胡田@Microsoft MVP(2014~)/ Masahiko Ebisuda

Microsoftの現場を、AIで前へ。Microsoft MVP（Azure Hybrid & Windows Server）。Windows / M365 / Azureの設計・運用・検証と、AIを実務へつなぐ方法を発信。

[胡田@Microsoft MVP(2014~)/ Masahiko Ebisuda @ebi]

飲みながら雑談配信です。 https://t.co/rNogYZgK1v @YouTubeより

[胡田@Microsoft MVP(2014~)/ Masahiko Ebisuda @ebi]

私はまだかなりライブラリやフレームワークに依存してるけど、確かにAI自体に必要最小限で作らせれば、本質的じゃない部分の広範囲な「脆弱性！」自体が発生しないなぁ。そこまでやってもいいのかもしれない。

[Hiromitsu Takagi @HiromitsuTakagi]

そうそう。皆さんこれまでお疲れ様でした。もう次のステップに移行しましょう！

[Hiromitsu Takagi @HiromitsuTakagi]

そうそう。皆さんこれまでお疲れ様でした。もう次のステップに移行しましょう！

[胡田@Microsoft MVP(2014~)/ Masahiko Ebisuda @ebi]

「標的型攻撃らしいものを観測したら報告せよ」っていうルールの意味が分からない。報告しなかったらトレーニングとか受けさせられるし。そんなことしてないで先にフィッシング耐性のある認証を強制化したほうが圧倒的に意味あるじゃん…。

[胡田@Microsoft MVP(2014~)/ Masahiko Ebisuda @ebi]

私はHTMLタグを手打ちしてFFFTPでアップロードしたころからずっとWebサイト運営してる老害ですけど、Wordpressの役割はほぼ終わったと感じています。もちろんこれからも使い続けるところはあるでしょうけど…。

[たにぐち まこと／ちゃんとWeb withAI @seltzer]

昨日のPHPのゴタゴタで、「WordPress下げ」のポストが目立つ。

「静的HTMLで十分」「ニュースの更新なら、簡易CMSをAIに作らせろ」「Saasサービスの方が良い」などなど。

それ、20年選手の老害から言わせていただくと、もう20年前にエンジニアが通ってきた道なんです。それらを経て、今のWordPressの地位があるんです。

数千ページの静的ページのビルド待ちは地獄です。タイトルを1文字間違えただけで、その修正で再び全ページビルド待ち。アップにもめちゃくちゃ時間がかかって、更新できるのは10分後なんてザラでした。

自作CMS、もうその屍があちらこちらに散らばってます。クライアントさんから「使いにくい」「バグだらけ」「やりたいことが何もできない」というご相談で、WordPressに作り替えたことが何度もあります。そのたびにデータが取り出せない、仕様が分からん、データの構造がめちゃくちゃ。そんなデータをExcelに取り込んで、手作業で調整してからWordPressにインポートした経験は数え切れないです。

Saas系、一昔前に「ブログサービス」が流行って、それでサイトっぽいものを作っちゃったこともよくありました���しかし、サービスも10年以上しっかりメンテナンスされる例はむしろ少なく、大抵は古くなったまま「新サービスできました！　でも旧サービスの人は移行できないです」みたいな感じで置いて行かれちゃって、大量のエントリーを抱えたまま、他に移ることもできなかったサイトがあります。

どうしても捨てられないデータがあるとのことで、ブラウザで画面を表示しながら、コピペでWordPressに移すという地獄の作業もしてきました。

そうした歴史を経て、WordPressが使いやすい、拡張しやすい、保守しやすい（安全性が高い訳ではない）ということで使われてきています。

今も、数千ページ、数万ページのエントリーを抱えたまま、安定して動作しているWordPressは素直にすごいと思います（カスタムフィールドの設計はクソですが）（PHPの作りが古くさいのはクソですが）

