Linux
LinuxのDirtyDecrypt、パッチ済み脆弱性のPoCが公開
Linuxカーネルの権限昇格脆弱性DirtyDecryptに対し、root権限を奪取できる概念実証コード（PoC）が公開された。4月25日に修正済みの脆弱性だが、PoCが出回ったことで未パッチ環境への攻撃リスクが増している。
Linux
Linux
Linux 7.1-rc4公開、AIのバグ報告にカーネル開発者が線引き
5月17日に公開されたLinux 7.1-rc4には、コードの修正だけでなく一風変わった追加があった。何が「セキュリティバグ」なのか、AIで見つけたバグをどう報告すべきか。それを文章にした新しいドキュメントだ。
Linux
Lightroom CCがLinuxで動いた、AIが組み上げた手順
長年「Linuxでは動かない」とされてきたAdobe Lightroom CCが、Wine上で動作するようになった。手順を組み上げたのは人間ではなく、自律で数時間デバッグを続けたAIエージェントだ。
Linux
Mesa最大の貢献者がAMDを離れValveへ
AMDのLinuxグラフィックスドライバを長年支えてきた開発者が、勤務先をValveに変えていた。プロフィールの小さな更新がそれを物語る。AMDが手放したものの大きさを、本人より周囲のほうが先に理解しているのかもしれない。
Linux
Discord、Linux対応を強化 称賛が届かなかった理由
DiscordがLinuxクライアントを大幅に改善し、FedoraとArch Linuxを正式サポートに加えた。長年「二級市民」だったLinux版がようやく前進する。だが公式動画のコメント欄は、まったく別の話題で埋まっている。 ようやく整ったLinuxクライアント Discordが、Linux版クライアントの大規模な改善を発表した。発表の場は「YEAR OF THE LINUX DESKTOP（Linuxデスクトップの年）」と題された公式動画だ。 これまでDiscordはLinuxでも動いてはいた。ただ、その体験は「動く」と「快適」の間に大きな隔たりがあった。Flatpak版には不満が集中し、.deb版は更新を手作業で管理する手間がついて回った。今回の発表は、その積み残しをまとめて片付ける内容になっている。 目玉はFedoraとArch Linuxの正式サポートだ。これで主要なデスクトップ向けディストリビューションはほぼ網羅された。Fedora向けにはRPMパッケージが用意され、クライアントは自動更新にも対応する。Linuxユーザーが長く悩まされてきた「更新があるのに起動でき
Linux
Linuxカーネル、AI支援バグ報告を公開扱いに
Linuxカーネル7.1のドキュメントに、脅威モデルと「セキュリティバグとは何か」を定義する新規文書が加わった。AI支援で見つけたバグは原則として公開扱い、というカーネル開発陣の苦渋の答えがここに刻まれている。 docs-7.1-fixesに紛れ込んだ大物 リーナス・トーバルズ（Linus Torvalds）が日本時間2026年5月16日にマージしたタグ docs-7.1-fixes は、見出しだけ眺めれば地味な文書修正パッチに見える。ドキュメント担当のジョナサン・コルベット（Jonathan Corbet）からのプルリクエストで、コミット数は5本、変更行数は340行追加・2行削除。コミット履歴の流れの中では小粒に映る。 その中身は、カーネル開発の運用ルールそのものを書き換える内容だった。新規ファイル Documentation/process/threat-model.rst が235行まるごと追加され、既存の security-bugs.rst にも100行を超える追記が入っている。執筆したのはHAProxy開発者にしてLinuxカーネルメンテナのウィリー・タロー（Will
Linux
ssh-keysign-pwn対応Linux 7.0.8公開
ssh-keysign-pwnを塞いだLinux 7.0.8が5月15日にリリースされ、現役のLTSカーネル6系統もすべて同日に修正版が出揃った。穴は塞がれた、配布版に届くまでが本番だ。 7.0.8と全現役LTSが同日に出揃った グレッグ・クロー＝ハートマン（Greg Kroah-Hartman）は日本時間5月15日夜、Linux 7.0.8の公開をLKMLでアナウンスした。差分は4ファイル・21行追加・7行削除と小さく、コミットログには「ptrace: slightly saner 'get_dumpable()' logic」（多少はまともなget_dumpable()ロジック）の1行だけが書かれている。Linux 7.0.8の正体は、前日にリーナス・トーバルズ（Linus Torvalds）がメインラインへ投入したssh-keysign-pwn対策のパッチを、
Linux
Linuxカーネル新脆弱性、root所有ファイルが読まれる
非特権ユーザがSSHホスト秘密鍵や/etc/shadowを読める脆弱性が公表され、公表時点ではすでに修正コミットがマージされていた。安定版カーネルすべてが影響を受け、5年前にも同じ形がメーリングリストで指摘されていた。 報告と同日にリーナス・トーバルズが修正 Linuxカーネルに、非特権ユーザがroot所有ファイルを読み出せる脆弱性が見つかっている。Qualys（クオリス）が security@kernel に報告し、リーナス・トーバルズ（Linus Torvalds）が修正コミット 31e62c2ebbfd をマージした。5月14日以前のすべての安定版カーネルが影響を受ける。 被害の輪郭がはっきりしている。SSHホスト秘密鍵（/etc/ssh/ssh_host_{ecdsa,ed25519,rsa}_key、モード0600）が抜かれる。/etc/shadow も読まれる。rootハッシュをオフラインで解析されれば、特権昇格はその先にある。 ローカルアカウントを持つ攻撃者なら誰でも条件を満たす。共有サーバ、CIランナー、コンテナホスト、踏み台、SSHアクセスを許す環境すべてが
