オープンソース

GitHubリポジトリ5500件超にバックドア、「Megalodon」攻撃の全容

セキュリティ

GitHubリポジトリ5500件超にバックドア、「Megalodon」攻撃の全容

偽のCIコミットが6時間で5700件以上のリポジトリに押し込まれた。GitHub Actionsを悪用し、クラウド認証情報からSSH鍵まで根こそぎ抜き取る大規模サプライチェーン攻撃の手口と対策。 6時間で5561リポジトリが陥落した 2026年5月18日、GitHubで異常な規模の自動化攻撃が発生している。セキュリティ企業SafeDepが「Megalodon」（メガロドン）と名付けたこのキャンペーンは、わずか6時間の間に5718件の偽コミットを5561のリポジトリに送り込んだ。CIの自動化に見せかけてバックドアを仕込み、開発者が気づかないまま認証情報を抜き取る——過去最大規模のGitHub Actionsワークフロー汚染だ。 コミットの著者名はbuild-bot、auto-ci、ci-bot、pipeline-botの4種類。メッセージも「ci: add build optimization step」「chore: optimize pipeline runtime」など、日常的なCI保守に偽装されていた。使い捨てのGitHubアカウント（ランダム8文字のユーザー名）を使い回
FreeBSD代表、ノートPCでの常用に挑んだ結果

FreeBSD

FreeBSD代表、ノートPCでの常用に挑んだ結果

「サーバー専用」と呼ばれ続けたOSで、Foundation自身のトップが日常業務をこなせるか試した。見えてきたのは、FreeBSDの可能性と、まだ埋まっていない溝だった。 インストールの先にある「壁」 FreeBSD Foundationのエグゼクティブディレクター、デブ・グッドキン（Deb Goodkin）氏がOpen Source Summit North America 2026で発表した内容が注目を集めている。テーマは「最新のラップトップでFreeBSDを動かして学んだこと」。カンファレンスの講演タイトルとしては地味に見えるが、内容はFreeBSDの現在地を正確に映し出していた。 グッドキン氏の経歴はストレージ分野のファームウェアエンジニアで、カーネル開発者ではない。FreeBSDのデスクトップを日常的に使った経験もなかった。それでもFoundationのトップとして、自分自身がFreeBSDをラップトップで常用する挑戦を始めた。 FreeBSDをインストールするたびに、山のように感じた。次に何をすればいいのか分からず、立ち止まってしまう。しかも時間がかかる。仕事、ラ
オープンな動画コーデックAV2、5月29日に正式リリースへ

AV2

オープンな動画コーデックAV2、5月29日に正式リリースへ

AV1の後継としてAlliance for Open Media（AOMedia）が開発を進めてきたロイヤリティフリーの動画コーデックAV2が、いよいよ正式リリースを迎える。リファレンスソフトウェアのコミットが示す日付は、5月29日だ。 v1.0.0、5年の開発に区切り AV2のリファレンス実装であるAOM Video Model（AVM）のリポジトリに、バージョンを v1.0.0 に引き上げるコミットが入った。CHANGELOGには「2026-05-29 v1.0.0 — First released version of AV2」と記載されており、来週5月29日が正式リリース日となる見通しだ。 プロジェクトバージョンだけでなく、共有ライブラリのSOバージョンも更新されている。CMakeLists.txtではlibtoolのバージョニング規約に沿ったLT_CURRENT、LT_REVISION、LT_AGEの管理が新たに導入され、外部プロジェクトがAVMライブラリをリンクする際の互換性管理が整備された形だ。 コミットメッセージは「Update CHANGELOG,
Project Glasswing、1ヶ月で脆弱性1万件超を発見

AI

Project Glasswing、1ヶ月で脆弱性1万件超を発見

脆弱性を「見つける速さ」の問題は、もう終わった。次の課題は「直す速さ」だ。 1ヶ月で変わったセキュリティの前提 アンソロピックのProject Glasswing（プロジェクト・グラスウィング）が開始から約1ヶ月で、想定をはるかに上回る成果を発表した。 同社の非公開AIモデル「Claude Mythos Preview」を使い、約50のパートナー企業と共同で実施したスキャンで、深刻度「高」または「致命的」に分類される脆弱性が 1万件超 発見された。 パートナーの大半は1ヶ月間で各社数百件の脆弱性を特定。複数の企業が「バグ発見速度が従来の10倍以上になった」と報告している。 これまでソフトウェアセキュリティの進歩を制約していたのは、脆弱性をどれだけ速く見つけられるかだった。今やその制約は、見つかった脆弱性を検証し、開示し、パッチを当てる速さに移った。 脆弱性を探す作業はAIが圧倒的なスピードで引き受けるようになった。しかし、そこで見つかったものを処理できるのは、依然として人間だけだ。 パートナー企業の実績数値 クラウドフレアは自社の重要システムで 2,000件のバグ
See all