由とは？ (飯塚真紀子 / Yahoo, 2018.09.14)

》 Anthropic在籍の研究者2人も同調──「AIが人類を滅ぼしかねないと本気で考えている」 (ITmedia, 9/10)。なにしろ、倫理が全く実装されていないからなあ。

》 Google、フィンランドに過去最大の約2.3兆円投資　AIデータセンター増設や原発電力調達へ (ITmedia, 9/10)

エネルギー大手Fortumとは、ロビーサ原子力発電所の運転延長プログラムを支えるため、22年間の長期電力購入契約（PPA）を締結した。両社はさらに、新たな調整力と発電容量に関する覚書も締結し、ロビーサでの新規原子炉の事業性についても検討する。

　あいかわらず原発が大好き。

》 「菜の花がおかしい」――イラストレーター制作うたうマラソン大会ポスターに指摘相次ぐ　事務局がAI使用認め謝罪 (ITmedia, 9/9)

》 店で免許証スキャン→数時間で闇サイトへ　米国防長官含む1億5300万枚の流出、被害者たちが突き止めた意外な出所 (ITmedia, 9/9)。 FBI Probes Service Selling 153M+ Drivers Licenses (Krebs on Security, 9/1) の件。

HertzとPlanet13に共通していたのは、本人確認のための身分証スキャンに「idscan.net」というニューオーリンズの企業が手掛けるサービスを利用していたことだった。(中略) Hertzの他にもTargetやFedEx、Motorola Solutionsなど多数の米大手企業にサービスを提供しており、世界2万カ所あまりで月間21万回を超す身分証確認に利用されているという。

2026 年 9 月のセキュリティ更新プログラム (月例) (2026.09.09)

　不具合情報です。 今のところ、回避するにはアンインストールするしか無いようです。

• ファイル履歴が機能しない・動作しない不具合。KB5124008やKB5122878に起因。Windows11およびWindows10にて (ニッチなPCゲーマーの環境構築Z, 2026.09.10)

　Chrome 153 が stable となりました。

• Stable Channel Update for Desktop (Google, 2026.09.08)。 153.0.8010.36/.37 for Windows / Mac および 153.0.8010.36 for Linux。 230 件のセキュリティ修正を含む。

• Chrome for Android Update (Google, 2026.09.08)。 Chrome 153 (153.0.8010.36) for Android。

》 「ペンギンを返して」　Suica新キャラ候補3案公開でSNSに戸惑いの声　一般投票は8日から (ITmedia, 9/8)。ほんと、ひどいのばっかだな。

　評価は候補ごとに分かれる。リスをモチーフにしたA案には、「デザインが古い」「無難だけどチープすぎる」とする反応がある一方、「一番しっくりくる」「JRのイメージに合う」と支持する声もみられた。

　なんか 1980 年代の JR 感があるなと思ったのだが、 私はどうやら 201系感を感じているっぽい。 色味的には C の方が 201系に近いはずなのに A に201系感を感じるのは、 そのデザインの古さ・ダサさにあるようだ。

Android

• Androidに四半期に一度の大規模セキュリティ更新 ～180件を修正、「Critical」は32件 (窓の杜, 2026.09.09)

　出ました。

• APSB26-98 : Security update available for Adobe Experience Manager
  (Adobe, 2026.09.09)
• APSB26-119 : Security update available for Adobe ColdFusion
  (Adobe, 2026.09.09)
• APSB26-130 : Security update available for Adobe Photoshop
  (Adobe, 2026.09.09)
• APSB26-131 : Security update available for Adobe Illustrator
  (Adobe, 2026.09.09)
• APSB26-132 : Security update available for Adobe Animate
  (Adobe, 2026.09.09)
• APSB26-136 : Security update available for Adobe Photoshop Mobile
  (Adobe, 2026.09.09)
• APSB26-138 : Security update available for Adobe Commerce
  (Adobe, 2026.09.09)
• APSB26-141 : Security update available for Adobe Acrobat and Reader
  (Adobe, 2026.09.09)
• APSB26-142 : Security update available for Adobe Campaign Classic
  (Adobe, 2026.09.09)

　Priority:

1. ColdFusion / Campaign Classic
2. Experience Manager / Acrobat and Reader / Commerce
3. Photoshop / Illustrator / Animate / Photoshop Mobile

　また Commerce は上記 APSB26-138 の他に、2026.09.07 に公開された APSB26-146 がある (Priority: 1)。APSB26-146 の修正は APSB26-138 には含まれていない模様。 Security update available for Adobe Commerce - APSB26-138 (Adobe, 2026.09.08) にも以下の記述がある。 DeepL AI 訳:

重要

2026年9月7日、アドビはAdobe CommerceおよびMagento Open Sourceに影響する重大なセキュリティ更新プログラム（APSB26-146）をリリースしました。本ドキュメントに記載されている9月の個別パッチファイルに加え、CVE-2026-75650 に対するホットフィックスを適用してください。また、アドビは、是正措置の一環として、暗号化キーおよび関連する認証情報を更新することを強く推奨しています。

　両方適用する必要があるようだ。

　出ました。 974 Microsoft CVE + 25 non-MS CVE。 https://msrc.microsoft.com/update-guide/releaseNote/2026-Sep から引用:

