Motoki KAMIMURA

Software engineer. 💡問題⇒解決=憂さ⇒晴らし. なるほど, 分からん. 分かるのは手を動かしたことだけ. 🍵🍡: ff14＠Yojimbo. エンジニアリング Post 用アカウント.

[YONEUCHI, Takashi | GMO Flatt Security @lmt_swallow]

【PHP脆弱性対応の「後」にむけて】

みなさん、昨晩からのPHP対応お疲れ様です。一晩中連絡鳴り止んでおらず、一部の個別メッセージに返せてなくて申し訳ないです。

一括して、今、世の中の CTOs/CISOs に届いてほしいことを４つ書き残しておきます↓

（まとまりない部分もあるのですが、投稿しないよりマシかなと、このまま投げちゃいます）

Point 1: これからは、ソフトウェア業界全体で、高負荷の続くタイミングになります。意図してセキュリティに時間をあて、チームが「休息」が取れる体制を。
・我々は脆弱性リサーチに数年間継続的に取り組んできてました。だからこそ感じますが、ここ一年（体感では GPT-5.6 Sol 以後）が、最も「本当に？」みたいな脆弱性が掘り出されていく一年になると思います。こんなのまだあったの？という驚きとともに。
・特に複雑なメモリバグの類（memory safe でない言語製のものを中心に）、あるいは認可バグの類が中心になると思われます。
・少なくともここから年末までは、このクラスの脆弱性がまだまだ出てくると考えておく必要があります。（僕が読み外しているかもしれませんが、恐らく高い確度でこうなります。直近のPHP脆弱性すら、いま世界中の研究者が Variant Analysis をしていて、多分まだ出てくるでしょう）
・このご時世では、新規機能の開発に割く時間を明確に落とすしかありません。あくまで経営者である CTO には取りにくい判断なのは重々承知です（僕もそうなので）。
・「対応AIで」と思うかも知れません。これは技術的には正しいです。ただ、組織的には正しくないです。確実になんとかならず、組織は疲弊していきます。
・なんせセキュリティ対応は大抵自分にタイミングが御せないからです。深夜の対応、急な対応、計画の変更、デグレへの不安、脆弱性情報過多（そもそも自社に影響があるかも分からないものが大半なのに）… と、ストレスの強度がぐんぐん高まっていきます。昨日〜今朝のPHP対応のようなものが、毎週あれば、チームは比較的簡単に壊れてしまうでしょう。
・敢えてリーダーが、セキュリティへの、時間・お金（・トークン）にアロケしてください。これは経営者にしか取れない択で、かついま技術経営者に求められることです。

Point 2: 「必要なら予防的にサービス停止」の覚悟を決め、予めできる調整を重ねたい。止められない場合は、仮想パッチ・監視へのリソースアロケを。
・前提、今回のPHPの件のような脆弱性の対応では、「顧客の保護のためならサービスを止めざるを得ない場面」が訪れます。今回も様々なビジネスがそれに直面しました。今後も訪れるでしょう。
・今回の経験を旨に、本当に止めてはならないのか、止めらるのか、止めうる期待値調整がお客様と出来ているか、を徹底的に見直しておきましょう。
・直近の流れをうけての、お客様への事前連絡（スタンス表明）も有効だと思います。（弊社 GMO Flatt Security 製品についても、これからそれをし、リリースノートとして掲示予定です。我々のサービスの侵害、特に Takumi Guard の侵害は、ソフトウェサプライチェーンの最悪な侵害につながるからです。）
・勿論、止めてはならないビジネスも様々存在します。ビジネスドメインに由来する規制/制約（特に金融・医療セグメント）もあれば、顧客とのSLAもあるでしょう。ただし、現代においては、それらに反するリスクと、セキュリティ被害にあうリスクを天秤にかける必要がでてきています。少し前まではサービス停止でのデメリットは容易に考えられても、セキュリティ侵害など考えにくい、という時代でしたが、今はそうではありません。この天秤を再考する必要があります。（なお、「もう何がなんでも止めてはならない」ビジネスは、相当に限定的だと思います。）
・どうしても止めてはならない（もう何がなんでも止めてはならないもの。限定的であれ存在。人命に関わるもの中心）という場合、厳しい戦いになりますが、WAFレイヤなどで緩和策を施しては祈り、監視する、という流れになります。必要なコンポーネント（WAFなど）と運用リソースがあるならば、苦しい時代ですが、休息うまく取りながらやっていきましょう。なければ、これもしんどいですが、整えましょう。

