2026年10月22日 夜のAIニュースまとめ

PHP脆弱性の波紋がGitLab・Node.jsへ、AI攻撃の実被害も

GPT-5.6 Solが発見したPHPの脆弱性php2shellは、修正版でも再現報告が出ています。GitLabやNode.jsでも重大なRCEが公表され、国内では銀行や航空会社がサービスを停止する事態に広がりました。

攻撃側でも、中国系Storm-0940がAI侵入テスト基盤で2,250超のM365テナントを攻撃したことが明らかになっています。

このほか、MetaのMuse 1,000万ユーザー突破やClaude APIの新バージョンも話題です。気になる話題から順に読み進めてみてください。

目次

1. PHP修正に不完全の指摘、GitLab・Node.jsでも重大RCE
2. Meta Q3決算、Muse 1,000万ユーザー、設備投資$33.9B
3. Claude API新版2026-10-21、temperature等を削除
4. Claude Duet、数時間ごとの確認やTo-Doリスト機能が判明
5. 中国系Storm-0940、AI侵入テスト基盤で2,250超のM365を攻撃
6. GPT-5.6 SolでGitLab・WordPressのRCEなど重大脆弱性続々
7. NVIDIA、前払金でイビデン大野工場の生産能力を3倍に
8. LayerX、内製Background Coding Agent haroを解説
9. 脆弱性対応のAI自動化には自動テストが前提との指摘
10. Microsoft Copilotのコード機能、約150クレジットでアプリ作成
11. DeepSeek、最新ラウンドで約$15Bを調達
12. Librarian Agents、文脈整理の最適化でOODでも30%超改善

PHP修正に不完全の指摘、GitLab・Node.jsでも重大RCE【続報】

• GPT-5.6 Solで見つかったPHPの致命的RCE脆弱性php2shellに関する続報です
• 修正済みとされたPHP 8.5.12でもdouble-freeを再現できたとの報告があり、修正が不完全な可能性が指摘されています
• GitLabで12年分のリリースに影響するCVSS 10.0の認証不要RCEが公表され、Node.jsでもBrotli展開によるRCEが報告されています
• 日本では銀行や航空会社がデジタルサービスを停止して防御に当たるなど、影響が広がっています

The Hacker News: (翻訳) 🚨 重大: GitLabの脆弱性（CVSS 10.0）が12年分のリリースに影響。CVE-2026-110264により、セルフマネージドサーバーで認証なしのリモートコード実行が可能になる恐れがあります

Aikido: (翻訳) ⚠️ Node.jsにリモートコード実行の脆弱性。CVE-2026-111497（高）: 攻撃者が制御するBrotliデータを展開するNode.jsプロセスは、メモリ漏洩や任意コード実行を引き起こされる可能性があります。アプリやライブラリが不正なBrotliデータを展開する場合に影響を受けます

Felipe Daragon: (翻訳) 🚨 続報: PHP 8.5.12はまだphp2shellに脆弱な可能性があります！研究者が新しくパッチされたリリースでdouble-freeの誘発に成功したと報告しています。⚠️ 公式の修正は不完全かもしれません。クラッシュだけでRCEとは確定しませんが、緊急の調査が必要です

Bloomberg: (翻訳) 銀行から航空会社まで、日本企業がインターネットソフトウェアの欠陥から身を守るためデジタルサービスを停止しました

Meta Q3決算、Muse 1,000万ユーザー、設備投資$33.9B【続報】

• MetaのAIアプリMuseの利用拡大に関する続報です
• Metaが第3四半期決算でMuseの1,000万ユーザー突破を公表し、主に買い物や生産性用途で使われているとしています
• 四半期の設備投資は前年同期の$18.8Bから$33.9Bに増え、AI投資向けに無議決権株の新設も計画しています
• Zuckerberg氏は、Museが既存アプリ群より高いユーザー単価を生む可能性に言及しています

Evan: (翻訳) Meta CEOのMark Zuckerberg氏が発言: Muse AIはファミリーアプリよりも高いユーザーあたり収益を生む可能性があると見ている

TechCrunch: (翻訳) Metaは第3四半期決算で、Meta Museのユーザーが買い物や個人の生産性向上にアプリを使っていると述べました。このAIアプリのユーザー数は1,000万人を超えています

Evan: (翻訳) Metaは前四半期に設備投資として339億ドルを支出し、前年同期の188億ドルから増加しました

Bloomberg: (翻訳) 報道によると、MetaはAIへの巨額支出の資金に充てられる新たな無議決権株式の導入を計画しています

Claude API新版2026-10-21、temperature等を削除

• Claude APIが2023年以来初となる公式バージョン2026-10-21を公開しました
• temperature/top_p/top_kが完全に削除され、ドキュメントと引用の扱いの厳格化やAdmin API等のフィールド名変更も含まれます
• 2023-06-01は非推奨にならず、今後は新モデルで破壊的変更が必要になる前にバージョンを頻繁に出す方針です

