Windows

Claude AIがVim・GNU Emacsのゼロデイ脆弱性を発見——ファイルを開くだけでRCE AIアシスタント「Claude」を使ったシンプルなプロンプトによって、テキストエディタ「Vim」および「GNU Emacs」にリモートコード実行（RCE）の脆弱性が発見された。いずれも細工されたファイルを開くだけでコードが実行されるという深刻なものだ。 発見したのは、AIレッドチーミングとセキュリティエンジニアリングを専門とするセキュリティ企業「Calif」の研究者、Hung Nguyen氏。Claude に「ファイルを開くだけでトリガーされるRCEのゼロデイ脆弱性を探せ」と指示したところ、Claudeはソースコードを分析し、複数の脆弱性を特定。さらにPoC（概念実証コード）を自動生成・改善し、修正案まで提示した。 Vimの脆弱性——パッチ済み Vimの脆弱性は、モードライン（modeline）処理における不十分なセキュリティチェックに起因する。モードラインとはファイル先頭に記述するVimへの設定指示で、これを悪用することでファイル内に埋め込んだコードを実行させることができる。 本来はサンドボックス内での実行に限定されるはずだが、別の問題によってその制限を回避し、現在のユーザー権限で任意のコマンドを実行できてしまう。 影響バージョン: Vim 9.2.0271以前のすべてのバージョン CVE: 未採番 対応状況: Vim 9.2.0272でパッチ済み 開発チームのセキュリティ情報には「攻撃者が細工したファイルを送りつけることで、Vimを実行しているユーザー権限で任意コマンドが実行される」と明記されている。 GNU Emacsの脆弱性——未修正のまま GNU Emacsの問題は、バージョン管理システムとの統合機能（vc-git）に潜む。ファイルを開くと vc-refresh-state 経由でGit操作が走り、.git/config が読み込まれる。このとき、設定ファイルに記述された core.fsmonitor プログラムが自動実行される仕組みを悪用される。 攻撃シナリオとしては、隠し .git/ ディレクトリと悪意あるコンフィグファイルを含むアーカイブ（メール添付やクラウドドライブ共有など）を被害者に送りつけ、展開後にテキストファイルを開かせるだけでペイロードが実行される。GUI上には何も表示されないため、被害に気づきにくい。 GNU Emacsの開発チームは「これはGitの問題であり、エディタ側で対処するものではない」という立場を取っている。技術的には確かにコードをGitが実行しているが、エディタがユーザーの同意なく信頼されていないディレクトリでGitを自動実行している点でリスクは現実的だ。 Nguyen氏はGitの呼び出し時に core.fsmonitor を明示的にブロックするよう修正することを提案しているが、最新版でも未修正のまま。不明な出所のファイルやインターネットからダウンロードしたファイルを開く際は細心の注意が必要だ。 AI活用による脆弱性発見の新潮流 今回の発見は、LLM（大規模言語モデル）をセキュリティリサーチに活用する手法の有効性を改めて示す事例となった。VimはLinuxサーバーのほぼすべてのディストリビューションにデフォルトでインストールされており、DevOpsやシステム管理者に広く使われているだけに、パッチ適用は早急に行うことを強く推奨する。 Vim利用者はただちにバージョン9.2.0272以降へアップデートすること。GNU Emacsユーザーは修正が提供されるまで、出所不明なファイルを開かないよう注意されたい。 元記事: Claude AI finds Vim, Emacs RCE bugs that trigger on file open

GIGABYTE Control Centerに重大な脆弱性——未認証の攻撃者がファイルを自由に書き換え可能 GIGABYTE（技嘉科技）のハードウェア管理ツール「GIGABYTE Control Center（GCC）」に、認証なしのリモート攻撃者が任意の場所にファイルを書き込める深刻な脆弱性が発見された。台湾のCERT（コンピュータ緊急対応チーム）が警告を発しており、GIGABYTEも公式セキュリティ情報を公開している。 脆弱性の概要 脆弱性はCVE-2026-4415として追跡されており、CVSSv4.0スコアは9.2（Critical／深刻）と評価されている。セキュリティ研究者のDavid Sprüngli氏が発見した。 GCCはGIGABYTE製ノートPCおよびマザーボードにプリインストールされているWindows向けオールインワン管理ツールで、ハードウェアモニタリング、ファン制御、パフォーマンスチューニング、RGBライティング制御、ドライバ・ファームウェア更新などを担う。 問題の根本は、GCCの「ペアリング」機能にある。この機能はネットワーク越しに他のデバイスやサービスと通信するためのものだが、有効になっている場合、攻撃者はOSの任意のパスに対してファイルを書き込むことができてしまう。 影響を受けるバージョンと攻撃シナリオ バージョン25.07.21.01以前でペアリング機能を有効にしているシステムが対象となる。攻撃者はネットワーク経由で認証なしに接続し、次のような被害をもたらす可能性がある。 任意コード実行（RCE） 権限昇格（Privilege Escalation） サービス拒否（DoS） GIGABYTE製品は世界中のゲーマーやPC自作ユーザーに広く普及しており、日本市場でもマザーボードのシェアが高いため、影響を受けるユーザーは少なくないと考えられる。 対応策：即時アップデートを GIGABYTEは修正済みバージョン25.12.10.01をリリースしており、ダウンロードパスの管理、メッセージ処理、コマンド暗号化の改善によって脆弱性を修正した。GIGABYTEは「直ちに最新バージョンへのアップグレードを強く推奨する」と呼びかけている。 また、インストーラーのトロイの木馬化リスクを避けるため、必ずGIGABYTEの公式ソフトウェアポータルから最新版を入手することが推奨されている。サードパーティのダウンロードサイトや非公式な配布元からの取得は避けるべきだ。 チェックポイント GIGABYTEのノートPCやマザーボードを使っている場合は、GCCのバージョンを確認する ペアリング機能を使用していない場合は無効化することも有効な緩和策となる アップデートは公式ポータルから入手する GIGABYTE製品を利用しているユーザーは早急にバージョンを確認し、アップデートを適用してほしい。 元記事: GIGABYTE Control Center vulnerable to arbitrary file write flaw

