スキャナが牙になった日 — 逮捕、M3制覇、そしてAIを入れない決断（2026/8/28 Linux・OSSトレンド）

はじめに

今日の5本を並べてみて、妙に一本の線が通っているな、と感じました。

ベンダーが「サービス妨害だけ」と説明した脆弱性を、外部の研究者が何週間もかけて掘り下げ、root 権限を取れることを実証してみせる。Apple が仕様を公開しないチップを、少人数のボランティアがレジスタ単位で解析して、ウェブカムもThunderboltも動くところまで持っていく。生成AIを載せれば話題になるとわかっていて、あえて「載せない」と宣言する。そして、脆弱性スキャナという「守り手」を乗っ取って世界中から認証情報を集めた犯人が、猫の写真をきっかけに身元を割られて逮捕される。

派手な近道と、地道な検証。今日はどうも、後者が前者を出し抜いた日のようです。

1. Citrix NetScaler の PreAuth RCE — 連邦機関の期限は明日

まずは期限が迫っている話から。Citrix NetScaler ADC / Gateway の SAML 処理に見つかったメモリオーバーフロー、CVE-2026-8452 です。

NVD の登録内容を見ると、この脆弱性は少し変わった顔をしています。公開は2026年6月30日。深刻度は、NVD が付けた CVSS v3.1 が 9.8（Critical） 、Citrix が CNA として付けた CVSS v4.0 が 8.8（High） と、二つのスコアが併記されています。分類は CWE-119（メモリバッファ境界外の操作）。同じ脆弱性に二つの数字がぶら下がっている状態なので、「スコアいくつ？」という会話をするときは、どちらのバージョンの話なのかを確認したほうがよさそうです。

そして NVD の記述自体は、発動条件を「アプライアンスが Gateway（SSL VPN・ICA Proxy・CVPN・RDP Proxy）または AAA 仮想サーバーとして構成されている場合」に限定し、影響を「予測不能または誤った挙動とサービス妨害」と書いています。つまり当初の説明は、DoS どまりだったわけです。

ここに切り込んだのが WatchTowr でした。同社が 2026年8月14日に公開した解析は、認証前の状態から root でのコード実行まで到達できることを実証しています。入口は SAML 署名の PrefixList 属性で、ここに大量のトークンを詰めた XML を投げるとヒープが溢れる。そこから隣接チャンクのメタデータを壊し、memcpy を経由した任意アドレス書き込みを作り、関数ポインタを書き換えてシェルコードへ飛ばす。最終的に /var/vpn/theme/x.php にウェブシェルが置かれます。

この解析でいちばん背筋が寒くなるのは、攻撃の巧妙さより、環境の無防備さのほうです。WatchTowr は「このバイナリは非PIEでASLRもないため、すべての関数とすべてのグローバル変数が固定された既知のアドレスに存在する」と書いています。アドレスをリークさせる工夫が要らない。おまけに、クラッシュを検知して再起動をかけるウォッチドッグ（pitboss）に対しては、sigaction でシグナルハンドラのほうを無効化して黙らせる、という手が使われています。ここは順序を取り違えやすいところで、「異常なシグナルを受け取った記録が残る」のではなく、 ハンドラが書き換えられて記録も再起動も起きなくなる 、という向きです。痕跡を探すなら、x.php のような身に覚えのないPHPファイルと、SAML 認証ログに現れる異常に長い PrefixList の値、そしてシグナルハンドラが触られた形跡を見ることになります。

対応期限は目前です。NVD が併記している CISA の情報によれば、既知悪用脆弱性（KEV）カタログへの追加が2026年8月26日、連邦民間機関の修正期限が 2026年8月29日 。つまり明日です。BleepingComputer の報道は、これが Binding Operational Directive 26-04 に基づく指示であること、そして実際の攻撃が標的を絞らない “pray and spray” 型でウェブシェルを撒く形になっていることを伝えています。同記事によれば、Shadowserver が観測しているインターネット露出台数は NetScaler ADC が22,000台超、Gateway が約1,800台。ただしこの数字は「見えている台数」であって、脆弱かどうか・パッチが当たっているかは含まれていない点は押さえておきたいところです。

修正版は NetScaler ADC / Gateway 13.1 が 13.1-63.18、14.1 が 14.1-72.61、ADC の FIPS / NDcPP 13.1 が 13.1-37.272。Citrix はアップデートの適用を強く推奨しています。手元に Gateway 構成の NetScaler がある方は、この記事を読み終える前に確認したほうがいい類の話です。

