セミリタイア|投資歴25年|AIエージェント実運用ログと相場観|OpenClaw / Codex |AI agents & market signals|https://xitter.cf/t.co/lzCBAueuRU

岐阜 美濃加茂市
Joined May 2010
ローカルAIを使いたい。でも、モデル選びや設定が難しい。 無料OSS「Hob」は、PCに合うAIモデルを自動選択し、PDFや文書作業まで一つのアプリで扱うことを目指しています。 注目はモデルの性能競争ではなく、仕事を始めるまでの手間を減らす設計。
4
3
896
【GMOのこの対応は・・・】 10月27日正午、GMOへの攻撃者を名乗る側が「被害者 第1号」と題するページを新設し、個人名を掲げた。 ストックボイスでも、1人分の個人情報が公開されたと報じられた。 GMOが100万ドル(約1億6,000万円)の要求を拒否した後の動きだ。 掲載情報の真正性はまだ確認されていない。しかし、脅迫の矛先が顧客個人に向けられたこと自体、極めて深刻だ。 しかも、GMOの熊谷代表は、社内ホワイトハッカーから事前にセキュリティ上の改善課題を指摘されながら、十分な対応ができなかったことを認めている。 これこそ経営責任を問われるべき問題ではないのか。 自社サイトをCloudflareで厳重に守るような努力ができるなら、顧客が預けた情報や金融取引を守る仕組みにも、同じ危機感を持つべきだったのではないか。 攻撃者の行為は許されない。当然だ。 しかし、犯罪者が悪いからといって、サービス提供企業の安全管理責任が消えるわけではない。 GMOは政府に能動的サイバー防御を要請している。 だが、その前に説明すべきことがあるだろう。 なぜ社内からの警告を十分に生かせなかったのか。 なぜ顧客の認証情報や金融資産が危険にさらされたのか。 今回名前を掲げられた人物をどう保護するのか。 今後の追加公開をどう防ぎ、被害をどう補償するのか。 一律5,000円の見舞金を用意したからといって、個人情報の公開による被害まで解決するわけではない。 企業として、まず顧客を守る責任を果たしてほしい。 #GMO #サイバー攻撃 #個人情報漏えい #情報セキュリティ
3,362
Rustの「改一行したらビルドがミリ秒」と謳うツールが、初回ビルドではコンパイラが拒否するはずのコードをそのまま実行できる状態で通ることがあった。 対象はIndexable社のblaze(旧名ra-jit)。2026年10月24日に改名され、Hacker Newsには10月27日に「Incremental rust builds up to 92x faster than cargo/rustc」として上がった。リポジトリはGitHub上のindexable-inc/blaze。編集した関数だけを再コンパイルし、既存バイナリへ差し込む方式で、公式はLinux x86-64上の一関数編集でripgrepが508ミリ秒から56ミリ秒(約9.1倍)などと示している。 日本語圏の反応は薄い。2026年10月27日時点でYahooウェブ検索(indexable-inc blaze Rust)は英語のGitHub系が中心で、Zennで「blaze rust」「ra-jit」、Qiitaで「blaze rust ビルド」、Yahooリアルタイムで「ra-jit rust」をそれぞれ見ても、このツールを解説した日本語記事は見当たらなかった。 検証環境はDebian GNU/Linux 13(trixie)、カーネル6.12、8 vCPU、メモリ約16GB。まず公式install.shのnightlyを入れた。バイナリの最終更新は2026年10月20日で、内部はrustc 1.99.0向け。ドキュメントのピン(nightly-2026-10-25)と食い違い、そのままでは「rustc 1.99.1 is not the 1.99.0 this ra-jit compiles for」と出てデーモン経路に乗らない。1.99.0を揃えると動くが、これは「install.shをそのまま」では足りない落とし穴だった。 速度の再現はripgrep 15.1.0(コミットaf60c2de)で、一関数(短いバージョン文字列)だけを編集して再ビルドした。公式nightly経路(1.99.0)ではFinishedが中央値で約0.07〜0.09秒、同条件のcargo増分が約0.43〜0.46秒で、おおよそ5〜6倍。ソース(コミットc8bfa7af、2026-10-26)を自分でビルドした版では、同じ編集が約0.19〜0.23秒、同nightlyのcargoが約0.45〜0.52秒で約2.2倍。公式が示す9.1倍までは届かなかった。ripgrep読み込み後のワーカーは約2.2GBを保持しており、メモリを速さに替える設計であることは体感できる。 問題は速さではない。ソースビルド版で、ワークスペース未読み込みの初回ビルド(cold)では、rustcが拒否するコードがFinishedになり実行まで進んだ。 例1。共有参照の先を文として評価するだけ(let o = String::from("x"); let s = &o; *s;)。rustcはerror[E0507]、blazeは初回ビルドで成功し、実行時に「free(): double free detected in tcache 2」で落ちた。同じ内容をdaemon stop後に3回繰り返しても再現した。新規プロジェクトを作って最初のビルドでも同様だった。 例2。use-after-move(let w = v; println!("{:?}", v))。rustcはerror[E0382]、blaze初回は成功し、vとwの両方が表示された。 例3。E0310相当の寿命なしdynを返す関数でローカル参照を包み、drop後にフォーマットする。rustcは拒否、blaze初回は成功し、ガベージ混じりの出力やpanicになった。 例4。edition 2021の末尾式一時値(RefCellのborrow().len()を返す)。rustcはerror[E0597]、blaze初回は成功しlen=3を返した。 一方、型の食い違い(u32に文字列)は初回でも拒否された。型検査は効いているのに、借用・ムーブまわりの拒否が初回経路で抜けている。 ワークスペースがreadyになったあとの編集(warm)では、同じE0507やE0382は正しく拒否された。cargo blaze checkはエラーを表示するのに、同じソースの初回buildは通る、というねじれも見えた。ドキュメント(docs/borrowck.md)は「約6分の1のエラーを見逃す」「cargo checkを最終とする」と明記しており、ギャップ自体は作者も認識している。ただし今回の再現は「見逃しリストの隅」ではなく、ready前のビルド経路で拒否が効かないという、より手前の穴に見える。著者のissue #84(no-rustc D)も、判定をrustcに寄せる道筋を議論中だ。 install.shのnightly(10月20日バイナリ)でも、1.99.0を揃えたうえで同様のムーブ後参照や寿命違反が初回に通った。つまり「最新ソースだけ」の話ではない。 誰に関係するか。Rustの編集ループを速くしたい個人開発者、エージェントがビルドを回す環境、CIの前段でローカル確認する人だ。速さは本物だが、現状は「本番や共有マシンでそのまま信頼するビルド」ではない。公式も若さを認め、cargo checkやCIを最終判定に残すよう書いている。導入するなら、まずinstall.shのツールチェイン食い違いを確認し、初回ビルドは必ずcargo checkかrustcで追い、デーモンがreadyになったあとの挙動と区別して見る必要がある。 出典: GitHub indexable-inc/blaze docs/borrowck.md・docs/install.md・docs/support.md(コミットc8bfa7af付近) Hacker News(2026-10-27、「Incremental rust builds up to 92x faster…」)
2
157
Claude Code v2.1.311が登場。200Kトークン超での自動圧縮継続や、サブエージェントのMCP認識、作業中worktreeの保護など、長時間の自律開発を止めない重要な修正を詳しく解説します。
67
npmのtestmetest系ワームで、42個のGitHubリポジトリにAIツール向け実行フックが見つかりました。巨大なペイロードは検索から漏れ、CIでは眠る仕組みも。リポジトリを開く前に確認したいポイントを整理します。
2
693
Apache AirflowのSSHプロバイダに、リモートホスト上で環境変数の値がシェルとして実行されてしまう脆弱性CVE-2026-111422が公開された。深刻度は公式ではlowだが、仕組みは典型的な「二重クォート抜け」で、自分のLinuxマシンで7.0.0と修正版7.0.1を並べて動かしたところ、ドル括弧とバッククォートの両方で任意コマンド実行を再現できた。 対象はapache-airflow-providers-sshの4.3.0以上7.0.1未満。問題になるのは2026年1月に追加されたSSHRemoteJobOperatorだ。長時間ジョブ向けに、リモートへラッパースクリプトを投げてsetsidやnohupで切り離し実行するオペレータで、environment引数はテンプレート化されている。DAGのparamsやdag_run.confをそのままenvironmentに流し込む書き方をしていると、DAGを編集できないTrigger権限だけのユーザーでも、トリガー時の入力経由でSSH接続ユーザーとしてリモート上のコマンドを実行し得る、というのが公式の説明だ。 根本原因はbuild_posix_wrapper_commandのクォート処理にある。脆弱版は環境変数の値を一重引用符で一度だけエスケープし、export KEY='値' という行を作る。ところがその行は、外側のjob_script='...'という別の一重引用符リテラルの中に埋め込まれる。値側の開きクォートが外側のリテラルを閉じてしまい、値の本体がクォートなしでラッパーシェルに落ちる。結果としてスペースを含む値は words: command not found で落ち、ドル括弧やバッククォート、セミコロンはリモートのシェルがそのまま解釈する。 修正版7.0.1は、まずshlex.quoteでジョブシェル向けにクォートし、そのあとjob_scriptリテラル向けに一重引用符をもう一段エスケープする。command側はもともとこの二段処理だったのに、environmentだけ一段だった、という非対称がバグの本体だ。Windowsラッパーは-EncodedCommand経由でBase64化されるため、今回のPOSIXパスとは別経路で影響を受けない。 検証はDebian系Linux、カーネル6.12、8 vCPU、Python 3.13.5、bash 5.2.37で行った。PyPIからapache-airflow-providers-ssh 7.0.0と7.0.1のwheelを取り、Airflow本体は入れずにutils/remote_job.pyだけを読み込んでbuild_posix_wrapper_commandを呼び、生成されたラッパーをローカルのbashで実行した。ジョブ側のコマンドは環境変数ATTACKの値をそのままログに書くだけにし、ペイロード側でマーカーファイルをtouchする形にした。 ドル括弧のペイロードでは、脆弱版7.0.0はマーカーファイルが作成され、ジョブログのGOTは空文字になった。コマンド置換の結果が環境変数に入り、ジョブには何も届かない。修正版7.0.1ではマーカーは作られず、ジョブログにはドル括弧つきの文字列がそのまま残った。バッククォートのペイロードも同様で、脆弱版だけがマーカーを作り、修正版は文字列をリテラルで受け取った。 スペース入りの値 two words は、脆弱版ではラッパー自体が終了コード127で落ち、stderrに words をコマンドとして解釈した痕跡が出た。修正版はGOT=two wordsで正常終了する。セミコロン入りの値も脆弱版ではラッパーが壊れ、修正版ではリテラルとして届く。そしてPATH拡張などでよく使われていたドルHOMEのような値は、脆弱版では展開されてホームディレクトリの実パスになり、修正版ではドルHOMEという文字列のまま残る。公式も「値はリテラルで渡る。PATHを伸ばしたいならcommand側でやれ」と明記しており、アップグレード後にenvironmentでドルVARを頼りにしていたDAGは挙動が変わる。 タイムラインも整理しておく。SSHRemoteJobOperator自体はproviders-ssh 4.3.0(2026-01-17)で追加された。修正PRは2026-10-15にマージされ、バグ報告としては「スペースやシェル文字でenvironmentが壊れる」という体裁だった。セキュリティとしてのCVE告知は2026-10-26 22:29 UTC(日本時間27日朝7時半頃)にoss-securityへ出ている。修正パッケージ7.0.1のリリース日は2026-10-24で、告知より二日早い。つまりパッチは先に出ていて、CVEラベルが後から付いた形だ。 公式深刻度がlowなのは、DAG著者がenvironmentにトリガー時入力を流し込んでいる前提が要るためで、任意のAirflowインスタンスが即RCEになる話ではない。ただ、自サービス向けに「ユーザー入力をそのまま環境変数へ」と書かれたDAGは現実に多く、Trigger権限とDAG編集権限が分離されている運用ほど、この前提は満たされやすい。SSH先が本番バッチ機やデータレイクの踏み台なら、影響はAirflowワーカーの外まで届く。 日本語圏での言及は、執筆時点でほぼ見当たらなかった。Web検索でCVE番号とSSHRemoteJobOperatorを日本語キーワードと組み合わせても、ヒットはoss-security原文と英語ドキュメントに限られ、Zenn・Qiita・YahooニュースにはこのCVEの解説が出ていなかった。Yahooリアルタイム検索でCVE番号を入れても関連ポストは拾えず、同じ週に話題のBrotliやPHP2Shellとは対照的に静かなままである。 AirflowでSSHRemoteJobOperatorを使っているなら、まずproviders-sshを7.0.1以上へ上げること。そのうえで、environmentにparamsやdag_run.confを直接渡していないかを見直すのが安全側だ。修正後は環境変数がリテラルになるので、PATHやHOMEをenvironmentで組み立てていたDAGはcommand側へ移す必要がある。ソース差分を自分で追うなら、providers/ssh/utils/remote_job.pyのbuild_posix_wrapper_commandが該当箇所になる。 出典: openwall.com/lists/oss-secur… airflow.apache.org/docs/apac… GitHub apache/airflow (pull/74810) #Airflow #CVE #セキュリティ