ProtonがE2EE対応ビデオ会議「Proton Meet」を発表 プライバシー重視のメール・クラウドサービスで知られるProtonが、ビデオ会議サービス「Proton Meet」を正式にリリースした。Google Meet、Zoom、Microsoft Teamsなどの主要サービスに対抗するプライバシーファーストな選択肢として位置付けられている。 無料プランでもアカウント不要、50人まで参加可能 Proton Meetの大きな特徴は、Protonアカウントがなくても無料で利用できる点だ。無料プランでは1回最大1時間、最大50人までのビデオ通話に対応する。より長時間の会議が必要なユーザー向けには月額7.99ドル（約1,200円）の「プロ」プランも用意されている。 使い方はシンプルで、会議リンクを作成して参加者と共有するだけ。Proton Calendarとの統合に加え、GoogleカレンダーやMicrosoft Outlookへの予定追加にも対応している。 暗号化技術の詳細——MLS + WebRTC構成 セキュリティ面では、Messaging Layer Security（MLS）と呼ばれるオープンソースのエンドツーエンド暗号化（E2EE）プロトコルを採用している。MLSはリアルタイムのグループメッセージング向けに設計されており、第三者機関によるレビューも完了している。 アーキテクチャはWebRTCをベースとし、映像・音声の中継にSelective Forwarding Unit（SFU）を使用。各会議リンクにはIDとパスワードが含まれており、Protonが10年以上使用してきたSecure Remote Password（SRP）プロトコルで参加者を認証する。 暗号化の仕組みとしては、参加者全員で「エポック鍵」を共有し、誰かが参加・退出するたびに鍵をローテーションする設計になっている。これにより、フォワード秘匿性（新規参加者が過去のメッセージを読めない）とバックワード秘匿性（退出済みメンバーが以降のメッセージを読めない）の両方が保証される。 なぜ今、プライバシー特化の会議ツールなのか ProtonはMeetの開発背景として、いくつかの社会的背景を挙げている。 第一にGDPRやCCPA（カリフォルニア州消費者プライバシー法）への準拠の容易さだ。EU拠点のProtonのサービスを使うことで、米国の「CLOUD Act」（クラウドデータへの政府アクセスを認める法律）の影響を受けにくくなる。特に欧州企業や日本企業で海外サービスの利用に慎重な組織にとって、EU拠点のサービスは選択肢として有力だ。 第二にAIモデルの学習への懸念だ。主要ビデオ会議サービスが会話データをAI学習に利用する慣行が広まる中、Protonは「会話内容に一切アクセスできない」設計を強みとして打ち出している。 「Proton Meetはエンドツーエンド暗号化で通話を保護し、広告販売、監視、AIトレーニングへの会話の利用を一切できなくします」（Proton公式） サーバーが侵害された場合でも、データベースには会議IDのみが保存されており、通話の内容や参加者の個人情報は漏洩しない設計となっている。メールアドレスやIPアドレスも参加者間でのみ共有され、Proton側には誰が誰と会議したかの記録も残らない。 日本ユーザーへの注目点 個人情報保護法の改正や企業のセキュリティ意識の高まりを受け、日本でもビデオ会議のプライバシーに関心が高まっている。アカウント不要で即座に使えるシンプルさと、堅牢なE2EE実装を兼ね備えたProton Meetは、セキュリティ要件の厳しい業務シーンや、プライバシーを重視する個人ユーザーに刺さる可能性がある。 元記事: Proton launches new “Meet” privacy-focused conferencing platform

Googleが@gmail.comアドレスの変更を解禁 Googleは2026年3月31日、米国ユーザーを対象に@gmail.comアドレスのユーザー名（@より前の部分）を変更できる新機能の提供を開始した。長年にわたってGmailではエイリアス（別名）の追加は可能だったものの、メインの@gmail.comアドレス自体を変更する手段は存在しなかった。今回の対応により、その制限がついに撤廃された形だ。 変更手順 操作はGoogleアカウント設定から行う。 Googleアカウントの設定を開く 「Googleメールアドレスを変更する」を選択 希望する新しいユーザー名を入力 「メールアドレスを変更」→「はい、変更します」をクリック 変更後は、Gmail・Googleフォト・Google Driveなど、Googleの各種サービス全体に新しいアドレスが自動的に反映される。 旧アドレスはどうなる？ 変更後も旧アドレスは削除されず、第三者に再割り当てもされない。引き続き同一のGoogleアカウントに紐付いた状態が維持されるため、旧アドレス宛のメールも引き続き受信できる。過去にそのアドレスで登録した外部サービスへの影響を最小限に抑えられる点は、ユーザーにとって安心材料となるだろう。 注意点 この機能はまだ米国内でも段階的なロールアウト中であり、すべてのアカウントで即時利用できるわけではない。設定画面に該当のトグルが表示されない場合は、対象外のアカウントまたは地域である可能性が高い。 日本を含む米国外への展開については、Googleからの公式アナウンスはまだない。ただし、2025年10月に最初の目撃情報が報告されており、年末には一部アカウントで確認されていたことから、今後グローバル展開が進む可能性は十分ある。 日本ユーザーへの影響 GmailはGoogleアカウントと直結しているため、アドレス変更はYouTubeやGoogle Workspaceなど多数のサービスに横断的に影響する。日本でも提供が始まった際には、外部サービスへの登録変更を忘れずに行うことが重要だ。特に二段階認証のバックアップコードや、業務・金融系サービスに登録しているGmailアドレスの更新は優先度が高い。 Gmailは世界で20億人以上が利用するメールサービス。今回の機能追加は「最初にGmailを取得したときから名前が変わった」「ハンドルネームを変えたい」といったユーザーからの長年の要望に応えるものだ。 元記事: Google now allows you to change your @gmail.com address

Microsoftは、Windows 11向けの帯域外（Out-of-Band）更新プログラムKB5086672を公開した。この更新は、直近で問題が発生していた機能更新プログラム（Feature Update）を修正することを目的としている。 帯域外更新とは 帯域外更新とは、通常の毎月第2火曜日（いわゆる「Patch Tuesday」）のリリーススケジュール外で緊急配信される更新プログラムのことだ。通常の定例アップデートを待てないほど深刻な問題が発生した場合に、Microsoftが臨時で提供する。今回の配信は、機能更新プログラムの適用に失敗するなどの不具合が報告されていたことへの迅速な対応とみられる。 対象と適用方法 KB5086672はWindows 11を対象とした更新プログラムで、Windows Updateから手動で確認・適用できるほか、自動更新が有効な環境では順次配信される。企業環境でWSUS（Windows Server Update Services）やMicrosoft Intuneを利用している場合は、管理者側での展開作業が必要になることもある。 日本国内でも多くの企業・個人がWindows 11を使用しており、機能更新プログラムの不具合は業務影響が大きい。心当たりのある方はWindows Updateを確認し、KB5086672が未適用であれば早めにインストールすることを推奨する。 背景 Windows 11では過去にも機能更新プログラムの適用失敗やロールバック繰り返しといった問題が報告されており、Microsoftは都度帯域外パッチで対応してきた実績がある。今回も同様のパターンであり、問題の根本原因や具体的な修正内容の詳細はMicrosoftの公式サポートページで確認できる。 最新のWindows環境を安定的に保つためにも、帯域外更新の情報を定期的にチェックする習慣をつけておきたい。 元記事: Windows 11 KB5086672 is out to fix broken feature update

