#vulnerability

パッチもCVEも存在しない状態でLinuxカーネルの新たな権限昇格（LPE）脆弱性Dirtyfragが公開された。全主要ディストリビューションで非特権ユーザーがroot権限を取得可能。

セキュリティ研究会社Cyeraが、Ollamaで認証なしにメモリを漏洩させられる深刻な脆弱性「Bleeding Llama」を発見した。ネットワーク公開している場合は即時パッチが必要だ。

HNの論点は「全CVEを同じ重みで扱え」ではなく、NVD enrichmentが選択制になる時代に、severityとproduct metadataを誰が補うのかだった。

Hacker Newsでは、NVDに登録された CVE-2026-33579 が注目を集めた。OpenClaw の `/pair approve` 経路で、admin 権限を持たない利用者がより広い scope を承認できる可能性があり、AI コーディングツールも通常の認可設計が必要だという議論につながった。

AnthropicはMozillaとの協業で、Claude Opus 4.6が2週間でFirefox脆弱性22件を見つけ、そのうち14件がhigh-severityと判定されたと説明した。両社はこれをAI-assisted security researchが実運用へ入った例として位置づけている。

SecurityScorecardのSTRIKEチームが、OpenClaw AIエージェントインスタンス40,214個が認証なしで公開インターネットに露出していることを発見。1万2,000以上がリモートコード実行の脆弱性を持ち、侵害されると完全なシステムアクセスを攻撃者に渡すことになります。

Hacker Newsで注目されたChromeの安定版更新。GoogleはCVE-2026-2441（High、CSS use-after-free）を修正し、実際の悪用を認識していると公表した。