もちろん、AI時代、高速ネット時代の今は状況も変わってき���いるので、脱WordPressの動きをするのは何ら悪い事ではないでしょうし、私も模索はしています。

自社サイトは既にNILTOで作っていて、WordPress色は大分薄れていますが、クライアントさんには「自分がWordPressが嫌いだから」なんていうことで、絶対に他をおすすめしたりしないです。

もし弊社がお手伝いした後、他社さんに移りたいと思ってもWordPressならいくらでも引き受けてくれる会社がいます。レンサバが嫌になっても移行先のサーバーが溢れるほどあります。別のCMSに移りたくなってもエクスポート手段がいくらでも準備されています。

「結婚」の時はノリノリでも、「なんか違う」となったときの離婚手段が準備されていないと、離婚の時は地獄です。

若い方達がわいわいするのはそれはそれでよいのですが、たまには老害の話に耳を傾けてみるのも良いと思います。

[宇田周平 @syuheiuda]

話題になっている脆弱性のときだけ騒ぐんじゃなくて、皆さんちゃんと日頃から更新しましょうねっていう基本的な話だと思うの…
Windows Update を半年に一回しか当てないとか、保守切れで古い Firmware のままの Internet facing な NW 機器が放置されてるとか、そう言う足下固めずに今回の件だけ騒いでもセキュリティ侵害は止ま���んよ…

[胡田@Microsoft MVP(2014~)/ Masahiko Ebisuda @ebi]

もうとっくにそうなってると思うけどなあ。

[paji.eth @paji_a]

あぁ【これでエンジニアの仕���はなくならないと思ったら、遠くない将来に《人間のエンジニアではインターネットを守れなくなる》時代が来る���よな】、いわば【インターネットの終わりの始まり】で、今回のPHPやNode.jsの脆弱性対応を見ていると、一瞬「これだけ次々と弱点が見つかるなら、保守エンジニアの仕事は永遠になくならない」と思うけど、実際には異なる未来が見えてくる、PHPではAIが脆弱性の発見や修正の検証に貢献したと公表されていて、もし今後フロンティア企業の《一般公開されていない最先端AI》まで使って、世界中のソフトウェアの弱点を24時間探し続けるようになれば【脆弱性を発見する速度が、人間が理解して修正する速度を完全に追い越す】可能性がある、しかも攻撃側もAIで自動化されるから、防御側も《発見→修正→検証→反映→監視》をAIに任せざるを得なくなる、つまり【セキュリティの仕事は無限に増えるのに、人間が担当できる仕事は減っていく】という逆転で、ただし《技術的な判断を経営陣へ説明し、最終的な��任を引き受けるエンジニア》という仕事は、むしろ粘り強く残るかもしれない、ここから本当に怖いのは《インターネットの安全性そのものが、AIの能力に依存し始める》ことで、銀行の決済も、会社のシステムも、クラウドも、行政も、AI同士が24時間《攻撃→防御→修正→再攻撃》を繰り返し、その均衡が保たれている間だけ正常に動く、いわば【AIによるネットの生命維持】で、もちろん人間による監査や停止手段を残すことはできるし、今回の脆弱性対応自体は防御技術の進歩なんだけど、もしAIが作った修正を人間が理解できず、別のAIが検証し、その監督AIまで信用できるか分からなくなったら【AIが安全か確かめたいのに、その間もAIに守ってもらわないとネットが維持できない】という矛盾が生まれる、さらに社会の依存が進めば「AIを止めればサ���バー攻撃を防げない」「動かし続ければ人間が制御できているか分からない」「人間に戻そうにも追いつけない」という《安全性の片道切符》になりかねない、もっ��飛ぶとインターネットの信頼性は《サーバーが正常か》《通信がつながるか》ではなく【攻撃AIに対して、防御AIが勝ち続けられるか】で決まるようになって、もしかすると本当に終わり始めているのはインターネットそのものではなく【人間が作り、人間が守り、人間の判断で修理できるインターネット】という、これまで当たり前だった世界なのかもしれない…