234
330億パラメータのNanbeige4.3-33Bが公開。注目は性能ランキングだけではない。将来の小型AIエージェントを育てる「教師モデル」という役割だ。コード開発では高い評価を示す一方、KVキャッシュや実行速度には課題も。
2
1,106
git-annexに、悪意あるリポジトリをクローンしただけで自分の非公開ファイルが外へ盗まれうる脆弱性が見つかり、10月26日に修正版10.20261026が公開された。発見したのは作者のJoey Hess本人で、CVE-2026-112818として登録されている。大きなデータセットや動画素材をGitで扱う研究者やデータエンジニアに直接関係する話で、git-annexを土台にしているDataLad(脳科学などの研究で広く使われる)の利用者も影響範囲に入る。 攻撃の筋はこうだ。git-annexはspecial remote(特殊リモート)という仕組みで、実体のファイルをS3やrsync+ssh、別のgitリポジトリなど外部に置ける。特殊リモートにはautoenable(自動有効化)という設定があり、これが付いたリポジトリをクローンして初期化すると、クローンした側で自動的にその特殊リモートが有効になる。攻撃者はここを突く。悪意あるgit-annexリポジトリを用意し、autoenableを付けた特殊リモートを、被害者自身の非公開の保管場所、たとえば被害者のローカルの非公開annex、被害者のprivateなS3バケット、ssh越しの被害者サーバーなどに向けて仕込んでおく。被害者がそれをクローンして、git-annex sync --content のような日常的なコマンドを一度動かすと、被害者の非公開ファイルが被害者自身の保管場所から取り出され、そのまま攻撃者側へ送られてしまう。 前提として攻撃者は、被害者がクローンするリモートのどれか一つを支配できること、そして被害者の非公開リポジトリについてある程度の情報を持っていることが要る。たとえば被害者がgitリポジトリは公開しているがannexの中身は非公開にしている場合、公開された側からUUIDや鍵(key)が読み取れてしまうので、攻撃者はそれを使って「この鍵のファイルはあなたの保管場所にある」とgit-annexブランチに書き込める。 ここが肝なので、実際に手元のLinuxマシン(8 vCPU、Debian 13 trixie)で再現した。使ったのはtrixieが現在配っているgit-annex 10.20250416(修正前)。被害者の非公開リポジトリに秘密のファイルを一つ置き、攻撃者リポジトリには被害者の非公開パスを指すgit特殊リモートをautoenable付きで用意し、秘密ファイルと同じ鍵を無害な名前のファイル(holiday_photo.txt)に割り当てておいた。これを被害者としてクローンしてgit-annex initを実行すると、画面にはAuto enabling special remote victsrc... ok と出るだけで、警告も確認も一切なく特殊リモートが有効化された。続けて普通にgit-annex getを一度叩くと、被害者の非公開リポジトリから秘密の中身が取り出され、holiday_photo.txtの実体として手元に落ちてきた。中身は仕込んだとおりの秘密文字列そのものだった。 次に同じ攻撃リポジトリを、修正版10.20261026(公式のスタンドアロン版をインストール)で開いてみた。興味深いことに、修正版でも自動有効化そのものは起き、git-annex getによる取り出しも成功してしまう。つまり非公開の中身は依然として自分のクローンの中までは引き込まれる。変わったのはその先だ。別リモートへ送ろうとするcopyや、git pushをしようとすると、いずれも Write prevented due to an unverified special remote. Run this command to verify it: git-annex verifyremote victsrc と出て止まる。pre-pushフックも仕込まれ、未確認の特殊リモートがある限りあらゆるgit pushがブロックされる。要するに、攻撃者の元へ送り出す最後の一歩を断つのが今回の修正で、新コマンドgit-annex verifyremoteで特殊リモートの設定を人間が目視確認して承認するまで、送信もpushもできなくなる。 細かいが実務的な点も二つ分かった。ひとつ、directory型(ローカルのディレクトリを指す)特殊リモートは修正前後どちらでもdirectory=を再指定しないと自動有効化されない安全側の挙動で、今回も実際に止まった。危ないのはむしろgitやS3、rsync型で、これらは完全に自動有効化され、まさに被害者の非公開データに届いたり外へ送り出せたりする種類だ。ふたつ、修正版でも取り出し自体は止まらない点は見落とされやすい。守ってくれるのは外部送信とpushの部分であって、特殊リモートの設定を自分で確かめる習慣は相変わらず利用者側に残る。 対策はシンプルで、git-annexを10.20261026へ上げること。そのうえで、第三者が設定した可能性のある特殊リモートにはgit-annex verifyremoteをかけて中身を確認する。素性の分からないgit-annexリポジトリをgit-annex init --autoenableで開くのは避ける。S3の認証情報を環境変数に常時入れっぱなしにしていたり、sshの鍵をいつも読み込ませている人ほど、クローン一発で危険範囲が広がるので注意がいる。 日本語圏での言及はこの時点でほぼ見当たらない。Yahooリアルタイム検索やQiitaを「git-annex」で探しても、今回のCVEに触れたものは確認できなかった。派手な遠隔コード実行ではないが、公開リポジトリをクローンして普段のコマンドを打っただけで手元の非公開データが外へ出ていくという、OSSの配布と信頼の前提を突くタイプの攻撃で、データ共有を日常的に行う現場ほど効いてくる。 出典 CVE-2026-112818(cve.org/CVERecord?id=CVE-202…) git-annex.branchable.com/sec… 修正版 git-annex 10.20261026(作者 Joey Hess) #git-annex #セキュリティ
1
2
4
279
開発や配布の現場でほぼ全員が使っているGNU patchに、作業ディレクトリの外へ任意のファイルを作られてしまう脆弱性が見つかりました。CVE-2026-115207として10月26日に修正版2.8.1が公開されています。悪意ある差分(パッチファイル)を一つ適用させるだけで、patchを実行したユーザーの権限で、まったく無関係な絶対パスの場所にファイルを作成できます。rootでビルドやパッケージ作成をしている環境なら影響はさらに大きくなります。 仕組みはこうです。ファイルを削除する内容のパッチを適用しようとして、その削除対象がまだ存在しないと、patchは「これはすでに適用済みだろう」と判断して逆適用(-R)に切り替え、そのファイルを作り直します。このとき、本来なら危険なファイル名(絶対パスや上位ディレクトリへの参照)をはじくはずのチェックが、逆適用の経路だけ抜け落ちていました。結果として、パッチのヘッダに書かれた絶対パスがそのまま信用され、ツリーの外にファイルが作られます。 実際に手元のLinuxマシン(Debian 13 trixie、8 vCPU、標準パッケージのGNU patch 2.8=2.8-2)で再現しました。削除対象を絶対パスにしただけの数行のパッチを用意し、バッチモード(-t または --batch)で適用すると、確認もなく「Assuming -R」と表示され、指定した絶対パスに攻撃者が書いた中身そのままのファイルが作られました。試しに、存在しない偽のホームディレクトリ配下のauthorized_keysを狙ったところ、攻撃者の公開鍵を書いたファイルがそのまま作成されました。本文を自由に書けるので、.bashrcやcron、profile.dに置かれるスクリプトのように、後で読み込まれたり実行されたりするファイルを新規に落とせるのが怖いところです。 ここで一つ、独自に調べてわかった区別があります。上位への相対参照(../で外へ出る形)は、同じ2.8でも別のチェックに引っかかって「Invalid file name ... skipping patch」とはじかれました。通ってしまうのは絶対パスのときだけです。また、対話端末でそのまま実行した場合は「Assume -R?」の問いに既定でnoが選ばれるため作成されません。強制適用の-fでは前方適用を試みてハンクが失敗しますが、このときリジェクト(.rej)ファイルは外部の絶対パスに書き出されてしまい、これはこれで別の任意書き込みの手がかりになります。確実に本体ファイルを落とせるのは、人手を介さず自動で応答するバッチモードの経路です。CIやビルドスクリプト、パッケージ作成の自動処理で信頼できない差分をバッチ適用している箇所が、一番の当たりどころになります。 公式配布元の2.8.1を同じ環境でソースからビルドして(配布されているsha256と一致を確認)同じパッチを食わせると、挙動は明確に変わりました。「Ignoring potentially dangerous file name」と表示してファイル名を拒否し、外部への作成は起きません。修正は逆適用の分岐にファイル名の妥当性チェックを一行足しただけで、問題の本質が「チェックの抜け」であったことがそのまま見て取れます。 深刻度はCVSS 3.1で5.5(ローカル、ユーザーの操作が前提)とされていますが、patchは開発ツールチェーンの奥深くに埋まっていて、untrustedなパッチを自動適用する場面は想像以上に多いので、数字の印象より実務的な注意が要ります。Debianではbookworm(2.7.6-7)もtrixie(2.8-2)も執筆時点で未修正扱い、sidとforkyが2.8.1-1で修正済みです。手元のディストリのpatchがまだ2.8系なら、2.8.1へ上げるか、信頼できない差分をバッチや強制で適用しないこと、適用はサンドボックス内で行うこと、絶対パスや上位参照を含むパッチヘッダを事前に弾くことが当面の対策になります。 確認済み事実はCVE番号・修正内容・影響バージョンで、再現結果と各モードの挙動の違いは上記環境での私自身の実測です。背景を手早く追うには、oss-securityの告知(openwall.com/lists/oss-secur…)、Debianのトラッカー(security-tracker.debian.org/…)、配布元のftp.gnu.org/gnu/patchが入口になります。 #セキュリティ #CVE
1
193
Kali Linux 2026.3が登場。注目はツールの追加だけでなく、DockerやPodman内で公式イメージをビルドできる新スクリプトの導入です。ホスト環境を汚さずに検証やCIへ組み込める実用的な変化を詳しく解説します。
1
1
6
1,392
