はなたん(tdtsh)

京都でビジュアルコミュニケーションのサービス会社でマネジメント的な事をしてます。
週末はだいたい山にいます。

[はなたん(tdtsh) @hntn]

パーソナルAIエージェント「Muse」をチェックしてみよう。参加後48時間以内に[設定]で私のコードを利用すると、私たち両方が10億のMuseトークンを獲得できます。

コード: N8S8LM
https://t.co/xT8xLOqGiN

[はなたん(tdtsh) @hntn]

アドレナリンハイのまま21日深夜対応からの今日、フラフラで食べたお昼ごはん。

そろそろみんな眠気きてるんちゃいますか。
僕は眠いです。

[YONEUCHI, Takashi | GMO Flatt Security @lmt_swallow]

【PHP脆弱性対応の「後」にむけて】

みなさん、昨晩からのPHP対応お疲れ様です。一晩中連絡鳴り止んでおらず、一部の個別メッセージに返せてなくて申し訳ないです。

一括して、今、世の中の CTOs/CISOs に届いてほしいことを４つ書き残しておきます↓

（まとまりない部分もあるのですが、投稿しないよりマシかなと、このまま投げちゃいます）

Point 1: これからは、ソフトウェア業界全体で、高負荷の続くタイミングになります。意図してセキュリティに時間をあて、チームが「休息」が取れる体制を。
・我々は脆弱性リサーチに数年間継続的に取り組んできてました。だからこそ感じますが、ここ一年（体感では GPT-5.6 Sol 以後）が、最も「本当に？」みたいな脆弱性が掘り出されていく一年になると思います。こんな���まだあったの？という驚きとともに。
・特に複雑なメモリバグの類（memory safe でない言語製のものを中心に）、あるいは認可バグの類が中心になると思われます。
・少なくともここから年末までは、このクラスの脆弱性がまだまだ出てくると考えておく必要があります。（僕が読み外しているかもしれませんが、恐らく高い確度でこうなります。直近のPHP脆弱性すら、いま世界中の研究者が Variant Analysis をしていて、多分まだ出てくるでしょう）
・このご時世では、新規機能の開発に割く時間を明確に落とすしかありません。あくまで経営者である CTO には取りにくい判断なのは重々承知です（僕もそうなので）。
・「対応AIで」と思うかも知れません。これは技術的には正しいです。ただ、組織的には正しくないです。確実になんとかならず、組織は疲弊していきます。
・なんせセキュリティ対応は大抵自分にタイミングが御せないからです。深夜の対応、急な対応、計画の変更、デグレへの不安、脆弱性情報過多（そもそも自社に影響があるかも分からないものが大半なのに）… と、ストレスの���度がぐんぐん高まっていきます。昨日〜今朝のPHP対応のようなものが、毎週あれば、チームは比較的簡単に壊れてしまうでしょう。
・敢えてリーダーが、セキュリティへの、時間・お金（・トークン）にアロケしてください。これは経営者にしか取れない択で、かついま技術経営者に求められることです。

Point 2: 「必要なら予防的にサービス停止」の覚悟を決め、予めできる調整を重ねたい。止められない場合は、仮想パッチ・監視へのリソースアロケを。
・前提、今回のPHPの件のような脆弱性の対応では、「顧客の保護のためならサービスを止めざるを得ない場面」が訪れます。今回も様々なビジネスがそれに直面しました。今後も訪れるでしょう。
・今回の経験を旨に、本当に止めてはならないのか、止めらるのか、止めうる期待値調整がお客様���出来ているか、を徹底的に見直しておきましょう。
・直近の流れをうけての、お客様への事前連絡（スタンス表明）も有効だと思います。（弊社 GMO Flatt Security 製品についても、これからそれをし、リリースノートとして掲示予定です。我々のサービスの侵害、特に Takumi Guard の侵害は、ソフトウェサプライチェーンの最悪な侵害につながるからです。）
・勿論、止めてはならないビジネスも様々存在します。ビジネスドメインに由来する規制/制約（特に金融・医療セグメント）もあれば、顧客とのSLAもあるでしょう。ただし、現代においては、それらに反するリスクと、セキュリティ被害にあうリスクを天秤にかける必要がでてきています。少し前まではサービス停止でのデメリットは容易に考えられても、セキュリティ侵害など考えにくい、という時代でしたが、今はそうではありません。この天秤を再考する必要があります。（なお、「もう何がなんでも止めてはならない」ビジネスは、相当に限定的だと思います。）
・どうしても止めてはならない（もう何がなんでも止めてはならないもの。限定的であれ存在。人命に関わるもの中心）という場合、厳しい戦いになりますが、WAFレイヤな��で緩和策を施しては祈り、監視する、という流れになります。必要なコンポーネント（WAFなど）と運用リソースがあるならば、苦しい時代ですが、休息うまく取りながらやっていきましょう。なければ、これもしんどいですが、整えましょう。

