■

法人の情シス担当者、1975年生まれ、Kaspersky製品、柴犬

[■ @sesese25man]

致命的なシステム障害を切り抜ける10のステップ https://t.co/Iuwzc29Lpx @zdnet_japanさんから

[日本のボディガード・身辺警護歴30年 @bodetan]

一説によると、暴漢の多くは「相手との距離が20m以上ひらくと追うのを諦める」そう。
あくまで目安なので「車内・夜道・人混」などによって変わるでしょう。
いずれにせよ、20mもの距離を引き離すのは簡単ではありません。ただし、脚力が身を守る武器であることは事実。
ちなみに電車一両が約20mです。

[ぱやぱやくん @paya_paya_kun]

いま生きている人は、100年後には誰もいないんですよ。学歴も、年収も、見た目も、他人の評価も関係なく、みんな消えていきます。だから、楽しい思い出や、おいしかったごはん、笑いすぎて涙が出た夜、何度も聴いた好きな曲、誰かに優しくされた記憶を、たくさん心に詰め込んでおいてください。

[■ @sesese25man]

https://t.co/BYgO923yvD

[■ @sesese25man]

さっき街のガストで「どこへ行こうというのかね〜」って言ってる子供がいて、思わず「ラピュタ！」って言いそうになった。

[りこパン @ryichispa]

納涼

[みほとけ @mihotoke_chan]

深大寺の"五大尊池"が濁っていたので大掃除したら
流れ込む湧水の透明度ぎ高すぎるあまり、キラキラとブルーに輝き始めたそう。
めっちゃ気持ちいい‼︎

池の中から江戸時代の貨幣の寛永通宝が出てきたらしく、さすが深大寺である。

[みほとけ @mihotoke_chan]

深大寺のご住職に

「お寺の池の水ぜんぶ抜いて掃除したら、
モネの池くらい綺麗になったから見てみて」
といわれ訪れたら

本当にモネの池くらい綺麗でした。
蓮こそ咲いてないけど言いたいことわかります。
輝くエメラルドだ‼︎

iPhone16カメラで撮影して無加工です。

[大川原 拓磨 / Takuma Okawara @Okwrt1]

案の定、イミュータブルの件も、オフラインバックアップの件も事実確認せずに当てずっぽうで書いていたとのこと

※お詫びと訂正
本文の中に一部事実関係が確認できない事項がございましたので、一部表現を修正させていただきました。お詫びの上、訂正させていただきます。
https://t.co/BqIBxnHLS2

[イシガキジム(教育×石垣島) @USh4t8VnpW37182]

これは言っていいのかわかりませんが、警察官は各種研修で地域警察官が包丁振り回す暴徒に万が一殺傷されたらどうなるかという教育を皆受けてますよ。警察官は皆、自分が死んだら腰に付けた拳銃が奪われ、そのあと同僚が射殺され…そのあと何が起こるのかをよく理解しています。

[宝くじ公式アカウント @takarakuji_qoo]

＼＼飛べ！ガンバレ！シマエナガ！！／／

「#クイックワン」【WEB限定CM】公開中！

#佐藤健 さんも夢中になる
シマエナガの可愛くて健気なお宝さがし。

1等1億円…！！

第222回「お宝さがし×シマエナガ・野球」に挑戦しよう♪
ご購入はこちらから↓
https://t.co/IlD9Ppkvb6
#宝くじ

[piyokango @piyokango]

業務で未承認なのに…従業員の「シャドーAI」リスク、7割の企業が無防備 - 日本経済新聞 https://t.co/Tnp3ECCW26

[日本経済新聞 電子版（日経電子版） @nikkei]

サイバー被害のニチレイ、バックアップで早期再開　システム復旧成功
https://t.co/mMAsNiM4ei

[鈴木@アナログ営業会社を100日後にAIで売上を300％にする人 @ai_300]

普通のWi-Fiがレーダー化
カメラなしで人を検知
心拍まで読む設計が出た
GitHubで爆伸びしてる
防犯カメラ業界に激震
これは無視したら置いていかれる　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　

これはただのガジェットニュースじゃない。

防犯カメラ、見守りセンサー、スマートホーム。
この3つの常識が壊れる話。
RuViewの説明では、
Wi-Fiの電波が人の動きで乱れる。

その乱れをAIが読み、
「誰かいる」
「動いている」
「座っている」
「倒れている」
「呼吸している」
まで推定する。
映像はない。
顔も撮らない。
レンズもない。