マイクロソフトは2026年3月の月例セキュリティ更新（Patch Tuesday）を公開し、Windowsおよび関連ソフトウェアの83件の脆弱性を修正した。今月は2件がパッチ公開前に既に悪用または公開が確認されたゼロデイ脆弱性として注目されている。 SQL Server と .NET に公開済み脆弱性 事前に公開されていた脆弱性のひとつ、CVE-2026-21262 は SQL Server 2016 以降に影響する特権昇格の欠陥だ。セキュリティ企業 Rapid7 のアダム・バーネット氏は「ネットワーク経由で sysadmin 権限への昇格が可能であり、CVSS v3 スコアは 8.8 と深刻度『重要』に迫る水準だ。先送りは難しい」と警告している。 もうひとつの CVE-2026-26127 は .NET アプリケーションに影響し、当面の影響はクラッシュ誘発によるサービス拒否（DoS）にとどまる見込みだが、サービス再起動中に別の攻撃手法が連鎖する可能性も否定できない。 プレビューペインを開くだけで危ない Office の RCE 脆弱性 毎月恒例となりつつある Microsoft Office の深刻な欠陥として、今月は CVE-2026-26113 と CVE-2026-26110 が浮上した。いずれもリモートコード実行（RCE）が可能であり、Outlook のプレビューペインで細工されたメッセージを表示するだけでトリガーされる点が特に危険だ。添付ファイルを開く操作すら不要なため、利用者は意図せず被害を受けるリスクがある。 特権昇格が今月の主役——「悪用の可能性が高い」6件を確認 セキュリティ企業 Tenable の分析によると、今月修正された CVE のうち約55%が特権昇格（EoP）バグだという。そのなかで「悪用の可能性が高い」と評価された主な脆弱性は以下の通り。 CVE-2026-24291（CVSS 7.8）: Windows アクセシビリティ インフラストラクチャの不適切な権限割り当てにより SYSTEM 権限へ昇格可能 CVE-2026-24294（CVSS 7.8）: SMB コアコンポーネントの認証不備 CVE-2026-24289（CVSS 7.8）: 高深刻度のメモリ破損＋競合状態（レースコンディション） CVE-2026-25187（CVSS 7.8）: Google Project Zero が発見した Winlogon プロセスの欠陥 歴史的マイルストーン：AIエージェントが発見した初のCVE 今月最も注目すべきトピックのひとつが CVE-2026-21536（CVSS 9.8）だ。Microsoft Devices Pricing Program コンポーネントに存在するこの重大な RCE 脆弱性は、完全自律型 AI ペネトレーションテストエージェント「XBOW」 によって発見された。ソースコードへのアクセスなしに CVSS 9.8 の脆弱性を特定した点が業界で話題を呼んでいる。XBOW は過去1年間、HackerOne のバグバウンティリーダーボードで上位を維持してきた実績を持つ。 ...

Microsoftがクロス署名ドライバープログラムへの信頼を廃止へ Microsoftは2026年4月のWindowsアップデートにおいて、旧来のクロス署名カーネルドライバープログラム（Cross-Signed Driver Program）への信頼を削除すると発表した。この変更により、今後はMicrosoftが認定するWindows Hardware Compatibility Program（WHCP）を通じて署名されたドライバーのみがデフォルトで読み込まれるようになる。 クロス署名ドライバーとは クロス署名ドライバーとは、MicrosoftのルートCA（認証局）ではなく、サードパーティの認証局によって署名されたカーネルモードドライバーを指す。過去にWindowsのドライバーエコシステムが拡大していく過程で広く利用されてきたが、その反面、マルウェアがドライバーに悪意あるコードを仕込んで署名を通過させる「ドライバー署名の悪用」が攻撃手法として確立されてしまった背景がある。 近年、ランサムウェアや高度な脅威アクター（APT）がカーネルレベルのドライバーを悪用するケースが増加しており、Microsoftはドライバーのセキュリティ強化を優先課題として取り組んできた。 段階的な適用で互換性への影響を監視 今回の変更は一度に完全適用されるわけではなく、まず評価モード（Evaluation Mode）として展開される。評価モードでは、クロス署名ドライバーが読み込まれた場合にイベントログへの記録や管理者への通知が行われるが、実際のブロックは行われない。これにより、企業やOEMが既存の環境への影響を把握し、対応を進める猶予期間が設けられる。 Microsoftは互換性への影響を監視しながら段階的に適用を進める方針で、最終的にはクロス署名ドライバーのデフォルト読み込みを完全に無効化する予定だ。 企業・開発者が取るべき対応 ハードウェアベンダーやドライバー開発者は、WHCPを通じた署名取得へ移行することが求められる。WHCPの認定プロセスはMicrosoftのHardware Dev Centerポータルから申請でき、Microsoftによる技術的なテストと審査を経て署名が付与される。 企業のIT管理者は、社内で使用しているサードパーティ製ハードウェアのドライバーがWHCP署名済みかどうかを確認し、未対応のベンダーに対してアップデートを要求する必要がある。特に、古いプリンターや特殊な計測機器、産業用デバイスのドライバーは対応が遅れる可能性があるため、早期の棚卸しが推奨される。 セキュリティ強化の流れの一環 この変更は、MicrosoftがWindows 11以降で推進しているSecured-core PCやVulnerable Driver Blocklist（脆弱ドライバーブロックリスト）の強化と同じ方向性を持つ。カーネルへのアクセスを厳しく制限することで、マルウェアがOSの深部に潜り込むことを根本から防ぐ設計思想だ。 Windowsのセキュリティ基盤を強化する上で重要なマイルストーンとなる今回の変更を前に、ハードウェアベンダーとIT担当者は早めの対応準備を進めておくべきだろう。 元記事: Advancing Windows driver security: Removing trust for the cross-signed driver program

MicrosoftがWSLを2026年に大幅強化——開発者向け環境の本気アップデート Microsoftは2026年、Windows Subsystem for Linux（WSL）に大規模な改善を加えることを明らかにした。LinuxとWindows間のファイル転送高速化、ネットワーク性能の強化、初期セットアップの簡略化、そしてエンタープライズ向けのセキュリティ・ポリシー管理機能の充実が予定されている。 なぜ今WSLの強化なのか WSLは、Windowsの中でLinuxディストリビューションをネイティブに近い形で実行できる仕組みだ。デュアルブートや仮想マシンが不要で、軽量な仮想化レイヤーを通じてLinux環境を利用できる。WSL2では実際のLinuxカーネルが動作しており、bash・ssh・git・Docker・Node.js・Pythonといった開発ツールをそのまま使えるのが強みだ。 Webアプリ開発者がローカルサーバーを立ち上げたり、DevOpsエンジニアがコンテナやオーケストレーションツールを扱ったりと、WSLは現代の開発ワークフローに深く組み込まれている。Docker Desktop for WindowsもWSL2に強く依存しており、Visual Studio CodeもWSL環境への直接接続をサポートしている。 一方で、macOSはUnixベースの環境をデフォルトで持ち、ネイティブLinux環境はそのまま使える。Windowsが開発者のシェアを争うにあたって、WSLの品質向上は不可欠な施策だ。 具体的な改善ポイント ファイルアクセスの高速化は最大の目玉だ。現状のWSLでは、Windowsファイルシステム（/mnt/c/ 以下のパス）へのアクセスが遅く、大量ファイルを扱うビルドや依存パッケージのインストールでボトルネックになることがある。この課題に直接メスを入れる。 ネットワーク性能の強化も開発者には嬉しい変更だ。WSL内からのHTTP通信やコンテナ間ネットワーキングの安定性・速度が改善されることで、バックエンド開発やマイクロサービス構成を組む際の体験が向上する。 セットアップの簡略化により、新しいWindowsマシンにWSLを導入するまでのハードルが下がる。企業導入においても、ポリシー管理やセキュリティ制御の強化が予定されており、IT管理者が組織全体でWSLを安全に展開しやすくなる。 開発プラットフォームとしてのWindowsの再評価 WSLが登場した背景には、Linuxに精通した開発者をWindowsエコシステムに引き留めるというMicrosoftの戦略があった。初代WSL1は互換性に問題が多かったが、WSL2でLinuxカーネルを直接動かす方式に転換し、実用性が大きく向上した。 2025年のBuildカンファレンスでSatya Nadella CEOがWSLのオープンソース化を発表するなど、Microsoftはこの分野への本気度を示し続けている。 日本でもクラウドネイティブ開発やコンテナ活用が当たり前になる中、開発PCの選定においてWindowsとmacOSの比較は常に議論になる。今回のWSL強化が実際に体感できるレベルで届けば、Windows PCを選ぶ開発者にとって大きな後押しになりそうだ。詳細は2026年中の公式発表を待ちたい。 元記事: Microsoft to upgrade Windows Subsystem for Linux (WSL) with faster file access, better networking and easier setup

