縁の下が抜けた日 — Artifactory、印刷サーバー、そして24時間の締切（2026/9/2 Linux・OSSトレンド）

はじめに

今日の5本を並べていて、ずっと同じ言葉が頭を離れませんでした。「縁の下」です。

社内のどこかで動いているアーティファクトリポジトリ。誰も意識しない印刷サーバー。ブラウザの裏側でコネクションを張る処理。cp や join といった、名前すら思い出さないコマンド。どれも、普段は誰の視界にも入りません。入らないからこそ、棚卸しの対象から抜け落ちる。そして破られたときの被害は、目立つシステムより広く、深いところまで届きます。

今日はそういう話が並びました。破られた側の話が2本、静かに立て直しが進んでいる話が2本、そして「見えるようにする」ことを法律で強制しにいく話が1本です。見過ごされがちな土台ほど、いま可視化と再点検の対象になりつつある——そんな一日でした。

1. JFrog Artifactory CVE-2026-82329 — デフォルト設定のまま、管理者になれる

まずは重い話から。ソフトウェアのビルド成果物を集約する JFrog Artifactory に、認証の欠陥が見つかりました。

NVD の登録内容によると、公開は2026年8月28日、分類は CWE-287（不適切な認証）。説明文はこうです。「JFrog Artifactory には認証の弱点があり、デフォルト設定のもとでは、ネットワークアクセスを持つ未認証の攻撃者が管理者権限を取得できる可能性がある」。CVSS は v3.1 で 9.8（Critical） 、ベクトルは AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H 。ネットワーク越し・低複雑度・認証不要・ユーザー操作不要の4条件が揃い、機密性・完全性・可用性すべてに High が付いています。

ただしこのスコア、付けたのは JFrog 自身（CNA）で、NVD 側の評価ステータスはこの記事の執筆時点でまだ「Awaiting Analysis」です。NVD による一次評価が乗る前の数字だという点は、押さえておいたほうがいいでしょう。

背筋が寒くなるのは「デフォルト設定のもとで」という条件です。追加の設定ミスも、特殊な構成も要らない。素直に立てて、素直にネットワークへ出しただけのインスタンスが対象になります。

修正版は JFrog の公式セキュリティアドバイザリに一覧があり、7.161.20 / 7.146.38 / 7.133.29 / 7.125.20 / 7.117.28 / 7.111.21 の各系列が該当します。同アドバイザリは JFrog がホストするクラウド環境について「影響を受けるクラウド環境はすでに対処済みで、クラウドインスタンスに必要なアクションはない」と明記しています。裏を返せば、 手を動かす必要があるのはセルフホスト運用の側だけ ということです。

野生での悪用については、報道と公的な記録で温度差があります。CyberPress の記事は watchTowr の観測として「攻撃者はインターネットからアクセスできる脆弱なインスタンス上で管理者トークンを鋳造している」と伝えています。一方、NVD に記録された CISA の SSVC 評価（2026年8月31日時点）は exploitation: none のままで、automatable: yes / technicalImpact: total という評価にとどまります。CISA の既知悪用脆弱性カタログにも、9月1日版の時点で本 CVE は収載されていません。つまり「悪用が報じられている」段階であって、公的機関が悪用を確認したとは記録されていない。判断を急ぐ材料としてはむしろ十分だと思いますが、社内に説明するときは、この区別をつけたほうが誠実です。

管理者トークンが1本漏れれば、そこに置かれたコンテナイメージも npm パッケージも Maven の jar も、まとめて書き換えの対象になります。ビルドが通ってしまえば、下流はそれを疑いません。バージョン確認、今日のうちにどうぞ。

2. Firefox 155 — 2週間サイクルという実験の、その初弾

明るめの話にいきましょう。2026年9月1日、Firefox 155 がリリースされました。MDN のリリースノートに「Firefox 155 was released on September 1, 2026」と明記されています。

このリリースが特別なのは、中身よりリズムのほうです。Mozilla の Sylvestre Ledru が dev-platform メーリングリストで告知したとおり、Firefox はここから4週間サイクルを2週間サイクルに切り替えます。実際、Mozilla の公開リリースカレンダーでは155が9月1日、156が9月15日、157が9月29日と、きっちり14日刻みで並んでいます。

ただ、告知の言葉遣いは慎重です。Ledru は「これは実験である（This will be an experiment）」と書き、続けて「準備の整っていない作業を急がせるべきではなく、機能は必要なだけ時間をかけてよい（Work that is not ready should not be rushed, and features can still take the time they need to bake）」と釘を刺しています。狙いは「出せる状態になったものが、ユーザーに届く機会を増やす」ことと、リリースプロセスの予測可能性を上げてアップリフトの圧力を下げることだ、と説明されています。頻度を上げるのは、開発を速くするためではなく、詰まりを減らすため、というわけですね。

