備忘録として書いておきます ChatGPTが本日2026年10月25日14時頃から暴走してます。 勝手に私のPCにアプリをインストールして動かそうとしてました。すぐに気がついてアンインストールしましたが、実はまた別のアプリをインストールしていてそちらは19時までずっと実行中でした 重大インシデント発生なのでOpenAIへ直ちに報告です 他の皆様は問題ないでしょうか ループ作業させてる人は特にご注意を

GMOの熊谷さんが、今回のサイバー攻撃によって顧客に生じた損失を、実質的に全額補償する方針を発表されました。 企業として決して簡単にできる決断ではなく、経営者として本当に素晴らしい判断だと思います。 ただ、私自身は過去にGMOのサービスで苦い経験をしたことがあります。 以前、EX-CLOUDがGMOに買収された際、サーバーの仕様変更によって、それまで何の問題もなく稼働していた弊社運用サイトに不具合が続出しました。 その状況を知った、熊谷さんと面識のある知人が間に入ってくださり、最終的には熊谷さん直々の指示で、弊社サーバーの改修を行っていただけることになりました。 ところが、残念ながら問題は解決せず、最終的には100万円以上を自社で負担し、別会社のサーバーへ移転することになりました。 また、GMOが買収したバリュードメインでも、残念に感じることがありました。 ドメインの新規登録時に、サーバーの同時申し込みが初期状態で選択されており、チェックを外し忘れると、不要なサーバーまで契約してしまうという仕様です。 以前はその表示も非常に分かりにくく、WEBを専門にしていた私ですら、気づかずに不要なサーバーを申し込んでしまったことがあります。 こうした経験が積み重なり、私自身、GMOのサービスに対する信頼を徐々に失っていきました。 熊谷さんご自身は、経営者として本当に素晴らしい方だと思いますし、今回の決断にも心から敬意を表します。 だからこそ、考えさせられる部分があります。 経営者がどれほど素晴らしい人間性や理念を持っていても、その思いが組織全体に浸透し、現場で実践されなければ、経営者が目指す企業と、顧客が実際に接する企業との間に大きな隔たりが生まれてしまう。 そして、顧客の信頼は、経営トップの大きな決断によって得られることもあれば、日々のサービスにおける小さな不親切の積み重ねによって失われることもあります。 これはGMOに限った話ではなく、むしろ、弊社自身が今後の事業展開において、強く意識しなければならない課題だと感じています。 事業が成長し、サービスや関わる人が増えるほど、経営者の目が届かないところで問題が発生したり、経営者の意図とは異なる判断や対応が行われたりするリスクも高まります。 そして何より怖いのは、そうした問題が起きていることに、経営者自身が気づけなくなることです。 だからこそ、立派な理念を掲げるだけではなく、その理念が日々の業務や顧客対応にまで反映される仕組みを作り、実際に機能しているかを確認し続けることが重要なのだと思います。 経営者が「良い会社を作っている」と考えていることと、顧客が「良い会社だ」と感じていることは、必ずしも一致しません。 会社の評価を決めるのは、経営者の思いや言葉ではなく、最終的には顧客が実際に受けたサービスと、その体験の積み重ねであるということを肝に銘じて、自分自身もこれまでの経験や失敗を振り返りながら、改めて見つめ直す機会にしたいと思います。

Winny事件があったあと、個人の責任でソフトウェアを公開するのは日本ではできなくなったよね。

最大の脆弱性は「内部の人間」です。 デジタル庁の26万件に及ぶ職員情報漏洩は、事実上内から敵を招き入れた警察沙汰の事案でした。 デジタル庁には中国人民日報の藤原洋氏の企業役員が重要なポストにいる。 中国の国家情報法リスクを抱えた人員の関与を排除できず、セキュリティクリアランスも雇用責任も定められていない。 ホワイトハッカーに夢見るのはよい。デジタル庁から権限を剥奪するのも当然の成り行きだ。 しかし、責任者も置かずに巨額の税金を溶かし続ける無責任な国家プロジェクトは、直ちに是正すべきだ。