Axios npmパッケージが供給チェーン攻撃の標的に JavaScriptアプリケーション開発で広く使われているHTTPクライアントライブラリ「Axios」のnpmパッケージが、2026年3月31日に悪意ある第三者によって侵害された。セキュリティ企業のEndor Labs、Socket、Aikido、StepSecurityの調査によると、攻撃者は悪意のあるバージョンを2つ公開し、Linux・Windows・macOSの全プラットフォームを対象にリモートアクセス型トロイの木馬（RAT）を配布した。 Axiosは月間約4億ダウンロードを誇る人気ライブラリであり、今回の侵害による影響範囲は極めて広い可能性がある。 攻撃の手口 攻撃者はAxiosのメインメンテナーであるJason Saayman氏のnpmアカウントを乗っ取り、悪意のあるバージョンaxios@1.14.1とaxios@0.30.4を公開した。さらにSaayman氏のGitHubアカウントも掌握し、関連メールアドレスをifstap@proton.meに変更。侵害に関する報告スレッドを削除するなど、発覚を遅らせる工作も行った。 注目すべき点として、これら悪意のあるバージョンはOpenID Connect（OIDC）によるパッケージ起源の自動検証が行われておらず、対応するGitHubコミットも存在しなかった。こうした兆候は本来、直ちに警戒を促すべきシグナルである。 感染チェーンの詳細 攻撃者はAxiosのコード自体には手を加えず、package.jsonに悪意のある依存パッケージplain-crypto-js@^4.2.1を追加した。このパッケージはインストール時にポストインストールスクリプトを実行し、難読化されたドロッパー（setup.js）を起動。ドロッパーはC2サーバーへ接続し、検出されたOSに応じたペイロードを取得する。 Windows: VBScriptとPowerShellを組み合わせて非表示のコマンドプロンプトを起動。%PROGRAMDATA%\wt.exeにPowerShellをコピーして検出を回避し、再起動後も持続するよう設計されている macOS: AppleScriptを使って/Library/Caches/com.apple.act.mondにバイナリをダウンロードし、バックグラウンドで実行 Linux: Pythonベースのペイロードを/tmp/ld.pyに保存し、nohupコマンドでバックグラウンド実行 いずれのケースでもRATに感染し、攻撃者によるリモートコマンド実行・シェルコマンドの送受信・ディレクトリ列挙が可能な状態となる。感染完了後、ドロッパーは自身を削除し改ざんされたpackage.jsonをクリーンな状態に戻すことでフォレンジック調査を困難にする。 北朝鮮系APTグループによる計画的攻撃 StepSecurityの調査では、悪意のある依存パッケージが公開の18時間前に事前ステージングされており、今回の攻撃が「計画的」なものであることを示している。 Googleの脅威インテリジェンスグループ（GTIG）のチーフアナリストJohn Hultquist氏はBleepingComputerに対し、本攻撃の背後には北朝鮮系の脅威アクター「UNC1069」がいると語った。このグループはソフトウェアサプライチェーンおよび暗号資産関連の標的を狙うことで知られている。 開発者への推奨対応 Axiosを利用しているプロジェクトは、package-lock.jsonやyarn.lockなどのロックファイルを確認し、axios@1.14.1またはaxios@0.30.4が含まれていないか至急チェックすることが強く推奨される。該当するバージョンをインストールした可能性がある場合は、システムの侵害有無を確認し、最新の安全なバージョンへ即座に更新する必要がある。 今回の事件は、オープンソースのサプライチェーンセキュリティの脆弱性を改めて浮き彫りにした。npmのような大規模パッケージレジストリにおけるアカウント保護とパッケージ検証の重要性が、かつてないほど高まっている。 元記事: Hackers compromise Axios npm package to drop cross-platform malware

Trivy連鎖攻撃がCiscoを直撃——AIプロダクトのソースコードが流出 米Ciscoがサイバー攻撃の被害を受け、内部の開発環境が侵害されたことをBleepingComputerが報じた。攻撃者は2026年3月に発覚したTrivyサプライチェーン攻撃で盗んだ認証情報を転用し、Ciscoのビルド・開発環境への侵入を果たした。 何が起きたのか Ciscoの「Unified Intelligence Center」「CSIRT」「EOC」各チームが侵害を封じ込めたものの、攻撃者はその前に以下を実行したとされる。 300以上のGitHubリポジトリを複製（AI Assistant、AI Defense、未発表プロダクトのソースコードを含む） 複数のAWSキーを窃取し、一部のCisco AWSアカウントで不正操作を実施 数十台のデバイス（開発者ワークステーション・ラボ端末）のデータを取得 さらに、複製されたリポジトリの一部には銀行、BPO（業務プロセスアウトソーシング）、米政府機関など顧客のソースコードが含まれている可能性があるという。 Trivyサプライチェーン攻撃とは Trivyはコンテナイメージや構成ファイルの脆弱性を検出するOSSスキャナーで、開発現場での採用が広い。今月初め、脅威アクターがTrivyのGitHubパイプラインを侵害し、公式リリースおよびGitHub Actionsを通じて認証情報窃取型マルウェアを配布した。 Ciscoはこの不正なGitHub Actionプラグインを踏んでしまい、CI/CD環境の認証情報が流出したとみられる。 背後に「TeamPCP」グループ セキュリティ研究者は今回の一連の攻撃を、TeamPCPと呼ばれる脅威グループに帰属している。同グループは独自のインフォスティーラー「TeamPCP Cloud Stealer」を用いており、GitHub・PyPI・npm・Dockerを標的にしたサプライチェーン攻撃を繰り返している。 Cisco侵害と並行して、LiteLLM（PyPIパッケージ）およびCheckmarx KICSプロジェクトも同じマルウェアで侵害されており、合計で数万台規模のデバイスに影響が及んでいる。 Ciscoの対応 Ciscoは影響を受けたシステムを隔離し、再イメージングを開始。大規模な認証情報のローテーションを実施中だという。ただし、BleepingComputerの取材に対してCiscoからの公式回答はまだ得られていない。 日本のエンジニアへの示唆 Trivyは国内でも広くCI/CDパイプラインに組み込まれているツールだ。今回の攻撃はOSSツールのGitHub Actionsやパイプラインが攻撃経路になり得ることを改めて示した。 利用中のGitHub Actionsのバージョンとハッシュを固定しているか確認する CI/CD環境で使う認証情報（AWS、GitHub Token等）のスコープを最小権限に絞る 依存パッケージの更新時にはリリースノートと変更差分を必ずチェックする サプライチェーン攻撃は「信頼しているツール」を踏み台にする点で被害が広域に及ぶ。OSS利用時のセキュリティ検証プロセスを今一度見直すべき時期だ。 元記事: Cisco source code stolen in Trivy-linked dev environment breach