[胡田@Microsoft MVP(2014~)/ Masahiko Ebisuda @ebi]

個人の環境もM365 E5を使い、新しいテナントにして、初期構成から全てをAIにコントロールさせている。楽しい。IntuneがWindows PCをしっかりコントロールできるので、アプリ配���やセキュリティ設定はもちろん、私の変態Emacs風キーバインドなども自動構成されるようになってきた！

[胡田@Microsoft MVP(2014~)/ Masahiko Ebisuda @ebi]

動画200本・記事28本まで増えたEbi Study。「どこから見れば？」に答える歩き方ガイドを書きました。資格・現場トラブル・生成AI、目的別に最初の1本はこれ👇
#Azure #ClaudeCode #EbiStudy
https://t.co/ThBkpBwrWr

[胡田@Microsoft MVP(2014~)/ Masahiko Ebisuda @ebi]

実害は報道などはされないと思う。乗っ取られてバックドア仕込まれて、あれこれと利用されて…って話なので。

[てとらん @TETRAN_IT]

PHPの件リリースから15分の攻防なんて言われてたけど、結局実害が出たサイトってあったのかな。まだこれからか。

[胡田@Microsoft MVP(2014~)/ Masahiko Ebisuda @ebi]

Windows Updateを今のペースで当ててる企業はAIに蹂躙される可能性が高い。公開直後に当てても間に合わなくなる可能性もかなりある。
やられた瞬間に半自動で初期化するくらいの勢いが必要になってくる。

[erukiti @erukiti]

予測：
・あと半年はこの状況が続く。もっとひどくなる
・半年くらいで主要ソフトで���アップデート祭りが一旦落ち着く（一部のソフトウェアはこの過程で脱落する）
・アップデートをすることが、今まで以上に重要になる

今回のPHP2ShellはGPT 5.6 Sol （古くて弱いモデル）によって発見されたもの

Claude/GPT が今後さらにアホみたいに強くなっていく過程で、間違いなく今よりも脆弱性を見つける能力は強くなることで、とにかく大量の脆弱性が見つかる。すでに数十年レベルで見つからなかった脆弱性がいくつも見つかっているがまだまだ序章に過ぎない。人間では絶対見つけられないレベルの意味不明な組み合わせを始めとした見つけづらいバグ・脆弱性が無限に見つかる。すでに数学も「囲碁と同じように人間は勝てない」領域に入ってるのと同じで、脆弱性の発見もすでに人間はAIに勝てない

最近のWindowsがめちゃくちゃ大量に脆弱���対応してるのと全く同じことが、全ての主要ソフトウェアで生じる（おそらくMSはこれまでのOpenAIとの関係などから、内部での脆弱性対策は、どこの会社よりもうまい。匹敵できる可能性を持つのはAmazonくらい？Googleは本来強いはずだけど、Claude/GPTに匹敵する最強モデルを、最近まで持ってなかったから今後に期待）

アップデートで、今回レベルの脆弱性がいくつも対処される

主要OSS（運営している人たちの素性が明らかなものは特に）とか、アメリカ企業の主要プロプラソフトウェアは、Claude/GPTの支援を受けて脆弱性対応が進む

おそらく、いくつかのソフトウェアは「通常の開発」を止めてでも脆弱性対応に追われることにすらなる

PHPやJavaのように、幾つものメンテナンスラインをもつソフトウェアはかなり鈍重であることを強いられる（今回のPHPのやつは知ってからパッチ出せるまでに二ヶ月かかっている。最初に脆弱性がPHP側に伝えられたのは8月下旬らしい）