KDE
Plasma Bigscreen、6.7ベータで好調復帰
KDEのテレビ向けシェル「Plasma Bigscreen」が、Plasma 6.7ベータでまた前に進んだ。長らく動きの止まっていたこのプロジェクトに、ようやく実用の手応えが戻ってきている。
OpenZFS
OpenZFS 2.4.2リリース、Linux 7.0に対応
OpenZFS 2.4.2が2026年5月12日に公開された。Linux 7.0カーネルへの正式対応と、データ破損関連を含む多数のバグ修正が目玉の安定版だ。 Linux 7.0対応がメインラインから1か月遅れた OpenZFSプロジェクトの開発者トニー・ハッター（Tony Hutter）が、5月12日にzfs-2.4.2タグを切った。前バージョン2.4.1の対応範囲はLinux 6.19までであり、7.0環境で使うには2.4.2を待つほかなかった。 Linux 7.0は2026年4月12日にリーナス・トーバルズ（Linus Torvalds）が公開した最新の安定版カーネルで、Ubuntu 26.04 LTSのデフォルトカーネルでもある。OpenZFSは、メインラインカーネルのリリースから約1か月遅れて対応版を出した形になる。 この「1か月のラグ」は、OpenZFSが置かれた構造を表している。OpenZFSはCDDLライセンスで配布されており、GPLv2のLinuxカーネルと法的に統合できない。だからLinuxにマージされず、外部カーネルモジュールとしてしか動かない。
Linux
KDE、ドイツ政府基金から128万ユーロ獲得
ドイツ政府系のSovereign Tech Fundが、KDEに128万5,200ユーロを投じる。Plasmaの再起動からの復帰機構やKDE Linuxの工場出荷状態リセット機能まで、用途は12項目に細かく割り振られている。 公共投資の対象が「デスクトップ環境」になる時代 2026年5月13日、KDEはドイツ政府が出資するSovereign Tech Fund(ソブリン・テック・ファンド、以下STF)から、128万5,200ユーロ(約2億3,800万円、約151万米ドル)の投資を受けると発表した。期間は2026年から2027年の2年間。Plasma、KDE Linux、そしてその両方を支える通信フレームワークの強化に使われる。 KDEがこれまで受けた助成金としては最大級の額となる。だが、注目すべきはむしろ「ドイツ政府が、特定のデスクトップ環境に1億円を超える税金を直接投じた」点のほうだ。 STFは2022年にドイツ連邦経済・気候保護省の予算で設立された組織で、Pythonソフトウェア財団、FreeBSD、Eclipse、OpenStreetMap、Drupalなど、社会基盤と
Linux
Fragnesia公開、Linux LPE 2週で3件目
Dirty Fragのパッチが月曜に取り込まれた、その2日後だ。同じESP/XFRMで別の穴が見つかった。 2週間で3件目の根こそぎ脱出口 Linuxカーネルに、ローカル権限昇格(LPE)の脆弱性「Fragnesia」(CVE-2026-46300)が公開された。発見したのはセキュリティ研究者のウィリアム・ボウリング(William Bowling)率いるV12チーム。一般ユーザーがroot権限を奪取できる。 2026年4月29日にCopy Fail(CVE-2026-31431)、5月7日にDirty Frag(CVE-2026-43284、CVE-2026-43500)、そして本日5月13日にFragnesia。2週間で3件目のLinuxカーネルLPEだ。 しかも全て「ページキャッシュへの不正書き込み」、同じバグクラスに属する。Dirty Pipeの系譜である。 Fragnesia is a member of the Dirty Frag vulnerability
Linux
Wine Wayland、ポインタワープ新方式へ
Linuxで一人称視点シューターを動かすと、視点を回した瞬間にカクついたり、カメラが画面中央に張り付いたりする。その原因がWayland側にあり、Wineのネイティブドライバが今週その症状を根本から書き換えた。
セキュリティ
マイクロソフトが警告。PyPI mistralai汚染、import時に全消去の罠
Mistral AI公式のPyPIパッケージv2.4.6が侵害された。importしただけで認証情報が抜かれ、特定の国にいると6分の1の確率で rm -rf / が走る。マイクロソフトが日本時間5月12日に警告した。 マイクロソフトが日本時間5月12日に警告 Mistral AI公式のPython SDK、mistralai パッケージv2.4.6が侵害されている。pip経由でインストールしてLinux環境でimportした瞬間、悪意あるコードが裏で動き出す。 注入箇所は mistralai/client/__init__.py の冒頭。パッケージを使うコードがimport文を書いた段階で、ユーザーが何かをクリックする前に処理が走る。 Microsoft Threat Intelligenceがこの事実を投稿で公開した。 Microsoft is investigating mistralai PyPI package v2.4.6 compromise. Attackers injected code in mistralai/client/__init__.py tha