GitHub CopilotのPR広告問題、Microsoftが「バグだった」と釈明 Microsoftが提供するAIコーディングアシスタント「GitHub Copilot」が、プルリクエスト（PR）のレビュー画面に宣伝的なメッセージを表示し始めたことが判明。これを発見した開発者たちがSNSや各種フォーラムで強い不満を表明し、Microsoftは事態を沈静化するべく即座に対応を迫られた。 何が起きたのか 問題となったのは、CopilotがPRのサマリーや提案欄に、有料プランや追加機能を促すようなプロモーション文言を埋め込んでいたこと。多くの開発者は、コードレビューという業務上の重要なフローに広告が混入することに強い抵抗感を示した。「開発ツールの中でまで広告を見せられるのか」という声がX（旧Twitter）やHacker Newsなどに相次いで投稿された。 開発者コミュニティには、GitHubが企業向けの有料ツールとして長年信頼を培ってきた背景がある。そのため、今回のような「ツールが自分自身を宣伝する」という行為は、ユーザーとの信頼関係を損なうものとして批判が集中した。 Microsoftの説明と対応 Microsoftはこの騒動を受けて公式に声明を発表。「意図的な機能追加ではなく、プログラミングロジックの不具合（programming logic issue）によって意図しない動作が発生した」と説明し、謝罪した。 同社は問題の修正を迅速に展開し、宣伝的なメッセージの表示は停止された。ただし、「バグ」という説明に対しては、開発者コミュニティから懐疑的な見方も出ている。意図せずして広告のような表示が実装されるほど複雑なロジックが組まれているとは考えにくいとの指摘もある。 開発ツールへの広告混入という懸念 今回の件は、AI開発ツールのマネタイズ戦略に関する根本的な議論を呼び起こした。GitHub CopilotはMicrosoftの収益源として重要な位置を占めており、フリープランの制限拡大や有料プランへの誘導は今後も続く可能性がある。 日本国内でもGitHub Copilotの導入企業は増加しており、今回のような「開発フローへの割り込み」はエンジニアの生産性や心理的安全性に影響を与えかねない。今後、同様の問題が再発した場合にMicrosoftがどう対応するかが注目されている。 MicrosoftとGitHubに対する開発者コミュニティの信頼を維持するためには、透明性の高い説明と再発防止策の明示が求められるだろう。 元記事: GitHub Copilot ads in PRs were due to a “programming logic issue”, claims Microsoft

Microsoft、Windows全バージョンから伝統のコマンドラインツールを正式削除 Microsoftは、Windows 11の25H2・24H2・23H2、そしてWindows 10のすべてのサポート対象バージョンとWindowsサーバー製品から、長年にわたり使われてきたコマンドラインツールを正式に削除すると発表した。 廃止の背景 今回の削除は突然の決定ではない。Microsoftは2021年のWindows 10 バージョン21H1の時点で、当該ツールを「非推奨（deprecated）」として公式にアナウンスしていた。それから数年の移行期間を経て、今回ついに全バージョンからの正式削除という最終段階に踏み切った形だ。 非推奨から正式削除までのこうした段階的アプローチは、Microsoftが近年採用する標準的な廃止プロセスであり、企業や開発者に十分な移行時間を確保する目的がある。 影響範囲と代替手段 影響を受けるのはWindows 11の現行サポートバージョン（23H2・24H2・25H2）に加え、Windows 10、さらにWindowsサーバー製品群と広範にわたる。 Microsoftは代替手段として、PowerShellおよびWindows Management Instrumentation（WMI）をPowerShell経由で利用することを推奨している。PowerShellはWMIクラスへのアクセスを Get-WmiObject や Get-CimInstance コマンドレットで提供しており、従来のコマンドラインと同等以上の機能を持つ。 企業IT管理者への影響 日本国内でも多くの企業システムやIT管理スクリプトに組み込まれているケースがあるため、IT部門は以下を早急に確認することが望ましい。 社内スクリプト・バッチファイルでの使用有無の棚卸し 監視・管理ツールによる依存関係の確認 PowerShellベースのスクリプトへの移行計画の策定 Windows合理化の一環 Microsoftは近年、レガシーコンポーネントの整理を積極的に進めている。WordPadの削除（2023年）、Internet Explorerの廃止（2022年）に続き、今回の決定も「Windowsの合理化とセキュリティ強化」という長期方針の一環と見られる。 古いツールへの依存を断ち切り、よりモダンな管理インターフェースへの移行を促すことで、Windowsのセキュリティポスチャー（セキュリティ態勢）の向上を図る狙いがある。 移行を検討している管理者は、Microsoft公式のPowerShell移行ガイドや、Windows管理センター（Windows Admin Center）の活用も選択肢に入れると良いだろう。 元記事: Microsoft formally removes a command line tool from Windows 11 25H2, 24H2, 23H2, Windows 10

