記事一覧

phpMyAdminのWebAuthnセキュリティキー登録がInternal error: TypeErrorで失敗する。原因は予備実装CustomServerがAAGUIDを生16バイトのままJSONに入れること。127.0.0.1限定のDocker環境で実際の登録フローを通して特定した。登録できたレコードも公式tarball側へ移すとログインできない。開発ブランチでは2026年9月に修正済み。

phpMyAdmin 5.2.3のWebAuthn二要素認証を回避できるとするPoCを、127.0.0.1だけのDocker検証環境で動かした。署名を検証しないCustomServerではでたらめな署名でログインできたが、公式tarballを展開した構成ではInvalid signature.で拒否された。影響するインストール方法をComposerの実行結果つきで整理する。

参照画像1枚でキャラを保ったまま構図を変えるAnima Ref Adapterを、READMEの対応外のTurbo v1.0やv1.1、Aesthetic v1.1、2.9BなどにM1 MaxのComfyUIで当てて試した。Turbo系で起きる4コマ崩れの原因と回避設定、各モデルでのパラメータを整理する。

OpenAIが2026年10月26日に発表したETH反証の論文とLean証明を開き、計算量の式が準指数時間（2のo(n)乗）に入るかをSymPyで確かめた。数時間後にAnthropicも同じ計算量の反証を公開していたこと、Lean版と論文版の上界の差、実用上は速くならない理由、SETHや暗号への影響を原典に沿って整理した。

M1 Max 64GBでOllama・llama.cpp・Magnitude・uzu・Localsの速度を比較。GGUFとMLXでの実効速度、投機的デコードの効果、並列リクエスト時のスケーリング差を実機で検証した。

お名前.com デスクトップクラウドの攻撃者が、2026年10月27日正午に利用者の情報とされるデータの公開を始めた。GMOの第8〜11報の状況、攻撃者のサイトを開いてはいけない理由、利用者のPCまで影響が及ぶと言われるRDPドライブ共有の仕組みと手元PCの設定確認手順をまとめた。

PHP 8.4.26を標的にしたCTF「Steal My Bitcoin」が解かれ、単一ファイルのPython PoCが公開された。session.upload_progressのUAFからメモリ上限到達、アドレス漏えい、HashTable経由のコマンド実行まで一続きに通す攻撃連鎖の構成と動作条件を追った。

AWS SAM CLI 1.63.0〜1.166.1で、sam build --hook-name terraformがリソースアドレスをシェルコマンドへ埋め込んでいた。対象の条件、CIのシークレットが漏洩する仕組み、Windowsのcmd.exe仕様でshlex.quoteが挫折した経緯、更新手順をまとめた。

2026年10月25日公開のTailwormレポートは、Tailscale SSHの転送機能から接続先サーバーのroot権限を奪えると指摘した。修正版もCVEもない段階で、影響する設定と、ポリシー絞り込みや転送無効化など今取れる緩和策を、レポート・公式声明・コードから確かめた。

PHP 5.3から8.6（2026年11月正式版予定）までで、組み込み関数の挙動、引数の受け取り方、名前空間が変わり、エラーも出ずに結果が変わる移行の落とし穴を版ごとに整理した。8.6でのmb_ereg系非推奨やセッション設定の既定値変更もまとめた。

お名前.com デスクトップクラウドへの不正アクセスで、GMOが2026年10月24日に政府へ能動的サイバー防御の適用を求めた。国家からの攻撃でなくても要請できると考えた根拠を警察官職務執行法の条文で確かめ、政府の手続き、国外のサーバーへ措置をとるときの国際法上の論点、発動の見通しを書いた。

Node2Shell、HTTP2Shellと呼ばれるBrotliの範囲外書き込み（CVE-2026-111497）は、PythonのBrotliパッケージや、Brotli対応でビルドされたcurl（`--compressed` を付けた場合）にも及ぶ。手元のWindows 11で、Pythonが送るヘッダーに関係なく応答を展開すること、pip-auditで検出できること、10月24日時点のGit for Windowsが修正前のBrotliを同梱していること（10月26日の2.56.0.windows.4で修正）を確かめ、Node.jsも修正版へ入れ替えた。