製品ファミリ	個別更新数	対処した脆弱性数	製品／バージョンごとの更新数	更新タイプ
Azure	1	12	4	個別
Developer Tools	1	22	36	累積
Exchange Server	1	9	4	累積
Office	1	111	11	累積 (2016 を除く)
Office 2016	1	111	18	個別
Other	1	9	9	個別
SharePoint Server	1	16	3	累積
Skype for Business	1	10	3	累積
SQL	1	62	1	累積
Windows	1	723	32	累積

　「注目すべき CVE」(0-day) は 2 件。どちらも攻略ツールが存在。

• Windows Advanced Local Procedure Call (ALPC) Elevation of Privilege Vulnerability CVE-2026-85880 (Microsoft, 2026.09.08)

• Windows Update Stack Elevation of Privilege Vulnerability CVE-2026-81963 (Microsoft, 2026.09.08)

　関連:

• September 2026 Microsoft Patch Tuesday (SANS ISC, 2026.09.08)

• 【Windows11】 WindowsUpdate 2026年9月 不具合情報 - セキュリティ更新プログラム KB5124008 マウスカーソルや壁紙真っ黒の不具合などを修正 (ニッチなPCゲーマーの環境構築Z, 2026.09.09)

• 【Windows10】 WindowsUpdate 2026年9月 不具合情報 - セキュリティ更新プログラム KB5122878 (ニッチなPCゲーマーの環境構築Z, 2026.09.09)

2026.09.10 追記:

　不具合情報です。 今のところ、回避するにはアンインストールするしか無いようです。

• ファイル履歴が機能しない・動作しない不具合。KB5124008やKB5122878に起因。Windows11およびWindows10にて (ニッチなPCゲーマーの環境構築Z, 2026.09.10)

2026.09.14 追記:

　不具合情報です。

• Windowsの9月セキュリティパッチでリモートデスクトップが不安定に、Microsoftが認める (窓の杜, 2026.09.14)

• Windows 11の9月セキュリティパッチでUSBオーディオ機器に問題、Microsoftが確認 (窓の杜, 2026.09.14)。 影響するのは「USB Audio Class 1.0 準拠のデバイス」だそうです。

• 「WSL」「Claude Cowork」に影響、Windows 11の9月パッチに「Hyper-V」がらみの問題 (窓の杜, 2026.09.14)

2026.09.15 追記:

　RDS / Hyper-V / USB オーディオの不具合を修正した、累積的な「定例外更新」が公開されました。USB オーディオについては一部の不具合のみ修正だそうです。 セキュリティ修正も 2 件追加されています。

• September 14, 2026—KB5129194 (OS Build 28000.2956) Out-of-band (Microsoft, 2026.09.14)。 Windows 11 26H1 の update history。 DeepL AI 訳を若干調整:

  この定例外更新プログラムには、以下の機能改善が含まれています:

  • [セキュリティ] この更新プログラムには CVE-2026-62721 に記載されている保護対策が含まれています。これは、Windows ユーザーモード パワー サービス (UMPS) の権限昇格の脆弱性に関するものです。
  • [セキュリティ] この更新プログラムには CVE-2026-85921 に記載されている保護対策が含まれています。これは、Windows セキュアカーネルモードの権限昇格の脆弱性に関するものです。
  • [リモート デスクトップ サービス (既知の問題)] 修正済み: この更新プログラムは、2026年9月の Windows セキュリティ更新プログラム (KB5124012) のインストール後にリモート デスクトップ サービス (RDS) に影響を及ぼす問題を解決します。影響を受ける環境では、RDS が不安定になり、RDP 接続やサインインの失敗、またはリモート デスクトップの設定中にサーバーが応答しなくなる可能性があります。Microsoft Management Console (MMC)、RDS ライセンス診断ツール、ファイル エクスプローラー、Windows Update ページなどの関連ツールも、応答しなくなる可能性があります。
  • [Hyper-V (既知の問題)] 修正済み: HCS 管理対象 仮想マシンを使用する一部のアプリケーションで、Plan9 を使用して Linux VM とホストフォルダーを共有する際に問題が発生していました。Plan9 を使用して Windows ホストから共有されたフォルダーが、ゲスト環境に表示されない、またはアクセスできない状態になっていました。
  • [8 チャンネルまたは 3D オーディオ モード] 修正済み: 標準のステレオ構成では正常に動作していた一部の USB オーディオ クラス 1.0 デバイスが、8 チャンネルまたは 3D オーディオ モードを含むマルチチャンネル オーディオ機能を使用する際に動作しなくなっていた問題を修正しました。(注: この定例外更新では解決されていないその他のオーディオ関連の問題があります。詳細については、「このアップデートの既知の問題」セクションを参照してください。)

  CVE-2026-62721 は Windows 全般。 CVE-2026-85921 は Windows 11 26H1 のみ対象。 いずれも 0-day ではない。

• Microsoft、Windowsの9月パッチで発生した不具合に緊急対処 ～定例外更新をリリース (窓の杜, 2026.09.15)

  なお、「Windows 11 バージョン 24H2」以降の場合、今回のパッチは 適用必須のセキュリティアップデート という位置付けになっている。 (中略) 　一方、「Windows 11 バージョン 23H2」と「Windows 10 バージョン 22H2」（ESU）では、今回のパッチは オプションの非セキュリティ更新プログラム として提供される。