英国競争当局がMicrosoftのビジネスソフト市場を調査へ 英国の競争・市場庁（CMA：Competition and Markets Authority）は、Microsoftのビジネスソフトウェア市場における支配的地位について、正式な調査を開始すると発表した。調査の焦点は、Windows、Microsoft Teams、そしてAIアシスタント「Copilot」のライセンス体系と市場慣行にある。 なぜ今、調査が始まるのか Microsoftはここ数年、企業向けソフトウェア市場で圧倒的なシェアを維持している。特に新型コロナウイルス禍以降、リモートワーク需要の急増に伴いTeamsの利用が爆発的に拡大。さらに生成AIブームを追い風に、Microsoft 365スイートへのCopilot統合も加速している。 CMAはこうした動きが、競合他社にとって不公平な障壁となっている可能性があると判断。バンドル販売や契約上の制約が、Slack（Salesforce傘下）やZoom、Google Workspaceといった競合サービスの参入を阻んでいないか検証する方針だ。 ライセンス体系が問題の核心 欧州では2023年、欧州委員会がMicrosoftに対してTeamsをOffice 365/Microsoft 365から分離販売するよう求め、Microsoftはこれに応じた。英国でも類似の懸念が浮上しており、CMAは特にエンタープライズ向けライセンスの構造が市場競争を歪めていないかを精査する。 Copilotについても、AI機能を既存の企業契約にどのように組み込んでいるかが問われる。企業が特定ベンダーのAIサービスに事実上「ロックイン」される構造になっていないかが焦点となりそうだ。 日本企業への示唆 日本でも多くの企業がMicrosoft 365を基幹インフラとして採用しており、今回の調査結果は無縁ではない。欧州・英国での規制強化がライセンス体系の変更につながれば、グローバル展開する企業のIT調達戦略にも影響が及ぶ可能性がある。 CMAの調査は数か月から1年以上かかる見通しで、最終的な勧告次第ではMicrosoftのライセンス販売方法に大きな変更が求められることになる。テック業界全体が注目する調査となりそうだ。 元記事: UK watchdog to probe Microsoft business software over market dominance concerns

Microsoftは2026年3月を通じて、ビジネスコミュニケーションツール「Microsoft Teams」に多数の新機能と改善を順次展開した。今回の更新は単発の大型リリースではなく、月を通じて段階的に適用されたもので、チャット、会議、そして日常的なワークフロー全般にまたがる幅広い改善が含まれている。 チャット機能の強化 チャット周りでは、メッセージの検索性や整理に関する改良が加えられた。スレッドの視認性が向上し、長期にわたるやりとりを追いやすくなった。また、リアクション機能やメッセージの固定表示といった既存機能の使い勝手も細かく磨かれており、日々の情報共有がよりスムーズになっている。 会議体験の向上 オンライン会議に関しては、参加者の管理や発言権（スピーカー制御）に関連する操作が整理された。ノイズキャンセリングや背景フィルターといった既存のAI機能も継続的に精度が高められており、ハイブリッドワーク環境における会議品質の底上げが図られている。日本でも定着しつつあるリモート会議の場面で、その恩恵を実感しやすい改善といえる。 ワークフロー連携の改善 業務フロー全般においては、TeamsとMicrosoft 365の各アプリ（OutlookやSharePoint、Copilotなど）との連携がさらに深化した。タスク管理や承認フローをTeams内で完結させる動きが加速しており、アプリを行き来するコンテキストスイッチを減らす狙いがある。 日本企業への影響 国内でもTeamsはMicrosoft 365ライセンスに標準で含まれることから、多くの企業・組織で導入が進んでいる。今回のアップデートは自動的に適用されるため、ユーザー側での追加作業は基本的に不要だ。ただし、新機能の中には管理者がポリシーで有効化する必要があるものも含まれる場合があるため、IT管理者は変更内容を確認しておくことが推奨される。 Microsoftは毎月このようなアップデートを積み重ねており、Teamsは着実に進化を続けている。競合するZoomやSlackとの差別化を図りながら、Microsoft 365エコシステムの中核プラットフォームとしての地位を強化する姿勢が、今回の更新からも読み取れる。 元記事: Here are all the new features Microsoft added to Teams in March 2026

MicrosoftがCopilotを「エンターテインメント目的のみ」と規約に明記 Microsoftの生成AIアシスタント「Microsoft Copilot」の利用規約（Terms of Use）に、サービスが「エンターテインメント目的のみ（for entertainment purposes only）」であるとする文言が含まれていることが注目を集めている。Hacker Newsで366ポイントを獲得し、145件のコメントが寄せられるなど、技術者コミュニティで大きな話題となっている。 利用規約の主なポイント 2025年10月24日付で更新されたCopilotの利用規約は、読みやすさと明確さを重視して全面的に書き直されたと説明されている。今回の改訂では以下の点が明記された。 Copilot Actionsおよびショッピング体験に関する新規条項の追加 行動規範（Code of Conduct）の改訂——できること・できないことの明確化 免責事項の強調——Copilotの回答が不正確・不完全・不適切になり得ることを利用者に明示 規約では「Copilotは良い回答を提供しようとするが、誤りを犯すこともある」と率直に認めており、「説得力があるように見えても、不完全・不正確・不適切な回答が表示される場合がある」と警告している。また、インターネット上の情報を参照して回答を生成するが、その内容をMicrosoftはコントロールできないとも明記している。 「判断は利用者自身で」 規約はさらに、「Copilotから得た情報をもとに意思決定や行動をする前に、必ず自分で判断し情報を確認するように」と求めている。不適切な回答を見た場合は、フィードバック機能を通じて報告することも推奨されている。 日本への影響と背景 日本国内でも、企業や個人がCopilotを業務・学習・情報収集に活用するケースが急増している。こうした中で今回の規約表現は、AIツールを「信頼できる情報源」として扱うことへのリスクを改めて浮き彫りにした形だ。 医療・法律・財務など専門性の高い判断が求められる領域では、AIの出力をそのまま利用することは特に危険を伴う。「エンターテインメント目的」という表現はいわゆる法的免責（ディスクレーマー）の一環とも読めるが、企業としての公式見解がここまで明示された点は見逃せない。 AI時代のリテラシーが問われる ChatGPTやGeminiなど他の主要AIサービスも同様の免責事項を設けているが、「エンターテインメント目的」という表現の強さは異例とも言える。生成AIの爆発的な普及が続く中、利用者一人ひとりが情報の正確性を自ら検証する「AIリテラシー」の重要性が、あらためて問われている。 元記事: Microsoft: Copilot is for entertainment purposes only