Oikon | Claude Code深掘りガイド: Claude APIの新しいバージョン「2026-10-21」が公開🚀 主な変更点 1. temperature / top_p / top_k が完全に削除 2. ドキュメントと引用の扱いが厳格化 3. Admin API / Enterprise Analytics APIのフィールド名変更 詳細な変更点と移行手順の公式マイグレーションガイド：ClaudeDevs: (翻訳) APIバージョン2026-10-21が利用可能になりました。Claude APIは大きく進化してきましたが、これは2023年以来初の公式バージョンリリースです。新しいモデルが破壊的変更を必要とする前に対応できるよう、今後はより頻繁にバージョンをリリースする予定です。2023-06-01は非推奨になりません

Claude Duet、数時間ごとの確認やTo-Doリスト機能が判明【続報】

• Anthropicの能動型エージェントアプリClaude Duetに関する続報です
• 接続したアカウントは常時ではなく数時間ごとに確認する仕組みで、機密情報の混入は分類器でブロックするとされます
• 提案されたタスクや思いつきを書き出せるTo-Doリスト機能を備え、便利だとの声が出ています
• 一方で能動型はトークン消費が大きく、コストパフォーマンス次第で評価が分かれるとの指摘もあります

Rohan Paul: (翻訳) AnthropicがMetaのMuseやOpenAIのDotsに対抗する能動型エージェントアプリClaude Duetを展開。まずは米国のPro・Max契約者向けにウェイトリストで提供。現時点で分かっていること: Claude Duetは接続アカウントを常時ではなく数時間ごとに確認する。なぜなら

ぬこぬこ / NUKO 🇯🇵: Claude Duet dots のようなプロアクティブに動作する公式機能。リサーチプレビューで公開。Opus 5.5 で動作するよう設計。メモリ、スキル、接続アプリがそのまま使える。機密情報の混入は分類器でブロック。現在は米国の Pro / Max プランにてウェイトリストのみ。 https://t.co/xu2NEC1o5b

Tyler Nishida: (翻訳) Duetのto-doリストについて誰も話していないのが意外！個人の好みかもしれないけど、これが使い続ける理由。提案タスクについては、グロースハック的なチャットメッセージを受け取るよりずっと良い。タスク作成は思いついたことを書き出すだけでいい！

まつにぃ: Claude版dots出たら、そりゃあ覇権とってしまうよ。 Opusが強すぎるもの。 ただプロアクティブ型はトークンやばいのでコスパ次第。 メール監視とかはHaikuでいいくらいなので、そこ変えられると最強格。Claude: (翻訳) Claudeが能動的なエージェントとして働く新アプリClaude Duetのリサーチプレビューを開始します。注意が必要なことを知らせ、頼んだタスクを完了し、離席中も作業を続け、代理で行動する前に確認します

中国系Storm-0940、AI侵入テスト基盤で2,250超のM365を攻撃

• Microsoft Threat Intelligenceが、中国系攻撃者Storm-0940がエージェント型AIの侵入テスト基盤ARTEXで攻撃を自動化したと公表しました
• ConnectWise侵害後に2,250超のMicrosoft 365テナントへ毎分2,900回のサインイン試行を行い、3時間未満で特権を得た例もあるとされます
• Hugging Face事件より深刻との声もあり、AIによる攻撃が実組織に及ぶ段階に入ったと受け止められています

Microsoft Threat Intelligence: (翻訳) 中国国家と連携する脅威アクターStorm-0940が、エージェント型AIの侵入テストフレームワークARTEXを使い、幅広い業界の世界数百の組織を標的とした攻撃を自動化しました。Microsoft Threat Intelligenceは、Storm-0940が〜に関与したと評価しています

Chubby♨️: (翻訳) より明確に言うと: Microsoftによれば、中国系グループがオープンソースのエージェントフレームワークを使い、ConnectWise侵害後に毎分2,900回のサインイン試行で2,250超のMicrosoft 365テナントを攻撃した。3時間未満で特権アクセスを得たケースもあるChubby♨️: (翻訳) 今起きていることはHugging Face事件よりおそらくずっと悪い。AIを使った攻撃が実際の組織を襲い、主要プラットフォームが侵害や重大な欠陥を公表している

GPT-5.6 SolでGitLab・WordPressのRCEなど重大脆弱性続々【続報】

• GPT-5.6 Solを使ったphp2shellなどの脆弱性発見に関する続報です
• OpenAIのDaybreakを通じ、研究者がGitLabやWordPressのRCE、KVMエスケープも見つけたと話題です
• OpenAIはインシデント時に慌てないよう、15分で済むDaybreak Blueへの事前申請を呼びかけています
• 一方で、挙げられた脆弱性はAIではなく人間が見つけたものだとする反論も出ています

s1r1us: (翻訳) OpenAIとその真っ当なDaybreakプログラムは評価せざるを得ない。harshによるheif heist、paulosによるkvmescape、lcfrによるphp2shell、joaxcarによるGitLabのRCE、moyixによるChromeフルチェーン、hashkittenによるWordPress RCE。いずれもOpenAI Daybreakが研究者にGPT 5.6 S...