2. Asahi Linux、M3 の残り物を片付ける

明るい話にいきましょう。Apple Silicon 上で Linux を動かす Asahi Linux が、M3 対応の最後の山を越えました。

公式の Progress Report: Linux 7.2 によると、長らく残課題だったウェブカム・マイク・USB 3.0・Thunderbolt が、いずれも M3 シリーズで動くようになっています。ウェブカムについては「内蔵ウェブカムを搭載するすべての M3 シリーズ機でフルサポート」、USB と Thunderbolt については「SPMI インターフェースと ACE3 の両方が Asahi Linux で動作するようになり、すべての M3 シリーズ機に USB 3.0 と Thunderbolt のサポートをもたらした」と報告されています。

技術的な山場は ACE3 でした。USB Type-C ポートを制御するチップが、M3 Pro / M3 Max では従来の CD3217（ACE2）から ACE3 に置き換わっており、しかも接続バスが I2C から SPMI（System Power Management Interface）に変わっていた。バスが違えば、ドライバは一から書き直しになりかねません。ところが mildsunrise と chaos_princess が解析した結果、レポートの言葉を借りれば「ACE3 は CD3217 とほぼ同じレジスタセットを持っており、ただ I2C でアドレス指定される代わりに SPMI インターフェースで包まれているだけ」だった。つまり、外側の殻が違うだけで中身は流用できた、というわけです。逆エンジニアリングの成果が、そのまま作業量の圧縮になっています。

ウェブカムとマイクは chaos_princess の担当分でした。M3 のマイクには M1 / M2 になかったフィルター段が入っていて、初期化シーケンスがより複雑になっていた、という経緯が説明されています。

では、いつ公式リリースなのか。ここは慎重に読む必要があります。レポートの原文は「公式リリースに踏み切れるところまで、ほぼ来ました！これについては今後数週間のうちにもっとお話しできるので、続報をお待ちください」というものです。 「数週間以内にリリースする」とは書かれていません 。あくまで「続報が数週間以内」であって、リリース日そのものは約束されていない。ここは切り分けておきたいところです。

なお、対象は原文の表現どおり「M3 シリーズ機」であり、レポート内で M3 Ultra への言及はありません。M4・M5 についても、まだインストーラーのサポート対象外という状況が続きます。それでも、公開されていない仕様のハードウェアを、少人数がレジスタ単位で解いてここまで来たという事実は、素直にすごいと思うのです。

3. LibreOffice 26.8 — 「AIを載せない」と書くこと

2026年8月26日、LibreOffice 26.8 がリリースされました。機能面でも面白いのですが、今回いちばん話題になったのは、リリースアナウンスに書かれた一文のほうでしょう。

The Document Foundation はこう書いています。「LibreOffice 26.8 に生成AI機能は含まれない。ドキュメントは処理のためにリモートサービスへ送信されず、スイートのいかなるコンポーネントも動作にネットワークアクセスを必要としない」。そのうえで、理由をこう説明します。「機密情報・法的特権情報・個人情報を扱う組織は、そのデータがどこへ行くのかを把握する必要があり、監査に耐えうる唯一の保証は、データがマシンの外に出ないことだ」。

「まだ実装していない」ではなく「含まれない」と書き、その理由まで添える。この書き方は、機能一覧というより方針表明に近いと感じます。オフライン環境での文書作業が前提の組織や、データの外部送信に規制がかかる組織にとっては、これが監査の場で使える根拠になるわけで、機能を足すのと同じくらい実務的な価値がある、という判断なのだろうと思います。

機能面では Writer の「段落コンポーザー」が目玉です。アナウンスの説明では「各行を個別に最適化するのではなく、連続する複数行にまたがってワードスペースを均等化するテキストレイアウトアルゴリズム」。従来のワープロは行ごとに詰めるか空けるかを決めるので、両端揃えにすると「妙に詰まった行」と「妙にスカスカな行」が交互に出がちでした。段落全体を見て配分する、という発想の転換です。

もう一つが OpenType 可変フォントのネイティブ対応。「OpenTypeのフォントバリエーションがネイティブにサポートされ、可変フォントを設計意図どおりに使えるようになった。テキストが組まれるサイズに応じて字形のコントラストやプロポーションを調整する軸も含まれる」とあります。小さい文字は視認性重視、大きい文字はエレガントに、という切り替えがフォント側の設計どおりに効く、ということですね。

