U

[ピクシブ株式会社 pixiv Inc. @pixiv_corp]

【#pixiv_inside】
PHP 8.5.12の緊急リリースに
pixivはどう対応したか
https://t.co/zYpXH9HWOy

PHPにて緊急セキュリティリリースが予告され
pixivも対応しました。

セキュリティアップデート公開から
pixivメンテナンス明けまで約30分の対応を
ビルド・デプロイ基盤も踏まえながら説明します✍️

[YONEUCHI, Takashi | GMO Flatt Security @lmt_swallow]

【PHP脆弱性対応の「後」にむけて】

みなさん、昨晩からのPHP対応お疲れ様です。一晩中連絡鳴り止んでおらず、一部の個別メッセージに返せてなくて申し訳ないです。

一括して、今、世の中の CTOs/CISOs に届いてほしいことを４つ書き残しておきます↓

（まとまりない部分もあるのですが、投稿しないよりマシかなと、このまま投げちゃいます）

Point 1: これからは、ソフトウェア業界全体で、高負荷の続くタイミングになります。意図してセキュリティに時間をあて、チームが「休息」が取れる体制を。
・我々は脆弱性リサーチに数年間継続的に取り組んできてました。だからこそ感じますが、ここ一年（体感では GPT-5.6 Sol 以後）が、最も「本当に？」みたいな脆弱性が掘り出されていく一年になると思います。こんなのまだあったの？という驚きとともに。
・特に複雑なメモリバグの類（memory safe でない言語製のものを中心に）、あるいは認可バグの類が中心になると思われます。
・少なくともここから年末までは、このクラスの脆弱性がまだまだ出てくると考えておく必要があります。（僕が読み外しているかもしれませんが、恐らく高い確度でこうなります。直近のPHP脆弱性すら、いま世界中の研究者が Variant Analysis をしていて、多分まだ出てくるでしょう）
・このご時世では、新規機能の開発に割く時間を明確に落とすしかありません。あくまで経営者である CTO には取りにくい判断なのは重々承知です（僕もそうなので）。
・「対応AIで」と思うかも知れません。これは技術的には正しいです。ただ、組織的には正しくないです。確実になんとかならず、組織は疲弊していきます。
・なんせセキュリティ対応は大抵自分にタイミングが御せないからです。深夜の対応、急な対応、計画の変更、デグレへの不安、脆弱性情報過多（そもそも自社に影響があるかも分からないものが大半なのに）… と、ストレスの強度がぐんぐん高まっていきます。昨日〜今朝のPHP対応のようなものが、毎週あれば、チームは比較的簡単に壊れてしまうでしょう。
・敢えてリーダーが、セキュリティへの、時間・お金（・トークン）にアロケしてください。これは経営者にしか取れない択で、かついま技術経営者に求められることです。

Point 2: 「必要なら予防的にサービス停止」の覚悟を決め、予めできる調整を重ねたい。止められない場合は、仮想パッチ・監視へのリソースアロケを。
・前提、今回のPHPの件のような脆弱性の対応では、「顧客の保護のためならサービスを止めざるを得ない場面」が訪れます。今回も様々なビジネスがそれに直面しました。今後も訪れるでしょう。
・今回の経験を旨に、本当に止めてはならないのか、止めらるのか、止めうる期待値調整がお客様と出来ているか、を徹底的に見直しておきましょう。
・直近の流れをうけての、お客様への事前連絡（スタンス表明）も有効だと思います。（弊社 GMO Flatt Security 製品についても、これからそれをし、リリースノートとして掲示予定です。我々のサービスの侵害、特に Takumi Guard の侵害は、ソフトウェサプライチェーンの最悪な侵害につながるからです。）
・勿論、止めてはならないビジネスも様々存在します。ビジネスドメインに由来する規制/制約（特に金融・医療セグメント）もあれば、顧客とのSLAもあるでしょう。ただし、現代においては、それらに反するリスクと、セキュリティ被害にあうリスクを天秤にかける必要がでてきています。少し前まではサービス停止でのデメリットは容易に考えられても、セキュリティ侵害など考えにくい、という時代でしたが、今はそうではありません。この天秤を再考する必要があります。（なお、「もう何がなんでも止めてはならない」ビジネスは、相当に限定的だと思います。）
・どうしても止めてはならない（もう何がなんでも止めてはならないもの。限定的であれ存在。人命に関わるもの中心）という場合、厳しい戦いになりますが、WAFレイヤなどで緩和策を施しては祈り、監視する、という流れになります。必要なコンポーネント（WAFなど）と運用リソースがあるならば、苦しい時代ですが、休息うまく取りながらやっていきましょう。なければ、これもしんどいですが、整えましょう。