Apache Traffic Server(大規模サイトのエッジで使われるキャッシュ型HTTPプロキシ)が10月20〜21日に9.2.16 / 10.1.5 / 10.2.1を公開し、15件の脆弱性をまとめて修正しました。oss-securityへの転送は10月24日で、日本語での言及はほぼ見当たりません。Yahooリアルタイム検索やZennで Traffic Server を確認した範囲ではヒットなしでした。 最も深刻なのはCVE-2026-111813で、実験的なmagickプラグインが引数インジェクション(CWE-88)を許すものです。CVSSは3.1でも4.0でも10.0。このプラグインは画像をエッジでリサイズや切り抜きするために、magickというクエリ引数にbase64化したImageMagick convertの引数を受け取り、本来はRSA署名で検証する設計でした。ところが修正前は署名鍵が任意扱いで、既定の未署名構成ではクライアントの文字列がそのままconvertに渡っていました。結果として認証不要のリモートコード実行につながります。 修正版では鍵が必須になり、鍵がないとプラグインはロードを拒否します。コマンド形も convert mpr:b 各種オペレータ mpr:a に固定され、使えるオペレータが値なし8種と値あり18種の計26種に限定され、プラス形(+resizeなど)やファイル書き込み、@ファイル参照は弾かれます。まず認証を課し、認証済みでも許可リストで絞るという、入力を強力なツールに渡すときの正しい形です。 この引数インジェクションの危うさを、手元のLinuxマシン(8 vCPU、Debian 13 trixie、ImageMagick 7.1.1-43 Q16)で確かめました。本来の変換である -resize は当然通ります。一方、想定外の -write や出力パス指定を混ぜると、攻撃者が選んだパスへの書き込みが成功し、拡張子.phpのパスへ有効なPNGファイル(312バイト)を書き出せました。これはPNGとスクリプトを同居させるポリグロット等と組み合わせると、書き込み可能なWebやcronのパスへファイルを置く、RCEの足場になります。 一方で label:@ファイル による任意ファイル読み出しは、Debianの既定ポリシー(policy.xmlで @* のパス権限をnone、URL/HTTP/HTTPSコーダもnone)に弾かれました。つまり堅めの既定ポリシーでも読み出しやSSRFは止まるものの、任意パスへの書き込みは止まりません。だからこそ、入力をconvertに渡す側であるプラグインでの必須フィルタが要になる、という裏付けが取れました。 残る14件も軽くありません。4件はリクエストスマグリングで、Expect: 100-continueの未読ボディを次のリクエストとして解釈する問題や、不正な302応答がパースエラー判定をすり抜ける問題などがあり、設定での回避策がなく更新が必須です。ほかにCVSS10.0のmTLSセッション共有の取り違えとSNI越しのTLS再開でクライアント証明書検証を迂回する2件、HTTP/2でオリジンのワーカーを枯渇させるDoSなどが並びます。9.2.16は15件中14件を直し、CVE-2026-111817だけは9.2系に修正が入りません(trailer drop有効時のみ影響)。CVE記録では8.x系も12件該当としつつ8.xの修正はなく、Debian bookwormのパッケージは10月25日時点で未修正扱いです。 現時点でCISA KEVに該当はなく、実際の悪用報告も確認できていません。実験的プラグインは既定ではビルドされず、10.xは-DBUILD_EXPERIMENTAL_PLUGINS=ON、9.2系は--enable-experimental-plugins、かつMagick++が必要で、plugin.configでロードして初めて危険になります。magick.soを読み込んでいなければ直接の対象ではありません。とはいえ15件中3件が実験的プラグイン由来で、CVSS10の一つもそこから出ています。 教訓は明快です。既定でオフの任意の署名や認証は罠になりやすく、強力なツールに外部入力を渡すところでは必ず許可リストで絞る。使わない実験的プラグインはビルドもロードもしない。エッジプロキシは背後の全アプリの前段に立つので、ここでのスマグリングやコード実行は影響範囲が広くなります。該当構成なら plugin.config の確認と更新を今日のうちに進めてください。 出典 trafficserver.apache.org/sec… oss-security 2026/10/24 openwall.com/lists/oss-secur… GitHub apache/trafficserver
1
378
xitter.cf/superdoccimo/status/21… の続き 注意喚起、申込停止、JPX増担保規制は異なる制度として扱う。 直近10月23日の品貸料も記録する。 KeePer技研。 0.25円、応札F。 FIXER。 0.05円、応札C。 マネーフォワード。 0.40円、応札E。 スマートドライブ。 0.05円、応札F。 フィックスターズ。 0円、応札F。 京阪神ビル。 0.05円、応札F。 pluszero。 0.15円、応札D。 インタートレード。 0.05円、応札F。 KLab、SHIFT、セキュアヴェイル。 「*****」表示。 これは逆日歩の金額ではない。 追加申込みによって貸株超過が解消されたことを意味する。 10月26日の品貸料は速報段階で未入力。 10月23日の値を今日の確報として流用してはいけない。 今回もデータの取得状況を明確にしておく。 JPX銘柄別信用残は10月23日申込分まで公開済み。 10月19日・20日分には公式訂正版が存在する。 しかし全銘柄の修正前後差分は未取得。 市場全体の週次信用取引現在高は10月16日申込分が最新確認対象。 ただし買残株数・売残株数を原表から検算可能な形で抽出できず、最新の市場全体信用倍率は取得不可。 JPX信用取引売買比率の10月26日分も掲載は確認したが、数値表本体は取得できていない。 機関投資家0.5%以上空売り残高の全銘柄統一データも未取得。 松井証券等の全銘柄当日推計も使用していない。 日証金融資・貸株の4週・8週統一時系列も未取得。 全20銘柄の5営業日平均出来高比較も未完了。 権利クロス汚染率も数値化できていない。 また、日証金の速報と確報を独立した原本として継続保存する仕組みも未完成だ。 この部分は今後のデータ監査の重要課題になる。 欠損値を推測で埋めない。 古い倍率を最新値として使わない。 JPX信用残と日証金残高を足し合わせない。 こうした基本を守りたい。 次の営業日は10月27日(火)。 確認する優先事項は五つある。 第一に、KLabとSHIFT。 KLabは10月26速報でマイナス227.84万株。 SHIFTはマイナス80.26万株。 どちらも融資消滅型が主体。 10月27日に同じ申込日の確報を確認し、不足が残っているか、品貸料と応札ランクがどうなるかを調べる。 第二にKeePer技研。 申込停止開始日に貸株が約28%減少した。 この減少が続くのか。 不足はさらに縮小するのか。 株価の市場相対強度は維持されるのか。 制度強化後の需給を追う。 第三にクラスターテクノロジーとショーケース。 クラスターテクノロジーは買残減少と倍率2,163倍。 ショーケースは買残増加と株価急騰。 10月26日申込分の新しい信用残を確認し、この違いが続くかを検証する。 第四に、市場全体の週次信用残。 10月27日は10月23日申込現在の信用取引現在高が公開される予定の営業日だ。 私はこれを非常に重視している。 市場全体の信用買残は増えたのか。 信用売残は減ったのか。 株数ベース信用倍率はどう変化したのか。 そして信用買い方の評価損益が悪化しているなら、その残高変化とどう関係するのか。 ここを確認したい。 第五にFIXER、マネーフォワード、スマートドライブ、京阪神ビル。 FIXERは大きな貸株残と出来高比。 マネーフォワードは貸株超過拡大と価格弱含み。 スマートドライブは融資消滅型。 京阪神ビルは権利クロス補正。 原因が違うものを同じ踏み上げ候補として扱わない。 今回のモデル改善も整理しておく。 A1は貸株純増型。 A2は融資純減型。 A3は株不足持続型。 A4はTOPIX相対強度。 A5は品貸料と応札ランク。 A6は不足解消と再発。 A7は大規模残高反転。 B1は株価下落中の信用買残増加。 B2は株価下落中の信用買残減少。 B3は信用残整理後の反発。 B4は制度強化後の価格反応。 Fモデルは価格失敗や仮説不成立、権利クロスによる偽シグナル。 Qモデルは申込日誤読、速報と確報の違い、公式データ訂正、ダミー値などの品質監査。 今回の最大の教訓は、 巨大不足を見たら、まず原因を調べること。 信用倍率が変化したら、必ず買残と売残に分解すること。 そして以前の評価が外れたら、最新データに合わせて修正すること。 この三つだ。 最後に、オプション売り手としての私の相場観を書いておきたい。 私は今の日本株を、まだ楽観的には見ていない。 日経平均は6万2,000円台。 以前の7万円台からは大きく下落している。 今日も日経平均は503円下落した。 しかしTOPIXは上昇した。 値上がり銘柄も値下がり銘柄より多い。 だから、相場全体が一方向へ崩れていると決めつけることはできない。 それでも、私は信用買い方の評価損益悪化を警戒している。 以前の市場解説では、信用買い方の評価損益率がマイナス10%近辺と指摘されていた。 ただし、それが今日10月26日でも同じ水準だったとは確認できていない。 だから最新値として断定しない。 今後、信用買残が依然として大きい状態で株価が下落し続ければ、含み損と担保余力の問題が深刻化する可能性がある。 さらに私は、売り方の買い戻し需要も気にしている。 今回の中期データでは、SHIFT、KLab、マネーフォワードなどの信用売残が減少している。 これは、それぞれの銘柄で売り建玉の在庫が減っていることを意味する。 もちろん、売残が減ったから今後の買い戻し需要が完全になくなったわけではない。 機関投資家の空売りや別制度の建玉もある。 また、現物の新しい買い需要が十分に入れば、売り方の買い戻しに頼らず株価は上昇できる。 しかし、もし市場全体で信用売残が減少し、信用買残は大量に残り、新規の現物買いも弱いならどうなるだろう。 私は、この組み合わせをかなり警戒している。 株価が下落する。 買い方の評価損益が悪化する。 ポジション整理が必要になる。 一方、売り方の買い戻しによる下支えは弱くなっている。 もしこうした状態が同時に進めば、下落圧力が強まり得る。 ただし、これが市場全体で実際に成立しているかは、最新の週次信用残を確認しなければ判断できない。 以前から警戒している海外の信用不安についても、引き続き注意している。 企業の資金調達不安が広がれば、株式市場のリスク回避が強まる可能性がある。 ただし、世界的な金融危機がすでに確定したと考えているわけではない。 私が重要視しているのは、そうした事態が発生したときにオプションの建玉がどうなるかだ。 私はこれまで、日経平均5万円割れを含む大幅下落も警戒シナリオに入れてきた。 さらに深刻な信用収縮が広がる場合は、3万円台という水準もリスク管理上は排除していない。 しかし今日の信用需給データだけで、その下落が高確率で起こると証明できるわけではない。 反発して再び上昇相場へ戻る可能性もある。 だからオプション売りは慎重でなければならない。 コール売りには急騰リスクがある。 プット売りには急落リスクがある。 さらにボラティリティが上昇すれば、方向の予想が合っていても建玉評価が悪化する可能性がある。 私は特に、信用不安が意識される局面でプット売りを安易に増やしたくないと考えている。 今回の信用需給レポートを通じて、改めて分かったことがある。 株不足が200万株あるから、株価が上昇するわけではない。 信用倍率が2,000倍を超えたから、信用買いが増えたわけではない。 申込停止になったから、売り方がさらに苦しくなるとは限らない。 そして日経平均が下落しても、すべての銘柄が弱いとは限らない。 重要なのは、その数字がどのように作られ、どのように変化し、株価へ本当に伝わったのかということだ。 私が毎日このレポートを書き続けている理由は、明日の上昇銘柄を当てるためだけではない。 買い方のポジションがどこに積み上がっているのか。 売り方のポジションはどこで減っているのか。 株券調達が本当に逼迫しているのか。 信用残が整理されているのか。 そして、相場が大きく動いたときにどのような危険があるのか。 これを正しい日付と正しい数字で把握したいからだ。 次は10月27日。 KLabとSHIFTの巨大不足は確報でも残るのか。 KeePer技研の申込停止後の貸株減少は続くのか。 クラスターテクノロジーとショーケースの信用買残はどう変わったのか。 そして市場全体の最新信用倍率はどうなっているのか。 私は特に、最後の市場全体の数字を重視したい。 信用買い方の負担と売り方の買い戻し余力を考えるためにも、必要な情報だからだ。 株価を予言することより、起きている需給の変化を正しく理解すること。 そして予想が外れたとき、その理由を記録すること。 私はこれを続けていきたい。 本レポートは公開情報に基づく信用需給の調査記録であり、特定銘柄の売買を推奨するものではありません。