こうなってくると Windows が世界で最も脆弱性対応が進んでいるみたいな状���にすらなってくる

今回の件は日本国首相が「アップデートしろ！！！！」ってツイートする事態であり、それは「重大な社会基盤への影響が大きい」ということ

なので、今後多分半年くらいで、同じような混乱を何度も繰り返し���がら、主要OSSや主要プロプラソフトウェアは、脆弱性を限界まで潰し切るのではないか？

これは、ある種朗報だとは思う。脆弱性の件数が異常なことになるけどそれを乗り越えたら、悪用可能な脆弱性は減る

ただし「アップデートしない企業」「この流れについていけない企業」は事業継続が難しくなることすら生じる。多分日本で一件くらいは脆弱性起因による廃業みたいなショッキングなニュースがでるんではないか？

[胡田@Microsoft MVP(2014~)/ Masahiko Ebisuda @ebi]

phpの脆弱性で世の中大騒ぎになってるけど。毎月のwindows updateだって相当にヤバいものが超大量に、毎月出ること予告されてるなかでリリースされてるよ。そりゃインターネットに直接さらされてはないけど、情報的には超重要なもの入ってるでしょ。windows updateも緊急で対応しないとまずいと思う。

[胡田@Microsoft MVP(2014~)/ Masahiko Ebisuda @ebi]

とても良い視点だと思います。結局組織の問題ですからね。

[YONEUCHI, Takashi | GMO Flatt Security @lmt_swallow]

【PHP脆弱性対応の「後」にむけて】

みなさん、昨晩からのPHP対応お疲れ様です。一晩中連絡鳴り止んでおらず、一部の個別メッセージに返せてなくて申し訳ないです。

一括して、今、世の中の CTOs/CISOs に届いてほしいことを４つ書き残しておきます↓

（まとまりない部分もあるのですが、投稿しないよりマシかなと、このまま投げちゃいます）

Point 1: これからは、ソフトウェア業界全体で、高負荷の続くタイミングになります。意図してセキュリティに時間をあて、チームが「休息」が取れる体制を。
・我々は脆弱性リサーチに数年間継続的に取り組んできてました。だからこそ感じますが、ここ一年（体感では GPT-5.6 Sol 以後）が、最も「本当に？」みたいな脆弱性が掘り出されていく一年になると思います。こんなのまだあったの？という驚きとともに。
・特に複雑なメモリバグの類（memory safe でない言語製のものを中心に）、あるいは認可バグの類が中心になると思われます。
・少なくともここから年末までは、このクラスの脆弱性がまだまだ出てくると考えておく必要があります。（僕が読み外しているかもしれませんが、恐らく高い確度でこうなります。直近のPHP脆弱性すら、いま世界中��研究者が Variant Analysis をしていて、多分まだ出てくるでしょう）
・このご時世では、新規機能の開発に割く時間を明確に落とすしかありません。あくまで経営者である CTO には取りにくい判断なのは重々承知です（僕もそうなので）。
・「対応AIで」と思うかも知れません。これは技術的には正しいです。ただ、組織的には正しくないです。確実になんとかならず、組織は疲弊していきます。
・なんせセキュリティ対応は大抵自分にタイミングが御せないからです。深夜の対応、急な対応、計画の変更、デグレへの不安、脆弱性情報過多（そもそも自社に影響があるかも分からないものが大半なのに）… と、ストレスの強度がぐんぐん高まっていきます。昨日〜今朝のPHP対応のようなものが、毎週あれば、チームは比較的簡単に壊れてしまうでしょう。
・敢えてリーダーが、セキュリティへの、時間・お金（・トークン）にアロケしてください。これは経営者にしか取れない��で、かついま技術経営者に求められることです。