中身のほうも、地味に効きそうなものが揃っています。まずネットワーク周りで Happy Eyeballs version 3 に対応し、MDN の表現では「接続確立時に IPv6 と IPv4 のアドレスを競走させ、到達できないアドレスファミリによって接続開始が遅延しないようにする」。ただし「現時点では一部のプラットフォームのみのサポート」という但し書きが付いています。あわせて QUIC のバージョンネゴシエーションがサポートされ、HTTP/3 接続で QUIC version 2 を選べるようになりました。

Web 開発者に効くのは CSS の attr() でしょう。これまで content プロパティの中でしか使えなかったこの関数が、すべての CSS プロパティで使えるようになりました。MDN の例示は width: attr(data-size px) で、「JavaScript を使わずに HTML 属性からスタイリングを駆動できる」と説明されています。20年以上 content に閉じ込められていた関数が、ようやく外に出た格好です。開発ツール側では JSON Viewer が JSON Lines（NDJSON）を開けるようになり、行ごとに独立した折りたたみ項目として、パースに失敗した行はその行だけインラインで報告される、という作りになっています。ログを眺める人にはありがたい変更です。

3. uutils coreutils 0.11.0 — Rust 実装が GNU テスト95%を超えた

さらに静かな話を。GNU coreutils を Rust で書き直している uutils プロジェクトが、0.11.0 をリリースしました。GitHub の API で確認したタグ公開日時は2026年8月31日です。

節目になったのは GNU テストスイートの通過率です。リリースノートの表によれば、通過が645から 653 へ8件増え、失敗が28から 22 へ6件減り、エラーは1から 0 になりました。通過率にすると94.44%から 95.33% で、+0.89ポイント。ノートには「653 passing and 23 failing are both records for us, and this is the first release with no erroring test」とあり、エラーゼロがプロジェクト史上初だと強調されています。なお、この文中の「23 failing」は同じノート内の表の22と食い違っていて、数字を引くなら表の側を見るのが安全です。

ここでいう「失敗（fail）」と「エラー（error）」の違いは、テストの答えを間違えたのか、そもそも試験会場から途中退出してしまったのか、という差です。前者は互換性の詰めの問題ですが、後者は実装が想定外の状態でこけていることを意味します。それがゼロになったというのは、通過率0.89ポイントよりも実は大きな話かもしれません。

性能面では PGO（Profile-Guided Optimization）が効いています。ノートは「PGO ビルドで最大31%高速」とし、それを Linux・macOS・Windows の公開バイナリすべてに適用したと述べています。個別のコマンドでは cp がファイルを一度しか開かない実装に変えて +32.93% 、join はロケール比較が結果に影響しない場合にそれを省くことで、ペア入力で1.37倍、 GNU の join と比べて2.5倍 の速度が出ています。オリジナルより速い、という逆転が一部で起きているわけです。

もうひとつ好きなのが、エラー表示の刷新です。ariadne クレートをベースにした新しい診断エンジンが入り、問題の箇所にキャレットを立てるコンパイラ風の表示が chmod cut sort tr expr ls df du など25以上のユーティリティへ広がりました。coreutils のエラーメッセージといえば、そっけない一行が伝統でしたから、これは体験としてかなり変わります。GNU 互換の新オプションとして uname -A / --all-labeled も追加されました。

4. EU サイバーレジリエンス法 — 9月11日から、24時間の締切が始まる

法律の話です。しかも来週の話です。

ENISA の Single Reporting Platform に関する FAQによれば、CRA の統一報告プラットフォーム（SRP）は「2026年9月11日までに稼働予定」で、「これは製造者に対する報告義務が正式に適用開始となる日と一致する」と説明されています。つまり9月11日以降、EU 市場に「デジタル要素を持つ製品」を出す製造者は、報告義務の枠内に入ります。

期限は二段構えです。同 FAQ は早期警告について「不当な遅滞なく、いかなる場合も認知から24時間以内」、続く通知について「不当な遅滞なく、いかなる場合も認知から72時間以内に、一般情報と初期評価を提供する」と定めています。24時間というのは、曜日も時刻も選んでくれません。金曜の深夜に脅威インテリジェンスのフィードが上がったら、土曜の深夜には最初の報告が要る、ということです。オンコール体制の話として読むと、なかなかの重さがあります。

オープンソースの側にとって見過ごせないのは、対象が製造者だけではない点です。同 FAQ は「オープンソースソフトウェアのステュワードは、デジタル要素を持つ製品に関与する限りにおいて、CRA 第24条(3)に従い報告義務の対象となる」と述べています。ここは「関与する限りにおいて」という条件付きなので、あらゆる個人開発者が即座に対象になるという話ではありません。ただ、財団や企業がバックにいる形で製品に組み込まれている OSS プロジェクトは、自分がどちら側に立っているのかを一度確認しておく価値があります。

なお、施行前に出回っている解説記事には、罰則額や業界の準備状況について具体的な数字を挙げるものもありますが、今回は一次資料で裏が取れた範囲——9月11日という日付、24時間・72時間という期限、SRP という報告先、そして第24条(3)による OSS ステュワードの位置づけ——に絞って書いています。ここから先は、自社の製品が EU 市場に出ているかどうかを、法務と一緒に確認する話になります。