Point 3: もし平時があれば、システムのモダナイズ（Rebuild and Retire）を検討されたい。
・もし自社での緊急対応が落ち着いているならば、レガシーコンポーネント（数年塩漬けのシステム）、誰がメンテできるのか分からないオーパーツ的存在から順に、作り直し（Rebuild）と旧システムの廃止（Retire）を試みてください。新規開発の代わりに、ここにリソースを充てることが CTO/CISO の仕事です。（他の誰もそれを決められないので。）これは追々自分たちを助けてくれる（ついでにAI-native 開発に移行できて改善しやすくなる）とも思料。
・どのシステムからモダナイズしていくかですが：「XXXで書かれているとまずい」というのは燃えるし言いにくいものの、memory unsafe な言語、type safety があまり確保されていない言語の実装は、モダナイズを検討すべきでしょう。（僕はPHP好きですが、C/C++ で書かれた php-src は、やはりメモリバグ類に対して見通しに限界がありますね。好きなんですが…）
・また経験上、開発当時に DevOps プラクティスすら整っていなかった時代のソフトウェアも、モダナイズを検討したほうがよいです。「セキュリティ診断」をしても、取り返しのつかない量の脆弱性が出てきて、作り直したほうが早い、となる傾向にあります。（弊社でも診断/ペネトレしてますが、こうなると、どうしようもありません。）
・ただし Rebuild には、強いソフトウェア開発力が必要で、AI-native なスタイルに移行することは必須です。この意味で CTO の力がいります。かつ、どこからレガシーの追い出しをするか、どうレキュリティ的なレジリエンスを確保するかは、CISO 的な感性が求められます。既製品（とくに SaaS）を買って処理したほうがいいな、というような判断には CIO 的センスが求められます。総力戦だと思ってください。

Point 4: CTO/CISO の総力戦を。
・Point 3でも述べた通り、直近のくだりには、CTO/CISO の総力戦が必要です。ボードがセキュリティに向かって一致団結する必要があります。
・結構これらロールの間にサイロがあるケースがありますが、そんなことを言っている場合ではありません。
・団結を！

[ITmedia NEWS @itmedia_news]

「侵入経路塞いだが、バックドアから……」不正アクセス105時間の攻防、分単位で報告　防災メールのアルカディア
https://t.co/jxCOuvozdg

[ペロトン @prprhyt]

AppleのSecurity Software Engineer の求人(東京)
OS寄り。低レイヤーって感じ。
https://t.co/NEqisoeFsj

[グランブルーファンタジー @granbluefantasy]

【グラブル生放送速報】ただいまより「グラブル」最新情報コーナーがスタート！
配信開始ポストと本ポストのRP&いいねが合計8万達成で、【金剛晶1個】など最大5種の報酬をプレゼント！ #グラブル #グラブル真夏のショータイム
Xライブ：https://t.co/IQIATj1yJT

[FF公式／FINAL FANTASY @FinalFantasyJP]

⛩️🎍FFお年玉キャンペーン🎍⛩️

豪華 #ファイナルファンタジー グッズ
詰め合わせセット🎁 をプレゼント！

▼参加方法
①@FinalFantasyJPをフォロー
②この投稿をRP

[菅野 哲 / Satoru Kanno @satorukanno]

iOS26が降ってきたので一心不乱にPQC対応を確認しました！

結論、最高です！

【速報】iOS26での耐量子計算機暗号（PQC）調査 https://t.co/ULWPMzXmfs #Qiita @satorukannoより

[AUTOMATON（オートマトン） @AUTOMATONJapan]

【ニュース】“ほぼ無人”だった26年前のMMORPGに突如プレイヤー殺到。運営元も歓喜し、初心者歓迎施策まで始まる
https://t.co/sB8l4pPSxq

[Hack The Box @hackthebox_eu]

Don't just tap it, break it wide open 🔓
The new Android Application Pentesting Skill Path on #HTB Academy takes you from fundamentals to malware analysis, automation, and forensics! Master tools like MobSF, Frida, Objection, ALEAPP, and Autopsy while learning to root, bypass protections, and investigate Android apps.