Point 2: 「必要なら予防的にサービス停止」の覚悟を決め、予めできる調整を重ねたい。止められない場合は、仮想パッチ・監視へのリソースアロケを。
・前提、今回のPHPの件のような脆弱性の対応では、「顧客の保護のためならサービスを止めざるを得ない場面」が訪れます。今回も様々なビジネスがそれに直面しました。今後も訪れるでしょう。
・今回の経験を旨に、本当に止めてはならないのか、止めらるのか、止めうる期待値調整がお客様と出来ているか、を徹底的に見直しておきましょう。
・直近の流れをうけての、お客様への事前連絡（スタンス表明）も有効だと思います。（弊社 GMO Flatt Security 製品についても、これからそれをし、リリースノートとして掲示予定です。我々のサービスの侵害、特に Takumi Guard の侵害は、ソフトウェサプライチェーンの最悪な侵害につながるからです。）
・勿論、止めてはならないビジネスも様々存在します。���ジネスドメインに由来する規制/制約（特に金融・医療セグメント）もあれば、顧客とのSLAもあるでしょう。ただし、現代においては、それらに反するリスクと、セキュリティ被害にあうリスクを天秤にかける必要がでてきています。少し前まではサービス停止でのデメリットは容易に考えられても、セキュリティ侵害など考えにくい、という時代でしたが、今はそうではありません。この天秤を再考する必要があります。（なお、「もう何がなんでも止めてはならない」ビジネスは、相当に限定的だと思います。）
・どうしても止めてはならない（もう何がなんでも止めてはならないもの。限定的であれ存在。人命に関わるもの中心）という場合、厳しい戦いになりますが、WAFレイヤなどで緩和策を施しては祈り、監視する、という流れになります。必要なコンポーネント（WAFなど）と運用リソースがあるならば、苦しい時代ですが、休息うまく取りながらやっていきましょう。なければ、これもしんどいです��、整えましょう。

Point 3: もし平時があれば、システムのモダナイズ（Rebuild and Retire）を検討されたい。
・もし自社での緊急対応が落ち着いているならば、レガシーコンポーネント（数年塩漬けのシステム）、誰がメンテできるのか分からないオーパーツ的存在から順に、作り直し（Rebuild）と旧システムの廃止（Retire）を試みてください。新規開発の代わりに、ここにリソースを充てることが CTO/CISO の仕事です。（他の誰もそれを決められないので。）これは追々自分たちを助けてくれる（ついでにAI-native 開発に移行できて改善しやすくなる）とも思料。
・どのシステムからモダナイズしていくかですが：「XXXで書かれているとまずい」というのは燃えるし言いにくいものの、memory unsafe な言語、type safety があまり確保されていない言語の実装は、モダナイズを検討すべきでしょう。（僕はPHP好きですが、C/C++ で書かれた php-src は、やはりメモリバグ類に対して見通しに限界がありますね。好きなんですが…）
・また経験上、開発当時に DevOps プラクティスすら整っていなかった時代のソフトウェアも、モダナイズを検討したほうがよいです。「セキュリティ診断」をしても、取り返しのつかない量の脆弱性が出てきて、作り直したほうが早い、となる傾向にあります。（弊社でも診断/ペネトレしてますが、こうなると、どうしようもありません。）
・ただし Rebuild には、強いソフトウェア開発力が必要で、AI-native なスタイルに移行することは必須です。この意味で CTO の力がいります。かつ、どこからレガシーの追い出しをするか、どうレキュリティ的なレジリエンスを確保するかは、CISO 的な感性が求められます。既製品（とくに SaaS）を買って処理したほうがいいな、というような判断には CIO 的センスが求められます。総力戦だと思ってください。

Point 4: CTO/CISO の総力戦を。
・Point 3でも述べた通り、直近のくだりには、CTO/CISO の総力戦が必要です。ボードがセキュリティに向かって一致団結する必要があります。
・結構これらロールの間にサイロがあるケースがありますが、そんなことを言っている場合ではありません。
・団結を！

[胡田@Microsoft MVP(2014~)/ Masahiko Ebisuda @ebi]

今のAIなら完全に自動での対処すら容易に可能…というか、そもそもシステム更新はコマンド一発。技術の問題ではなく、人間の判断のやり方の話。

[原翔太郎 @shotaro_hara]