Point 3: もし平時があれば、システムのモダナイズ（Rebuild and Retire）を検討されたい。
・もし自社での緊急対応が落ち着いているならば、レガシーコンポーネント（数年塩漬けのシステム）、誰がメンテできるのか分からないオーパーツ的存在から順に、作り直し（Rebuild）と旧システムの廃止（Retire）を試みてください。新規開発の代わりに、ここにリソースを充てることが CTO/CISO の仕事です。（他の誰もそれを決められないので。）これは追々自分たちを助けてくれる（ついでにAI-native 開発に移行できて改善しやすくなる）とも思料。
・どのシステムからモダナイズしていくかですが：「XXXで書かれているとまずい」というのは燃えるし言いにくいものの、memory unsafe な言語、type safety があまり確保されていない言語の実装は、モダナイズを検討すべきでしょう。（僕はPHP好きですが、C/C++ で書かれた php-src は、やはりメモリバグ類に対して見通しに限界がありますね。好きなんですが…）
・また経験上、開発当時に DevOps プラクティスすら整っていなかった時代のソフトウェアも、モダナイズを検討したほうがよいです。「セキュリティ診断」をしても、取り返しのつかない量の脆弱性が出てきて、作り直したほうが早い、となる傾向にあります。（弊社でも診断/ペネトレしてますが、こうなると、どうしようもありません。）
・ただし Rebuild には、強いソフトウェア開発力が必要で、AI-native なスタイルに移行することは必須です。この意味で CTO の力がいります。かつ、どこからレガシーの追い出しをするか、どうレキュリティ的なレジリエンスを確保するかは、CISO 的な感性が求められます。既製品（とくに SaaS）を買って処理したほうがいいな、というような判断には CIO 的センスが求められます。総力戦だと思ってください。

Point 4: CTO/CISO の総力戦を。
・Point 3でも述べた通り、直近のくだりには、CTO/CISO の総力戦が必要です。ボードがセキュリティに向かって一致団結する必要があります。
・結構これらロールの間にサイロがあるケースがありますが、そんなことを言っている場合ではありません。
・団結を！

[Motoki KAMIMURA @usabarashi]

お高い Router は UI がリッチだねぇ.
眺めているだけでしばらく時間を潰せそう.

[Motoki KAMIMURA @usabarashi]

UniFi の SSID, VLAN を Terraform 管理できる処まで整理できた. セキュリティー周りは盆栽しながら理解していこ.
ネットワーク周りはそんなに詳しくないので IaC で AI と壁打ちしながら試行錯誤できるの良いね 😆
https://t.co/qJt1iG1IXv

[doumae @donz80]

これまで「サービスを止める」のは企業側にも抵抗があったし、社会的にもイメージが悪かった。企業が「止める」判断をするためには、社会的に「止める」ことが許される空気が必要。この機会を利用して「止めていいんだ」という社会の空気を作るために総理に言わせた人がいるのでは。戦略家だと思う。

[OpenAI @OpenAI]

OpenAI models helped researchers—operating as part of our Patch the Planet initiative—discover critical security flaws in PHP, an open-source programming language used to run an estimated 70% of websites.

Over the past two months, we led a coalition of maintainers, researchers, and security providers to prepare fixes and protections ahead of disclosure. This duration was necessary because the fix was quite intricate and required a major change to the PHP engine. Every site using PHP can now safely upgrade their version to stay secure, in addition to applying mitigations from various security vendors.

Due to the severity of these flaws and PHP’s widespread use, we consider this bug to be one of the most impactful vulnerabilities in recent memory. It also marks a new phase, where AI can find security bugs with internet-scale impact.

This is an example of the Defender’s Window in action: to our knowledge, frontier AI was able to find this vulnerability ahead of attackers, giving defenders time to prepare.
https://t.co/TW3jrSbB3f

[Motoki KAMIMURA @usabarashi]

Terraform Cloud で GitHub の更新取り込みができていないのはコレか. 寝よ 😪
https://t.co/qIt8L984ev

[むーさん63 @0x003f]

みなさんnpm installを守りたいならTakumi guardをぜひお願いします。無料です。GMOでしょと思わず...メール登録しても宣伝とかは絶対送らないので..!
単に検疫期間を置くんじゃなくてレジストリスキャンして判定してます🥺
https://t.co/cQiTB9ATSl

[国家サイバー統括室(注意・警戒情報) @cyber_forecast]

2026年10月21日、多くのウェブサイトで使用されているPHP更新プログラムが公開されました。重大な脆弱性に関するセキュリティ修正が含まれていますので、可及的速やかに適用してください。適切な対応がなされない場合、ウェブサイト等が侵害を受ける可能性があります。PHP公式 https://t.co/h1VJujyZTd

[高市早苗 @takaichi_sanae]

皆様に、今夜に対応して頂きたい大至急のお願いです。

多くのウェブサイトで使用されているPHPに関し、PHPのセキュリティチームが、重大な２件の脆弱性に関する注意喚起を行っています。

公開しているウェブサイトでPHPを使用しているか確認し、今夜、10月21日午後11時（日本時間）に公開される修正パッチについて、可及的速やかに適用できるよう準備をお願いします。