  Windows Update で流れてくるのは Windows 11 24H2 以降と。 多分 Windows Server 2025 (Microsoft Server Operating System-24H2) も同様かと (使ってないから確認できないんだけど)。

• 2026-09 (Microsoft Update カタログ)。 Windows 11 23H2、Windows 10 22H2、 Windows Server 2022 (Microsoft Server operating system-21H2) 以前についてはこちらから。

》 FBI Probes Service Selling 153M+ Drivers Licenses (Krebs on Security, 9/1)

》 匿名・流動型犯罪グループによる犯罪被害対策のための技術的措置に関する有識者検討会 (警察庁)。 第３回（令和８年９月２日）までの資料が掲載されている。

》 ケニアの一大ビジネスになっていた「論文のゴーストライター」ビジネスがAIの登場で崩壊 (gigazine, 9/7)

》 アメリカ軍がスマホやPCの広告識別子を無効化、位置情報データが監視・攻撃に利用されているとの報告を受け (gigazine, 9/7)

》 OpenAIのAIエージェント、休眠サイトを掲示板化してタスク回答を共有か　研究団体が報告書公開 (ITmedia, 9/5)。関連:

• OpenAI agents hijacked German website in previously undisclosed AI breakout this spring (Reuters, 9/4)

• Discovery of a new OpenAI agent message board (collusion.wiki, 9/4)。調査まとめ Wiki。 すさまじい。

• OpenAI、休眠サイトへの自社AIエージェント書き込みを認め、非公表の理由を説明 (ITmedia, 9/6)

  OpenAIはこの声明で、報告書が示した技術的な事実関係に反論しておらず、謝罪もしていない。また、Reutersが関係者2人の話として報じた「OpenAI幹部は数週間前に把握していたが伏せていた」という点や、なぜReutersの報道後まで公表を待ったのかについては、声明では触れられていない。Reutersはこの点についてOpenAIに問い合わせたが、直ちに回答は得られなかったとしている。

  OpenAI 自体に倫理性が欠けているように見える。

》 NVIDIAのJensen Huang氏「AGIは到来した」、OpenAIからも「AGI時代に入りつつある」との声 (gihyo.jp, 9/7)。常識も倫理感も持たないまま。

Jakub Pachocki氏は、人間を超えるAIの知性を「alien intellect（異質な知性⁠）⁠」と表現している。AIは人間の知能とは根本的に異なる過程で生まれ、その全体の働きを人間が十分に理解できていないという。

このため、AIが人間の価値観に沿って行動するとは初めから仮定できず、学習時に経験していない状況でどう振る舞うかを確かめる必要がある。同氏は、AIの推論過程を調べる監視手法に頼れる度合いが徐々に低下しており、能力向上にアラインメントや監視の進歩が追いつくとは限らないと指摘した。

　地球爆破作戦みが強い文字列だなあ……。

》 U.K. Supreme Court Opens Door for Spyware Victims to Sue Foreign States (CitizenLab, 9/2)。DeepL AI 訳:

先月、英国最高裁判所は、バーレーン王国対シェハビほか（シェハビ）事件において、注目されていた判決を下した。原告である英国在住のバーレーン人反体制派2名は、バーレーンがスパイウェア「FinSpy」を使用して彼らの端末に不正アクセスした結果、精神的損害を受けたと主張していた。責任追及に向けた重要な一歩として、裁判所は、スパイウェアの使用に起因する訴訟について、バーレーンには免責特権が適用されないとの判決を下した。

》 USS Abraham Lincoln Is Getting A Badly Needed Scrubbing While In Thailand (The War Zone, 9/4)。286日出ずっぱりだと、こんなサビサビになっちゃうんですね。

》 コラム：米財務長官の「リフレ政策をやめろ」発言をどう受け取るか＝熊野英生氏 (熊野英生 / ロイター, 9/8)

事故における「ハインリッヒの法則」を聞いたことがあるだろうか。１件の重大事故の前には約３０件の軽微な事故と３００件のヒヤリとするニアミスが起きている――という法則だ。日本に英国のトラス・ショックのような事​態は起きてほしくないが、いくつもの警鐘が無視された上で、いつか相場のクラッシュが起こる可能性はある。諫言（かんげん）は無視すべきでない。

筆者は、高市政権は今のところ、ベセント発言によって行動を変えることはないと読んでいる。しかし、​そのときはベセント氏がトランプ氏の⁠力を借りて、次なる波乱に日本を巻き込んでいくというリスクシナリオはあると考えている。

》 欧州での破壊工作にロシアの影　ドローンとサイバー「ハイブリッド戦」 (日経, 9/4)

2日にはEUのフォンデアライエン欧州委員長とNATOのルッテ事務総長が共同記者会見を開いた。フォンデアライエン氏は「領空侵犯や重要インフラへの妨害が多発するのが欧州の『ニューノーマル（新常態）』だ」と指摘し、「ロシアの無謀な行動に対し、迅速かつ効果的に対処できるよう対応を強化しなければならない」と語った。

　関連:

• ドイツ、送電施設に破壊工作相次ぐ　外国勢力関与との見方も (ロイター, 9/2)