信用需給デイリーレポート 2026年10月26日(月) 日経平均は503円安。しかしTOPIXは上昇した。 私は、こういう相場ほど信用需給を慎重に見たいと思っている。 そして今回、非常に重要な事実が確認された。 KLabは約228万株の巨大な貸株超過。 SHIFTも約80万株の不足。 しかし、両方とも新規空売りが大量に増えたわけではない。 さらにKeePer技研では、申込停止が始まったその日に、貸株残が約28%も減少した。 信用倍率が2,163倍という驚くような銘柄もある。 しかし、その銘柄では信用買残そのものは減っている。 信用倍率が極端に上昇しても、信用買いが増えているとは限らない。 私は、こういう数字をかなり重要視している。 相場を読むうえで、単に株価が上がったか下がったかを見るだけでは足りない。 誰が買っているのか。 誰が売っているのか。 信用買い方は苦しくなっているのか。 売り方の買い戻し需要は残っているのか。 そして、その需給変化が本当に株価へ伝わっているのか。 私はオプションの売りを中心に運用しているので、ここを毎日追いかけている。 まず、今日の市場全体を確認したい。 10月26日の日経平均は62,189.65円。 前営業日比503.51円安。 下落率0.80%。 ところがTOPIXは3,972.98。 前営業日比7.17ポイント高。 +0.18%。 東証プライムでは値上がり818銘柄。 値下がり686銘柄。 つまり、日経平均は下がったが、値上がり銘柄の方が多い。 ここは重要だ。 今日の市場を一律に全面安と評価するのは正しくない。 日経平均への影響が大きい一部の銘柄が弱くても、その他の銘柄には買いが入っている。 逆に言えば、指数の下落だけで市場全体の信用需給が悪化したと判断することもできない。 私は最近、日本株の戻りの弱さを警戒している。 しかし今日のTOPIXと騰落銘柄数を見る限り、買い需要がまったく消えたとは言えない。 だからこそ、どの銘柄が買われ、どの銘柄が売られたかを分けて確認する必要がある。 今日も個別株の相対強度は、主にTOPIXの+0.18%を基準として評価する。 今回の最重要発見は五つある。 KLabの巨大不足。 SHIFTの融資消滅型不足と価格失敗。 KeePer技研の申込停止後の不足縮小。 クラスターテクノロジーの信用倍率2,163倍。 そしてショーケースの信用買残増加と株価急騰。 この五つは、発生している現象がまったく違う。 3656 KLab 今回も巨大な株不足が現れた。 10月23日の日証金確報は、 融資3,544,500株。 貸株3,544,500株。 差引0株。 つまり株不足はなかった。 ところが10月26日速報では、 融資1,160,600株。 貸株3,439,000株。 差引マイナス2,278,400株。 約228万株の貸株超過が発生した。 しかし、ここで不足の内訳を見ると、重要なことが分かる。 融資純減2,383,900株。 貸株純減105,500株。 貸株は増えていない。 むしろ減っている。 それでも融資残が大きく減少したため、差引は約228万株の不足になった。 典型的なA2「融資消滅型」だ。 検算すると、 融資は、 3,544,500+50,300-2,434,200 =1,160,600株。 貸株は、 3,544,500-105,500 =3,439,000株。 差引は、 1,160,600-3,439,000 =マイナス2,278,400株。 すべて一致している。 しかし、この数字だけで踏み上げを期待するのは危険だ。 KLabでは、以前から日証金の大幅な貸株超過が繰り返し観測されていた。 ところが翌営業日に同じ申込日を確認すると、不足が解消しているケースがあった。 今回も10月23日確報では差引ゼロだった。 さらに品貸料欄には「*****」表示がある。 これは高額逆日歩ではない。 追加申込みによって貸株超過が解消したことを示す表示だ。 つまり、巨大不足が速報で発生しても、それが持続的な株券調達逼迫につながるとは限らない。 今日のKLab株価は166円。 +1.22%。 TOPIX比+1.04ポイント。 株価は市場より強かった。 しかし、228万株の新規空売りが入ったから株価が上がった、という説明は成り立たない。 実際の貸株残は減っているからだ。 10月23日のJPX信用残は、 信用買残16,957,800株。 信用売残4,426,700株。 信用倍率3.83倍。 一方、10月26日の日証金貸借倍率は約0.34倍。 制度も母集団も基準日も違う。 この二つを同じ倍率として比較してはいけない。 次に確認するのは、10月27日の確報。 マイナス227.84万株の不足が残っているのか。 品貸料が発生するのか。 応札ランクはどうなるのか。 不足が消滅していたら、一時的な融資消滅イベントとして保存する。 私は、不足の絶対量だけでKLabを強い踏み上げ候補にするつもりはない。 3697 SHIFT こちらも巨大な貸株超過が発生した。 10月23日の正しい日証金確報は、 融資1,297,700株。 貸株1,297,700株。 差引0。 ところが10月26日速報は、 融資359,200株。 貸株1,161,800株。 差引マイナス802,600株。 一気に80万株超の不足だ。 しかし内訳を見ると、 融資純減938,500株。 貸株純減135,900株。 こちらも貸株は減少している。 不足拡大の原因は、融資残の急減だ。 A2「融資消滅型」。 しかも今日の株価は1,136円。 前営業日比1.73%安。 TOPIX比マイナス1.91ポイント。 市場より弱かった。 つまり、巨大な株不足が発生した一方、株価は下落した。 これは踏み上げモデルの価格確認条件を満たしていない。 私はこういう失敗シグナルを重要視している。 不足が大きい。 だから売り方が苦しくなっている。 だから株価は上がる。 という説明は、実際の価格と一致しないことがあるからだ。 さらにSHIFTでは中期の信用売残も確認した。 8月28日のJPX信用売残は4,335,400株。 9月25日は2,825,100株。 10月23日は1,824,700株。 4週間で約35.4%減少。 8週間で約57.9%減少している。 つまり、中期的には信用売残が大きく減っている。 以前から私が気にしている、 売り方の買い戻し需要が、どこまで残っているのか。 という問題にもつながる。 信用売残が減少しているということは、少なくともその系列では売り建玉の在庫が減っている。 ただし、減少分のすべてが株価を押し上げる買い戻しだったとは断定できない。 また、機関投資家の空売りや別制度の建玉もあるため、将来の買い戻し需要が完全になくなったという意味でもない。 それでも、短期の日証金では巨大不足が現れ、中期のJPX信用売残は減少している。 この組み合わせを見て、私は単純な踏み上げ期待だけでは判断できないと考えている。 10月27日に確報でも不足が残るか。 品貸料はどうなるか。 株価がTOPIXを上回る状態へ戻るか。 そこを確認する。 6036 KeePer技研 今回、かなり重要な反例が出た。 前回のレポートではKeePer技研を新しい貸株増加型候補として注目していた。 10月23日の日証金は、 融資4,100株。 貸株55,700株。 差引マイナス51,600株。 貸株そのものが増えていた。 さらに中期のJPX信用売残も増加していた。 10月23日のJPX信用売残は88,700株。 9月25日の40,800株から約117.4%増加。 8月28日の48,700株からも約82.1%増加している。 短期の日証金貸株増加と、中期のJPX信用売残増加が方向として整合していた。 しかも株価も市場より強かった。 だからA1「貸株純増型」の重要候補として評価していた。 ところが今日10月26日。 日証金の新規売り・現引き申込停止が始まった。 すると日証金残高は、 融資10,400株。 貸株40,000株。 差引マイナス29,600株。 へ変化した。 貸株は55,700株から40,000株へ減少。 15,700株減少した。 減少率は約28.2%。 融資は6,300株増加。 結果として不足は22,000株縮小した。 これは重要だ。 制度は強化された。 しかし、実際の日証金株不足はむしろ緩和した。 私はここを強調したい。 申込停止になった。 だから売り方がさらに苦しくなる。 だから株価が上がる。 という単純な式は成立しない。 今日の株価は3,985円。 +1.40%。 TOPIX比+1.22ポイント。 株価は市場より強かった。 しかし、その上昇を株不足の急拡大だけでは説明できない。 なぜなら株不足は縮小しているからだ。 さらに10月23日の確報品貸料は0.25円。 応札ランクF。 強烈な株券調達逼迫を示すランクではない。 だからKeePer技研は、以前の貸株増加型の評価をそのまま維持するのではなく、 申込停止開始後に貸株が減少した事例 として再分類する。 ただし、中期の信用売残増加という事実も消してはいけない。 短期の日証金では貸株減少。 中期のJPX信用売残は増加傾向。 この違いを、別系列として継続観測する。 次営業日に貸株40,000株からさらに減るか。 品貸料が低下するか。 価格の強さが維持されるか。 これを確認する。 4240 クラスターテクノロジー 信用倍率2,163倍。 普通にこの数字だけ見たら驚くだろう。 しかし私は、数字の大きさよりも中身を見たい。 10月22日の公開信用残は、 信用買残491,800株。 信用売残6,100株。 信用倍率80.62倍。 10月23日は、 信用買残432,600株。 信用売残200株。 信用倍率2,163.00倍。 なんと80倍台から2,163倍へ急上昇した。 しかし、信用買残そのものは59,200株減少している。 一方、信用売残は6,100株から200株へ減少した。 売残がほぼ消滅したため、分母が極端に小さくなった。 その結果、倍率が約27倍に跳ね上がった。 つまり、 信用倍率が2,163倍になった。 だから信用買いが爆発的に増えている。 という説明は完全に誤りだ。 実際には信用買残が減っている。 ここが今回の最大の教訓の一つになる。 株価を見ると、 10月26日は650円。 ▲0.91%。 TOPIX比マイナス1.09ポイント。 市場より弱い。 10月22日から増担保規制も継続している。 保証金率50%以上。 うち現金20%以上。 信用買残の整理が進んでいる可能性がある一方、価格は依然として市場に劣後している。 ただし、買残が減少したから底打ちしたとは言えない。 ポジション整理が続いている間は、売り圧力が残ることもある。 さらに今回の数値は株探の公開時系列で確認したものだ。 10月19日・20日のJPX公式データには訂正があり、過去系列の完全な原表突合は未完了。 今回の10月23日個別数値も補助サイト確認値として扱う。 古い誤った数字と混ぜて、信用倍率の変化を評価しない。 3909 ショーケース こちらはクラスターテクノロジーと逆の構造だ。 10月22日の公開信用残は、 信用買残367,000株。 信用売残78,500株。 信用倍率4.68倍。 10月23日は、 信用買残451,300株。 信用売残8,400株。 信用倍率53.73倍。 買残は84,300株増加。 売残は70,100株減少。 つまり、こちらは実際に信用買残が増えている。 さらに売残が減少したことで、倍率も大きく上昇した。 クラスターテクノロジーでは買残が減少した。 ショーケースでは買残が増加した。 どちらも信用倍率が急上昇しているが、中身はまったく違う。 そして10月26日の株価は953円。 +18.68%。 TOPIX比+18.50ポイント。 非常に強い。 ここで気になるのは、信用買い在庫の再形成だ。 株価が大きく上昇する中で、信用買いがさらに積み上がっているなら、その後の反落時に新しい負担になる可能性がある。 しかし注意が必要だ。 今回確認できた信用残は10月23日分。 株価が18.68%上昇したのは10月26日。 つまり、今日の急騰によって信用買残が増えたとはまだ確認できていない。 10月27日に10月26日の信用残を確認する必要がある。 過去の買残増加と今日の価格急騰が重なっているからといって、因果関係を決めつけるわけにはいかない。 次回、信用買残がさらに増えているなら過熱再形成を検証する。 反対に買残が減少しながら株価が上昇しているなら、別の反発モデルとして評価する。 今回、その他にも重要な銘柄がある。 3687 フィックスターズ。 10月23日差引マイナス55,600株。 10月26日マイナス596,300株。 不足は540,700株拡大。 主因は融資純減540,700株。 貸株残は変化していない。 株価は0.91%安。 TOPIX比ではマイナス1.09ポイント。 巨大不足でも価格は弱い。 A2融資消滅型の価格失敗として記録する。 5129 FIXER。 10月23日差引マイナス392,000株。 10月26日マイナス485,400株。 不足93,400株拡大。 貸株615,300株。 株価+1.26%。 日証金注意喚起継続。 そして5営業日平均出来高との比較では、非常に大きな数字が出ている。 後ほど詳しく書く。 3747 インタートレード。 日証金差引はマイナス27,100株からマイナス77,300株へ悪化。 申込停止中。 株価は+10.15%。 ただし不足拡大の主因は融資残の減少。 制度制限と株価反発が重なっているが、踏み上げを断定するには品貸料と確報の確認が必要だ。 3042 セキュアヴェイル。 10月23日差引0。 10月26日はマイナス11,200株。 株価は+27.20%。 非常に大きな上昇だ。 しかし前日は不足解消表示だった。 