tktk / てけてけ

SREをやっています🐈 たまにセキュリティの帽子も被ります🐈‍⬛ 猫はアビシニアンのアルくんです。かわいいね。
神戸大学CS27b(CS24)/CI/CD/SRE/EM/コーチング(MBCC基礎コース9期生)/おうちハック/SF/元ヤフ/ホンマでっか勉強会運営🍺

[tktk / てけてけ @tk3fftk]

ふりかえり第2弾です (第1弾は社内に置いてきた)
https://t.co/uYWK7eGqKf

[tktk / てけてけ @tk3fftk]

CLI系が読む証明書もOSアプデで対応するよ、待てない場合はこの手順やってね、的な
https://t.co/1BkSvJ2YNi

[tktk / てけてけ @tk3fftk]

仕事の名前｜miyasaka https://t.co/i24My24hif

[yousukezan @yousukezan]

PHPセキュリティチームは、特殊な設定で遠隔コード実行につながる新たな脆弱性「CVE-2026-115560」を公表した。修正パッチはまだなく、暫定��策を案内している。悪用には通常とは異なる設定とアプリケーションコードの組み合わせが必要で、次回の定期更新で修正する方針だ。

悪用にはsession.serialize_handlerをphp_binaryかphp_serializeに設定し、ini_set()でphpへ変更後、session_start()を呼ぶ必要がある。アップロード進捗機能も有効でなければならない。

PHP側はsession.upload_progress.enabled=0を暫定対策として推奨。PHP2Shell対策で設定済みなら追加対応は不要だ。

一方、修正済みのPHP2Shell（CVE-2026-109618とCVE-2026-109619��には公開前から攻撃の試みがあった。Amazonは4日前から観測し、複数の攻撃者の関与を示唆。Dataminrは侵害を確認していないと説明した。
https://t.co/KWyOYqxETZ

[tktk / てけてけ @tk3fftk]

Rubyもきたらしい
https://t.co/6sfsJ5GXzD

[tktk / てけてけ @tk3fftk]

@tokyo_jjjx はい！

[jun/Junki Ishigaki @tokyo_jjjx]

LT枠で申し込んでみた🥹
https://t.co/d7uWeJSKyu
#honmadekkasre

[tktk / てけてけ @tk3fftk]

ついに😢

[Arc @arcinternet]

We've decided to sunset Arc on December 22, 2026.

That's not an easy sentence to write. We spent years building Arc and celebrating each and every release along the way: we have so much pride and love for what we made alongside the Arc community.

Our priority is to deliver best-in-class security for our members. Keeping a browser secure takes constant, dedicated work that is only increasing in the age of AI. Dia was built from the ground up to meet today’s security standards, so that's where our engineering and security teams will focus moving forward.

We've worked to make switching to @diabrowser as easy as possible for Arc members. Here's how:

· Your passwords, bookmarks, extensions and history come over to Dia seamlessly.
· Spaces, Folders, and Tab Groups are in Dia and import over with your data intact.
· Dia now surpasses Arc benchmarks in stability, speed, and security.
· The browser features you use in Arc are free in Dia, and the AI is optional.

Thank you for using Arc, for pushing us to make it better, and for building alongside us. The team that made Arc is the same team behind Dia, and some of our most ambitious work is just ahead. We'd love for you to be there with us when it lands.

[Hazy @kawada_syogo225]

お待た���しました！、CloudSec JP #007 の全てのセッション内容が出そろいました！

今回も非常に興味深いセッションが盛りだくさんです！懇親会もありますので、是非、お申込みください！

※19:30以降の入場はお断りしております。
#cloudsecjp

https://t.co/9Udg3pVvL4

[まさよし @yoyogidesaiz]

来週登壇します！
https://t.co/5XFm6G9Xu7

[落とし物クラウドfind｜find Inc. @find_otoshimono]

【プレスリリース🚀】
阪急電鉄・阪神電車へ「落とし物クラウドfind」導入🎉
横断検索ネットワークへも参画🔀

🚃阪神電車：11月10日（火）スタート！
🚃阪急電鉄：11月19日（木）スタート！

プレスリリースはこちら💁
https://t.co/47h8IYzySV

#阪急電鉄 #阪神電車 #大阪
#落とし物クラウドfind #findchat

[Shunsuke Suzuki @szkdash]

I'm releasing new versions of my OSS projects, including aqua, pinact, and ghtkn, to address the eMudhra CA certificate compromise.
Please update them.

