tamaron

Master's student. WebAssembly and compilers

[熊谷正寿【GMO】 @m_kumagai]

指定の時間までに削除されないと刑事告訴をいたします。

本気です。

遊び半分で被害者の情報を拡散することは許しません。

@c_a_p_engineer

[熊谷正寿【GMO】 @m_kumagai]

日本だけではありません「国際刑事警察機構INTERPOL」にも相談済みです。

【速報】GMO不正アクセス問題、警視庁が捜査

#47NEWS https://t.co/Aa0Jh7P9M5 @47news_officialより

[Ryan Williams @rrwilliams.bsky.social @rrwilliams]

An internal model at OpenAI has produced a claimed refutation of ETH! Russell Impagliazzo, Mohan Paturi, and I have been asked to help organize an open and independent examination of this claim. 1/4

[小出 孝雄/エイジレスCEO @takoidet]

GMO、このインシデント下での代表のポエム&AI文章は正直結構な失着にしか見えない。誰か止めなかったのかな

[勝又健太｜エンジニア系YouTuber｜雑食系エンジニア｜「Web系エンジニアになろう」著者 @poly_soft]

これはGMOさんを攻撃した(と自称している)ハッカー集団からの声明ですが、この内容が本当だとすると、お名前ドットコムデスクトップクラウドには「初歩的 かつ 非常に大きな」脆弱性が存在していたみたいですね。

僕は現在はLinux系が専門なので知りませんでしたが、

・WindowsのRDPでは、管理者がリモートログインした際に接続先の端末に認証情報が残り、その端末の管理者権限を持つユーザーに窃取・悪用される可能性がある

ようですね。(とんでもない仕様なのでこれはまずMicrosoftが悪いw)

そのため、RDPによる信頼度の低い端末への接続においては、Restricted Admin Modeなどを設定して認証情報を保護する必要があるのだそうです。

この保護はActive DirectoryのGPOとかで割と簡単に設定できるようで、そしてこのRDPの脆弱性に関しては割と広く知られている初歩的なものみたいですね。

ところが、GMOさんの管理チームは何らかの理由でこの設定やっていなかったか、もしくは単に失念してしまったのかなと。

この設定漏れにより、保守担当者がRDPでユーザーのVPSに接続した際に管理者アカウントの認証情報が漏洩し、VPS内で管理者権限を持つ攻撃者がその認証情報を取得してActive Directory全体の管理者に昇格し、他の顧客のVPSにマルウェアをばら撒いた、という展開のようですね。

そしてもう一点「ドライブリダイレクション」という記述がありますが、この機能が有効になっていると、RDPのリモート側からローカル端末のファイルを読み書きできてしまうのだそうです。(これもとんでもない仕様ですがｗ)

なのでこの機能を悪用するとユーザーのVPSからローカル端末に対してマルウェアを配置することが可能になるわけですが、ハッカー集団の情報が事実ならば、お名前ドットコムデスクトップクラウドさんでは2019年からずっとこの機能が有効化されていたようです。

これも何か理由があってそうしたのかもしれませんが、事実だとしたらなんでそんな恐ろしい機能をONにしていたのかなと😅

これらを考慮すると、先ほどGMOさんが発表した第4報の

「民間事業者単独の防御・事後対応のみでは、国境を越えて暗躍する高度なサイバー犯罪集団による国民資産の略奪を根絶することは困難です。」

の部分に関してはちょっと同意しかねる部分が出てきますね。

個人的な見解としては

「あなた方のサービス、WindowsのRDPを使ってサービスを管理するなら誰でも当然のように知っておくべき初歩的な脆弱性を、長期に渡って放置していてそこを攻撃されただけですよね？」

という感想になってしまいます笑😅

まあハッカー集団が本当のことを言ってると確定したわけではないですが、サービスは全く新規に作り直すとのことなので、他の企業さんの今後の参考のためにもGMOさん側からも詳細な攻撃情報を出してほしいとこですね。

普段Windows使わないので色々と学びになりました。やっぱりLinuxがいいですね笑

[熊谷正寿【GMO】 @m_kumagai]

8,300人が集まる全グループ・カンファレンスで
皆の意識を統一しました👇

①全社セキュリティ総点検と最強のAI防御
②平均年収2,100万円達成プロジェクト

グループ総力をあげて取り組みます🔥

#GMOインターネットグループ

[熊谷正寿【GMO】 @m_kumagai]

GMO系、企業のセキュリティーを抜き打ちチェック　脆弱性を調査 - 日本経済新聞 https://t.co/AbtuhpAyHs

[NHKニュース @nhk_news]

プロ野球 巨人の新監督に松井秀喜氏が就任へ
https://t.co/6GwJuzFur6 #nhk_news

[Centro LEAKS @CentroLeaks]

BREAKING: SWITCH 2 HAS BEEN HACKED (BY AI!), FIRST JAILBREAK RELEASED

[京都御苑 中立売休憩所 @gyoen_resthouse]

10月22日（木）は、時代祭。
⁡
当日、京都御苑内に出店する臨時売店とキッチンカーの詳細は、画像をご覧ください🏠🚚
お土産や軽食、ドリンクなど、ぜひお楽しみください。
⁡
明日は、各休憩所から限定商品や特別メニューをご案内します📢