今回の小さな株不足だけで、27%の上昇を説明することはできない。 企業材料や新しい買い需要など、別の要因を確認する必要がある。 4498 サイバートラスト。 10月26日にJPXの日々公表銘柄へ新規指定。 10月23日の信用残は、 買残931,700株。 売残61,000株。 信用倍率15.27倍。 10月26日の株価は+4.05%。 日証金貸株残はゼロ。 日証金株不足による踏み上げ型ではない。 信用買い偏重と制度監視のBモデル候補だ。 3905 データセクション。 株価+26.14%。 しかし日証金は、 融資1,183,100株。 貸株1,122,700株。 差引+60,400株。 融資超過。 日証金株不足なし。 大幅上昇したから踏み上げと判断するのは誤りだ。 信用買い再形成なのか、企業材料なのか、信用売りの買い戻しなのか。 今後のデータで確認する。 338A ZenmuTech。 10月23日に11.76%下落。 10月26日は+16.67%。 急落翌営業日に強く反発した。 日証金貸株ゼロという直近確認履歴がある。 したがって、日証金不足による踏み上げだけでは説明できない。 信用買い過熱銘柄の急落と反発を追跡する。 3994 マネーフォワード。 10月23日差引マイナス453,700株。 10月26日マイナス465,400株。 貸株純増11,700株。 不足は拡大した。 しかし株価は1.16%安。 TOPIX比マイナス1.34ポイント。 市場より弱い。 持続的な売り長構造はあるが、強い踏み上げ成功とは評価できない。 10月23日のJPX信用倍率は約0.14倍。 中期の売残も減少傾向だ。 不足の絶対量だけで評価しない。 5137 スマートドライブ。 10月23日差引マイナス132,700株。 10月26日マイナス190,700株。 融資純減58,300株。 貸株純減300株。 融資減少が主因。 株価は前営業日比変わらず。 TOPIX比ではマイナス0.18ポイント。 こちらも大きな踏み上げ成功ではない。 8818 京阪神ビルディング。 10月23日差引マイナス197,000株。 10月26日マイナス268,500株。 不足拡大。 株価は+1.50%。 10月23日JPX信用倍率は0.92倍。 ただし、この銘柄は9月末の権利クロスの影響を無視できない。 過去の巨大売残を通常の弱気空売りと同じ扱いにしない。 3858 ユビキタスAI。 10月23日にJPX日々公表銘柄へ指定。 10月23日の信用残は、 買残1,076,000株。 売残14,400株。 信用倍率74.72倍。 10月26日の株価は+6.83%。 倍率は高い。 しかし信用売残が非常に少ないため、分母の影響も大きい。 今後は信用買残の実数変化と価格相対強度を確認する。 5132 pluszero。 10月23日差引マイナス72,300株。 10月26日マイナス83,300株。 融資純減11,000株。 貸株変化なし。 株価+1.21%。 申込停止継続。 4493 サイバーセキュリティクラウド。 株価+0.58%。 日証金差引+145,500株。 融資超過。 申込停止中でも日証金株不足なし。 153A カウリス。 JPX増担保規制継続。 株価0.58%安。 日証金の直近確認では株不足なし。 9434 ソフトバンク。 日証金差引+359,200株から+358,500株へ。 ほぼ横ばい。 日証金株不足なし。 以前確認した900万株級の融資往復は、独立した大規模残高反転モデルとして保存する。 今回の異常度上位20銘柄も整理する。 これは売買推奨順位ではない。 次営業日に調査する価値が高い異常の順位だ。 全東証銘柄を同じ式で完全スコアリングしたランキングではない。 AモデルとBモデルは別々に評価する。 第1位 KLab。 10月26日差引マイナス2,278,400株。 融資純減2,383,900株。 貸株純減105,500株。 株価+1.22%。 反復的な融資消滅型。 第2位 SHIFT。 差引マイナス802,600株。 融資純減938,500株。 株価1.73%安。 TOPIX比マイナス1.91ポイント。 価格失敗。 第3位 クラスターテクノロジー。 10月23日補助確認の買残432,600株。 売残200株。 信用倍率2,163倍。 買残前日比マイナス59,200株。 株価0.91%安。 第4位 ショーケース。 10月23日補助確認の買残451,300株。 売残8,400株。 信用倍率53.73倍。 買残前日比+84,300株。 株価+18.68%。 第5位 KeePer技研。 申込停止開始。 日証金差引マイナス51,600株からマイナス29,600株へ改善。 貸株マイナス15,700株。 株価+1.40%。 第6位 フィックスターズ。 差引マイナス55,600株からマイナス596,300株へ。 融資純減540,700株。 株価0.91%安。 価格失敗。 第7位 FIXER。 差引マイナス392,000株からマイナス485,400株へ。 貸株615,300株。 5営業日平均出来高比17.66倍。 株価+1.26%。 注意喚起。 第8位 インタートレード。 差引マイナス27,100株からマイナス77,300株へ。 申込停止中。 株価+10.15%。 第9位 セキュアヴェイル。 10月23日差引0。 10月26日マイナス11,200株。 株価+27.20%。 現在の逼迫度は未確定。 第10位 サイバートラスト。 日々公表新規指定。 信用倍率15.27倍。 日証金貸株0。 株価+4.05%。 第11位 データセクション。 株価+26.14%。 日証金差引+60,400株。 株不足なし。 第12位 ZenmuTech。 10月23日11.76%安。 10月26日+16.67%。 急落後の反発。 第13位 マネーフォワード。 差引マイナス465,400株。 貸株純増11,700株。 株価1.16%安。 価格失敗。 第14位 スマートドライブ。 差引マイナス190,700株。 融資純減58,300株が主因。 株価横ばい。 第15位 京阪神ビル。 差引マイナス268,500株。 株価+1.50%。 信用倍率0.92倍。 権利クロス補正。 第16位 ユビキタスAI。 信用倍率74.72倍。 日々公表継続。 株価+6.83%。 第17位 pluszero。 差引マイナス83,300株。 融資純減11,000株。 申込停止。 株価+1.21%。 第18位 サイバーセキュリティクラウド。 株価+0.58%。 日証金差引+145,500株。 申込停止中でも株不足なし。 第19位 カウリス。 株価0.58%安。 増担保規制継続。 直近の日証金では株不足なし。 第20位 ソフトバンク。 日証金差引+358,500株。 株不足なし。 過去の大規模融資残高反転を追跡する。 今回の中期比較も重要だ。 最新確認のJPX週次信用残は10月23日。 4週前は9月25日。 8週前は8月28日。 マネーフォワード。 10月23日信用倍率0.14倍。 4週前0.21倍。 8週前0.14倍。 信用売残は4週間で23.7%減少。 8週間で38.3%減少。 スマートドライブ。 10月23日倍率2.64倍。 4週前2.19倍。 8週前2.46倍。 信用売残は4週間で30.1%減少。 8週間で33.8%減少。 SHIFT。 10月23日倍率3.84倍。 4週前3.32倍。 8週前2.19倍。 信用売残は4週間で35.4%減少。 8週間で57.9%減少。 KLab。 10月23日倍率3.83倍。 4週前3.26倍。 8週前3.34倍。 信用売残は4週間で20.8%減少。 8週間で24.9%減少。 京阪神ビル。 10月23日倍率0.92倍。 4週前0.09倍。 8週前0.09倍。 信用売残は4週間で92.4%減少。 8週間で90.2%減少。 ただし、京阪神ビルの巨大売残減少には9月末の権利クロス解消が影響している可能性が高い。 減少分すべてを通常の弱気空売りポジションの解消として扱わない。 そして、私はこの中期比較を市場全体の警戒にも使いたい。 SHIFTやマネーフォワード、KLabなどでは信用売残が減少している。 それでも日証金の短期不足は繰り返し現れている。 これは同じ数字ではない。 しかし、中期の信用売り在庫が減っているなら、将来の買い戻し需要がどこまで残るかは考える必要がある。 ただし、空売りの全体量や買い戻し需要をこれだけで測定することはできない。 機関投資家の空売りや他の建玉も別に存在するからだ。 私はこの点を、今後も重要なリスク管理材料として追い続ける。 さらに5営業日平均出来高との比較も残す。 今回は10月20、21、22、23、26日の同じ5営業日を使用した。 FIXER。 日証金貸株615,300株。 5営業日平均出来高34,840株。 残高÷平均出来高17.66倍。 スマートドライブ。 貸株388,400株。 平均出来高228,620株。 1.70倍。 京阪神ビル。 貸株383,700株。 平均出来高318,360株。 1.21倍。 KLab。 貸株3,439,000株。 平均出来高3,526,460株。 0.98倍。 マネーフォワード。 貸株466,400株。 平均出来高646,360株。 0.72倍。 KeePer技研。 貸株40,000株。 平均出来高127,300株。 0.31倍。 SHIFT。 貸株1,161,800株。 平均出来高9,494,060株。 0.12倍。 特にFIXERは17.66倍という大きな数値になっている。 しかし、これは日証金貸株残と市場出来高の規模比較だ。 買い戻しに17.66日必要という意味ではない。 貸株残すべてが一斉に買い戻されるわけでもない。 品貸料や応札ランク、価格相対強度を合わせて確認する必要がある。 そして今回も前回レポートの訂正を明確にしておきたい。 これは非常に重要だ。 10月25日版では、10月23日の残高として巨大な貸株超過を報告した銘柄があった。 しかし今回、日証金の公式個別ページを申込日ごとに確認し直すと、別の結果になった。 KLab。 前回10月23日差引マイナス2,433,200株。 今回確認した10月23日確報は差引0。 10月26日速報がマイナス2,278,400株。 SHIFT。 前回10月23日差引マイナス930,300株。 今回確認した確報は0。 10月26日速報マイナス802,600株。 スマートドライブ。 前回10月23日マイナス279,300株。 今回確報マイナス132,700株。 10月26日マイナス190,700株。 フィックスターズ。 前回10月23日マイナス453,300株。 今回確報マイナス55,600株。 10月26日マイナス596,300株。 FIXER。 前回10月23日マイナス487,100株。 今回確報マイナス392,000株。 10月26日マイナス485,400株。 セキュアヴェイル。 前回10月23日マイナス20,700株。 今回確報は0。 10月26日マイナス11,200株。 京阪神ビル。 前回10月23日マイナス266,500株。 今回確報マイナス197,000株。 10月26日マイナス268,500株。 インタートレード。 前回10月23日マイナス76,000株。 今回確報マイナス27,100株。 10月26日マイナス77,300株。 マネーフォワード。 前回10月23日マイナス453,700株。 今回も同じ確報値。 10月26日マイナス465,400株。 KeePer技研。 前回10月23日マイナス51,600株。 今回も同じ確報値。 10月26日はマイナス29,600株。 この訂正は、同一申込日の速報が実際に確報で修正されたと証明するものではない。 前回の速報原本を取得日時付きで独立保存した記録がないため、速報修正と日付誤読を厳密に分離できない。 だから今回の数値は、現在確認できる公式確報に合わせて前回の報告を訂正したものとして扱う。 これまでのレポートでも申込日のずれが繰り返し発生した。 今後は必ず、 銘柄コード。 申込日。 速報か確報か。 取得日時。 融資残。 貸株残。 差引。 品貸料。 応札ランク。 このすべてを同一の観測記録として保存したい。 計算式が一致しても日付が間違っていれば、分析は成立しない。 制度変更も重要だ。 10月26日のJPX日々公表新規指定は、 4498 サイバートラスト。 直近では、 10月23日 ユビキタスAI。 10月16日 ショーケース、クラスターテクノロジー。 10月14日 サイバーセキュリティクラウド。 などが指定されている。 日々公表は信用残を毎日公表して注意を促す制度。 それ自体が信用取引の増担保規制ではない。 JPX増担保規制では、 4240 クラスターテクノロジー。 153A カウリス。 が現在確認できる対象だ。 いずれも委託保証金率50%以上、現金20%以上。 日証金の申込停止では、 KeePer技研が10月26日から開始。 既存の対象には、 セキュアヴェイル。 インタートレード。 サイバーセキュリティクラウド。 サイバートラスト。 pluszero。 などがある。 ただし申込停止中でも日証金株不足がない銘柄は存在する。 サイバートラストやサイバーセキュリティクラウドがその例だ。 注意喚起では、 FIXER。 データセクション。 などを確認。 続き↓ xitter.cf/superdoccimo/status/21…
1,732