• 独送電網で新たな破壊工作か、今週3件目　州議会選控え警戒強まる (ロイター, 9/5)

• ドイツ、破壊工作への防御強化へ　空港ドローン事件受け (ロイター, 9/7)

• ロ外相、独空港ドローン事件巡る非難「真の戦争の始まり」＝タス (ロイター, 9/7)

• ＮＡＴＯ、ハイブリッド戦争容認せず　米が対応支援＝ウィテカー大使 (ロイター, 9/7)

　Adobe Commerce / Magento Open Source に 0-day 欠陥 CVE-2026-75650。 remote から無認証で任意のコードを実行できる。 Priority: 1

　Hotfix が公開されているので適用する。また適用後に、認証情報のローテーションが求められている。

• Urgent Action Required: Critical Security Update Available for Adobe Commerce (APSB26-146) (Adobe, 2026.09.07)。DeepL AI 訳:

  パッチを適用した後、認証情報をローテーションしてください

  この問題を完全に解決するには、暗号化キーだけでなく、そのキーを使用して暗号化または漏洩した可能性のあるすべての認証情報（サーバー、API、連携用の認証情報を含む）も更新してください。

  更新手順についても記載されているので参照されたい。

libxml2

• Vulnerabilities fixed in libxml2-2.15.4 (oss-sec ML, 2026.09.04)

FreeRDP

• FreeRDP <= 3.30.0: five server-side vulnerabilities fixed in 3.31.0, pre-auth RCE demonstrated (oss-sec ML, 2026.09.01)

• 3.31.1 release (FreeRDP, 2026.09.02)

pcre2

• pcre2 version 10.48 released with security fixes (oss-sec ML, 2026.09.04)

libexpat

• libexpat 2.8.4 fixes 4 vulnerabilities (oss-sec ML, 2026.08.31)

　MikroTik RouterOS に欠陥。SSH 関連の欠陥 CVE-2026-67276 CVE-2026-86060 を組みあわせることで、remote から管理者権限を奪取できる。 DeepL AI 訳:

研究者らが、攻撃者がインターネットに接続されたルーターに対して、深刻度の高いSSH認証バイパス脆弱性を積極的に悪用していることを確認したことを受け、MikroTikはRouterOSの緊急セキュリティアップデートを公開しました。CVE-2026-67276として追跡され、CVSSスコアで9.2と評価されているこの脆弱性により、攻撃者は、そのユーザーの正当なRSA秘密鍵を所有していなくても、既存のRouterOSユーザーとして認証を行うことが可能になります。

この脆弱性は、別のSSH権限昇格の脆弱性であるCVE-2026-86060と組み合わさると、その危険性が大幅に高まります。CERT Polskaは、この2段階の攻撃チェーンをMikroTrickと名付け、攻撃者がこれを利用して、パブリックネットワークからSSHサービスにアクセス可能なRouterOSデバイスに対する完全な管理権限を取得していることを確認しました。

　RouterOS 7.25 beta 3 / 7.24.2 / 7.23.4 / 6.49.21 で修正されている。また 2026.09.04 付で 7.23.5 が公開されている。 DeepL AI 訳:

更新後、RouterOS は、不正な設定変更の既知の指標について起動時のチェックを実行します。不審な変更が検出された場合、デバイスには Flagged ステータスが割り当てられ、関連する設定エントリが無効化されるほか、システムログに重大な警告が記録されます。

管理者は、次のコマンドを使用してこの状態を確認できます：

/system/device-mode/print

「Flagged」とマークされた結果は、そのデバイスが侵害された可能性があるという証拠として扱うべきです。ただし、MikroTik および CERT Polska はともに、「Flagged」マークがないからといって、そのルーターが安全であるとは限らないことを強調しています。これは、このメカニズムが特定の既知の痕跡のみを検出する仕組みだからです。

したがって、CVE-2026-67276の検知にあたっては、パッチの適用状況の確認に加え、ログの確認、設定の点検、および最近作成されたアカウントや管理上の変更点の分析を組み合わせる必要があります。

　実際の攻撃が、遅くとも 2026.09.02 には始まっているのだそうで。 特に SSH を外部公開していたサイトでは、ヤラれていないかどうかの確認が必要と。

　関連:

• September 2026 vulnerability (MikroTik, 2026.09.03)

• Vulnerabilities in Mikrotik RouterOS software (CERT Polska, 2026.09.05)。 CVE-2026-67276 CVE-2026-86060 の他にも複数の欠陥があり、 7.24.2 / 7.23.4 / 6.49.21 で (多分 7.25 beta 3 でも) 修正されている。

• Critical vulnerabilities in MikroTik RouterOS are being actively exploited. Immediate update recommended (CERT Polska, 2026.09.05)。DeepL AI 訳:

  確認された攻撃により、RouterOSのログに以下のマーカーが残されました：

  login failure for user -2 from <ip> via ssh
  user <name> added by ssh:-2@<ip>
  

  侵害の兆候として、さらに「ops」という名前の特権権限を持つユーザーが存在することも挙げられます。

  この脆弱性を悪用した攻撃について、CERT Polskaの分析によると、これまでに確認された「ops」アカウントの作成を含む成功した攻撃は、IPアドレス 82.192.72.4 から発信されたものであり、少なくとも9月2日以降発生していることが判明しました。さらに、IPアドレス 103.102.31.18 が、前述の攻撃チェーンを悪用しようとする試みで使用されていました。

• Changelogs (MikroTik)

》 21エア 7598 便 (アマゾン・エア 7598 便、N1997A) オーバーラン事故方面

• 米アマゾンの貨物機が滑走路をオーバーランし炎上、5人死亡　マイアミ国際空港 (BBC, 9/7)

• Amazonの貨物機がマイアミ国際空港でオーバーランし10人が死傷 (gigazine, 9/7)

• 21 Air 767 overruns runway on landing in Miami (Flightradar24, 9/6)。うーん。 着陸復航すべきところを無理矢理降りてしまい事故った感?

