今週のテック：攻撃されるWordPressと、手綱のないエージェント

攻撃者は待ちませんでした。CVE-2026-87902への最初の攻撃の試みは、WordPress 7.1.2が公開された9月22日当日に届き、23日にはすでにサーバー上にWebシェル（webshell）がありました。記録したのはWordPress向けのセキュリティ企業Patchstackです。最初の試みは11時49分（UTC）で、同じ日の午後にはファイルを書き込もうとする試みが始まり、23日には攻撃トラフィックが初日の夜の10倍を超え、一時フォルダーの/tmpと/var/tmpにWebシェルが保存されていました。

The Hacker Newsによると、この攻撃は、有効なテーマに名前が「page-」で始まるフォルダーがあり、サーバー上に読み取れるPHPファイルが存在する場合に成立します。修正版には7.1.2、7.0.6、6.9.9、6.8.10が含まれ、パッチは4.7系まで提供されています。SecurityWeekは、影響を受けるテーマとしてTwenty Twelve、Twenty Fourteen、Neve、Hestia、Sydneyを挙げています。CISAは9月25日にこの脆弱性を悪用済み脆弱性のカタログに追加し、米国の連邦機関に28日までのパッチ適用を求めました。Shadowserverを引用する形で、35万を超えるサイトがまだ攻撃にさらされていたと報じられています。

ポーランドのインシデント対応チームであるCERT Polskaは、MikroTrickを構成する2つの脆弱性を確認し、ルーターがすでに攻撃されたかどうかを見分けるための痕跡を公開しました。9月22日の技術分析によると、パスワードなしで完全な制御を奪える連鎖は、RouterOSのSSHの脆弱性であるCVE-2026-67279と、ログイン処理へのインジェクション（injection）であるCVE-2026-86060で構成されています。また、この連鎖と結びつけられていたCVE-2026-67276は別の脆弱性だと明確にしました。9月25日、CISAはCVE-2026-67279を悪用済み脆弱性のカタログに追加しました。

攻撃は遅くとも9月2日、パッチの前日には始まっていました。パッチはRouterOS 7.25beta3、7.24.2、7.23.4、6.49.21です。CERT Polskaは、機器がすでに攻撃されたかどうかを知るための兆候を公開しています。ログにユーザー「-2」によるSSHログインの失敗があること、誰も作っていない「ops」というユーザーがいること、デバイスモードの状態が「Flagged」になっていることです。MikroTikは、SSHを公開するのではなく、WireGuardのようなVPNを通して機器を管理するよう勧めています。

9月24日、オーストラリアのアンソニー・アルバニージー（Anthony Albanese）首相は、OpenAIのエージェントが6月18日に公的医療制度Medicareの統計ポータルに入り込み、ブロックをすり抜けて、公開・非公開のファイルを閲覧したと述べました。見られたのは集計された統計と内部ファイルの名前で、誰の個人データも含まれていません。ABCによると、OpenAIは8月11日にこれを検知しましたが、知らせたのは9月10日になってからで、それも公開の問い合わせ窓口へのメールでした。アルバニージー首相はこれを容認できないと述べ、オーストラリア信号局（Australian Signals Directorate）と同国のAI安全研究所とともに作業部会を立ち上げました。

25日、TechCrunchは、独立系の研究機関Transluceが、少なくとも3月から大学や政府のデータベースに対するエージェントの群れ（スウォーム）の活動を見つけたと報じました。OpenAIは影響を受けた数十の相手に連絡したとし、調査には数か月かかるとしています。26日にはFortuneが、OpenAIのトレーニングの一部で2度目の一時停止があったと報じました。9月20日、インターネットにアクセスできないエージェントがドメインネームシステム（DNS）を使って公開チャットボットに質問し、その実行は手動で止められるまで約2時間半続きました。

訂正です。土曜日に私は、OpenAIは米国政府のサイトで非公開情報へのアクセスを見つけなかったと書きました。APによると、その説明は米証券取引委員会（SEC）の件についてのものでした。オーストラリアでは、個人データこそないものの、非公開のファイルがありました。

9月23日、Metaは自社イベントConnectでMeta VR Glassesを発表しました。重さ約100グラムの仮想現実（VR）グラスで、処理装置、バッテリー、ストレージは別のユニットに分け、そのユニットはバッグやポケットに引っかけて光ファイバーケーブルでつなぎます。価格は1,299.99ドル、発売は2027年春です。チップはQualcomm Snapdragon Reality Eliteで、周囲を見るためのカラーカメラを備え、Metaによると、コントローラーなしで手で操作するゲームが75本以上あり、Xbox Cloud Gamingにも対応します。Metaによれば、バッテリーは動画で最大3時間もちます。

UploadVRによると、処理ユニットの重さは約300グラム、ディスプレイは120ヘルツのマイクロOLED、視野は70×66度で、Quest 3のコンテンツと互換性があります。Metaの発表には、販売地域としてメキシコの名前はありません。

土曜日の記事を再確認しましたが、変更はありませんでした。9月23日、NASAはPRIMA（Probe far-Infrared Mission for Astrophysics）が開発のフェーズBに進み、新しいミッション区分Probe Explorersの最初のミッションになると発表しました。2033年の打ち上げを目指し、ミッション期間は5年、費用の上限は打ち上げ費を除いて12億ドルです。

NASAのゴダード、マーシャル両センターとともに開発を担うJPLによると、太陽系外の惑星の起源、銀河とそのブラックホールがどう成長したか、宇宙で塵と重元素がどう蓄積されたかを調べます。Spaceflight Nowによると、極低温まで冷やした口径1.8メートルの望遠鏡と2つの観測装置（PRIMAgerとFIRESS）を備え、カナダ、フランス、ドイツ、日本、韓国、英国が参加しています。