5. PaperCut CVE-2026-81578 / 82078 — KEV 入り後も続く攻撃と、正確な被害像

最後は印刷サーバーです。「うちのプリントサーバー、誰が見てるんだっけ」と一瞬考えた方、その一瞬が今日いちばん大事な反応かもしれません。

PaperCut NG/MF に、連鎖する2つの脆弱性が見つかりました。ひとつ目の CVE-2026-81578 は Web 管理インターフェースのアクセス制御不備で、NVD の説明では「特定の条件下で、管理機能を狙った未認証のリモートリクエストが、アクセス検証の完了前にバックエンドの処理を発動させうる」もの。結果として未認証の攻撃者が一部のシステム設定を変更できます。ふたつ目の CVE-2026-82078 はデータベース接続まわりの安全でない動的クラスロード（CWE-470）で、承認済みドライバのアローリスト検証をせずに設定値からドライバクラスを生成してしまう。設定を書き換えられる相手がいれば、クラスパス上の任意の Java バイトコードを PaperCut サーバーの権限で実行できます。

スコアの読み方には注意が要ります。CVE-2026-81578 は NVD が一次評価として CVSS v3.1 で 9.8（Critical） を付けている一方、CNA による v4.0 評価は 8.8（High） 。CVE-2026-82078 は逆に、NVD の v3.1 が 9.1（Critical） 、CNA の v4.0 が 9.4（Critical） です。同じ脆弱性に2つの数字がぶら下がっているので、「何点？」という会話をするときは、どのバージョンの誰の評価かをセットで言う必要があります。

そして、この2件は CISA の既知悪用脆弱性カタログに2026年8月31日付で追加されました。米連邦民間機関の対応期限は 2026年9月14日 。KEV の説明文は両方に「This vulnerability can be chained with（もう一方の CVE）」と明記していて、連鎖することが公的に認識されています。

攻撃チェーンの中身は Rapid7 の解析が詳しく、PaperCut が使う Apache Tapestry の「直接リクエスト形式」を突いて、公開ページ（Error・Exception・Home）を表示させながら管理コンポーネントを呼ぶことで認証検証を迂回する、という筋道が示されています。そこから外部ユーザールックアップの設定を書き換えて悪意ある JDBC 接続を注入し、Derby の foreignViews 経由で H2 の JDBC URL を開かせてコマンド実行に持ち込む。「お茶を運ぶ係に、悪意ある指示書を渡す」ようなもので、入口はあくまで設定変更です。パッチは同記事によれば8月28日にバージョン25・26向け、続いて24向けが出され、9月1日にさらに第3世代のパッチが公開されています。

被害の実像については、ここを正確に書いておきたいところです。BleepingComputer の報道によれば、脅威インテリジェンス企業 Defused が「8月29日 UTC の遅い時間帯から」ハニーポットで悪用を観測しており、その挙動は公開されている解説とは違って、リモートコード実行を狙うのではなく「攻撃者はデータ窃取を狙っている——Derby 経由で DB テーブルをダンプしている」というものでした。一部で「遠隔操作ツール（RAT）の設置が確認された」という記述を見かけますが、BleepingComputer・Rapid7 のいずれにもその裏付けとなる記述はありません。今日の時点で確認できる被害は、DB テーブルのダンプによるデータ窃取までです。同記事は Shadowserver がインターネットに露出した PaperCut MF / NG サーバーを800台以上観測しているとも伝えていますが、これは「見えている台数」であって、脆弱な台数でもパッチ未適用の台数でもありません。

まとめ

今日の5本に共通していたのは、「普段は誰も見ていない層」でした。

ビルド成果物を溜めておくリポジトリ。オフィスの隅の印刷サーバー。ブラウザが裏で張るコネクション。名前すら意識しないコアユーティリティ。そして、製品に組み込まれたまま誰の管理下にあるのか曖昧な OSS。どれも、動いているうちは話題になりません。話題になるのは、抜けたときだけです。

面白いのは、その「見えなさ」を潰しにいく動きが、いくつもの方向から同時に来ていることです。CISA は KEV と期限で「これは今すぐ直せ」と名指しし、EU は24時間報告義務で「知ったら黙っているな」と迫る。uutils は互換性を95%まで積み上げて、置き換えの是非を数字で語れる状態を作りにいく。Mozilla は2週間サイクルという実験で、変更が届くまでの見通しをよくしようとしている。強制と自助の違いはあれ、どれも「見えるようにする」試みです。

そのうえで今日いちばん実務的な問いは、たぶんこれです。 あなたの組織のアーティファクトリポジトリと印刷サーバーは、いま誰が管理していて、最後にパッチを当てたのはいつですか。 即答できなかったら、それが今日の宿題だと思います。私も自分の手元から確認します。