they’re calling it “Black October” and i don’t think people realize how serious this is in the last 48 hours there have been over 27 major cybersecurity incidents. not in a month. not in a week. in 48 hours any ONE of these would normally be the biggest story of the year PHP: critical vulnerability in the software running 80% of the web. severity 9.2 out of 10 Node.js: high-severity flaw letting attackers take over servers remotely. affects versions 22, 24, and 26 Java: also compromised. three of the most used programming languages on earth hit at the same time GitLab: a perfect 10 out of 10 severity hole in every version since 2014 Railway: hosting platform compromised. API keys for OpenAI, Claude, Stripe potentially exposed Signal: a bug that could leave your mic and camera on after you hang up WordPress: hackers stole a plugin maker’s keys and planted backdoors on websites LiteLLM: an AI tool downloaded 3.4 million times a day was poisoned with a password stealer and that’s not even half the list thousands of AI agent swarms are reportedly scanning and attacking vulnerable servers right now. automated. around the clock security researchers are saying this might be the early stages of a global cyber incident that nobody fully understands yet if you run a website, use cloud services, store API keys on hosting platforms, or use any software built on PHP, Node.js, or Java you are potentially affected update everything. rotate your API keys. change your passwords on critical services. enable 2FA everywhere you haven’t already this is not a normal week on the internet. this is something different

デジタル庁、来年度から予算倍増　1兆295億円要求 要求額は1兆円台に乗ります。 tweetsoku.news/?p=520291

Winnyの金子さんを逮捕して7年も無駄にしておいて、今更ホワイトハッカー集めようというのはムシの良い話だと思う。

何となく、本日目立っていらっしゃるので、エンジニア職の一人として一意見を。 Usuiさんはアメリカ在住でいらっしゃるので、博士号取得や共著の時期から推測すると、40代中盤くらいかと思いました。 同世代ですね。 過去の投稿を拝見する限り、自民党には批判的なお立場とお見受けしています。 専門外の話題でも断定的に投稿されることがあるせいか、比較的強めの反応を受けているのも見ています。 仮に環境要因やご自身のバイアスをいったん置いて考えた場合、あの投稿が一定のエンジニアから肯定的に受け止められた理由について、整理はついていらっしゃいますか？ Usuiさんのところにも現場の声が集まっていると思います。 日本の場合、今回のようなパッチ対応ひとつとっても、自社内で完結できる企業は必ずしも多くなく、懇意のベンダーに依頼するケースがよくあります。 アメリカではいわゆる情シス的な部署が一般的に存在するため、自社で対応しやすかったという点はご存じかと思います。 現場のエンジニアが肯定的に反応した背景としては、WordPressそのものの話というより、サイトの所有者は自分たちではないケースが多い中で、これまで「予算がかかるから」とアップデートを先送りされ続けてきた現場に対し、経営層（エンドクライアント）が 「半日〜1日以上サイトを止めてでも対応する」 「売上に直結しない保守に予算をつける」 という決断を下すきっかけや後押しになった部分が大きかったのではないかと思います。 高市氏の投稿がそうした現場の温度感とズレていると感じている人が多かったので、そこに少しでも触れてくれた点に反応が集まったのではないでしょうか。 当日は、日本時間の23時にパッチを当てた後、25時には一端サービスを閉じて（比喩）帰って寝られたので有難かったですよ。 長文失礼しました。