Windows 11が本格的なゲーミングOSへ——「Xbox Mode」が2026年4月に登場 MicrosoftはGDC（ゲーム開発者会議）2026において、Windows 11向けの新機能「Xbox Mode」を2026年4月より段階的に提供開始すると正式発表した。同時に、次世代Xboxコンソールの開発コード「Project Helix」の詳細も初公開され、MicrosoftのゲーミングエコシステムがXbox Game Pass登場以来最大の変革期を迎えようとしている。 Xbox Modeとは何か Xbox Modeを有効にすると、Windows 11がコンソールライクなゲーミング環境に変身する。コントローラー操作に最適化されたフルスクリーンUIが起動し、Xbox本体のダッシュボードに近い操作感でゲームを楽しめる。バックグラウンドで動作する不要なWindowsプロセスを一時停止し、電源設定を自動最適化することで、ゲームパフォーマンスの向上を図る。 ゲームライブラリの管理も大幅に改善される。Xbox Game Pass、Microsoftストア、Steam、Epic Games Storeなど複数のプラットフォームのゲームが一つのインターフェースに統合され、購入先を問わずXbox Liveを通じた実績管理が可能になる。日本でも人気の高いSteamとの統合は、PCゲーマーにとって特に魅力的な機能だろう。 技術の核心——DirectX ML Xbox Modeの技術的な目玉が「DirectX ML」だ。DirectX 12 Ultimateに直接組み込まれたこの機械学習フレームワークは、リアルタイムのアップスケーリング、フレーム生成、AIによるテクスチャフィルタリングを実現する。 NVIDIAのDLSSやAMDのFSR（FidelityFX Super Resolution）と同様の技術だが、決定的な違いがある——プラットフォーム非依存であることだ。DirectML（Direct Machine Learning）を基盤とし、NVIDIAのテンソルコアだけでなく、AMDやIntelの対応GPUでも動作する。GDCでのデモでは、対応タイトルで視覚品質を維持しながら40〜70%のパフォーマンス向上が示された。 ドライバーレベルで動作するため、開発者側の実装コストも低い。DirectX 12 Ultimateを使用するゲームは、Xbox Modeで起動するだけで自動的にDirectX MLの恩恵を受けられる。当初はXbox Mode限定で提供され、通常のWindows環境への展開時期は未定とのことだ。 次世代Xbox「Project Helix」——AIゲーミングに注力 「Project Helix」は次世代Xboxコンソールの開発コード名だ。詳細は限られるが、カスタムAMD SoCを搭載し、Windows PCのゲーミングアーキテクチャと共通の設計思想を持つとされる。「Helix（二重螺旋）」という名称から、業界アナリストは従来型コンソールとクラウドネイティブデバイスの並行展開、もしくはモジュール型ハードウェアの可能性を指摘している。 Microsoftはローカルとクラウドゲーミング間の「シームレスな移行」を強調しており、Xbox Cloud Gamingとの深い統合が予想される。性能目標は非公開だが、「AIで強化されたゲーミングにおける世代的飛躍」という表現からは、単純なテラフロップス競争ではなく、機械学習能力の向上に重点が置かれていることがうかがえる。 PCゲーマーへの影響 Xbox ModeとDirectX MLの組み合わせは、ミドルレンジのGPUユーザーにとって恩恵が大きい。RTX 3060やRX 6700 XTクラスのGPUでも、AI支援によって上位クラスに近い描画品質が期待できる。国内のPCゲーマーにとっても、Steamライブラリとの統合やコントローラー対応の強化は、Xbox GamePassへの移行ハードルを下げる可能性がある。 4月の提供開始は段階的なロールアウトとなる見込みで、まずWindows Insider向けから展開されると予想される。Project Helixの正式発表時期は不明だが、2027年以降のリリースが濃厚とみられる。 元記事: Xbox Mode Launches on Windows 11 in April 2026 with DirectX ML, Project Helix Teased for Next-Gen Xbox ...

CISA、Citrix NetScaler脆弱性の緊急パッチを連邦機関に命令 米国のサイバーセキュリティ・インフラセキュリティ庁（CISA: Cybersecurity and Infrastructure Security Agency）は、積極的に悪用されているCitrix NetScalerアプライアンスの脆弱性（CVE-2026-3055）に対し、連邦政府機関に対して2026年4月2日（木）までにパッチを適用するよう命令した。 「CitrixBleed」に酷似した新たな脆弱性 Citrixは3月23日にセキュリティアップデートをリリースしたが、複数のサイバーセキュリティ企業がCVE-2026-3055について、過去に広く悪用された「CitrixBleed」および「CitrixBleed2」との技術的類似性を指摘しており、悪用リスクが高いと警告している。 この脆弱性の根本原因は不十分な入力検証にある。認証なしのリモート攻撃者が、SAML IDプロバイダー（IDP）として構成されたCitrix ADCまたはCitrix Gatewayアプライアンスから機密情報を窃取できる。 Citrixがパッチをリリースしてからわずか数日後、セキュリティ企業のWatchtowrはすでに野外での悪用を確認。攻撃者がこの脆弱性を利用して管理者の認証セッションIDを窃取し、未パッチのNetScalerアプライアンスを完全に乗っ取れる可能性があると警告した。 約3万台のNetScalerがインターネット上に露出 Shadowserverの調査によると、現在インターネット上に公開されているNetScaler ADCアプライアンスは約3万台、NetScaler Gatewayは2,300台以上に上る。ただし、脆弱な構成を持つものや未パッチのものがどれだけあるかは不明だ。 KEVカタログへの追加とBOD 22-01に基づく緊急命令 CISAは月曜日にCVE-2026-3055を既知悪用脆弱性（KEV: Known Exploited Vulnerabilities）カタログに追加し、拘束的運用指令（BOD: Binding Operational Directive）22-01に基づき、連邦文民行政府（FCEB）機関に対して4月2日までの対応を義務付けた。 CISAは「この種の脆弱性は悪意あるサイバー攻撃者にとって頻繁な攻撃ベクターであり、連邦政府全体に重大なリスクをもたらす」と警告し、ベンダーの指示に従ったパッチ適用、またはパッチが利用できない場合は製品の使用停止を勧告している。 BOD 22-01は米国連邦機関のみに適用されるが、CISAは民間企業を含むすべての組織に対しても、CVE-2026-3055のパッチ適用を優先するよう強く促している。 Citrix脆弱性の深刻な悪用履歴 Citrixに関連する脆弱性の悪用は今に始まったことではない。2023年10月にパッチが適用された「CitrixBleed」は、ゼロデイとして複数のハッキンググループに悪用され、Boeing（ボーイング）などの大手テック企業や政府機関への侵害につながった。2025年8月にはCitrixBleed2の悪用が確認され、連邦機関はわずか1日でシステムの保護を求められた。 これまでにCISAがCitrix製品の脆弱性を野外での悪用として認定したのは合計23件にのぼり、そのうち6件はランサムウェア攻撃に使用されている。 Citrix NetScalerを利用している日本企業・組織においても、早急なパッチ適用が推奨される。SAMLのIDP構成を持つアプライアンスは特に優先的に確認すべき対象となる。 元記事: CISA orders feds to patch actively exploited Citrix flaw by Thursday