修正パッチを速やかに適用することが困難な場合は、例えばウェブサイト等を一時的に停止させることも、リスクを低減させるための有効策の一つと考えられます。

国家サイバー統括室のXアカウントでも関係する情報を発信していますので、そちらも参考にして下さい。
国家サイバー統括室(注意・警戒情報)（@cyber_forecast） / X

[国家サイバー統括室(注意・警戒情報) @cyber_forecast]

PHPのセキュリティチームが、重大な２件の脆弱性に関する注意喚起を行っています。公開しているウェブサイトでPHPを使用しているか確認し、10月21日午後11時（日本時間）に公開される修正パッチについて、可及的速やかに適用できるよう準備をお願いいたします。
https://t.co/TFPc8QIdUN

[DeepSeek @deepseek_ai]

🚀 Introducing DeepInfer, our in-house inference framework, now fully open source!

Powering DeepSeek-V4.1-Flash at scale with high throughput and low latency. We’re sharing our production stack to help the community lower compute costs, reduce energy use, and make AI more affordable.

🔗 https://t.co/JGAik1kgk0

1/4

[OpenCode @opencode]

DeepSeek V4.1 Flash updated to 1017 in OpenCode Go and Free

No changes needed on your end

[ଳゆきくらげଳ @yukikurage_2019]

これ出るぜ！ Katari v0.2 が間に合うか分からんけど間に合わなかったら v0.1 で発表します

自作プログラミング言語を自慢する会 https://t.co/cJsJCBcBbK

[Motoki KAMIMURA @usabarashi]

ChatGPT Work から Cloud Logging を参照するのなんかメンドイな

[電ファミニコゲーマー @denfaminicogame]

『まんが日本昔ばなし』公式VODサービスを準備中。売上はすべて作品のデジタル化に充てる方針、残る1000話以上を次の世代へ
https://t.co/vPoRspfGNA

全1467話のうち、デジタル化が完了しているのは一部のみ。次回のイベント開催も決まり、公式ECサイトも開設予定

[あーなるほどね @ANAg2bGOD]

私は明石高専とかいう技術オタクの巣窟に通っているんですが、みんなAIに興味ないです。

情報系の同級生でさえClaudeという名前すら知らない人が殆どです(絶望)
自分の知る限り同学年で本格的にAIを弄ってる人は居なくて、「お前ら本当に高専生か？」と言いたくなる状況。

課金してる人は愚か、ローカルLLMなんかやってる人は皆無。
(私の知る限り先輩が数人GPUとか買って遊んでますが、同学年ではマジでいない)

そんな知的好奇心が失われつつある我が高専ですが、私は今日も一人でLLMと会話しています。
別にAI以外に友達がいないとかそういうわけじゃないっすけど？^^;

全員がAIに興味を持つ必要はないんだが、高専生ならせめて新しい技術を試したり、その可能性や限界を確かめるくらいの好奇心はあってほしいナ。
やっぱ最先端を味わってる若者は少ないってはっきりわかんだね。

高専に入れば色々技術の話で盛り上がれる変態が大量にいると思っていたがこの有様。

もしかして私が思っていた「高専の変態」ってもう絶滅危惧種なんですかね。

[ollama @ollama]

✈ DeepSeek-V4.1-Flash-1017 is on Ollama! US-based hosting with zero data retention.

It's strong on agentic tasks while being cheaper per task.

Try it on Ollama Cloud:
ollama run deepseek-v4.1-flash:1017-cloud

Claude Code:
ollama launch claude --model deepseek-v4.1-flash:1017-cloud

OpenCode:
ollama launch opencode --model deepseek-v4.1-flash:1017-cloud

[Motoki KAMIMURA @usabarashi]

Cursor, Grok, xAI とかそこら辺のサービス統合？がよく分からんな

[Motoki KAMIMURA @usabarashi]

トリガーだけ Grok Bot に許可して, アクションは Cursor Cloud Agent に許可するのがよさそう.

[Motoki KAMIMURA @usabarashi]

個人 Grok Bot に渡した Key (環境変数) の一覧が Bot に尋ねないと分からんのは怖いな. 自分が単純に UI を分かっていないのか, 発展途上なのか 🤔

[Motoki KAMIMURA @usabarashi]

プライベート環境で Grok Bot にアラートの原因調査を自動でしてもらうように設定できた.

- Slack アラート通知チャネルの参照権限を付与する
- Datadog の参照権限を付与する
- Google Cloud の Cloud Logging の参照権限 SA Key を渡す
- GitHub Repository の参照権限を付与する