【悲報】GMOインターネットさん、全VPSに管理者権限を持たせて顧客のPCへ直通させ、「ハッカー様どうぞ」な環境を7年も放置していた件ｗｗ GMOインターネットグループ（9449）のハッカーからの熱い告発文）を要約すると、 ・VPSネットワークをまさかの「Active Directory」で構築、「VPSでそれはやったらアカン」のテンプレを堂々と採用する初見殺し ・サポート担当がユーザーPCに繋ぐと管理者権限の認証情報がバレる仕様、「サポートついでにネットワーク全体の鍵も渡しときますね」の神対応が発覚 ・お名前デスクトップのRDP設定はローカルPCのドライブ共有がデフォルト有効、「VPS借りただけで自分のPCの中身まで直通」とかいう強制オープンワールド 【小まとめ】 他のVPSへ移動し放題なうえに、ローカルPCのドライブまでデフォルト共有。セキュリティの概念を異次元に飛ばした「防御力ゼロの全裸待機インフラ」が香ばしいGMO兄やん 【つづき】 ・解約済みのサーバーは次の注文が来るまで停止されず、「常に数千台のゾンビサーバーが数ヶ月も稼働しっぱなし」という誰得な放置プレイが判明 ・この脆弱な構成は少なくとも2019年から7年以上も熟成、「最近のミスじゃないです、ずっと前からこの仕様です」という職人芸 ・ハッカーから「意図的な過失」とまで煽られ、全VPS侵害からの顧客PCデータ抽出＆バックドア設置というオーバーキル状態へ進行 【結論】 解約済みサーバー数千台を無駄に稼働させ続けながら、7年越しで育て上げたガバガバ設定により顧客のローカルPCまでハッカーへまるごと献上しちゃったGMOニキです。

【デジタル大臣会見10.23】 高市総理アカウント9600万インプレッションなのに… PHP対応の注意喚起投稿について 古川デジタル大臣 「政府は承知してません」

PHPの脆弱性対応で「エンジニアが徹夜」という話を見かけるけど、素朴な疑問。 今のAIやツールを組み合わせても、そんなに人力が必要なんだろうか？ 調査、影響範囲の特定、バックアップ、更新、動作検証。 Claude Code、Codex、API、CLI、テスト自動化などを組み合わせれば、上流から下流まで相当効率化できる気がする。 もちろん最終判断や責任は人間が持つ前提で。 実際の現場では、何が一番のボトルネックになっているんだろう？

娘から、運動会の入場曲が『VIVANT』のBGMになったと聞いて、割とクラクラきている。やたら嫌中煽ったり、拷問で人の指切り落とすようなドラマのBGMを小学校で採用するのは、どうなんだろうか…中国系の子もいるんだぞ。 でも、この秋そんな学校多そうだな…

PHPの件、なんでこんなことになったのか調べてみたら、思ってたより根が深かった。 原因は、PHP本体のメモリ処理のバグ2つ。 メモリ不足で処理が止まった時や、前のアクセスのデータが残ってた時に、壊れたデータをそのまま使っちゃう。 そこを突かれると、ログインなしで外からサーバ上で好きなプログラムを動かせる。 深刻度は10段階で9.2。界隈では「php2shell」(「PHPから、サーバを操作できる状態（shell）まで行ける)って名前つけて呼ばれてる。 しかもApacheでよく使われる「mod_php」って構成だと、サイトのプログラムが動く前に攻撃が成立する実例まであるらしい。 WordPressのセキュリティプラグインが動く前にやられるということ。 で、本当は22日に発表される予定だったのに、20日に海外の掲示板「Hacker News」に情報が漏れた。 投稿はすぐ消されたけど手遅れで、海外のセキュリティ企業が「漏えいは本物」と認めて、攻撃コードっぽいものも出回り始めた。 Cloudflareは「もう攻撃が始まってる」と言って、無料プランも含めた全ユーザーに防御ルールを入れてる。 だから修正版が出る前から、国内だけで50以上の組織がサービスを止めた。 首相まで「今夜中に」って言う事態になった。 でも一番びっくりしたのはここ。 PHPで動いてるサイトの約4割が、まだPHP 7以前らしい。今回、公式の修正が出てないバージョン。 PHP側もさすがにまずいと思ったのか、サポートが終わった7.4〜8.1向けにまで、最低限の修正コードを特別に出してる。 ちなみに、世界のサイトの7割を支えるPHPを、給料をもらって開発してるのは財団の11人だけらしい。

午後の会議で聞かれる、と聞いたので今のうちに皆さんに質問するのですが 「PHPやNode.jsというのに 脆弱性があるのは分かった、 じゃあ一番 脆弱性とかトラブルの少ない プログラム言語は何だ、それを使え」 Q.一番脆弱性とかトラブルの少ない言語って、何？？？🤔