信用需給デイリーレポート 2026年10月26日(月) 日経平均は503円安。しかしTOPIXは上昇した。 私は、こういう相場ほど信用需給を慎重に見たいと思っている。 そして今回、非常に重要な事実が確認された。 KLabは約228万株の巨大な貸株超過。 SHIFTも約80万株の不足。 しかし、両方とも新規空売りが大量に増えたわけではない。 さらにKeePer技研では、申込停止が始まったその日に、貸株残が約28%も減少した。 信用倍率が2,163倍という驚くような銘柄もある。 しかし、その銘柄では信用買残そのものは減っている。 信用倍率が極端に上昇しても、信用買いが増えているとは限らない。 私は、こういう数字をかなり重要視している。 相場を読むうえで、単に株価が上がったか下がったかを見るだけでは足りない。 誰が買っているのか。 誰が売っているのか。 信用買い方は苦しくなっているのか。 売り方の買い戻し需要は残っているのか。 そして、その需給変化が本当に株価へ伝わっているのか。 私はオプションの売りを中心に運用しているので、ここを毎日追いかけている。 まず、今日の市場全体を確認したい。 10月26日の日経平均は62,189.65円。 前営業日比503.51円安。 下落率0.80%。 ところがTOPIXは3,972.98。 前営業日比7.17ポイント高。 +0.18%。 東証プライムでは値上がり818銘柄。 値下がり686銘柄。 つまり、日経平均は下がったが、値上がり銘柄の方が多い。 ここは重要だ。 今日の市場を一律に全面安と評価するのは正しくない。 日経平均への影響が大きい一部の銘柄が弱くても、その他の銘柄には買いが入っている。 逆に言えば、指数の下落だけで市場全体の信用需給が悪化したと判断することもできない。 私は最近、日本株の戻りの弱さを警戒している。 しかし今日のTOPIXと騰落銘柄数を見る限り、買い需要がまったく消えたとは言えない。 だからこそ、どの銘柄が買われ、どの銘柄が売られたかを分けて確認する必要がある。 今日も個別株の相対強度は、主にTOPIXの+0.18%を基準として評価する。 今回の最重要発見は五つある。 KLabの巨大不足。 SHIFTの融資消滅型不足と価格失敗。 KeePer技研の申込停止後の不足縮小。 クラスターテクノロジーの信用倍率2,163倍。 そしてショーケースの信用買残増加と株価急騰。 この五つは、発生している現象がまったく違う。 3656 KLab 今回も巨大な株不足が現れた。 10月23日の日証金確報は、 融資3,544,500株。 貸株3,544,500株。 差引0株。 つまり株不足はなかった。 ところが10月26日速報では、 融資1,160,600株。 貸株3,439,000株。 差引マイナス2,278,400株。 約228万株の貸株超過が発生した。 しかし、ここで不足の内訳を見ると、重要なことが分かる。 融資純減2,383,900株。 貸株純減105,500株。 貸株は増えていない。 むしろ減っている。 それでも融資残が大きく減少したため、差引は約228万株の不足になった。 典型的なA2「融資消滅型」だ。 検算すると、 融資は、 3,544,500+50,300-2,434,200 =1,160,600株。 貸株は、 3,544,500-105,500 =3,439,000株。 差引は、 1,160,600-3,439,000 =マイナス2,278,400株。 すべて一致している。 しかし、この数字だけで踏み上げを期待するのは危険だ。 KLabでは、以前から日証金の大幅な貸株超過が繰り返し観測されていた。 ところが翌営業日に同じ申込日を確認すると、不足が解消しているケースがあった。 今回も10月23日確報では差引ゼロだった。 さらに品貸料欄には「*****」表示がある。 これは高額逆日歩ではない。 追加申込みによって貸株超過が解消したことを示す表示だ。 つまり、巨大不足が速報で発生しても、それが持続的な株券調達逼迫につながるとは限らない。 今日のKLab株価は166円。 +1.22%。 TOPIX比+1.04ポイント。 株価は市場より強かった。 しかし、228万株の新規空売りが入ったから株価が上がった、という説明は成り立たない。 実際の貸株残は減っているからだ。 10月23日のJPX信用残は、 信用買残16,957,800株。 信用売残4,426,700株。 信用倍率3.83倍。 一方、10月26日の日証金貸借倍率は約0.34倍。 制度も母集団も基準日も違う。 この二つを同じ倍率として比較してはいけない。 次に確認するのは、10月27日の確報。 マイナス227.84万株の不足が残っているのか。 品貸料が発生するのか。 応札ランクはどうなるのか。 不足が消滅していたら、一時的な融資消滅イベントとして保存する。 私は、不足の絶対量だけでKLabを強い踏み上げ候補にするつもりはない。 3697 SHIFT こちらも巨大な貸株超過が発生した。 10月23日の正しい日証金確報は、 融資1,297,700株。 貸株1,297,700株。 差引0。 ところが10月26日速報は、 融資359,200株。 貸株1,161,800株。 差引マイナス802,600株。 一気に80万株超の不足だ。 しかし内訳を見ると、 融資純減938,500株。 貸株純減135,900株。 こちらも貸株は減少している。 不足拡大の原因は、融資残の急減だ。 A2「融資消滅型」。 しかも今日の株価は1,136円。 前営業日比1.73%安。 TOPIX比マイナス1.91ポイント。 市場より弱かった。 つまり、巨大な株不足が発生した一方、株価は下落した。 これは踏み上げモデルの価格確認条件を満たしていない。 私はこういう失敗シグナルを重要視している。 不足が大きい。 だから売り方が苦しくなっている。 だから株価は上がる。 という説明は、実際の価格と一致しないことがあるからだ。 さらにSHIFTでは中期の信用売残も確認した。 8月28日のJPX信用売残は4,335,400株。 9月25日は2,825,100株。 10月23日は1,824,700株。 4週間で約35.4%減少。 8週間で約57.9%減少している。 つまり、中期的には信用売残が大きく減っている。 以前から私が気にしている、 売り方の買い戻し需要が、どこまで残っているのか。 という問題にもつながる。 信用売残が減少しているということは、少なくともその系列では売り建玉の在庫が減っている。 ただし、減少分のすべてが株価を押し上げる買い戻しだったとは断定できない。 また、機関投資家の空売りや別制度の建玉もあるため、将来の買い戻し需要が完全になくなったという意味でもない。 それでも、短期の日証金では巨大不足が現れ、中期のJPX信用売残は減少している。 この組み合わせを見て、私は単純な踏み上げ期待だけでは判断できないと考えている。 10月27日に確報でも不足が残るか。 品貸料はどうなるか。 株価がTOPIXを上回る状態へ戻るか。 そこを確認する。 6036 KeePer技研 今回、かなり重要な反例が出た。 前回のレポートではKeePer技研を新しい貸株増加型候補として注目していた。 10月23日の日証金は、 融資4,100株。 貸株55,700株。 差引マイナス51,600株。 貸株そのものが増えていた。 さらに中期のJPX信用売残も増加していた。 10月23日のJPX信用売残は88,700株。 9月25日の40,800株から約117.4%増加。 8月28日の48,700株からも約82.1%増加している。 短期の日証金貸株増加と、中期のJPX信用売残増加が方向として整合していた。 しかも株価も市場より強かった。 だからA1「貸株純増型」の重要候補として評価していた。 ところが今日10月26日。 日証金の新規売り・現引き申込停止が始まった。 すると日証金残高は、 融資10,400株。 貸株40,000株。 差引マイナス29,600株。 へ変化した。 貸株は55,700株から40,000株へ減少。 15,700株減少した。 減少率は約28.2%。 融資は6,300株増加。 結果として不足は22,000株縮小した。 これは重要だ。 制度は強化された。 しかし、実際の日証金株不足はむしろ緩和した。 私はここを強調したい。 申込停止になった。 だから売り方がさらに苦しくなる。 だから株価が上がる。 という単純な式は成立しない。 今日の株価は3,985円。 +1.40%。 TOPIX比+1.22ポイント。 株価は市場より強かった。 しかし、その上昇を株不足の急拡大だけでは説明できない。 なぜなら株不足は縮小しているからだ。 さらに10月23日の確報品貸料は0.25円。 応札ランクF。 強烈な株券調達逼迫を示すランクではない。 だからKeePer技研は、以前の貸株増加型の評価をそのまま維持するのではなく、 申込停止開始後に貸株が減少した事例 として再分類する。 ただし、中期の信用売残増加という事実も消してはいけない。 短期の日証金では貸株減少。 中期のJPX信用売残は増加傾向。 この違いを、別系列として継続観測する。 次営業日に貸株40,000株からさらに減るか。 品貸料が低下するか。 価格の強さが維持されるか。 これを確認する。 4240 クラスターテクノロジー 信用倍率2,163倍。 普通にこの数字だけ見たら驚くだろう。 しかし私は、数字の大きさよりも中身を見たい。 10月22日の公開信用残は、 信用買残491,800株。 信用売残6,100株。 信用倍率80.62倍。 10月23日は、 信用買残432,600株。 信用売残200株。 信用倍率2,163.00倍。 なんと80倍台から2,163倍へ急上昇した。 しかし、信用買残そのものは59,200株減少している。 一方、信用売残は6,100株から200株へ減少した。 売残がほぼ消滅したため、分母が極端に小さくなった。 その結果、倍率が約27倍に跳ね上がった。 つまり、 信用倍率が2,163倍になった。 だから信用買いが爆発的に増えている。 という説明は完全に誤りだ。 実際には信用買残が減っている。 ここが今回の最大の教訓の一つになる。 株価を見ると、 10月26日は650円。 ▲0.91%。 TOPIX比マイナス1.09ポイント。 市場より弱い。 10月22日から増担保規制も継続している。 保証金率50%以上。 うち現金20%以上。 信用買残の整理が進んでいる可能性がある一方、価格は依然として市場に劣後している。 ただし、買残が減少したから底打ちしたとは言えない。 ポジション整理が続いている間は、売り圧力が残ることもある。 さらに今回の数値は株探の公開時系列で確認したものだ。 10月19日・20日のJPX公式データには訂正があり、過去系列の完全な原表突合は未完了。 今回の10月23日個別数値も補助サイト確認値として扱う。 古い誤った数字と混ぜて、信用倍率の変化を評価しない。 3909 ショーケース こちらはクラスターテクノロジーと逆の構造だ。 10月22日の公開信用残は、 信用買残367,000株。 信用売残78,500株。 信用倍率4.68倍。 10月23日は、 信用買残451,300株。 信用売残8,400株。 信用倍率53.73倍。 買残は84,300株増加。 売残は70,100株減少。 つまり、こちらは実際に信用買残が増えている。 さらに売残が減少したことで、倍率も大きく上昇した。 クラスターテクノロジーでは買残が減少した。 ショーケースでは買残が増加した。 どちらも信用倍率が急上昇しているが、中身はまったく違う。 そして10月26日の株価は953円。 +18.68%。 TOPIX比+18.50ポイント。 非常に強い。 ここで気になるのは、信用買い在庫の再形成だ。 株価が大きく上昇する中で、信用買いがさらに積み上がっているなら、その後の反落時に新しい負担になる可能性がある。 しかし注意が必要だ。 今回確認できた信用残は10月23日分。 株価が18.68%上昇したのは10月26日。 つまり、今日の急騰によって信用買残が増えたとはまだ確認できていない。 10月27日に10月26日の信用残を確認する必要がある。 過去の買残増加と今日の価格急騰が重なっているからといって、因果関係を決めつけるわけにはいかない。 次回、信用買残がさらに増えているなら過熱再形成を検証する。 反対に買残が減少しながら株価が上昇しているなら、別の反発モデルとして評価する。 今回、その他にも重要な銘柄がある。 3687 フィックスターズ。 10月23日差引マイナス55,600株。 10月26日マイナス596,300株。 不足は540,700株拡大。 主因は融資純減540,700株。 貸株残は変化していない。 株価は0.91%安。 TOPIX比ではマイナス1.09ポイント。 巨大不足でも価格は弱い。 A2融資消滅型の価格失敗として記録する。 5129 FIXER。 10月23日差引マイナス392,000株。 10月26日マイナス485,400株。 不足93,400株拡大。 貸株615,300株。 株価+1.26%。 日証金注意喚起継続。 そして5営業日平均出来高との比較では、非常に大きな数字が出ている。 後ほど詳しく書く。 3747 インタートレード。 日証金差引はマイナス27,100株からマイナス77,300株へ悪化。 申込停止中。 株価は+10.15%。 ただし不足拡大の主因は融資残の減少。 制度制限と株価反発が重なっているが、踏み上げを断定するには品貸料と確報の確認が必要だ。 3042 セキュアヴェイル。 10月23日差引0。 10月26日はマイナス11,200株。 株価は+27.20%。 