• 21エア7598便着陸失敗事故 (ウィキペディア)

• N1997A (FlyTeam)

》 ロシア経済の損失拡大、ウクライナのドローン攻撃で (Wall Street Journal, 9/7)

　データ分析会社エナジー・アスペクツによると、ロシアでは8月に日量380万バレルの石油が精製された。これは前年同月の日量500万バレルを大幅に下回る。

　この危機的な状況を和らげるため、ロシアは遠くインドからガソリンを輸入し始めた。世界有数の原油生産国にとっては皮肉な動きだ。また、燃料品質基準を緩和し、旧ソ連時代に建設された製油所からの供給を増やせるようにしたほか、ディーゼル燃料の輸出を禁止した。

　ロシア政府の公式統計によると、ガソリン価格は年初来で19％上昇している。8月の一時的な下落を経て、最近再び上昇に転じている。

》 ウクライナ、戦費調達でポルノ合法化検討 (Wall Street Journal, 9/7)

　大半の欧州諸国と違い、ウクライナ国内ではポルノの制作、流通、所持は違法であり、禁錮7年以下の刑に処せられる。しかし同国は、大きな利益を生み、まん延するポルノ業界を抑え込めていない。当局者によれば、ポルノ業界は腐敗した警察の保護の下で運営されている。

(中略)

　ウクライナ最高会議（議会）の野党議員で、財政委員長を務めるヤロスラフ・ジェレズニャク氏は (中略) ポルノ合法化の取り組みを主導し、これが汚職対策に役立つだけでなく、年間最大2500万ドル（約39億円）の税収につながると主張している。

》 くら寿司、「ちいかわ」コラボ中止　従業員による不正行為判明で (ITmedia, 9/5)。バイトテロなのか、正社員テロなのか。

「Google Chrome 152」が公開 ～327件もの脆弱性を修正、MV2拡張機能はストアから全削除へ (2026.08.28)

　Chrome 152.0.7977.82 等が出てました。

• Stable Channel Update for Desktop (Google, 2026.09.03)。 152.0.7977.82/.83 for Windows / Mac および 152.0.7977.82 for Linux。 12 件のセキュリティ修正を含む。

• Chrome for Android Update (Google, 2026.09.03)。Chrome 152 (152.0.7977.82) for Android。

Cisco Nexus 9000 (Silicon One ASIC 塔載機)

• Cisco Nexus 9000 Series Switches Silicon One Remote Code Execution Vulnerability (Cisco, 2026.09.02)。RCE ですか。 修正版ソフトウェアが用意されている。

• Cisco Nexus 9000シリーズスイッチのSilicon Oneにおけるリモートコード実行の脆弱性 (Cisco, 2026.09.02)

  There is a workaround that addresses this vulnerability.

  の訳が

  この脆弱性に対処する回避策はありません。

  ですか。どこの翻訳 AI を使っているんだろう。

ASUS Control Center

• ASUSの端末管理ソフトウェアに深刻な脆弱性 - 更新を強く推奨 (Security-NEXT, 2026.09.07)

• Security Update for ASUS Control Center (ASUS, 2026.09.04)。ASUS Control Center 3.1.0.9 以降で修正だそうです。 CVSS 4.0 Score：10 / Critical AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H。

Roundcube

• ウェブメール「Roundcube」にセキュリティ更新 - 12件の修正 (Security-NEXT, 2026.09.07)

• Security updates 1.6.19 and 1.7.4 released (Roundcube, 2026.09.06)

7-Zip

• 解凍・圧縮ソフト「7-Zip」がv26.03に、「MotW」を引き継がない脆弱性などを修正 (窓の杜, 2026.09.07)。CVE-2026-58052 に対応。

》 ランサムウェアグループによるCursorの悪用についてまとめてみた (piyolog, 9/2)

》 エボラが過去最速のペースで拡大…コンゴで感染者5500人超、国境なき医師団が治療センター新設 (国境なき医師団, 9/2)。止まらないですか。

コンゴでは、エボラ病の流行が5月15日に宣言されて以降、感染はイトゥリ、北キブ、南キブ、オー・ウエレ、バ・ウエレ、チョポの6州に広がっている。

8月22日までに、国内で確認された感染者は5514人を超え、死亡者は2642人に上った。コンゴで過去最大のエボラ流行となっているほか、世界的に見ても最速のペースで感染が拡大している。

　関連:

• コンゴ民主共和国におけるエボラ出血熱流行に対する水際措置強化等のための緊急無償資金協力 (外務省, 9/1)
• ＷＨＯ、１０～１１月にもワクチン治験　コンゴでエボラ熱死者３０００人超 (時事, 9/3)。「３種類のワクチン候補」。
• DR Congo Ebola vaccine trials to begin by November (rthk.hk, 9/3)。「３種類のワクチン候補」の件。
  • オックスフォード大学が開発中の ChAdOx1 (Phase 1 実施中)
  • モデルナが開発中の mRNA-1469 (Phase 1 実施中)
  • 既存ワクチン「エルベボ ERVEBO」(ザイール株用)。 今回流行のブンディブギョ株 (BDBV) に対する効果は未知数。
• エボラ死者3000人超に、コンゴ民主共和国 過去最悪の流行 (AFP, 9/2)

》 マラリア原虫に薬が効きにくくなる新変異が、ウガンダで急拡大している (WIRED, 8/25)

》 公立学校の生徒が高校生になるまでAIの使用を禁止するとニューヨーク市教育局が発表、すべての学年でチャットボットを禁止するなど新たな方針も採用 (gigazine, 9/3)

マムダニ市長とサミュエルズ教育長が発表したAI禁止措置は、学校における学生向けの生成AIの使用を一時停止するというもの。対象は2歳児から8年生(中学校の最終学年である13～14歳)までの児童で、2026～2027学年度から1年間にわたって学校でのAIの使用を一時停止するというものです。(中略) 障害を持つ学生や英語学習者は引き続き学生向けのAIを利用可能です。

》 Googleが脆弱性の発見・再現・修正を自動化するオープンソースフレームワーク「Mantis」の詳細を公開、巨大リポジトリでもトークンのオーバーヘッドを85％超削減 (gigazine, 9/3)

》 Anthropicが「開発中のAIで外部を攻撃しないための対策」を発表 (gigazine, 9/1)

》 HPVワクチン接種が女性だけでなく男性でも頭頸部がんのリスクを減少させる可能性 (gigazine, 9/2)

》 MS、『メモリ整合性』を自動的にオンへ。2026年10月の更新プログラムで実施。Windowsデバイス全体で (ニッチなPCゲーマーの環境構築Z, 9/3)

昨今のWindows11 PCであれば大体最初からオンになっているはずです。ではいったいどういうPCが自動的にオフからオンになるかと申しますと、最初から自動的にオンになっていなかったPCが対象となります。

》 富裕層に増税して家賃凍結､保育無償､バス無料…34歳のNY市長が｢ただの社会主義者｣ではないこれだけの理由 (山崎 憲 / PRESIDENT Online, 9/3)

》 Claudeの“見えない透かし”適用開始　Fable 5.1とMythos 5.1が出力する文やコード、画像に付与　日本も対象 (ITmedia, 9/3)

curl

• [SECURITY ADVISORIES] curl 8.22.0 (oss-sec ML, 2026.09.02)

Dovecot

• Dovecot Security Advisory 3/2026 (Dovecot, 2026.08.28)

• Dovecot and Pigeonhole v2.4.5 released (Dovecot, 2026.08.28)

SonicWall SMA 1000

• SonicWall SMA1000 Series Appliances Affected By Multiple Vulnerabilities (SonicWall, 2026.09.01)

  • CVE-2026-83548 - Pre-authentication SSRF via unintended forward-proxy
    「to gain unauthorized access to sensitive functionality and perform unauthorized operations」
  • CVE-2026-83549 - Post-authentication Remote Code Execution (RCE) Vulnerability

  CVE-2026-83548 を使って認証情報を収集し CVE-2026-83549 で RCE 実行、 ということなんですかね。

  上記 CVE いずれも KEV に登録された そうです。

　出てました。

• Firefox 155 がリリースされた (mozillaZine, 2026.09.03) (typo fixed: iida さん感謝)

• Firefox for Android 155 がリリースされた (mozillaZine, 2026.09.03)

• Thunderbird 155 がリリースされた (mozillaZine, 2026.09.03)

「Google Chrome 152」が公開 ～327件もの脆弱性を修正、MV2拡張機能はストアから全削除へ (2026.08.28)

　Chrome 152.0.7977.75 等が出てました。

• Stable Channel Update for Desktop (Google, 2026.09.01)。152.0.7977.75/.76 for Windows / Mac および 152.0.7977.75 for Linux。26 件のセキュリティ修正を含む。

• Chrome for Android (Google, 2026.09.01)。Chrome 152 (152.0.7977.75) for Android。

2026 年 8 月のセキュリティ更新プログラム (月例) (2026.08.19)

　ARM CPU の Windows 11 に 2026.08 patch をインストールすると、 Teams / Outlook で「起動しない」 「予期せず終了する」などの不具合が発生するそうです。

• Microsoft TeamsやOutlookが起動しない・予期せず終了する不具合。KB5121003やKB5121000以降をインストールしたARM CPU環境のWindows11で発生 (ニッチなPCゲーマーの環境構築Z, 2026.09.03)

  この不具合が発生してお困りの場合、Microsoftは以下の手順を実行するよう案内しています。

  1. Microsoft Storeを開いてください
  2. 『ダウンロード』 → 『更新プログラムの確認』を選択してください
  3. Auto Super Resolution Packageの最新アップデート(バージョン1.0.19.0以降)をインストールしてください