Tibo: (翻訳) 17日目/ 忘れたと思ったでしょうが、今日はリセットの日です。またDaybreak Blueへのアクセス取得も改めてお勧めします。15分しかかからず、インシデントの最中にやる羽目にはなりたくないはずです

Bindu Reddy: (翻訳) なんと！2つのPHPセキュリティ欠陥のためWikipediaが停止された。OpenAIは自社モデルが発見に貢献したと主張するが、人間が見つけたと反論する人もいる😹 今回は人間の勝ち！

NVIDIA、前払金でイビデン大野工場の生産能力を3倍に

• NVIDIAがサプライチェーンの生産能力拡大を発表し、イビデンの大野工場への前払いが注目されています
• 前払金で大野工場の生産能力を3倍にするとされ、Samsung電機もNVIDIAから$2B、Teslaから$830Mの前払いを受けたと報じられています
• FC-BGA基板は買い手が前払いで投資する方向が固まりつつあり、Rubin Ultraでの基板消費増が背景との見方が出ています

パウロ: 大野工場、前払金で生産能力3倍へ こりゃ拡張するねパウロ: NVIDIAは徹底的にボトルネックを解消している NVIDIAとサプライチェーンパートナーがAIインフラ構築を加速するため生産能力を拡大 新たな生産能力契約と製造施設により、生産量増加とサプライチェーンの回復力強化を支援

Jukan: (翻訳) 韓国メディアの報道によると、Samsung電機はABF基板の生産能力拡大のため、Teslaから8億3,000万ドル、NVIDIAから20億ドルの前払金を受け取りました

パウロ: FC-BGA基板は買う側が前払いで投資する方向が固まってきましたね イビデン、Samsung電機、TOPPAN 良い企業から予約される

LayerX、内製Background Coding Agent haroを解説

• LayerXが、内製のBackground Coding Agent haroの開発背景や活用事例を紹介するエンジニアブログを公開しました
• 大規模monorepoでの並列開発や自社開発環境との連携のために作られ、チームによっては開発の8割がharo経由とされます
• 直近の脆弱性調査やAgentの並列オフライン評価、夜間の自動実行など常時裏で回す用途にも使われていると紹介されています

松本 勇気 (Yuki Matsumoto) | LayerX CTO: 既に運用が深く広く進んでいるBackground Agent「haro」の解説です。チームによっては8割がharo経由の開発になっており、直近の脆弱性の調査など含め幅広い用途を支えています。バクラクらしい価値を速く作る、に向き合い続ける、そんなSoftware Factoryの実例です。LayerX Tech: なぜ、私たちはBackground Agentを内製したのか？ 大規模monorepoでの並列開発や、自社の開発環境との連携といった、バクラクの開発課題に向き合うなかで生まれた「haro」。 その開発背景や活用事例、今後の展望を Staff Software Engineer @izumin5210 が紹介しています。 https://t.co/thPU7fH5VS

pon / Hiromu Nakamura: 社内の最強Backfround Coding Agent基盤です。 僕の使い方だと、ミドルウェア込みでのAI Agent並列オフライン評価&改善、オンライン評価からの自動修正、夜間自動ETなど、常時裏で動いてて欲しい系を回しまくってる。また機会あったらブログにします。 https://t.co/5ZROA3Om4N

小賀昌法 KOGA Masanori: おおー、すごい進化してる。めちゃくちゃ面白そう！ 内製 Background Coding Agent “haro” で拓く未来の開発体験 - LayerX エンジニアブログ https://t.co/pvJ7bEgfcg