[GMO Flatt Security株式会社 @flatt_security]

【要対応】PHP システム多数で被害が出うる脆弱性「php2shell」の修正パッチが、本日10/21 23時（日本時間）にリリースされる見込みです。

以下にて、弊社調査の現況や、現時点で考えうる緩和策・備えを整理しました。ご一読の上、対応にお役立てください。

▼ 詳細
https://t.co/TpXN7puKzh

[イッチ速報 @icchi_sokuho]

PHPの緊急脆弱性、本当の勝負は今夜23時やなく、もう昨日始まっとった。

世界の約8割のサイトを支えるPHPに、認証なしで乗っ取れる欠陥（CVSS9.2）が発覚。
↓
本来は調整の上で公開する予定やった。
↓
ところが10/20、修正前に詳細が流出。
↓
攻撃ツール「PHP2Shell」が出回り、再現した会社も出た。
↓
修正は日本時間の今夜23時公開。でも「出た瞬間に解析され、一気に攻撃が来る」と警戒されとる。
↓
しかも救われるのはPHP8以上だけ。古い5・7は置き去りや。
↓
日本でもコドモンが全サービス停止、デレステも23時に緊急メンテへ。(今ここ)

ワイは今夜23時まで追うで。固唾を飲んで待っとる。

[The PHP Foundation @ThePHPF]

The PHP security team is giving advance notice: Upcoming security release Wed, Oct 21st 2026, 14:00UTC, two critical vulnerabilities, both rated CVSSv4 9.2.

PHP users are encouraged to prepare to update. Earlier release if details become public or active exploit evidence.

[DeepSeek @deepseek_ai]

🚀 DeepSeek-V4.1-Flash-1017 is here!

Stronger benchmark performance, faster task completion, and shorter outputs than the previous version—a Pareto improvement in performance and cost. Now live on our website, app, and API.

🛠️ Optimized for @DeepSeekHarness, Tencent CodeBuddy, WorkBuddy, and more. Upgrade to DeepSeek Harness v0.2.1-rc.1 or later for the best experience with the new model.

1/4

[Syrus Akbary @syrusakbary]

As predicted, I mentioned this would happen.

I warned many times, but very few people in the WebAssembly ecosystem listened.

We kept going and built the most successful Operating System in Wasm, without any of the restrictions others imposed:

https://t.co/vuiaddvUAL

[Anthropic @AnthropicAI]

New on our Engineering blog: Creating in-house source control.

In May, we merged around 2,500 code changes per day. In September, we merged more than 30,000 per day. As a result, we became bottlenecked by developer infrastructure built for human (rather than agent) scale.

Here, we share how we built a new version control system—and fully migrated our monorepo from git—in five months: https://t.co/wzNkwHs7IN

[続・極限中年おじさん @gebodjivu]

美しすぎる検索結果
Zenn

[原神（Genshin）公式 @Genshin_7]

#原神_キャラ生誕祭
【#フリーナ生誕祭2026 】
あれ…いつの間にか寝ちゃってたみたいだね？ソファが気持ちよすぎて、つい…えっと、待たせちゃったかな？
でも…素敵な夢を見た気がするよ。
海底にいる友達に連れられて、一緒に水の世界を泳ぎ回って…ん？キミは出てこなかったのかって？
うーん…あんまり覚えていないけれど、やたらと僕の名前を呼ぶ声が聞こえた気はするよ…あれは誰だったんだろうね？

[kazu42 / apis🐝 @DevKazu42]

Zodのリポジトリに、マルウェアっぽいコミットが見つかったというHNのスレッドから。

自分もTypeScriptのバリデーションはほぼZod頼みだから、他人事じゃない。依存上げるときに差分まで見てるかって言われると、正直怪しいかも。

・対象は「Fix bugs and improve performance」というコミット。バージョンを4.6.5から4.6.6に上げつつ、meta.test.mjsを追加していた
・中身はEthereumのスマートコントラクトからC2のホスト名を取り、loaderを落として実行するステージ1ローダ
・package.jsonにpreinstallで「node meta.test.mjs」を仕込む形

・ただし公開されたnpmの[email protected]には、そのファイルもpreinstallも入っていない。SLSAのprovenance付きで、tarballもクリーンと確認できる
・履歴上は後からCleanup bad commitsで巻き戻され、別経路で4.6.6が出し直された、という見方がHNでも広がっている
・一方で「なぜこんな露骨な差分が通ったのか」「メンテナのアカウントは無事か」という不安は残る

サプライチェーン攻撃の未遂か、途中で止められたのかはまだ確定していない。でもコミット履歴を見ただけで止まる世界になってきた感覚はある。

https://t.co/1VEG8EO4dm

[堀井雄二 @YujiHorii]

その昔、PCで『ポートピア連続殺人事件』を作った時は、自分で物語を考え、絵も描いて、プログラムもして、ひとりでゲームを作りました。そして今、ＡＩを使えば、絵を描けなくても、プログラムしなくても、ＡＩに指図するだけで、ひとりで、そこそこのゲームを作れてしまいます。ホントびっくりです。ちなみに下のゲームの制作時間は、ほんの30分ほどでしたよ。あ、ブーストするボタンは押さないように。

https://t.co/slczyG52ZQ