地味に嬉しいのが国際化まわりで、Math に N’Ko 文字（西アフリカのマンディング諸語）と Adlam 文字（フラニ語）向けの名前付き関数と演算子が追加され、右から左に書く数式のために左向きのベクトル記号とハーポン記号も入りました。商業的な市場規模で考えれば後回しになりそうな領域が、こうして入ってくる。このリリースには206名が貢献し、うち155名がボランティアだ、という数字と合わせて眺めると、なるほどと思わされます。

4. Multikernel Linux v7.0-mk2 — ハイパーバイザーなしでカーネルを並べる

技術的好奇心の枠から一本。ハイパーバイザーを使わずに、複数の独立した Linux カーネルを同じ物理マシン上でベアメタル並走させる、という実験的なプロジェクトです。

2026年8月25日、Multikernel Technologies の Cong Wang が v7.0-mk2 タグを公開しました。タグに添えられたメッセージには「2本目の mklinux リリース、v7.0-mk1 の上に24パッチ」と書かれています。ちなみに1本目の v7.0-mk1 は同年8月11日で、こちらは「最初の mklinux リリース。v6.19-rc5 から v7.0 へリベース」。つまり mk2 は初公開ではなく、2週間前に出た最初のツリーに続く2本目、という位置づけです。mk2 での改善は、メモリプールを NUMA ノードごとの複数チャンク構成に変えたこと、オーバーレイをターゲットパスで指定する形に統一したこと、リソース再構成を直列化して失敗時にロールバックできるようにしたことなどが挙げられています。

仕組みとしては、「ホストカーネル」が CPU・メモリ・PCI デバイスのプールを持ち、そこから切り出して「スポーンカーネル」に渡す、という形になります。KVM のような VM 終了パスも第二レベルページテーブルもデバイスモデルもなく、各カーネルは割り当てられた CPU コアの上で直接動きます。

では何が嬉しいのか。プロジェクトが公開しているベンチマークが、そこを具体的に示しています。lmbench による KVM との比較では、2プロセス間のコンテキストスイッチが KVM の3.42マイクロ秒に対して1.37マイクロ秒（2.50倍）、パイプレイテンシが7.06マイクロ秒に対して3.24マイクロ秒（2.18倍）。一方でメモリ帯域は数パーセントの範囲でほぼ同等でした。記事では、カーネルエントリごとに乗る約30ナノ秒のオーバーヘッドは、どうチューニングしても削れない、という趣旨のことが述べられています。

もう一本、will-it-scale を使った測定のほうが直感に反していて面白い。デュアルソケットの Intel Xeon Gold 5418Y（48コア）で unlink を回すと、1タスクなら毎秒467,000回出るのに、48タスクにすると 合計で 毎秒188,000回まで落ちる。コアを増やしたら遅くなる、という逆スケールです。犯人は親ディレクトリの i_rwsem で、各タスクが自分のファイルだけを触っていても、この一つのロックの取り合いで全体が直列化してしまう。カーネルを分割してロックを分けたところ、約2.60倍まで改善したと報告されています。

「ロック競合は設定でどうにかなる」ではなく「共有している以上どうにもならない、だから共有をやめる」という発想の転換で、そこは面白いのですが、IOMMU による DMA 隔離はまだ研究段階で、悪意あるスポーンカーネルからの保護は未完成。本番投入を検討する段階ではありません。メインラインへの取り込みについても、Phoronix は「multikernel のサポートがメインラインの Linux カーネルに入るかどうか、入るとしていつなのかは今のところ不明で、入るとしてもまだ先の話になりそうだ」と書いています。

5. TeamPCP 逮捕 — 脆弱性スキャナが牙になった件の続報

最後は、今年3月に界隈を騒がせたサプライチェーン攻撃の続報です。

オーストラリア連邦警察（AFP）の発表によると、AFP・西オーストラリア州警察・FBI の合同捜査により、2026年8月26日、西オーストラリア州在住の21歳と23歳の男性2名が逮捕され、合わせて14件の罪で起訴されました。サイバー犯罪グループ「TeamPCP」の主要な関係者とされています。被害は、世界で1,000を超える組織が侵害された可能性、50万件を超える認証情報の窃取、少なくとも300ギガバイトのデータ流出。クリーンアップにかかった費用は「数億ドル」規模と見積もられています。