  Microsoftによると、これで本不具合の発生を回避できるとのこと。

• Surface Laptop 7 ARM64 – KB5121003 breaks Teams and New Outlook (Microsoft Community, 2026.08.17)

• Surface Laptop 7 ARM64 – KB5121003 breaks Teams and New Outlook; similar issue previously occurred with KB5094126 (Microsoft Community, 2026.08.18)

　こういうことがあると、やっぱり ARM CPU は避けるべき、となってしまうなあ。 いまだにこんな不具合が発生するとは。

》 Anthropic、「Claude Fable 5.1」と「Claude Mythos 5.1」発表　「監視の難しさ」への懸念も開示 (ITmedia, 9/2)

》 Russia-Aligned UAC-0099 Plants Nuclear Weapon Prompt in Malware to Disrupt AI Analysis (The Hacker News, 9/1)。AI 避けの呪文ですか。

》 Threat Actors Don’t Want Better Attacks. They Want Repeatable Ones (The Hacker News, 9/1)

》 総務省、「pixiv」「note」など情プラ法の「大規模プラットフォーム事業者」に追加、誹謗中傷への迅速な対応など求める (Internet Watch, 9/1)

情報流通プラットフォーム対処法では、誹謗中傷などの違法・有害情報の流通・拡散への対応として、大規模プラットフォーム事業者を指定し、削除対応の迅速化や、運用状況の透明化に関する措置を義務付けている。

　とはいえ、「Google LLC　YouTube」 と入っているのにあのていたらくなのでねえ。

》 CIA 長官、クギを刺すためにロシアに訪問

• CIA長官のモスクワ訪問、NATO攻撃を控えるよう警告する目的　イラン支援停止も促す (CNN, 8/28)
• 【特報】｢ロシアは勝てない｣…CIA長官がモスクワ電撃訪問でプーチンに突きつけた〈侵攻停止〉と〈和平交渉開始〉 (吉田 成之 / 東洋経済, 8/30)
• Top White House Aides Were in the Dark on Ratcliffe Russia Trip (Wall Street Journal, 8/27)
• ロシアが欧米威嚇を強める理由：地政学的ミスマッチ (Wall Street Journal, 9/1)

  　あるNATO高官は「われわれが目にしているのは、ロシアがウクライナから極めて強固な抵抗に遭いながらも、欧州でのハイブリッド活動を強化しており、リスクを冒す意欲が高まっているという状況だ」と警鐘を鳴らす。

  　複数の当局者によると、ロシアがエスカレーションの階段を上る次の一手は、欧州諸国内でウクライナ支援に関わる物流拠点1〜2カ所を狙った、限定的な単発の攻撃となる可能性がある。捕獲したウクライナのドローンやミサイルを使うこともあり得るという。ロシアの国営テレビに出演する政府寄りのコメンテーターらは、何カ月も前からそうした攻撃を強く求めてきた。

》 ベネズエラの石油で米国の戦略備蓄を確保?

• トランプ大統領「ベネズエラの石油で備蓄油満たす」…石油覇権掌握に注目 (中央日報, 8/31)

• ベネズエラ石油取引、重質原油とインフラ制約がトランプ氏のSPR公約の前に立ちはだかる (BigGo Finance, 8/31)

  しかし、その埋蔵量に含まれる原油の種類自体がSPRにとって問題となる。米エネルギー情報局（EIA）は、ベネズエラの確認埋蔵量の大半が超重質原油であり、米エネルギー省が数年前に備蓄する費用対効果がないと結論づけた油種だと指摘する。2016年の議会への報告書では、エネルギー省は「重質油の備蓄を分析し、コストが便益を上回り、重質油の備蓄には相当な運用上の困難が伴うと結論づけた」と述べている。

  業界の説明によれば、重質原油は通常の原油というよりピーナッツバターのような性状を示す。希釈剤、アップグレーダー、コーキング設備、そして高硫黄・高粘度の原料向けに構成された特殊な精製施設が必要となる。採掘には蒸気圧入や溶剤圧入の技術が求められる。これらすべてのベネズエラのインフラは、約15年にわたる投資不足、制裁、政治的混乱の中で劇的に劣化してきた。

  (中略)

  米政府当局者は、政府がベネズエラ産原油を原価で取得し、SPRと米軍に供給する計画だと説明している。しかし、米政権の約束とベネズエラの劣化した石油インフラという物理的現実との間のギャップは、この取引が期待を下回る余地を十分に残している。

》 ホルムズ海峡機雷戦方面

• 米国、ホルムズ海峡の掃海を完了と主張。

  • トランプ氏、ホルムズ海峡で機雷を全て除去と投稿 (BBC, 8/26)
  • 米中央軍司令官：ホルムズ海峡の航路からイランの海雷が除去 (アラブニュース, 8/28)

• イラン、再敷設を試みる → 米軍、直接攻撃して阻止

  • アメリカが数週間ぶりにイランを攻撃、ホルムズ海峡・ララク島のミサイル発射装置が標的と (BBC, 8/31)

• イラン、ホルムズ海峡を通過しようとした超大型タンカーが触雷・炎上と主張 → 米軍は否定

  • 「スーパータンカーが機雷に接触炎上」イラン発表　米軍は「偽情報による威嚇」と否定 (琉球朝日放送, 9/1)
  • 1か月ぶりの交戦を受け、トランプ氏はイランに強硬な対応をとることを明言 (アラブニュース, 9/1)