Point 3: もし平時があれば、システムのモダナイズ（Rebuild and Retire）を検討されたい。
・もし自社での緊急対応が落ち着いているならば、レガシーコンポーネント（数年塩漬けのシステム）、誰がメンテできるのか分からないオーパーツ的存在から順に、作り直し（Rebuild）と旧システムの廃止（Retire）を試みてください。新規開発の代わりに、ここにリソースを充てることが CTO/CISO の仕事です。（他の誰もそれを決められないので。）これは追々自分たちを助けてくれる（ついでにAI-native 開発に移行できて改善しやすくなる）とも思料。
・どのシステムからモダナイズしていくかですが：「XXXで書かれているとまずい」というのは燃えるし言いにくいものの、memory unsafe な言語、type safety があまり確保されていない言語の実装は、モダナイズを検討すべきでしょう。（僕はPHP好きですが、C/C++ で書かれた php-src は、やはりメモリバグ類に対して見通しに限界がありますね。好きなんですが…）
・また経験上、開発当時に DevOps プラクティスすら整っていなかった時代のソフトウェアも、モダナイズを検討したほうがよいです。「セキュリティ診断」をしても、取り返しのつかない量の脆弱性が出てきて、作り直したほうが早い、となる傾向にあります。（弊社でも診断/ペネトレしてますが、こうなると、どうしようもありません。）
・ただし Rebuild には、強いソフトウェア開発力が必要で、AI-native なスタイルに移行することは必須です。この意味で CTO の力がいります。かつ、どこからレガシーの追い出しをするか、どうレキュリティ���なレジリエンスを確保するかは、CISO 的な感性が求められます。既製品（とくに SaaS）を買って処理したほうがいいな、というような判断には CIO 的センスが求められます。総力戦だと思ってください。

Point 4: CTO/CISO の総力戦を。
・Point 3でも述べた通り、直近のくだりには、CTO/CISO の総力戦が必要です。ボードがセキュリティに向かって一致団結する必要があります。
・結構これらロールの間にサイロがあるケースがありますが、そんなことを言っている場合ではありません。
・団結を！

[はなたん(tdtsh) @hntn]

ワイの小さな手のひらに収まる範囲に関しては、CVE-2026-109618、CVE-2026-109619 の最低限の対応打てたと思う。最低限の・・・

[高市早苗 @takaichi_sanae]

皆様に、今夜に対応して頂きたい大至急のお願いです。

多くのウェブサイトで使用されているPHPに関し、PHPのセキュリティチームが、重大な２件の脆弱性に関する注意喚起を行っています。

公開しているウェブサイトでPHPを使用しているか確認し、今夜、10月21日午後11時（日本時間）に公開される修正パッチについて、可及的速やかに適用できるよう準備をお願いします。

修正パッチを速やかに適用することが困難な場合は、例えばウェブサイト等を一時的に停止させることも、リスクを低減させるための有効策の一つと考えられます。

国家サイバー統括室のXアカウントでも関係する情報を発信していますので、そち��も参考にして下さい。
国家サイバー統括室(注意・警戒情報)（@cyber_forecast） / X

[はなたん(tdtsh) @hntn]

ピーエイチピーとか言うのがヤバいらしくてタイムラインがざわついてるね。
ワールドプレスが危ないらしいって言ってた。嫁が。

[はなたん(tdtsh) @hntn]

Opus 5.5さんも、Fableの時みたいにセキュリティや脆弱性のタスクになると保護機能が働いてすぐ動かん様になるのね。

[はなたん(tdtsh) @hntn]

