#セキュリティ

Spring BootとTomcat前提で、Request SmugglingとRequest Splittingの境界を確認する。プロキシとバックエンドのHTTP/1.1フレーミング差分、CRLFヘッダ注入、既存のaxios CRLF記事との違いまで扱う。

HTTP/2のHPACK圧縮とフロー制御停止を組み合わせると100Mbps回線1本で32GBのメモリを枯渇させられる。Envoyで5,700倍、Apacheで4,000倍の増幅が出る仕組みと、nginx・Apache・Envoy・IIS・Pingoraの修正状況を追った。

SocketがTrapDoorとして追跡する34パッケージは、npmのpostinstall・PyPIのimport時実行・Crates.ioのbuild.rsを同時に使うクロスレジストリ型の暗号資産ステイラー。Sui/Move/Solana/Aptos開発者の鍵を主目的に、レジストリごとに発火点も暗号化方式も違う点を整理した。

SpaceXの41.6億ドルSB-AMTI契約は迎撃衛星ではなく空中目標追跡のセンサー層。AMTIとGMTIの違い、数日前のSDN Backbone契約、日本のトライサット・コンステレーションとの対比まで一次ソースで整理した。

RedSunとUnDefendとして先に出ていたMicrosoft Defenderの2件がCVE-2026-41091とCVE-2026-45498として公開され、CISA KEVにも入った。エンジン1.1.26040.8とプラットフォーム4.18.26040.7まで更新できているかを確認する。

Remote-SSHを隔離箱として使っている人向け。Califの実証で侵害済みSSH先がnewLocal+sendSequenceでローカル端末にコマンドを流せると判明。CVEもパッチもなくMicrosoftは仕様扱い、痕跡の追い方と隔離の代替まで

2026年2月24日以前にKnowledgeDeliverを入れてweb.configのmachineKeyを変えていない環境が対象。ViewStateデシリアライズの仕組み、Godzillaのメモリ内実行、JS改ざんによるCobalt Strike配布までの攻撃チェーンと、Event ID 1316からの追跡手順

2011年に発行されたMicrosoftのSecure Boot CAが2026年6月に失効する。Defender for EndpointのSecure Scoreに新チェックが追加され、KB5025885ガイドのAvailableUpdatesレジストリで段階適用していく。BlackLotus由来の2023 CA移行を実機展開する手順を整理した

MicrosoftとAnthropicが5月に発表したClaude Compliance API for Microsoft Purview。監査イベントとチャット・ファイル本体はPurview側から見えるが、プロンプト中身や呼び出されたツールは見えない。Claude Codeは別経路でOpenTelemetry。対象プランと制限を整理した

Riftの後、5月後半にnginxからもう2件出た。njsのjs_fetch_proxy脆弱性CVE-2026-8711と、rewriteモジュールの第2のヒープオーバーフローCVE-2026-9256。どちらも未認証RCEに届く可能性があり、発火条件と確認ポイントを設定ファイルベースで書いた

Dirty Pipe（CVE-2022-0847）を2026年のページキャッシュ汚染系CVEと並べて読み直す。pipe_buffer.flags、splice、修正済みカーネル判定、コンテナとCIでの扱いまで。

YellowKeyはまだパッチ前だが、MSRCがWinRE内のautofstx.exe無効化とTPM+PIN追加を案内した。TPM-only BitLocker端末で何を変えるか、前回のPoC公開時点から変わった判断を整理する。