[tktk / てけてけ @tk3fftk]

各種対応のふりかえりもやりたいよね…

[YONEUCHI, Takashi | GMO Flatt Security @lmt_swallow]

【PHP脆弱性対応の「後」にむけて】

みなさん、昨晩からのPHP対応お疲れ様です。一晩中連絡鳴り止んでおらず、一部の個別メッセージに返せてなくて申し訳ないです。

一括して、今、世の中の CTOs/CISOs に届いてほしいことを４つ書き残しておきます↓

（まとまりない部分もあるのですが、投稿しないよりマシかなと、このまま投げちゃいます）

Point 1: これからは、ソフトウェア業界全体で、高負荷の続くタイミングになります。意図してセキュリティに時間をあて、チームが「休息」が取れる体制を。
・我々は脆弱性リサーチに数年間継続的に取り組んできて��した。だからこそ感じますが、ここ一年（体感では GPT-5.6 Sol 以後）が、最も「本当に？」みたいな脆弱性が掘り出されていく一年になると思います。こんなのまだあったの？という驚きとともに。
・特に複雑なメモリバグの類（memory safe でない言語製のものを中心に）、あるいは認可バグの類が中心になると思われます。
・少なくともここから年末までは、このクラスの脆弱性がまだまだ出てくると考えておく必要があります。（僕が読み外しているかもしれませんが、恐らく高い確度でこうなります。直近のPHP脆弱性すら、いま世界中の研究者が Variant Analysis をしていて、多分まだ出てくるでしょう）
・このご時世では、新規機能の開発に割く時間を明確に落とすしかありません。あくまで経営者である CTO には取りにくい判断なのは��々承知です（僕もそうなので）。
・「対応AIで」と思うかも知れません。これは技術的には正しいです。ただ、組織的には正しくないです。確実になんとかならず、組織は疲弊していきます。
・なんせセキュリティ対応は大抵自分にタイミングが御せないからです。深夜の対応、急な対応、計画の変更、デグレへの不安、脆弱性情報過多（そもそも自社に影響があるかも分からないものが大半なのに）… と、ストレスの強度がぐんぐん高まっていきます。昨日〜今朝のPHP対応のようなものが、毎週あれば、チームは比較的簡単に壊れてしまうでしょう。
・敢えてリーダーが、セキュリティへの、時間・お金（・トークン）にアロケしてください。これは経営者にしか取れない択で、かついま技術経営者に求められることです。

Point 2: 「必要なら予防的��サービス停止」の覚悟を決め、予めできる調整を重ねたい。止��られない場合は、仮想パッチ・監視へのリソースアロケを。
・前提、今回のPHPの件のような脆弱性の対応では、「顧客の保護のためならサービスを止めざるを得ない場面」が訪れます。今回も様々なビジネスがそれに直面しました。今後も訪れるでしょう。
・今回の経験を旨に、本当に止めてはならないのか、止めらるのか、止めうる期待値調整がお客様と出来ているか、を徹底的に見直しておきましょう。
・直近の流れをうけての、お客様への事前連絡（スタンス表明）も有効だと思います。（弊社 GMO Flatt Security 製品についても、これからそれをし、リリースノートとして掲示予定です。我々のサービスの侵害、特に Takumi Guard の侵害は、ソフトウェサプライチェーンの最悪な侵害につながるからです。）
・勿論、止めてはならないビジネスも様々存在します。ビジネスドメインに由来する規制/制約（特に金融・医療セグメント）もあれば、顧客��のSLAもあるでしょう。ただし、現代においては、それらに反するリスクと、セキュリティ被害にあうリスクを天秤にかける必要がでてきています。少し前まではサービス停止でのデメリットは容易に考えられても、セキュリティ侵害など考えにくい、という時代でしたが、今はそうではありません。この天秤を再考する必要があります。（なお、「もう何がなんでも止めてはならない」ビジネスは、相当に限定的だと思います。）
・どうしても止めてはならない（もう何がなんでも止めてはならないもの。限定的であれ存在。人命に関わるもの中心）という場合、厳しい戦いになりますが、WAFレイヤなどで緩和策を施しては祈り、監視する、という流れになります。必要なコンポーネント（WAFなど）と運用リソースがあるならば、苦しい時代ですが、休息う���く取りながらやっていきましょう。なければ、これもしんどいですが、整えましょう。