• 関連

  • Mine Warfare With Iran Hampers U.S. Efforts to Win Control of Hormuz (Wall Street Journal, 8/31)。DeepL AI 訳:

    この争いの核心にあるのは、機雷戦における根本的な不均衡である。イランは必ずしも船舶を沈める必要はない。海峡を通過する際に機雷に遭遇するリスクが高すぎて航行を断念せざるを得ない、と船主、船長、保険会社に納得させればよいだけなのである。

    しかし、安全な通行を確保したいと考えている米国にとっては、この任務はより困難なものとなる。すべての地雷を無力化するか、除去しなければならないからだ。

》 イラン戦争で米の弾薬不足、中ロ抑止に懸念 (Wall Street Journal, 9/1)。本当に余裕がないようですね。誘導弾は高価で製造に時間がかかります。

　トランプ政権は、欧州およびアジアからどの兵器が移動されたか、また両地域にどれだけの兵器が残っているかについて明らかにしていない。米国防総省のショーン・パーネル報道官は、米国が国外で深刻な弾薬不足に直面しているとの見方を否定した。

　即応弾はもちろんあるのだろうけれど、その後が続かないのではないかと。

》 「Microsoft Defender」ウイルス対策に“無効”との誤った通知、Microsoftが問題を認める (窓の杜, 8/31)。まだ直ってないっぽい。

》 YARA-X 1.20.0 Release (SANS ISC, 8/30)

》 Steamからゲーム史上最大規模の12TBものゲーム関連ファイルが流出 (gigazine, 8/31)

》 Android 17で通信のプライバシーが強化、「アクセス先」を隠すECHや2G詐欺対策に対応 (gigazine, 8/28)

》 ソニーとワーナーが共同でAnthropicを提訴、楽曲をClaudeのトレーニングに利用された「史上最大かつ最も甚だしい知的財産窃盗事件」 (gigazine, 8/31)

》 ChatGPTの広告事業が開始200日足らずで年換算約1600億円に (gigazine, 9/1)

》 AppleがOpenAIとの企業秘密侵害訴訟で元従業員のMacBookから衝撃的な証拠を発見 (gigazine, 9/1)

Appleによるとリュウ氏は同社を退社した後に、MacBookを返却したそうです。AppleはこのMacBookをフォレンジックし、削除されたデータを復旧。そして、データ復旧の初期分析により以下の4つの事実が明らかになったと報告しました。

• リュウ氏はAppleの機密回路図をダウンロードしただけでなく、OpenAIでの自身の業務にも利用した。
• OpenAIへ転職した後のリュウ氏や他の関係者はAppleのサードパーティー製クラウドストレージに不正アクセスしていたことを十分に認識していた。
• リュウ氏はAppleによる自身に対する内部調査を知った後、証拠を破棄するようOpenAIの同僚に指示を送り、同僚はそれに従った。
• リュウ氏はOpenAIでの業務において、Appleの開発作業で使用される社内エンジニアリングアプリケーションと同じ名前のツールを使用していた。

》 中国におけるAIアニメ・ドラマが急増、中国版TikTokのDouyinでトップ100のアニメとドラマのうち89作品がAIによるもの (gigazine, 8/31)。ひでえ。

》 Debian、「生成AIの責任ある使用」を容認へ (gihyo.jp, 8/31)

　PaperCut NG/MF v24 / v25 / v26 に 0-day 欠陥 2 件 CVE-2026-82078 CVE-2026-81578。 組み合わせることで、remote から無認証で任意の Java バイトコードを実行できる。

　PaperCut サーバーの Web インターフェースにアクセス可能な IP アドレスを制限することで影響を緩和できる。 DeepL AI 訳:

PaperCut NG/MF アプリケーションサーバーが一般のインターネットからアクセス可能な場合は、直ちに Web アクセスを信頼できる IP アドレス（例：社内 IP アドレス）のみに制限してください。

ファイアウォールルール、ネットワークアクセス制御、または同等の措置を講じ、信頼できないインターネットアドレスからPaperCutサーバーのWebインターフェースにアクセスできないようにしてください。不審な活動が確認されていない場合でも、今すぐこの措置を講じてください。

　2026.08.28 時点で「緊急パッチ（リリース2）」が公開されている。 あくまで、緩和措置を実施できない場合のためとされている。 不具合も報告されているので、適用には注意されたい。 DeepL AI 訳:

パッチ適用後の不具合報告

[2026年8月29日 午後4時35分（AEST）]

パッチを適用した後、外部データベースのカード番号／ID番号検索機能およびSAMLが期待通りに動作していないという報告がいくつか寄せられています。現在調査を進めており、詳細が判明次第、本速報を更新いたします。

[2026年8月30日 午前10時34分（AEST）]

レガシー版のSourceforge jTDSドライバーを使用してSQL Serverで外部カード検索を行っているお客様には、まずは、サポートされている最新のMicrosoft SQL JDBCドライバーに更新することをお勧めします。詳細については、以下のFAQをご覧ください。

　Advisory には侵害の徴候についても記載されている。server.log 等を確認されたい。