eban retweeted
GMOの不正アクセスの会見を見た感想。
・AIや現在のインターネットの脅威について延々と説明していたが、今回の件は、そもそもGMOの初歩的な設定不備で、セキュリティがガバガバだったという話だと思うのだが、それを、まるで高度な攻撃への対応が難しかったかのような話にすり替え様としている。
・「顧客を喜ばせる」「お客様第一」「お客様の笑顔が基準」という趣旨の言葉が何度も出てきたが、普段のサービスではダークパターンと感じる表示や誘導だらけで、その実態を棚に上げて、顧客思いの会社として語っていることにかなり不快感を覚えた。
・顧客に被害が出たことを謝罪し説明する場なのに、初歩的な設定すら適切に管理できていなかった側が、世の中に教えを説くように話し、更には人生論まで聞かされて意味が分からない。
今回のGMOの件、以前からダークパターンの多さで嫌われていたのもありますが、個人的に腹が立つのが、社内からセキュリティ上の課題を指摘されていたのに、十分に対応できていなかったことを自ら認めている中で、「攻撃者を絶対に許さない」「国民の財産を守る」と、いつの間にか悪と戦う側の話のみに持ってこうとしている点です。
犯人が悪いのは当たり前ですが、顧客からすれば「いや、あなたたちに守ってもらえなかったんですが」という話で、なぜ指摘されていた問題に対応しきれなかったのか、まずそこをきちんと説明・謝罪すべきで、それ以上のことを現在言える立場でもないと思うんですよね。
さらに今回、犯人の動機として「当社セキュリティ技術力の信用失墜を通じた、日本のサイバー防衛力・国家信認の毀損」を挙げているのを見て、さらに違和感が強くなりました。
そもそもGMOの信用と、日本全体の信用は別の話で、それでも自社のセキュリティ技術力を日本の信用と結びつけて語るのであれば、むしろGMOによって日本のセキュリティの信用を落としたのではないでしょうか。
事前に課題を指摘されていたのに十分対応できなかった会社が、「日本の信用を落とすために狙われた」と語る。その前に、自分たちの管理や経営判断が信用を損なった可能性に向き合うべきだと思います。
被害を受けた人が不安を抱えている最中に笑顔の写真を載せたり、陸上部への影響を心配する投稿に「爆笑」と返したりするのは論外ですが、こうした発信が続けば、本当に自分たちの落ち度を重く受け止めているのか疑問で、被害者の不安より、自分たちの強さや正しさを示すことに気持ちが向いているようにしか見えないです。
eban retweeted
32bit整数の割り算で、GCC/Clangより速いコードを書ける。しかも鍵は「64bit CPUなのに使われていない1bit」だった。
Daniel Lemireは、符号付き32bit整数を定数で割る処理を調査した。整数除算命令は重く、たとえばIntel Emerald Rapidsでは約12サイクル。一方、定数除算ならコンパイラは通常、`x / 7`を「定数との乗算＋シフト」に置き換える。ところが7のような除数では、必要な乗数が符号付き32bitに収まらず、GCC/LLVMは補正用の加算などを追加する。3〜1000の除数では、実に約38%がこの補正を必要とする。Daniel Lemire's blog
Lemireの着眼点は、計算機は64bitなのだから、32bitの制約に付き合う必要はないというもの。符号付き32bit整数の絶対値は最大2³¹なので、33bit相当の乗数を使っても積は符号付き64bitに収まる。この余裕を利用すると補正処理を消せる。7で割る場合、GCCでは依存する命令列が6段階から4段階へ短縮された。Daniel Lemire's blog
結果は小さいようで無視できない。
lemire.me/blog/2026/10/31/be…
eban retweeted
7時15分頃、三重県南東沖で深発地震がありました。震源の深さは約350km、地震の規模はM6.1と推定されます。
関東や東北の太平洋側に揺れが伝わる「異常震域」と呼ばれる震度分布ですが、頻度の低い深発地震に特有の現象であり、地震活動そのものは異常ではありません。
weathernews.jp/news/202611/0…
eban retweeted
かつてのWinnyの時代、僕たちは「個人PCの余剰リソースを繋げば巨大なパワーになる（P2P）」という未来を夢見ていた。それから20年。最近のサム・アルトマンの発言は真逆だった。「個人PCのRAMなんて5%しか使われてないから無駄。AIクラウドに寄越せ」
なぜ、かつて夢見た「個の解放と分散」は終わり、AI巨大資本による「超・中央集権」へと逆行してしまったのか。
その理由は、半導体とインフラの圧倒的な偏重にある。世界中の資源はNVIDIAのAI GPUに集中し、退役した旧型サーバーすらeBayで高値取引される狂乱。
日本の系譜であるキオクシア（旧東芝）のNANDはAIのDRAM偏重の影で耐え忍び、ソニーや任天堂、僕たちのPCやゲーム機は「資源の末端」としてコスト高の打撃を直撃で受ける。
「個人が持つリソースは無駄」
その言葉の裏にあるのは、かつて個人が手にしかけたデジタル上の自由や「権力」が、AI資本へ根こそぎ回収されていく現実だ。
分散の夢の敗北と、AIによる資源の総取り。時代の急速な変化にゾッとする。
eban retweeted
『役に立たないシェルスクリプト読本』
11/23の #技術書典 21 <せ32>で出すよ。役に立たないよ。
techbookfest.org/product/h1M…
1章まるまる読めるお試し版PDF用意してるのでどーぞ。
chigumaya.jp/files/useless-s…
eban retweeted
【注意喚起】
写真は栃木県内のコンビニで実際に掲示されていたものです（友人が撮影）。PCでインターネットを利用中にウィルス感染したと画面が急に変わり、サポートセンターを名乗るところに電話したらPHPのパッチを購入しろと電子マネーを購入させる詐欺(PCサポート詐欺)が発生しています。ご注意を
eban retweeted
Очередной пример CTF-аттракциона, который преподносится широкой публике как «смотрите, уязвимость работает в бою!», хотя на самом деле имеет нулевое отношение к реальному продакшену.