非常に大きな上昇だ。 しかし前日は不足解消表示だった。 今回の小さな株不足だけで、27%の上昇を説明することはできない。 企業材料や新しい買い需要など、別の要因を確認する必要がある。 4498 サイバートラスト。 10月26日にJPXの日々公表銘柄へ新規指定。 10月23日の信用残は、 買残931,700株。 売残61,000株。 信用倍率15.27倍。 10月26日の株価は+4.05%。 日証金貸株残はゼロ。 日証金株不足による踏み上げ型ではない。 信用買い偏重と制度監視のBモデル候補だ。 3905 データセクション。 株価+26.14%。 しかし日証金は、 融資1,183,100株。 貸株1,122,700株。 差引+60,400株。 融資超過。 日証金株不足なし。 大幅上昇したから踏み上げと判断するのは誤りだ。 信用買い再形成なのか、企業材料なのか、信用売りの買い戻しなのか。 今後のデータで確認する。 338A ZenmuTech。 10月23日に11.76%下落。 10月26日は+16.67%。 急落翌営業日に強く反発した。 日証金貸株ゼロという直近確認履歴がある。 したがって、日証金不足による踏み上げだけでは説明できない。 信用買い過熱銘柄の急落と反発を追跡する。 3994 マネーフォワード。 10月23日差引マイナス453,700株。 10月26日マイナス465,400株。 貸株純増11,700株。 不足は拡大した。 しかし株価は1.16%安。 TOPIX比マイナス1.34ポイント。 市場より弱い。 持続的な売り長構造はあるが、強い踏み上げ成功とは評価できない。 10月23日のJPX信用倍率は約0.14倍。 中期の売残も減少傾向だ。 不足の絶対量だけで評価しない。 5137 スマートドライブ。 10月23日差引マイナス132,700株。 10月26日マイナス190,700株。 融資純減58,300株。 貸株純減300株。 融資減少が主因。 株価は前営業日比変わらず。 TOPIX比ではマイナス0.18ポイント。 こちらも大きな踏み上げ成功ではない。 8818 京阪神ビルディング。 10月23日差引マイナス197,000株。 10月26日マイナス268,500株。 不足拡大。 株価は+1.50%。 10月23日JPX信用倍率は0.92倍。 ただし、この銘柄は9月末の権利クロスの影響を無視できない。 過去の巨大売残を通常の弱気空売りと同じ扱いにしない。 3858 ユビキタスAI。 10月23日にJPX日々公表銘柄へ指定。 10月23日の信用残は、 買残1,076,000株。 売残14,400株。 信用倍率74.72倍。 10月26日の株価は+6.83%。 倍率は高い。 しかし信用売残が非常に少ないため、分母の影響も大きい。 今後は信用買残の実数変化と価格相対強度を確認する。 5132 pluszero。 10月23日差引マイナス72,300株。 10月26日マイナス83,300株。 融資純減11,000株。 貸株変化なし。 株価+1.21%。 申込停止継続。 4493 サイバーセキュリティクラウド。 株価+0.58%。 日証金差引+145,500株。 融資超過。 申込停止中でも日証金株不足なし。 153A カウリス。 JPX増担保規制継続。 株価0.58%安。 日証金の直近確認では株不足なし。 9434 ソフトバンク。 日証金差引+359,200株から+358,500株へ。 ほぼ横ばい。 日証金株不足なし。 以前確認した900万株級の融資往復は、独立した大規模残高反転モデルとして保存する。 今回の異常度上位20銘柄も整理する。 これは売買推奨順位ではない。 次営業日に調査する価値が高い異常の順位だ。 全東証銘柄を同じ式で完全スコアリングしたランキングではない。 AモデルとBモデルは別々に評価する。 第1位 KLab。 10月26日差引マイナス2,278,400株。 融資純減2,383,900株。 貸株純減105,500株。 株価+1.22%。 反復的な融資消滅型。 第2位 SHIFT。 差引マイナス802,600株。 融資純減938,500株。 株価1.73%安。 TOPIX比マイナス1.91ポイント。 価格失敗。 第3位 クラスターテクノロジー。 10月23日補助確認の買残432,600株。 売残200株。 信用倍率2,163倍。 買残前日比マイナス59,200株。 株価0.91%安。 第4位 ショーケース。 10月23日補助確認の買残451,300株。 売残8,400株。 信用倍率53.73倍。 買残前日比+84,300株。 株価+18.68%。 第5位 KeePer技研。 申込停止開始。 日証金差引マイナス51,600株からマイナス29,600株へ改善。 貸株マイナス15,700株。 株価+1.40%。 第6位 フィックスターズ。 差引マイナス55,600株からマイナス596,300株へ。 融資純減540,700株。 株価0.91%安。 価格失敗。 第7位 FIXER。 差引マイナス392,000株からマイナス485,400株へ。 貸株615,300株。 5営業日平均出来高比17.66倍。 株価+1.26%。 注意喚起。 第8位 インタートレード。 差引マイナス27,100株からマイナス77,300株へ。 申込停止中。 株価+10.15%。 第9位 セキュアヴェイル。 10月23日差引0。 10月26日マイナス11,200株。 株価+27.20%。 現在の逼迫度は未確定。 第10位 サイバートラスト。 日々公表新規指定。 信用倍率15.27倍。 日証金貸株0。 株価+4.05%。 第11位 データセクション。 株価+26.14%。 日証金差引+60,400株。 株不足なし。 第12位 ZenmuTech。 10月23日11.76%安。 10月26日+16.67%。 急落後の反発。 第13位 マネーフォワード。 差引マイナス465,400株。 貸株純増11,700株。 株価1.16%安。 価格失敗。 第14位 スマートドライブ。 差引マイナス190,700株。 融資純減58,300株が主因。 株価横ばい。 第15位 京阪神ビル。 差引マイナス268,500株。 株価+1.50%。 信用倍率0.92倍。 権利クロス補正。 第16位 ユビキタスAI。 信用倍率74.72倍。 日々公表継続。 株価+6.83%。 第17位 pluszero。 差引マイナス83,300株。 融資純減11,000株。 申込停止。 株価+1.21%。 第18位 サイバーセキュリティクラウド。 株価+0.58%。 日証金差引+145,500株。 申込停止中でも株不足なし。 第19位 カウリス。 株価0.58%安。 増担保規制継続。 直近の日証金では株不足なし。 第20位 ソフトバンク。 日証金差引+358,500株。 株不足なし。 過去の大規模融資残高反転を追跡する。 今回の中期比較も重要だ。 最新確認のJPX週次信用残は10月23日。 4週前は9月25日。 8週前は8月28日。 マネーフォワード。 10月23日信用倍率0.14倍。 4週前0.21倍。 8週前0.14倍。 信用売残は4週間で23.7%減少。 8週間で38.3%減少。 スマートドライブ。 10月23日倍率2.64倍。 4週前2.19倍。 8週前2.46倍。 信用売残は4週間で30.1%減少。 8週間で33.8%減少。 SHIFT。 10月23日倍率3.84倍。 4週前3.32倍。 8週前2.19倍。 信用売残は4週間で35.4%減少。 8週間で57.9%減少。 KLab。 10月23日倍率3.83倍。 4週前3.26倍。 8週前3.34倍。 信用売残は4週間で20.8%減少。 8週間で24.9%減少。 京阪神ビル。 10月23日倍率0.92倍。 4週前0.09倍。 8週前0.09倍。 信用売残は4週間で92.4%減少。 8週間で90.2%減少。 ただし、京阪神ビルの巨大売残減少には9月末の権利クロス解消が影響している可能性が高い。 減少分すべてを通常の弱気空売りポジションの解消として扱わない。 そして、私はこの中期比較を市場全体の警戒にも使いたい。 SHIFTやマネーフォワード、KLabなどでは信用売残が減少している。 それでも日証金の短期不足は繰り返し現れている。 これは同じ数字ではない。 しかし、中期の信用売り在庫が減っているなら、将来の買い戻し需要がどこまで残るかは考える必要がある。 ただし、空売りの全体量や買い戻し需要をこれだけで測定することはできない。 機関投資家の空売りや他の建玉も別に存在するからだ。 私はこの点を、今後も重要なリスク管理材料として追い続ける。 さらに5営業日平均出来高との比較も残す。 今回は10月20、21、22、23、26日の同じ5営業日を使用した。 FIXER。 日証金貸株615,300株。 5営業日平均出来高34,840株。 残高÷平均出来高17.66倍。 スマートドライブ。 貸株388,400株。 平均出来高228,620株。 1.70倍。 京阪神ビル。 貸株383,700株。 平均出来高318,360株。 1.21倍。 KLab。 貸株3,439,000株。 平均出来高3,526,460株。 0.98倍。 マネーフォワード。 貸株466,400株。 平均出来高646,360株。 0.72倍。 KeePer技研。 貸株40,000株。 平均出来高127,300株。 0.31倍。 SHIFT。 貸株1,161,800株。 平均出来高9,494,060株。 0.12倍。 特にFIXERは17.66倍という大きな数値になっている。 しかし、これは日証金貸株残と市場出来高の規模比較だ。 買い戻しに17.66日必要という意味ではない。 貸株残すべてが一斉に買い戻されるわけでもない。 品貸料や応札ランク、価格相対強度を合わせて確認する必要がある。 そして今回も前回レポートの訂正を明確にしておきたい。 これは非常に重要だ。 10月25日版では、10月23日の残高として巨大な貸株超過を報告した銘柄があった。 しかし今回、日証金の公式個別ページを申込日ごとに確認し直すと、別の結果になった。 KLab。 前回10月23日差引マイナス2,433,200株。 今回確認した10月23日確報は差引0。 10月26日速報がマイナス2,278,400株。 SHIFT。 前回10月23日差引マイナス930,300株。 今回確認した確報は0。 10月26日速報マイナス802,600株。 スマートドライブ。 前回10月23日マイナス279,300株。 今回確報マイナス132,700株。 10月26日マイナス190,700株。 フィックスターズ。 前回10月23日マイナス453,300株。 今回確報マイナス55,600株。 10月26日マイナス596,300株。 FIXER。 前回10月23日マイナス487,100株。 今回確報マイナス392,000株。 10月26日マイナス485,400株。 セキュアヴェイル。 前回10月23日マイナス20,700株。 今回確報は0。 10月26日マイナス11,200株。 京阪神ビル。 前回10月23日マイナス266,500株。 今回確報マイナス197,000株。 10月26日マイナス268,500株。 インタートレード。 前回10月23日マイナス76,000株。 今回確報マイナス27,100株。 10月26日マイナス77,300株。 マネーフォワード。 前回10月23日マイナス453,700株。 今回も同じ確報値。 10月26日マイナス465,400株。 KeePer技研。 前回10月23日マイナス51,600株。 今回も同じ確報値。 10月26日はマイナス29,600株。 この訂正は、同一申込日の速報が実際に確報で修正されたと証明するものではない。 前回の速報原本を取得日時付きで独立保存した記録がないため、速報修正と日付誤読を厳密に分離できない。 だから今回の数値は、現在確認できる公式確報に合わせて前回の報告を訂正したものとして扱う。 これまでのレポートでも申込日のずれが繰り返し発生した。 今後は必ず、 銘柄コード。 申込日。 速報か確報か。 取得日時。 融資残。 貸株残。 差引。 品貸料。 応札ランク。 このすべてを同一の観測記録として保存したい。 計算式が一致しても日付が間違っていれば、分析は成立しない。 制度変更も重要だ。 10月26日のJPX日々公表新規指定は、 4498 サイバートラスト。 直近では、 10月23日 ユビキタスAI。 10月16日 ショーケース、クラスターテクノロジー。 10月14日 サイバーセキュリティクラウド。 などが指定されている。 日々公表は信用残を毎日公表して注意を促す制度。 それ自体が信用取引の増担保規制ではない。 JPX増担保規制では、 4240 クラスターテクノロジー。 153A カウリス。 が現在確認できる対象だ。 いずれも委託保証金率50%以上、現金20%以上。 日証金の申込停止では、 KeePer技研が10月26日から開始。 既存の対象には、 セキュアヴェイル。 インタートレード。 サイバーセキュリティクラウド。 サイバートラスト。 pluszero。 などがある。 ただし申込停止中でも日証金株不足がない銘柄は存在する。 サイバートラストやサイバーセキュリティクラウドがその例だ。 注意喚起では、 FIXER。 データセクション。 などを確認。 続き↓ xitter.cf/superdoccimo/status/21…
This quoted post is unavailable.