なのに部屋の状態が分かる。
ここが怖いし、強い。
防犯カメラは見える場所しか守れない。
赤外線カメラは暗闇に強いが、壁は無理。
人感センサーは静止した人に弱い。
でもWi-Fiセンシングは、
人が止まっていても呼吸で拾える可能性がある。
この差はデカい。
介護施設なら転倒検知。
ホテルなら在室確認。
工場なら危険エリア検知。
家庭なら高齢者の見守り。
しかもESP32のような安い部品で検証できる世界に入ってきた。

重要なのは、
「監視カメラを売る」じゃない。
映像を撮らない安全インフラを作ること。
これから伸びるのは、
顔認証AIではなく、
プライバシーを残した空間AI。

カメラにこだわる人間から負ける。
次は電波を読む人間が勝つ。

[wakatono, Ph.D.(JK) @wakatono]

これはアカン。
こんなことやってたら、やらかした当人は間違いなく隠ぺいに走る。
必要なのは、「やらかしたこと」を速やかに報告してもらうことであり、止血を迅速に行うこと。
よほどの故意犯ならばまだしも、善良な従業員に対していきなり懲戒は、かなり重い処分。

[📕「マルウエアの教科書」著者 | 吉川孝志 | 増補改訂版🌟発売中 @MalwareBibleJP]

既に大きな話題になり始めていますが、あらためて全体状況を整理。WordPress本体に、認証不要の匿名リクエストから任意コード実行に至る脆弱性の連鎖「wp2shell」が新たに見つかりました。発端は7月17日、CVE-2026-63030とCVE-2026-60137を修正した版の公開と、深刻さを踏まえた強制自動更新の発動。
発見者は防御側の適用時間を確保するため技術詳細を伏せましたが、パッチ差分から修正箇所は逆算できるため、同じ日のうちに複数の実証コード（PoC）がGitHubへ登場しました。
翌18日にはそのうち一つへ認証なしで管理者アカウントを作成する処理が加わったとされ、19日にも更新が続いています。

AI支援を使い約6分でPoCを再構成できたとする報告もあり、一部の独自検証では脆弱な版なら標準構成でもほぼ無条件に再現するとの評価。一方で実悪用の有無は、確認したとする報告と確認していないとする報告が割れたままです。

日本では7月18日から20日が三連休にあたり、更新が進まないまま被害が広がりうるとの懸念も示されています。詳細を伏せる判断があっても、パッチが公開された時点で解析の材料は出揃う。今回はそこにAIが加わり、再構成までの時間が分単位で語られる状況になっています。

【要点の整理】

・発見はバッチ処理側がSearchlight Cyberの研究者で、脆弱性報奨金制度を経由した報告。SQLインジェクション側は3名の別チーム。対象は6.9.0から6.9.4と7.0.0から7.0.1、修正版は7.0.2と6.9.5。SQLインジェクションのみ影響する6.8系は6.8.6、開発版は7.1ベータ2

・深刻度の評価は機関で不一致。バッチ処理側が9.8のCriticalから7.5のHigh、SQLインジェクション側が5.9のMediumから9.1のCriticalまで幅があり、単体での必要権限の解釈も不一致。各値の前提と標準構成での実際の到達可能性は分けて解釈すべきとの指摘

・実行経路への到達性は、永続オブジェクトキャッシュを使っていないサイトで到達しうるとの分析。使用時の到達性は不明

・PoCの到達点は日ごとに変化。当初はデータベースの読み取りと管理者パスワードハッシュの取得までで、コード実行にはハッシュ解読などで別途認証情報を得る必要があったが、18日に未認証での管理者アカウント作成が加わり、19日にも修正

・海外のペンテスト企業は、隔離環境で公開情報とチェッカーのみを手がかりに、AIコーディング支援を使い約6分でPoCを再構成できたと報告。コードと手順は非公開

・実悪用の評価は分裂。悪用試行を確認したとする報告がある一方、確認していないと明記するベンダーもあり、観測内容が不明瞭との留保も付く。ただし未確認を低リスクの根拠と解釈しないよう注意も併記。米CISAの悪用確認済みカタログには19日時点で未登録

・直ちに更新できない場合の緩和策として、発見者は所定のディレクトリに配置して有効化する緩和プラグインと、影響有無を判定する公開チェッカーを提供。第三者からはパッチ差分に基づく非破壊の判定手法も公表。ただし遮断や緩和は脆弱なコードを直すものではなく、更新の代替にはならないと明記