クルマのバッテリーは全車オプティマイエロートップゆえ、充電器は OPC-3000 愛用しているんだけど、今見たらアルプス計器のオートクラフト P12100S共々めちゃくちゃ値上がりしててビビった。

[はなたん(tdtsh) @hntn]

9連休からの12連勤とか。手首ポンコツやから休み休みやらんと腱鞘炎ぶり返しそう。

[はなたん(tdtsh) @hntn]

もともと幻想だった人月の概念が、AIモデルとトークン費用 x モチベーション x 指示出しの巧緻 という現実に強制的に置き換わろうとしている。

ブルックス先生がご存命ならば、人月の神話改訂版を出してくれるだろうか。

[はなたん(tdtsh) @hntn]

PC-8801mini にブラックオニキス入ったら買ってしまうかもしれない。

[iwashi / Yoshimasa Iwase @iwashi86]

偉大な仕事を成し遂げる最大の秘訣は、結局のところ好奇心に尽きるというポールグラハムのエントリ。

・偉大な仕事を成し遂げるプロセスには、分野を問わず共通する明確な形がある
・具体的には次の4ステップ
　・分野の選択
　・最前線への到達
　・隙間の発見
　・その探求

・中でも最も重要なのが、自身の強い���奇心と適性が交わる対象を見つけること
・純粋な興味こそが、単なる勤勉さをはるかに超えたハードワークの原動力になるから

・自分が過剰なまでに面白いと感じる、独自のプロジェクトを立ち上げて取り組むのがよい
・最初から壮大な計画は立てず、まずは小さなものを素早く作り、継続的に改良していく
・学校教育が強いるような受け身の姿勢や、テストをハックするような近道は通用しない

・最前線に到達すると、知識の辺境には多くの隙間があることに気づく
・優れたアイデアは、既存のモデルのほころびを素直に観察した時に見つかる
・ただ、多くの人は自分の世界観に執着し、無意識にそのほころびから目を背けてしまう
・知的誠実さを保ち、時にはルールを破ることに抵抗がない人だけがそれに気づける

・新しいアイデアの��見において、答えよりも問いの価値を過小評価しがちである
・しかし、優れた問い自体が発見（部分的に）
・未解決の問いを抱え続けることは大事

・環境面では、驚くような視点をもたらしてくれる優秀な同僚を少数でも持つことが差を生む
・そして何より、野心的なプロジェクトでは自分自身のやる気を持ち続けるのが大事

https://t.co/CBGYKIR1OA

[はなたん(tdtsh) @hntn]

iPadOS/iOS の getDisplayMedia いつ来るねん思い続けてもうすぐ10年になろうとしている。

[はなたん(tdtsh) @hntn]

AIさんと壁打ちしていてEC2やRDSの見積もりになった時 t4g やろjkみたいな事言われたんですけど、ワイ今はt3ばっかりやでと告げると、お前は Apple Sliconで開発している癖に何言うとんねんみたいなご指摘を頂いた。

確かにそうだ。

[はなたん(tdtsh) @hntn]

久しぶりにheroku使おう思たら、無料枠が無い。
と言うわけでRender 試してるけど、なかなか使い勝手良い🙆

日本リージョン作ってくれたら、プロダクションで使いたい位に気に入ってます。

[はなたん(tdtsh) @hntn]

今日もClaude CodeさんがAPI Error: 529 Overloaded.なんだが。こりゃだめだ。

[はなたん(tdtsh) @hntn]

Claude Code のEnterprise Planとか作って、リダンダンシーを強化します、とかしたら課金しちゃいそう。貧乏人には API Error: 529 出すけど、お布施次第では使えますみたいな。

[はなたん(tdtsh) @hntn]

肝心なところで Claude Code さんが API Error : 529 なんだが。
そしてCODEXさんの credits 使い果たした所なんだが。

[はなたん(tdtsh) @hntn]

Devinさんには無理なんだが。AIエージェントさんが居なくなると僕もうダメぽなんだが。

[はなたん(tdtsh) @hntn]

俺たち��Opus4.8 on claude codeって、こんなに段取りが悪かったかなあ。