Point 3: もし平時があれば、システムのモダナイズ（Rebuild and Retire）を検討されたい。
・もし自社での緊急対応が落ち着いているならば、レガシーコンポーネント（数年塩漬けのシステム）、誰がメンテできるのか分からないオーパーツ的存在から順に、作り直し（Rebuild）と旧システムの廃止（Retire）を試みてください。新規開発の代わりに、ここにリソースを充てることが CTO/CISO の仕事です。（他の誰もそれを決められないので。）これは追々自分たちを助けてくれる（ついでにAI-native 開発に移行できて改善しやすくなる）とも思料。
・どのシステムからモダナイズしていくかですが：「XXXで書かれているとまずい」というのは燃えるし言いにくいものの、memory unsafe な言語、type safety があまり確保されていない言語の実装は、モダナイズを検討すべきでしょう。（僕はPHP好きですが、C/C++ で書かれた php-src は、やはりメモリバグ類に対して見通しに限界がありますね。好きなんですが…）
・ま���経験上、開発当時に DevOps プラクティスすら整っていなかった時代のソフトウェアも、モダナイズを検討したほうがよいです。「セキュリティ診断」をしても、取り返しのつかない量の脆弱性が出てきて、作り直したほうが早い、となる傾向にあります。（弊社でも診断/ペネトレしてますが、こうなると、どうしようもありません。）
・ただし Rebuild には、強いソフトウェア開発力が必要で、AI-native なスタイルに移行することは必須です。この意味で CTO の力がいります。かつ、どこからレガシーの追い出しをするか、どうレキュリティ的なレジリエンスを確保するかは、CISO 的な感性が求められます。既製品（とくに SaaS）を買って処理したほうがいいな、というような判断には CIO 的センスが求められます。総力戦だと思ってください。

Point 4: CTO/CISO の総力戦を。
・Point 3でも述べた通り、直近のくだりには、CTO/CISO の総力戦が必要です。ボードがセキュリティに向かって一致団結する必要があります。
・結構これらロ���ルの間にサイロがあるケースがありますが、そんなことを言っている場合ではありません。
・団結を！

[YONEUCHI, Takashi | GMO Flatt Security @lmt_swallow]

僕は偉くないですが、最新情報は↓でアップデートします。あと、対応に関連して質問があれば、リプライぶら下げていただければ、ブログにまとめていきます（たぶん朝まで起きてます）
https://t.co/wvR1BL7gQr

[tktk / てけてけ @tk3fftk]

がんばれ…

[GitHub Status @githubstatus]

We are investigating reports of degraded performance for Actions, Pull Requests and Webhooks https://t.co/Lx7YI3s1fk

[tktk / てけてけ @tk3fftk]

でてる
https://t.co/hPlk3S0QKV

[Kazuki @mk_1_1_]

Node.jsの件はちょうどさっき詳細発表された。

High

・CVE-2026-105482：dns.resolve が NULL 文字を含む名前を切り詰める（26/24/22）
・CVE-2026-105483：IP を全角数字で書くと TLS 証明書のホスト名検証をバイパス（26/24）
・CVE-2026-106069：ホストが IP に緩く解決される場合の TLS 証明書ホスト名バイパス
・CVE-2026-111497：Brotli デコーダの境界外書き込み → リモートコード実行

[YONEUCHI, Takashi | GMO Flatt Security @lmt_swallow]

【🚨重要】【PHPのと別件】LiteLLM が再度の侵害を受けています。

本ポストから1時間以内に公開されたパッケージです。C2 www[.]litellm[.]dev にデータを持ち出します。詳細以下ブログで随時アップデートします。弊社も検体解析中です。
https://t.co/T5WucGkWrr

[piyokango @piyokango]

修正予告されたPHPの2件の深刻な脆弱性についてまとめてみた - piyolog https://t.co/1IXbPQLpuK