記事一覧

2026年10月21日のGitLab Critical Patch Releaseで、7.0以降の全バージョンに影響するCVSS 10.0の脆弱性CVE-2026-110264が直った。Org-modeの表示処理からRubyの正規表現エンジンで範囲外書き込みが起きる仕組み、更新先の修正版、検知ルールに沿ったログの確認方法と、手元のRuby 4.0.6でまだ修正が入っていないことを確かめた結果。

2026年10月20日、Apache Tomcat 9・10.1・11の脆弱性8件が公開された。Importantの3件（JNDIRealmの認証回避、HTTP/2とAJPのレスポンス混入）がどの設定で起きるかと、修正版の9.0.123・10.1.61・11.0.27を、アドバイザリと修正コミットで確かめた。

認証なしの1接続でHTTP/3サーバーのメモリを使い切らせるQPACK増幅攻撃が公開された。quic-go、Cloudflare quiche、lsquic（OpenLiteSpeed）、Bunなど10実装中7つが該当し、10月22日に出たBun 1.4.4を含む修正版の番号と、mitmproxy・hyperium/h3のように未修正の実装で取れる回避策を表にした。

php2shellの修正版が出た夜、Remiのリポジトリは更新されなかった。AlmaLinux 9とRemiのPHP 8.3で動くDockerコンテナに、公式ソースからビルドしたphp、php-fpm、opcache.soの3ファイルを差し替え、FPMへのUSR2シグナルで無停止で切り替えた手順と、docker killの仕様やRPM更新対策の実機記録。

PHPのコア開発者とGMO Flatt Securityが、session.upload_progressの無効化だけではphp2shellを防げないとした。2026年10月21日23時に出たPHP修正版（8.5.12、8.4.27、8.3.36、8.2.35）と8.1以前向けパッチの入手先、配布元ごとの状況と、レンタルサーバー、Linuxのパッケージ、Dockerごとの当て方、予防的にサービスを止める国内外の組織を載せる。

2026年10月21日のNode.jsセキュリティリリースでHIGHが4件修正された。IPアドレスの書き方でTLSのホスト名検証を通る問題などを、手元のM4 Mac miniでv24.22.0・v24.22.1・EOLのv25.3.0に試した結果と、更新方法をまとめた。

eMudhraの中間CA証明書8枚の秘密鍵は、P-384なのに256未満の整数だった。手元のM4 Mac miniで公開証明書から8本とも復元し、macOS標準curl、Node.js、Python certifi、uv、Goがテスト用サイトの危殆化した証明書チェーンを受け入れるかを試した結果と、修正済みの版をまとめた。

Anima公式のTurbo v1.1とAesthetic v1.1を、Anima-Base v1.0・Turbo v1.0・Base＋Turbo LoRAとM1 Max 64GBのComfyUIで同じ条件で比較した。Base学習のキャラLoRAは髪と目を指定すれば本人として出たが、Aesthetic v1.1は2キャラで人数が増え、Turbo v1.0は首元リボンの色を外した。素の画風、背景密度、画像変換、生成速度もまとめる。

PHP公式が2026年10月21日23時（日本時間）に重大な脆弱性2件の修正を予告した。外部ではphp2shell（CVE-2026-109618/109619）と呼ばれ、デフォルトで有効なsession.upload_progressの処理が関係すると推定されている。修正版を待つ間に設定を切る手順を、レンタルサーバー、php.ini、.htaccess、.user.iniの別に書き、公式発表と外部の推定を分けて載せる。

Laravelの組み込みTokenGuardに、MySQL/MariaDB環境で他人のAPIトークンなしにそのユーザーとして認証される脆弱性（CVE-2026-114509、GHSA-f9x3-7vq9-cph6、CVSS v4.0 9.2）が公表された。config/auth.phpでdriverがtokenのガードを使っているかの確かめ方、修正版の番号、配列の0がトークンと一致してしまう仕組みを書く。

話しかけると絵を描くSGP611に中継の受付を入れ、時刻1440通りとRSSネタの音声を事前生成して約10秒の応答を2〜3秒に短縮した実機記録。会話をLLM履歴へ書き戻すPOST /turnや、Voskでのオフライン・ウェイクワード常時認識、Ubuntu常駐とTailscaleによるPCレス化まで。

StackChan用の音声チャットサーバーで、ModelScope経由のQwen3.8-Maxが「今日の東京の天気」に答えられなかった原因を調べた。内蔵の検索は動いていたが当日のデータが無く、関数呼び出しとddgs・気象庁の予報JSON・ニュースのRSSに置き換えた。前日夜の予報が混ざる問題や、「調べるね」で返事が終わる問題の直し方まで。