PHPの脆弱性対応で「エンジニアが徹夜」という話を見かけるけど、素朴な疑問。

今のAIやツールを組み合わせても、そんなに人力が必要なんだろうか？

調査、影響範囲の特定、バックアップ、更新、動作検証。

Claude Code、Codex、API、CLI、テスト自動化などを組み合わせれば、上流から下流まで相当効率化できる気がする。

もちろん最終判断や責任は人間が持つ前提で。

実際の現場では、何が一番のボトルネックになっているんだろう？

[胡田@Microsoft MVP(2014~)/ Masahiko Ebisuda @ebi]

“修正予告されたPHPの2件の深刻な脆弱性についてまとめてみた - piyolog” https://t.co/O9C4ZkbGDx #security

[胡田@Microsoft MVP(2014~)/ Masahiko Ebisuda @ebi]

AI自体が進化しまくってるので、使い方が進化するのも当然ですね。変化し続けられること自体が大事。

私のMicrosoft MVP仲間でも「AIは好きじゃない、信頼できないから使ってない」って人が結構多いからなぁ…。

[うーふ @uufu_engineer]

AIについては、言っていることがコロコロ変わるエンジニアの方が信頼できるな。

ちょっと前まで「コードは今まで通りちゃんと読んで理解すべき」と言っていた先輩エンジニアたちが、今では「自分では全然読んでない」と言っている。

他にもplanモードをめちゃめちゃ周��に勧めていたエンジニアが、今ではその本人が全然使っていなかったり。

その方が当時書いたClaude Codeについての社内ドキュメントを元に質問したところ、「あ、その記事の考えはもう古いんで、見なかったことにしてください」と返ってきたり。

普通なら、一貫した意見を持っている人の方が圧倒的に信頼できる。

だけどこれだけスピーディーに進化している以上、以前の自分の考えをあっさり���てているエンジニアの方が、むしろ意見を聞きたいなと思ってしまう。

[胡田@Microsoft MVP(2014~)/ Masahiko Ebisuda @ebi]

キャッシュをforeverに保持かー。確かにデータ量自体としては軽いからそれも可能なのか。キャッシュの仕組みを再度理解したうえで、作戦を組み立てなおしたほうがいいかもしれない。

[胡田@Microsoft MVP(2014~)/ Masahiko Ebisuda @ebi]

再起動せずにWindows更新���きるホットパッチという機能がもうあるのだが、知られてない模様(笑 ま��、それでも数カ月に一度は再起動必要なのですが。 多くのユーザーに逆恨みされ続けるMSか不憫 / “ウィンドウズアップデートについて調べたらめちゃめちゃ面白かった” https://t.co/ozC0lVvpCi

[胡田@Microsoft MVP(2014~)/ Masahiko Ebisuda @ebi]

まさに。当たり前のことを当たり前にやれば、たいていの問題は起きない。それを人間にやらせるのは難しいけど、AIならできる。

[Hiromitsu Takagi @HiromitsuTakagi]

25年前にも言っていたことだが、攻撃と防御でイタチごっことか、やれ多重防御だ、みたいな話にすぐなるけれど、原因要素のソフトフェアの脆弱性については安全に作れば解決するのだよと。だから仕組みの理解を普及させ初めから安全に作るようにするのだと、5、6年かけて仕向けたのだけども、現実は、理解の乏しいプロ���ラマも開発に入ってくるし、費用の問題で徹底されるには至らなかった20年であったのだな（今の惨状を見るに）と。それが今や、AIによって完全に達成できるかもしれないところが見えてきたわけですよ。脆弱性の仕組みの理解はもはやどの人間より上、それを網羅かつ確実に踏まえて実装に適用するようAIを動かすこと。それができることを実証して世間に見せることが今やるべきこと。

[胡田@Microsoft MVP(2014~)/ Masahiko Ebisuda @ebi]

AIに情報を渡すのは怖い…という心理的なものを払拭するには、完全ローカルで匿名化(置換)を行う仕組みを入れればよいと思う……。が、その場合ローカルAIでもだめって反応になるのかもしれない。