・強制自動更新は有効化されているが、自動更新を明示的に無効化したサイトへの適用有無は不明。自動更新に対応するサイトでも、修正版が実際に適用されたかの確認が推奨

・公的機関や開発元からの侵害確認指標は19日時点で未公表。一部のベンダーからはバッチ処理用ルート/batch/v1へのアクセスを起点とする確認観点の提示。ただし痕跡の一部は悪用手順の指南につながるとして非公開

・プロジェクトリードによれば、責任ある開示を受けてホスティングやCDNの事業者と事前調整し、公開前からネットワーク層で緩和できる状態。ただし保護範囲は事業者ごとに差があり、無料枠向けルールの提供時期にも差

・一部の調査会社は独自検証として、標準構成でも管理者の認証情報なしに任意コード実行が可能と判断。脆弱な版では攻撃の成立条件が著しく緩く、ほぼ無条件に再現するとの評価。同社単独の検証とされ、三連休中の更新を呼びかけ

詳細は以下を参照：
https://t.co/AcAcZgcnNQ
https://t.co/meTfBD39kD
https://t.co/GHejyicnju
https://t.co/s29h9iRauF
https://t.co/ddW72oYwvn
。

[とろ港区 @toro_minato]

←2008年　破産寸前のイーロンマスク
→2026年　SpaceX上場で世界一の富豪へ

次に「もう諦めよう」と思ったときは、左の写真を思い出してください。

[Massimo @Rainmaker1973]

A stunning photo of dark clouds topped with a bright rainbow, a rare event called cloud iridescence

[ぱやぱやくん @paya_paya_kun]

この3連休も炎天下で一生懸命に働いている人がいる。渋滞の先の交通整理、朝のゴミ収集、プールの監視員、満席のカフェのレジ、連休も開いている救急外来、駅の窓口、今日届く荷物、時刻通りの電車。ぜんぶ、誰かが休まずにいてくれた結果です。みんなの連休は誰かの繁忙期です。本当に感謝です。

[Aikido Community Japan @AikidoCommJP]

🚨 WordPress Core本体の事前認証RCE。これがどれだけ異常事態か、少し丁寧に説明します。

■ 「事前認証」とは
攻撃にログインが一切不要という意味です。IDもパスワードも要らず、サイトのURLを知っているだけで、インターネット上の誰でも攻撃できます。通常の脆弱性は「管理者権限が必要」などの前提条件がありますが、今回はゼロです。

■ 「RCE」とは
攻撃者がサーバー上で任意のプログラムを実行できる、つまりサーバーの乗っ取りです。改ざん、データ窃取、マルウェア設置、社内システムへの侵入の踏み台化。すべて可能になります。脆弱性の種類として最悪ランクです。

■ 「プラグイン不要」の意味
WordPressの脆弱性の大半は「特定のプラグインを入れている場合だけ」影響します。今回はWordPress本体(Core)のバグなので、該当バージョンなら全サイトが例外なく対象。切り分け不要、逃げ場なしです。

■ つまり
「誰でも撃てる」×「結果は乗っ取り」×「全インストールが対象」。こ3つが同時に揃うのは極めて稀で、Log4Shell(2021)やExchange ProxyLogon(2021)級です。WordPressは全Webサイトの約4割を動かしており、Core本体でこのクラスは10年に一度あるかどうかです。

■ 影響バージョンと対処
・6.9系 → 6.9.5へ更新
・7.0系 → 7.0.2へ更新
・6.8系にも修正版(6.8.6)が出ています。利用中のブランチの最新セキュリティリリースへ更新を

すぐ更新できない場合はWAFで /wp-json/batch/v1 と rest_route=/batch/v1 の両方をブロック(片方だけでは不十分)。

■ なぜ「今日中」なのか
発見者(Searchlight Cyber、2026年7月17日開示)は深刻度を考慮して技術詳細・PoCを非公開にしています。ただし修正パッチの差分を解析すれば攻撃コードは作れてしまうので、猛予はおそらく数日。詳細が公開された瞬間に一斉スキャンの波が来ます。パッチ適用は「詳細公開前」が勝負です。

日本国内のWordPressサイトは企業サイト・自治体・メディアと裾野が広く、管理を外部委託しているサイトほど更新が遅れがちです。心当たりのある方は今日中にバージョン確認を。

#WordPress #脆弱性 #セキュリティ #RCE #wp2shell