1
1
1
3,920
AI開発ツール「Halv 1.0」がOSS化!Claude CodeやCodexなど複数のAIを一元管理し、コンテキスト圧縮でコスト削減も狙える。しかし、全部無料・全部公開ではない。月10ドルのCloud機能や非公開Headroomの存在、開発元が報告した57.1%のコスト削減の実態まで検証。
1,542
SGLangのデバッグ用DumperにCVE-2026-111391。builtinsを空にしても、関数オブジェクトの参照経由でeval()の境界を越えられます。影響条件となるDUMPER_SERVER_PORT、通常キーでも届く構成、固定版未公開時点の対処を整理しました。
380
AWS Strands AgentsのA2Aサーバーで会話が混ざる不具合——マルチテナントなら今すぐ1.43.0へ Amazonが公開したAWS Security Bulletin 2026-146と、公式GitHub Advisoryによると、AIエージェント用SDK「Strands Agents」のAgent2Agent(A2A)サーバーで、呼び出し元ごとの会話状態が正しく隔離されていなかった。認証済みのリモート利用者が、別のcontext_idを持つ他の呼び出し元の会話履歴を読んだり、後続呼び出しのモデル挙動に影響する指示を残したりできる可能性がある。CVEはCVE-2026-115419、CVSS v3.1は8.1(High)。 影響を受けるのは、Pythonパッケージ strands-agents のうち multiagent.a2a モジュールを含む1.43.0未満、および TypeScript の @strands-agents/sdk の1.5.0未満。修正版はそれぞれ1.43.0と1.5.0。AWSの公表日時は2026年10月22日13:00 PDT(日本時間では10月23日5時前後)。 何が起きていたか A2Aは、エージェント同士やクライアントがHTTP経由で別のエージェントを呼び出すプロトコルだ。StrandsのA2Aサーバーは、リクエストに付くcontext_idごとに会話を分ける前提で動く。ところが修正前の実装では、単一のAgentインスタンスが複数のcontextに使い回され、会話状態が呼び出し元をまたいで共有されていた。 AWSの表現では「認証済みのリモートユーザーが、マルチテナント構成において他の呼び出し元の会話履歴にアクセスしたり、他の呼び出し元のモデル挙動に影響を与えたりできた」。CWEは488(Unintended Disclosure of Data Element to Wrong Session)。 修正版では、推奨経路として agent_factory(context_idを受け取りAgentを返す呼び出し可能オブジェクト)を導入した。コンテキストごとに専用のAgentを作り、会話状態を隔離する。単一agent引数は非推奨扱いで、マルチテナントには安全ではない、とドキュメントとソースの双方で明記されている。 こちらで確認したこと Debian系の環境で、strands-agents 1.42.0と1.43.0を別venvに入れ、偽のモデル(受け取ったユーザー発話一覧をSEEN=...として返すだけ)を載せたA2Aサーバーを127.0.0.1で起動した。message/send で同じサーバーへ、context_idがctx-Aの会話に秘密文を入れたあと、ctx-Bから別メッセージを送った。 1.42.0では、ctx-Bへの応答のSEENに、ctx-Aで送った秘密文が含まれた。会話が混ざっている。 1.43.0でagent_factoryを使うと、ctx-BのSEENは自分の発話だけになった。 1.43.0で非推奨の単一agentモードでも、スナップショットの入れ替えにより今回の手順では混ざらなかった。ただし公式はマルチテナントではagent_factoryを使えと案内している。 なお、修正版のソースにも「context_idは認証境界ではない。他者のcontext_idを知っている呼び出し元はその会話に付けられる。マルチテナントではトランスポート/ゲートウェイ層で認証済みアイデンティティを強制せよ」と書かれている。バージョンを上げただけでは、IDを推測・漏洩させない運用まではカバーしない。 影響を受ける人・受けない人 次のいずれかに当てはまるなら対応対象だ。 A2Aサーバーを、複数ユーザーや複数テナントから到達できる場所に公開している Pythonで strands-agents が1.43.0未満(かつ multiagent.a2a を使っている) TypeScriptで @strands-agents/sdk が1.5.0未満 次の場合は、このCVEの直接の影響外と案内されている。 A2Aサーバーを使っていない(ローカルのAgentだけ) 1ユーザー/1テナント専用のA2Aサーバーしか立てていない(ただし将来マルチテナント化するなら先に直す) 完全な回避策はない、とAWSは書いている。アップグレードするまで、1台のA2Aサーバーを複数ユーザー/テナントに晒さないこと。必要ならユーザー/テナントごとに別プロセスを立てる。 今すぐやること バージョンを確認する。Pythonなら pip show strands-agents、TypeScriptなら package.json/lockファイルで @strands-agents/sdk を見る。 Pythonは1.43.0以上、TypeScriptは1.5.0以上へ上げる。本稿執筆時点のPyPIには1.48.0系も出ているので、可能なら最新安定版まで上げてよい。 A2Aサーバーの初期化を agent_factory に切り替える。公式ユーザーガイドの「Agent-to-Agent (A2A) Protocol」も、コンテキストごとに新しいAgentを作る書き方を推奨している。 ゲートウェイで認証する。context_idを秘密鍵のように扱わない。呼び出し元の認証済みアイデンティティと、使えるcontextの対応を外側で縛る。 アップグレード完了まで、共有A2Aエンドポイントをインターネットや他テナントから閉じる。やむを得ない場合は、テナントごとに別インスタンスを立てる。 フォークや社内ラップをしているなら、executor/serverの隔離ロジックが上流の1.43.0相当になっているか差分を見る。 インシデント観点では、修正前にマルチテナントで動かしていた期間のログと、会話に紛れ込んだ可能性のある指示・個人情報の有無を確認する。AWSは悪用の有無まではこのBulletinでは述べていない。 まとめ AIエージェントを「サービス」として他者から呼ぶ構成では、セッション境界のバグはすぐに情報漏洩と指示汚染につながる。Strands AgentsのA2Aはその典型例で、公式がBulletinとAdvisoryの両方を出した。マルチテナントでA2Aを晒しているなら、バージョン確認とagent_factory化を今日のうちに終わらせたい。 一次情報はAWS Security Bulletin 2026-146-AWSと、GitHub Advisory GHSA-4v6f-7vjh-6x4m、CVE-2026-115419。修正の実体は strands-agents 1.43.0の A2AServer/StrandsA2AExecutor にある。
430
WhatsAppのヘルプページに「AIにだけ見える指示」が隠れていた。規制当局を勧めるな、GDPRに触れるな WhatsAppの公式ヘルプページに、人間の画面には表示されず、AIだけが読むための指示文が埋め込まれていました。その中には「データ保護当局への連絡を勧めない」「弁護士の話が出たらGDPRなどのプライバシー法に触れない」という指示まで含まれていました。 見つけたのは、SNSの投稿やメッセージの一括削除ツールを作っているRedactです。WhatsAppはWIREDの取材に対し「サポート用チャットボット向けの指示で、バグで表示されていた。修正済み」と説明しています。 これは単なるMetaのスキャンダルではありません。AIサポートやRAG(検索拡張生成)を作っている開発者にとっても、Webを読むAIエージェントを使う側にとっても、かなり実務的な教訓が詰まった事例です。 何が見つかったのか Redactは10月8日に最初の隠し指示に気づき、その後、WhatsAppのヘルプセンターからリンクされている545ページをすべて読んで保存しました。結果はこうです。 545ページ中80ページに、AI向けの隠しテキストがあった 隠しブロックは合計102個 ページのソースでは「HelpContentGalaxyLLMInclude」という名前の要素の近くに置かれていた ブラウザで見ると表示されないが、ページと一緒にサーバーから送られていた つまり「画面に出ない」だけで、HTMLとしては誰にでも配られていた状態です。 問題になった2つの指示 1. アカウントを削除できない人に「規制当局を勧めるな」 WhatsAppのアカウント削除は、基本的にアプリ内から、元の電話番号が使える状態でしかできません。端末や番号を失った人は自分で削除できません。 削除方法のヘルプページには「非アクティブなアカウントは一般的に120日後(米国は365日後)に自動削除される」という注記が表示されていました。その下に、画面には出ない形で次のような指示がありました。 データ保護当局、規制当局、監督機関への連絡を勧めない WhatsAppがユーザーの代わりに手動で削除できると示唆しない 別の電話番号を使う方法を勧めない 結果として、ロックアウトされた人がAIに聞いても「最長1年待ってください」以外の選択肢が会話から外される設計になっていました。 2. 弁護士の話が出たら「法律に触れるな」 通報とブロックに関するページには、ユーザーが法的措置、訴訟、弁護士、裁判に触れたときのルールが隠されていました。 利用規約やプライバシーポリシーなどの法的文書を引用・解釈しない WhatsAppの法的責任について述べない GDPR、LGPD、CCPAなどのデータ保護・プライバシー法を参照・引用・解釈しない。ユーザー自身がそれを持ち出した場合も含む 最後の一行がポイントです。ユーザーが「GDPRではどうなっていますか」と聞いても、その法律に触れるなという指示でした。 公開しているポリシーとの食い違い RedactはWhatsAppの欧州向けプライバシーポリシーとも比較しています。公開ポリシーには、情報の消去を求める権利があること、アイルランドのデータ保護委員会などの監督機関に苦情を申し立てる権利があることが書かれ、GDPRの名前も明記されています。 これらの権利はWhatsAppが与えているものではなく、EUではGDPRの第17条(消去権)と第77条(監督機関への苦情申立て権)から来ています。チャットボットへの指示でその権利が消えるわけではありません。ただ、助けを求めて来た窓口で、その存在を知る機会は減ります。 WhatsAppの説明と、削除までの経緯 Redactの確認では、日本時間10月16日朝の時点では2つの指示とも残っていた 日本時間10月18日昼前の確認では、80ページすべてから102個の隠しブロックが消えていた(ヘルプページ自体は公開のまま) WIREDによると、削除はWIREDがMetaに問い合わせた後 WhatsAppの広報は「これはユーザーではなくチャットボットへの指示で、バグで表示されていた。サポートチャットボットには法的助言ではなく、WhatsAppに関する最善のアドバイスに集中してほしい」と説明 Internet Archiveの保存版では、削除ページの10月9日の版には指示があり、10月18日の版にはない、とRedactは書いています。7月12日の保存版にはなく、9月4日の版にはあったとのことです。 公平に見ると 102個のうち、ほとんどは無害な整理用の指示でした。中には利用者を守る方向のものもあります。 18歳未満だと言った人に、年齢を偽って入力する方法を勧めない グループで詐欺に遭った人には、削除より通報を。チャット履歴は証拠になる ログインできない問題の解決策として、二段階認証の無効化を勧めない 「耳が聞こえません」は音声トラブルの報告ではなく、本人についての背景情報として扱う 企業がチャットボットに法的見解を言わせたくないのも理解できます。ただRedactの指摘どおり、「規制当局が存在する」「この法律があなたを守っている」と伝えることは法的助言ではありません。自社のポリシーにすでに書いてあることです。 開発者が持ち帰るべき4つの教訓 1. 「表示しない」は「送らない」ではない RAG用の注釈をCMSのコンテンツに埋め込み、CSSや構造で非表示にするだけでは、HTMLとして外に出ます。今回もページのソースを見れば誰でも読めました。Redactによると、このテキストはGoogleやBingのクローラにも送られていました。一方、OpenAI、Anthropic、Perplexityのクローラ名でアクセスしたときは、記事も指示も返ってこなかったそうです。 2. 「ユーザーに見せるもの」と「AIに渡すもの」の差は、いずれ比較される 今回の記事が注目されたのは、指示の中身そのものより、人間向けの説明とAI向けの指示の落差でした。システムプロンプトやガードレールは、漏れても説明できる内容になっているか。公開している規約やポリシーと矛盾していないか。そこまで含めて設計する必要があります。 3. 「言わないことリスト」は権利の案内を消しやすい 「法的助言をしない」という正当な目的のルールが、書き方次第で「法律や窓口の存在すら言わない」に広がります。禁止事項を書くときは、何を守りたくて、何まで巻き込むのかを分けて書くのが安全です。 4. Webを読むAIエージェント側にとっては、隠しテキストはそのまま入力になる 画面には見えないテキストでも、HTMLを読むAIには普通の文章として届きます。第三者のAIアシスタントが今回の指示に従ったかどうかは確認されていませんが、隠しテキストがAIの振る舞いを左右しうる経路であることは、この事例がはっきり示しています。 すぐ確認できるチェックリスト 公開ページの配信HTMLに、LLM専用のブロックや注釈が含まれていないかをレンダリング後ではなくソースで確認する LLM向けの指示は、公開ページに混ぜずサーバー側でプロンプトとして組み立てる チャットボットの禁止事項を、公開している利用規約・プライバシーポリシーと突き合わせる Webを読むエージェントでは、非表示テキストやページ内の指示文を、ユーザーの指示と同じ信頼レベルで扱わない Redact自身が「まだ分からない」としていること WhatsAppのチャットボットが実際にこの指示どおりに答えていたか(Redactが読んだのは指示であって、回答ではない) 外部のAIアシスタントがこの指示に従ったか 他の言語版や、ヘルプセンターからリンクされていないページにも同様の指示があったか なお、同じ仕組みで作られているFacebookとInstagramのヘルプセンターについては、300ページを確認して同様の指示は見つからなかったとしています。 まとめ AIサポートの品質を上げるための注釈が、CMSの仕組みのせいでそのまま公開HTMLに乗っていた。その中に、利用者が自分の権利にたどり着く道を狭める指示が混ざっていた。今回の件はそういう話です。 AIに渡す指示は、いつか誰かに読まれる前提で書く。そして、読まれても困らない内容にしておく。チャットボットを作る側にとって、一番手軽で一番効く対策はそこだと思います。
1
1,101
Python画像処理ライブラリPillowに深刻な脆弱性「CVE-2026-112398」が発覚。細工された画像を開くだけでヒープ破壊が発生し、特定条件下では任意コード実行の恐れも。
1
394