Kenta ONISHI / meihong

フィードフォースで執行役員開発本部長として上場 → 楽天 → LINE → 現職Fintech系CSIO兼EM。エンジニアマネジメントや車など。Fireorange III G82 LCI に乗ってます。All posts are my own.

[Kenta ONISHI / meihong @neomeihong]

ということに。。。

Xアカウントが凍結しました https://t.co/1Z8leCyYCX

[Kenta ONISHI / meihong @neomeihong]

ずっと気になっていたので、WordPress 側も修正しました。

php2shell をきっかけに WordPress そのものも手を入れた https://t.co/OXs082CLzc

[Kenta ONISHI / meihong @neomeihong]

個人で動かしているサービスを最近完全に PHP から Rails に書き直したけど、PHP 7.x のままだったので書き直してなければ同じ決断をせざ���を得なかった件。

旅行ゲーム「ワールドクエスト」、PHP脆弱性で即日サービス終了　「古い仕組みのため対策とれず」 - ITmedia NEWS https://t.co/ha6MVpZGv2

[Kenta ONISHI / meihong @neomeihong]

これは CVE-2026-99999 対応で 7.2.11 以上に上げていれば回避できそう

Linuxカーネルに6件の脆弱性「Infinity Core」、5件でroot権限昇格・コンテナ脱出のPoC公開(CVE-2026-98260,CVE-2026-98256)他 https://t.co/pEeIO2QGQy

[Kenta ONISHI / meihong @neomeihong]

PHP 8.5.12 に上げるついでに WordPress 向けに nginx の設定をいじってセキュリティ対応したのでメモっておきました。

php2shell をきっかけに WordPress の nginx 周りを見直した https://t.co/rJFDzNHbkL

[connect24h @connect24h]

昨日はあんまり書かなかったんだけと、php2shellより何気にやばいやつ。

eMudhraの中間CA鍵8個が復元可能な状態だった件。Mozillaの調査では、P-384の秘密鍵がすべて256未満の整数。公開証明書からほぼ即座に復元できるほど、候補が少なかったようです。

ただ。主要ブラウザ・OSにはブロックが配布されましたが、���効情報を確認しないクライアントや、独自のCAバンドルを持つアプリには更新が必要になります。このリスト見たら悪夢でしかない。

* ca-certificates
* ca-certificates-mozilla
* ca_root_nss
* caroot
* nss
* certifi
* pip
* uv
* Node.js
* Go
* OpenJDK／Oracle JDK
* rustls-webpki
* webpki-roots
* webpki-root-certs
* rustup
* composer/ca-bundle
* Electron
* Deno
* Claude Code

https://t.co/qo9rmG5Qu2

[Kenta ONISHI / meihong @neomeihong]

PHP の脆弱性は問題だが、それと WordPress がオワコンというのは��こまで関係はないのでは

[Kenta ONISHI / meihong @neomeihong]

PHP8.5.12 は Portage tree にはマージされてそうだが、 emerge --sync で反映されるのにはもう少しかかりそうなのかしら

[GMO Flatt Security株式会社 @flatt_security]

続報１：追加調査の結果、「php2shell」脆弱性の緩和策としての「session.upload_progress.enabled = 0」設定は、単体で完全な対策とならないと判断しました。これを迂回しての攻撃が可能と見込まれます。

公開前はアップデート準備と攻撃トラフィック監視を、パッチ公開後は即時適用を推奨します。

[大賀 愛一郎 (oga_aiichiro) @oga_aiichiro]

AIの日本語を推敲するスキル『yomiyasu (よみやす) 』 v2.1.1 をリリースしました 🚀

ユーザーから寄せられていた、検査の見落としと誤った警告を直したバージョンです。

https://t.co/u62ak0oNII

[T K @__omura__]

@seoryco 巷で今出回っているPOCが本当にそのままなら、バージョン8.3以上なら（デフォルト設定なら）影響はなさそうに見えますが、それらの噂に対してPHPのCore developperが下記のように応答しているので、「PHP 8.3 以上になっている」なら特にすることはない、とは現状では言えないかと思います。

[Kenta ONISHI / meihong @neomeihong]

とりあえずうちも session.upload_progress.enabled = Off は設定した。WordPress は tripwire で問題がないことは確認済み。

PHP 7.x で 20 年近く動いているサービスがあったが、これは少し前にリプレイスしていて助かった。

[connect24h @connect24h]

php2shellのPoCを公開したバ○が出たので、緊急で対策を調べた。Apache prefork と mod_php の環境��� www-data としてコマンドが実行されてた。うちの環境だと8.4.26。Apache mod_php で、MPM は prefork（動画の環境と同じ構成）でもろ適用。
対策は
/etc/php/8.4/apache2/php.ini
session.upload_progress.enabled = 0
でApache を graceful reload
ただ、これでも防げるのは1件目、2件目は処理が違うので続報待ち。やらないよりはましなので��さんどうぞ。

[Kenta ONISHI / meihong @neomeihong]

ここまで来ると、もう漏えいする前提で漏れたらマズいものをクライアントサイドで暗号化していくしかない。

あとシーケンスベースの ID 採番は普通にこのご時世止めた方が良い。いや、内部的には良いけど外に露出するのはハッシュなり何なりにした方が良い。

[su8 / denchu @__su888]

TorvaldsがLinux 7.3をリリースした。非マージコミット18,765件、開発者3,021人(初参加807人)と全項目で過去最大。binfmt_misc拡張、failfs、fchroot()、BPFのグローバルper-CPUデータ、sched_extサブスケジューラ完成などを含む / The 7.3 kernel has been released
https://t.co/rOvW4GKBhq

[Kenta ONISHI / meihong @neomeihong]

再起動しました