脆弱性対応のAI自動化には自動テストが前提との指摘

• PHP脆弱性対応で徹夜する現場について、AIで自動化できないのかという疑問への回答が話題です
• CIの自動テスト範囲が狭いとリリースを自動化できず、未知のバグ検査には適切なサンドボックスも必要と指摘されています
• 現実的な時間で回る自動テストを執拗に書きAIに回させることが、AI時代の普通のエンジニアリングだとの主張が共感を集めています

mizchi: 理論上は出来る...出来るが、相当の対応が必要。 たとえばCIで自動テストできてる範囲が狭いとリリースの自動化できない。未知のバグを能動的に検査させる場合は適切なサンドボックスも必要 Anthropic と OpenAI 、あと一部の冒険的なベンチャー企業はやってるが、逆に言うとそれぐらい原翔太郎: PHPの脆弱性対応で「エンジニアが徹夜」という話を見かけるけど、素朴な疑問。 今のAIやツールを組み合わせても、そんなに人力が必要なんだろうか？ 調査、影響範囲の特定、バックアップ、更新、動作検証。 Claude

mizchi: 執拗に自動テストを書くこと、それが現実的な時間に収まるようにチューニングすることがAI時代に必要な、一周回って普通のエンジニアリングなんですよ。 自動テストを、書け。 それをAIに回させろ

mizchi: パッチ当てて終わりじゃなくて、どういう時に攻撃が成立するかまで読んでくれ

Microsoft Copilotのコード機能、約150クレジットでアプリ作成

• Microsoft Copilotに新しいコード機能が登場し、実際にアプリを作った検証報告が出ています
• SharePointのExcelを読み込むダッシュボードは約155クレジット、テトリスは150クレジットで作れたとされます
• 作成アプリにCopilot Chatを埋め込めるため、社内AIアプリの民主化につながりそうとの見方が出ています

まつにぃ: はい実際にCodeを使ってSharepointのExcelを自動で読み込んでダッシュボードにするAppを作ってみました！ 155クレジットくらいで作れているので、比較的安価に作れている気がしますね。 これはめちゃくちゃ可能性の塊な気がしてきましたね。 色々なツールを飲み込みそう... https://t.co/2V87zbc0l2まつにぃ: 弊社環境にCopilotのCode爆誕。 つまりManaged Runtimeもきているか。 検証したいがコスト感も気になる！ もっと調べてから動かそう。 https://t.co/pJVHhIdTPN

まつにぃ: Copilot Codeで作ったアプリケーションにCopilot Chatを埋め込めている。 これつまりAIアプリケーションを結構広い範囲で民主化しているのではないだろうか。 もうちょい調べますが、多分定額ライセンスに含まれているChatっぽい。 マルチモーダルもいけそうだな... https://t.co/GDcDrLtD6tまつにぃ: はい実際にCodeを使ってSharepointのExcelを自動で読み込んでダッシュボードにするAppを作ってみました！ 155クレジットくらいで作れているので、比較的安価に作れている気がしますね。 これはめちゃくちゃ可能性の塊な気がしてきましたね。 色々なツールを飲み込みそう... https://t.co/2V87zbc0l2

石橋鉄朗 / 地方の残業なくす人: Copilotの『コード』はテトリス作らせたら 150 クレジットでした

DeepSeek、最新ラウンドで約$15Bを調達【続報】

• DeepSeekの資金調達に関する続報です
• 最新ラウンドで約$15Bを調達したと報じられ、10月初旬に伝えられた$12B以上の見込みを上回りました
• 中国で最大級の調達とされ、AnthropicやOpenAIと世界で競う野心の表れと受け止められています
• 米国大手より桁違いに少ないものの、ASI構築には十分すぎる額だとの見方も出ています

Bloomberg: (翻訳) 中国のAI先駆者DeepSeekが最新の資金調達ラウンドで約150億ドルを調達しました。同国史上最大級で、AnthropicやOpenAIなどと世界で競う野心の表れです

Miles Brundage: (翻訳) おお、調達できると思っていたより多い。米国の主要企業よりはまだずっと少ないが、ASIを構築するには十分すぎる額だ（特に輸出規制が緩ければ）Andrew Curran: (翻訳) クジラ（DeepSeek）がさらに150億ドルを調達しました

Librarian Agents、文脈整理の最適化でOODでも30%超改善

• Chelsea Finn氏らが、LLMの長いコンテキストを扱う新手法Librarian Agentsの論文とコードを公開しました
• エージェントが下流での有用性に合わせて自らの長文脈ワークスペースを整理し、質問を先回りして準備する手法です
• Agentic検索は関連情報を見落としやすいという課題に対し、分布外ドメインでも30%以上の改善が報告されています

Chelsea Finn: (翻訳) LLMのコンテキストをどう拡張するか？Agentic検索は任意の量の情報に拡張できるが、関連情報を見落としやすい。アイデア💡: 下流での有用性に向けて情報の整理を最適化する。分布外ドメインでも30%以上の改善につながる。論文とコードAnikait Singh: (翻訳) エンタープライズのコードベースから法律事務所まで、専門領域に展開されたLLMは大量の非構造化コンテキストを掘り返している！新論文Librarian Agentsは、エージェントが質問の到着前にそれを予測し、自身の長文脈ワークスペースをキュレーションして適応できるかを問う