🔎 The Android Forensics Module is now out as part of this Skill Path.
📚 Start now: https://t.co/RvVskUkzMF

#HackTheBox #HTB #Cybersecurity #AndroidPentesting #HTBAcademy

[ANOTHER SKY | アナザースカイ @ANOTHERSKY_NTV]

／
Google Pixel presents アナザースカイ
スペシャルプレゼント🎁
＼

今田耕司さんと山本舞香さんが
手にしている Google Pixel 10 Pro を
各色1台ずつ、抽選で 4 名様にお届け！

高性能の最新カメラとAI機能搭載、
旅にぴったりな最新機種を
ぜひゲットしてください！

︎応募方法
①@ANOTHERSKY_NTV をフォロー
②こちらの投稿をリポストで応募完了
〆切は9月13日(土)の正午まで

カラーは届いてからのお楽しみ！
皆様のご応募お待ちしております！

*応募締切後、厳正なる抽選のうえ、
当選者の方にDMでご連絡いたします。
また、非公開アカウントからの応募は
無効となりますのでご注意ください。

[リアルサウンド テック @realsound_tech]

【#読者プレゼント】『マジック：ザ・ギャザリング——FINAL FANTASY』発売記念「製品＆オリジナルTシャツ」セットを3名様に

https://t.co/JzTqhX7nHO

応募方法：フォロー＆RP
応募〆切：7月31日 終日

#プレゼント #プレゼント企画 #MTGxFinalFantasy

https://t.co/JzTqhX7nHO

[FF公式／FINAL FANTASY @FinalFantasyJP]

◆✦︎━─────────━✦︎◆
『ファイナルファンタジーIX』
　　✨🎊㊗25周年🎉✨
◆✦︎━─────────━✦︎◆

25年前の今日、 #FF9 が発売されたクポ！
記念にスペシャルムービーをお届けクポ～🪄

🎧「Melodies Of Life - Timeless Tale -」From FINAL FANTASY IX 25th Anniversary Vinyl - Timeless Tale –
https://t.co/x2HVuz2A3k

25周年特設ページ🌐https://t.co/Qc74uxiMIr
#FFIX25th

[Yuki Ota @yuki_ota_]

Obsidian Bases、表紙をカード表示するだけでも満足感ある

[O'Reilly Japan @oreilly_japan]

【6月17日発売】最新刊プレゼントキャンペーン
➡️下記書籍を抽選で3名様にプレゼント🎁
✅応募方法
❶当アカウントをフォロー
❷このポストをリポスト
応募締切6月23日まで／当選連絡DM📩

『PythonによるWebスクレイピング 第3版』
https://t.co/UieisUcrdD

[bani24884 @bani24884]

バチェラー新シーズンにHTTPステータスコードで感情を表現する女性エンジニアが出ていて目が離せない

[yousukezan @yousukezan]

MetaがロシアのYandexと同じ手口でユーザーの行動を追跡していたことが判明、何百万ものウェブサイトに「スマホのアプリと通信するコード」を埋め込んで追跡しておりブラウザの履歴を削除しても無駄
https://t.co/RBl0070V8g

[0xor0ne @0xor0ne]

Linux privilege escalation with Iptables

https://t.co/LKmwg4JLOk

#Linux #infosec

[Yamato@Red Hat/Learning Solution Architect @lab8010]

GitLabのロゴ、ずっとキツネ🦊だと思ってたわ…
https://t.co/3fkE5GRyFL

[Torishima / INTP @izutorishima]

GPIO がなくて良いサーバー用途なら Intel N95/N100/N150 あたりの最安17000円くらいで売ってる中華PCのほうがスペック高いし、中華製とはいえ SSD だから SD カード突然死のリスクを回避できるし、ご立派な筐体とファン付きなのでラズパイにする意義が全然ないよな…

[Hayden Barnes @unixterminal]

Windows Subsystem for Linux is now open source: https://t.co/HN1eXMx9Jo