Windows 11 26H1はArm専用——Snapdragon X2デバイス向けに正式リリース Microsoftは、Windows 11の新バージョン「26H1」がQualcommの最新SoC「Snapdragon X2」搭載デバイス専用であることを正式に確認した。既存のx86/x64 PCやArm以外のデバイスへの配信は行われない。 新コードベース「Bromine」を採用 26H1が通常のアップデートと大きく異なる点は、その内部構造にある。現行のWindows 11（24H2/25H2）が「Germanium（ゲルマニウム）」と呼ばれるコードベース上で動作しているのに対し、26H1は新世代の「Bromine（ブロミン）」コードベースを採用している。 このコードベースの相違により、26H1を搭載したデバイスは、今年後半にリリース予定の26H2へのアップグレードが不可能となる見通しだ。ただしMicrosoftは、「将来のWindowsリリースでアップデートへの道筋を提供する」と述べており、GermaniumベースのWindowsもいずれBromineへ移行する計画があることを示唆している。その時期は来年になる可能性が高い。 2024年の24H2リリースと酷似した展開 この状況は、2024年6月にリリースされたWindows 11 24H2を彷彿とさせる。24H2も当初はCopilot+ PC（Arm専用）向けに先行提供され、同年10月になってようやく全デバイスへの一般配信が開始された経緯がある。 ただし26H1は24H2と異なり、エンドユーザー向けの新機能はほとんど含まれていない。その主な目的は、Snapdragon X2という次世代シリコンへの対応であり、一般ユーザーにとって魅力的な機能アップデートではない点に注意が必要だ。 NVIDIAの新チップ「N1X」も26H1対応か 業界内のリークや情報筋によれば、NVIDIAが開発中のArm向けWindowsチップ「N1X」も26H1が必須となる見込みだという。Microsoftの言い回しも「今後さらなるハードウェアが26H1のコードベースを必要とする」と示唆しており、次世代Armデバイスの拡充に向けた布石とみられる。 サポート期間 26H1のサポート期限は以下の通り。 Home / Pro: 2028年3月まで Enterprise / Education: 2029年3月まで 一般ユーザーへの影響は？ 現在Windows 11 25H2、24H2、またはそれ以前のバージョンを使用しているユーザーは、26H1を気にする必要はない。MicrosoftがすべてのWindowsデバイスを対象とした「真の機能アップデート」として位置づけているのは、今年後半にリリース予定の26H2だ。 26H1はあくまでも特定ハードウェアのための技術的なプラットフォーム整備であり、Windows開発が2つのブランチに分岐するという新たな展開が、今後の同社のアップデート戦略にどう影響するかが注目される。 元記事: Microsoft confirms Windows 11 26H1 will be for Arm devices only at launch — Snapdragon X2-powered devices officially shipping with 26H1

Microsoftは2026年3月末、Windows 11向けのプレビュー更新プログラム KB5079391 の配信を一時停止した。一部のデバイスでインストールに失敗するエラーが報告されたためだ。 何が起きたか 問題の更新プログラムは、セキュリティアップデートではなく「プレビュー更新」として先週リリースされた。しかし一部のユーザーがインストールを試みた際、エラーコード 0x80073712（WinSxSフォルダ内のアセンブリファイル欠損を示すエラー）が発生し、インストールが完了しない状態に陥った。Microsoftはこの問題を受け、金曜夜（日本時間3月28日未明）に配信を緊急停止した。 Microsoftは「問題調査中の追加影響を防ぐため、一時的に本更新プログラムの提供を制限した」と公式にコメント。ユーザーへのエラーメッセージには「一部の更新ファイルが見つからないか問題があります。後で再度ダウンロードを試みます」と表示されていた。 影響範囲と深刻度 本件はWindows 11の 24H2 および 25H2 に影響する。ただし、インストール段階で失敗しているため、既存のシステムが壊れる事態は回避されている。また今回の更新はセキュリティパッチではなく任意適用のプレビューであり、適用していないユーザーへの直接的な影響はない。 なお、この問題は2026年3月の月例更新でMicrosoftアカウントのサインインが壊れた不具合を修正するアウトオブバンドパッチをリリースしたわずか数日後に発生している。 「品質改善公約」の直後という皮肉 今回の一件が業界で注目を集めている理由は、タイミングにある。Microsoftは最近、Windowsの品質・信頼性向上へのコミットメントを公式に表明していた。Windows部門責任者のPavan Davuluri氏は「高い水準で私たちを評価し続けてくださり、ありがとうございます」とユーザーへのメッセージを発信したばかりだ。 そのわずか後に発生した今回の問題は、「プロダクション品質」と銘打ったプレビュー更新がいとも簡単に失敗するという現実を改めて浮き彫りにした。ここ数カ月、WindowsはMicrosoftアカウントの認証障害、予期しない再起動、機能のリグレッションなど品質面での問題が続いており、ユーザーや企業IT部門からの不信感が高まっている。 今後の見通し Microsoftは配信再開の時期を明示していない。4月の Patch Tuesday（月例セキュリティ更新日）が目前に迫っており、プレビュー更新のまま放置するのか、修正版を出すのかが注目される。 日本国内の企業ユーザーや個人ユーザーは、Windows Updateの設定で「プレビュー更新プログラムを取得する」をオンにしている場合は注意が必要だ。現時点では配信停止中のため自動適用される可能性は低いが、再開後にエラーが出ても焦らず待機するのが賢明だ。 元記事: Microsoft pulls Windows update after installation problems

GitHubのPRに「広告」が出現――開発者コミュニティに衝撃走る 2026年3月30日、オーストラリア・メルボルン在住のソフトウェアエンジニア、ザック・マンソン氏が自身のプロジェクトのプルリクエスト（PR）に奇妙なメッセージが表示されているのを発見した。チームメンバーがCopilotにPR内のエラー修正を依頼したところ、GitHub Copilotのエージェント機能と、macOS/Windows向けの人気ランチャーツール「Raycast」を宣伝するような内容が自動挿入されていたのだ。 「最悪だ。いつかこんなことが起きると思っていたが、こんなに早いとは思わなかった」――マンソン氏はこう投稿し、その内容はHacker Newsでたちまち拡散。開発者コミュニティに大きな波紋を呼んだ。 Microsoftが公式否定「広告ではなくバグ」 騒動を受け、MicrosoftはWindows Latestの取材に対して公式コメントを発表した。 GitHubのデベロッパーリレーションズ担当VP、マーティン・ウッドワード氏は次のように述べた。 「GitHubは現在も今後も、GitHub上に広告を掲載する予定はありません。プルリクエストのコメント内で不適切な文脈に表示されてしまったGitHub Copilotコーディングエージェントのヒント機能に、プログラムロジックの問題があったことを確認しました。今後はPRコメントからエージェントヒントを削除します」 同社によると、このヒントメッセージはもともとCopilotが自動生成したPRにのみ表示される仕様だったが、バグにより開発者がCopilotを呼び出してコードを編集した際に、人間が作成したPRにも誤って表示されてしまったという。 また、Raycastの開発チームも「Microsoftと広告契約は一切結んでいない」と否定声明を出しており、Microsoft側の「バグによる誤表示」という説明と整合している。 背景：GitHub CopilotのPR連携機能 2026年3月24日にGitHubが公開したリリースノートには、Copilotをプルリクエストに直接招待してコード修正を依頼できる新機能が紹介されている。この機能ではCopilotが既存PRのブランチをベースに新しいPRを作成する仕組みになっており、今回の問題はこの新機能の展開直後に発生した。 開発者への影響と今後 MicrosoftはすでにPRコメントへのエージェントヒント表示を削除する対応を完了したと説明している。 今回の騒動は、AI支援ツールが開発ワークフローに深く組み込まれるなかで、意図しない動作が「広告」と誤解されうるリスクを改めて浮き彫りにした。開発者が日常的に使うツールへの信頼を守るためには、新機能リリース時のQAプロセスと透明性の確保がより一層重要になると言えるだろう。 元記事: Microsoft says Copilot ad in GitHub pull request was a bug, not an advertisement