何が起きていたかというと、脆弱性スキャナが汚染されました。GitHub Advisory（GHSA-69fq-xp46-6x23 / CVE-2026-33634、CVSS 9.4 Critical）によれば、汚染されたのは Trivy のバイナリ v0.69.4 と、GitHub Actions 側の aquasecurity/trivy-action の 0.35.0 未満、aquasecurity/setup-trivy の 0.2.6 未満。アドバイザリの表現は「攻撃者は aquasecurity/trivy-action の77個のバージョンタグのうち76個を、認証情報を盗むマルウェアへ force-push した」というもので、 全部ではなく76/77 です。残る1個（0.35.0）は保護が効いていました。安全なバージョンは Trivy v0.69.2 / v0.69.3、trivy-action は 0.35.0、setup-trivy は 0.2.6 です。

仕込まれたインフォスティーラーの挙動が、これまた徹底しています。/proc/<pid>/mem から Runner.Worker プロセスのメモリをダンプしてシークレットを抜き、50を超えるファイルパスを走査して SSH 鍵、AWS / GCP / Azure の認証情報、Kubernetes トークン、Docker 設定、.env ファイル、データベース認証情報、暗号資産ウォレットを回収する。CI のなかで最も広い権限を持つ「守り手」が、そのまま最も効率のいい収集役になったわけです。

初期侵入の経緯についてアドバイザリが述べているのは、これが2026年2月に始まった侵害の継続だという点と、3月1日の初期開示のあとに行われた認証情報のローテーションが atomic でなかった――つまりすべての認証情報を同時に失効させられなかった――という点です。ローテーション作業中の窓が残り、そこから再び入られた。これは他人事ではない教訓だと思います。鍵を配り直す作業は、配り終わるまでのあいだが最も無防備です。

被害の広がりについては、Krebs on Security が具体的な数字を挙げています。LiteLLM の汚染では2,500を超える組織と434,000のCI/CDパイプラインに影響が及び、侵害された GitHub リポジトリは約3,800。被害組織として BMW Group・Audi・Honda・Mercedes-Benz・Volvo・Toyota・Snapchat・Novo Nordisk・LexisNexis・Avnet などの名前が挙がっています。自己増殖するワーム「Shai-Hulud」の名前も同記事に登場します。

そして身元特定の経緯が、いかにも現代的でした。同記事によれば、Telegram に投稿された猫の写真、HackerOne で使われていた “Deadcatx3” というユーザー名、複数のメールアドレスやIPアドレスの突き合わせといった公開情報の積み重ねが決め手になっています。関与した調査企業として SpyCloud、Intel 471、Flashpoint、CloudSEK、DomainTools、Constella Intelligence、Epieos の名前が挙げられています。高度なゼロデイではなく、飼い猫の写真から辿られた。地道な照合作業が、巧妙な多段攻撃を組み上げた側を捕まえたわけです。

もっとも、逮捕で問題が終わるわけではありません。Aikido Security の Charlie Eriksen は「LLM は、攻撃手法を目にしてからそれを大規模に展開するまでの隔たりを縮めたように見える」と書き、さらに「これが TeamPCP のような最後のグループにはならないだろう」と述べています。TeamPCP を可能にした条件は、まだ何も変わっていない、という指摘です。

まとめ

こうして5本を並べ直すと、今日の主役はどれも「時間をかけて確かめた人」でした。

ベンダーの初期説明を鵜呑みにせず数週間かけて掘った WatchTowr。公開されていないチップを、レジスタセットが同じだと突き止めるところまで解いた Asahi Linux の開発者たち。流行に乗らないという判断を、理由つきで文章にした The Document Foundation。「ロック競合はチューニングの問題ではない」と測って示した Multikernel の中の人たち。そして、猫の写真から犯人像を組み上げた調査企業の研究者たち。

逆に足をすくわれたのは、近道と過信のほうです。DoS だと決めつけた初期評価。ASLR も PIE もないまま出荷され続けたアプライアンス。一度に失効させきれなかった認証情報のローテーション。そして、脆弱性スキャナは味方だから安全だろう、という暗黙の前提。

そう考えると、明日期限を迎える NetScaler のパッチも、CI で固定していないアクションのバージョンも、「あとで確かめよう」と思ったまま止まっている確認作業も、全部同じ棚に載っている気がしてきます。今日のうちに、ひとつだけでも片付けてみませんか。