Anthropicが常時稼働するエージェント「Claude Duet」を発表／AMDとIntelが協業　PyTorchのx86 CPU最適化を「oneDNN」に一本化：週末の「気になるニュース」一気読み！（2/3 ページ）

「PowerToys 0.102」が公開される　新しいマウスユーティリティー、コマンドパレットの改善など

　Microsoftは10月21日、Windows向けの無料ユーティリティー集「PowerToys」の最新版「0.102」を公開した。

　今回は、マウス関連のユーティリティーが2つ加わった。「マウス ボタン ロック」は、マウスボタンを少しの間押し続けてから離すと、押したままの状態を保つ機能だ。次にいずれかのボタンをクリックするまで、ドラッグや範囲選択を続けられる。同社は用途として、ゲームやドラッグ操作の多い業務アプリの他、ボタンを押し続けるのが難しい人のアクセシビリティー向上を挙げている。もう1つの「CursorHide」は、文字入力中や一定時間操作がないときにマウスポインターを隠し、マウスを動かすと再び表示する。

　ランチャーの「コマンド パレット」には、ピン留めしたコマンドを検索ボックスの下に並べる「クイック アクセス シェルフ」を追加した。0.101で導入したコンパクトモードで使う機能で、Alt＋1～9キーで呼び出せる。設定項目の検索にも対応し、Windowsの設定でCopilotキーに割り当てることもできるようになった。

　画面拡大ツールの「ZoomIt」は、画面の一部を切り取る操作中にSpaceキーを押して話すと、その内容をデバイス上で文字に起こし、画像とテキストを1回の貼り付けでまとめて入力できるようになった。キー割り当てを変える「Keyboard Manager」は、キーを単独で押したときだけ別の動作をさせる設定に対応した。他のキーとの組み合わせやマウスとの併用時は、そのキー本来の動作になる。

　この他、Advanced PasteやLight Switchなど一部のユーティリティーをコマンドラインから操作できるようになった。Color PickerとText ExtractorはWinUI 3ベースに移行し、既存のショートカットや設定はそのまま引き継ぐとのことだ。

「PHP」の致命的な脆弱性2件、早急なアップデートを

　PHPの開発チームは10月21日、認証なしでリモートからコードを実行される可能性がある脆弱（ぜいじゃく）性を2件修正した「PHP 8.5.12」「PHP 8.4.27」「PHP 8.3.36」「PHP 8.2.35」を公開し、すぐに更新するよう呼び掛けた。深刻度はいずれも最も高い「Critical」で、CVSS v4のスコアは9.2だ。

　影響を受けるのは、PHP-FPMやApacheのmod_php、php-cgi、FrankenPHP、LiteSpeedなど、Webのリクエストを処理する全てのPHP環境だ。開発チームは、最も危険度が高いのはmod_phpだとしている。mod_phpでは、アプリケーションのコードが動き出す前に、認証のないリクエストで攻撃を引き起こせることを実証したという。

　脆弱性を発見したGoogle傘下のクラウドセキュリティ企業Wizによれば、2件を組み合わせた攻撃は「PHP2Shell」と呼ばれ、PHP 5.4以降の全てのバージョンが少なくともいずれかの影響を受けるという。同社はWordPressやDrupal、Joomla!で、認証なしでリモートからコードを実行できることを実証したとしている。調査にはGoogleの「Gemini 4 Argon」やOpenAIの「GPT-5.6 Sol」などのAIモデルを使ったとのことだ。

　1件目（CVE-2026-109618）は、メモリ不足時の処理が、リクエストの内部データを初期化している途中でPHPを中断させてしまう問題だ。その後の終了処理で、不完全なデータを正しいものとして扱ってしまう。2件目（CVE-2026-109619）は、既に解放されたメモリを指す内部の状態が残り、同じワーカーが次に処理するリクエストで、初期化される前にその状態が使われてしまう問題だ。

　Linuxディストリビューションや長期サポート（LTS）を提供する事業者には事前にパッチが渡されており、開発チームは各社の更新版パッケージを確認するよう求めている。また、ボランティアが運営するリポジトリ「rpms.remirepo.net」は当日中に更新されないため、利用者にはディストリビューションのパッケージか、ソースからのビルドに切り替えるよう促している。PHP 8.1以前はPHPプロジェクトによるサポートが終了しているが、今回は深刻さを踏まえ、PHP 7.4／8.0／8.1向けにもソースコードに適用する最小限の修正を用意した。

　すぐに更新できない場合の緩和策として、memory_limitを「-1」にする、session.upload_progress.enabledを「0」にするといった設定を挙げている。ただし、いずれも特定の攻撃経路への露出を減らすだけで、完全な対策は更新のみとのことだ。

　国内では、高市早苗首相が10月21日夜にXで、修正プログラムをすぐに適用できるよう準備することなどを求める異例の呼び掛けを行った。

　IPA（情報処理推進機構）も10月22日に注意喚起を公開している。