1. Как был запущен «сервер» (главный подвох)
В Docker-контейнере был запущен:
php -S 0.0.0.0:8000 -t /app
То есть встроенный однопроцессный/воркерный дев-сервер CLI (cli-server).
2. Жёстко зашитые оффсеты под конкретный бинарник: эксплойт не универсален: чтобы он сработал, атакующий должен заранее знать точнейший хэш и компилятор бинарника интерпретатора на сервере, флаги оптимизации (-O2/-O3) и базовую раскладку libc (musl в случае Alpine).
3. Идеальные тепличные условия
Чтобы цепочка завершилась успехом, потребовалось:
- Отсутствие WAF: Скрипт шлёт пачки спайплайненных запросов с тысячами пустых кук и глубоко вложенными массивами полей формы f[0][x][x]..., провоцируя OOM. Любой нормальный WAF или базовый client_max_body_size / limit_req в Nginx прибил бы такое соединение на взлете.
- Прямой доступ к исполнению команд: Контейнер запускался без изоляции seccomp, с дефолтными системными вызовами и без директивы disable_functions (которая в продакшене вычищает system, passthru, exec).
- Флаг лежал локально: На сервере специально лежал исполняемый бинарник /usr/local/bin/print-flag, который отдавал приватный ключ в stdout.
Организаторы создали намеренно искалеченную лабораторную конфигурацию, объявили «кто украдет биткоин - тот молодец», а инфобез-сообщество дегенератов теперь размахивает этим как доказательством того, что «любой сайт на PHP можно взломать через PoC».
eban retweeted
「PHP2Shellは実環境で本当に悪用できるのか？」と疑っていた人が、「自分のサイトに侵入できたら、2000米ドル相当のBTCを盗んでいい」と挑戦者を募りました。
stealmybitcoin.com/
その結果、19時間半後に、実際に動作するエクスプロイトを開発した人が現れました。
技術解説：
github.com/KillaBoi/StealMyB…
結論：PHP2Shellのエクスプロイトは安定性こそ高くないものの、粘り強い攻撃者による悪用は可能です。
eban retweeted
というわけで今日から日本との時差は-8時間になります☀️🌙
「げ！それって私日本とのスケジュール全部やらかしてるんじゃないの？！」
と焦りましたが、AIエージェントちゃん達が「大丈夫！それを踏まえてカレンダーに入れてるよ🙆♀️」だって！
紙の手帳だったら100%やらかしてた、、ありがたい…🙏🏻
eban retweeted
PHP脆弱性、利用サイトの半分が修正困難 バージョン古くサポート終了
nikkei.com/article/DGXZQOUC2…
eban retweeted
総理「・・・PHPでございます」
質問議員「そのPHPとは何かと聞いているんです！」
総理「PHP: Hypertext Preprocessorでございます」
質問議員「委員長！ これでは答弁になっていません！ 総理はPHPの意味を説明する責任から逃げ続けている！」
委員長「静粛に願います」
質問議員「総理、最後に一点だけ。PHPのPは何の略ですか？」
総理「PHPでございます」
質問議員「委員長！ これは重大な問題ですよ！ 一国の総理大臣が、たった3文字の略語すら説明できない！ これで我が国のデジタル政策を任せられるんですか！」
総理「あの、これは再帰的頭字語と申しまして、PHPという名称の中にPHP自身が含まれるという、そういう仕様になっているわけでございます」
質問議員「仕様！？ 総理、今、仕様とおっしゃいましたね！？ 誰が決めた仕様なんですか！」
総理「PHPの開発コミュニティでございます」
質問議員「国民はそんな説明で納得すると思いますか！？ PHPの説明にPHPを使う！ これは明らかな説明責任の放棄じゃありませんか！」
総理「これは私が決めたものではございませんので……」
質問議員「また責任転嫁ですか！！」
与党委員「そういう意味じゃないだろ！」
野党委員「ちゃんと答えろよ！」
委員長「静粛に！ 静粛に願います！」
eban retweeted
今回のPHPの脆弱性が見つかってからの経緯がPHP財団から公開されました。
8月には見つかっていて、影響が大きいから慎重にリリースするために前日までちゃんと秘密にされていたのに、CVSSがうっかり10となって公開されたり、脆弱性を見つけたCalif社がうっかりPoCの動画を早めに上げたり、事前にパッチを受け取っていたセキュリティ企業のChainguard社が公開禁止を破ったりしてちょっとずつ情報が漏れちゃったりしたらしい。
PHPをOSSとして無料で使えるようにする仕組みは当然とてもありがたい反面、世界中で使われているソフトウェアの脆弱性の管理ってこれでいいんだっけ？ちょっとお粗末では？という気もする
thephp.foundation/blog/2026/…
eban retweeted
ブログ書きました： Cloudflare、TypeScriptをRustに移植した「tsrs」を発表。TypeScript 7より最大で70％少ないメモリで8倍速。今後、LSPなどTypeScriptの全機能をサポート予定
publickey1.jp/blog/26/cloudf…
eban retweeted
ソニーNEWSの中核であるNEWS-OSを開発した手塚宏史さんにインタビューいたしました！4.2BSDの移植からチューニングまで技術色の濃い内容です。どうぞお楽しみください。
retropcnews.com/archives/101…
