#セキュリティ

PHP 8.4.26を標的にしたCTF「Steal My Bitcoin」が解かれ、単一ファイルのPython PoCが公開された。session.upload_progressのUAFからメモリ上限到達、アドレス漏えい、HashTable経由のコマンド実行まで一続きに通す攻撃連鎖の構成と動作条件を追った。

AWS SAM CLI 1.63.0〜1.166.1で、sam build --hook-name terraformがリソースアドレスをシェルコマンドへ埋め込んでいた。対象の条件、CIのシークレットが漏洩する仕組み、Windowsのcmd.exe仕様でshlex.quoteが挫折した経緯、更新手順をまとめた。

2026年10月25日公開のTailwormレポートは、Tailscale SSHの転送機能から接続先サーバーのroot権限を奪えると指摘した。修正版もCVEもない段階で、影響する設定と、ポリシー絞り込みや転送無効化など今取れる緩和策を、レポート・公式声明・コードから確かめた。

お名前.com デスクトップクラウドへの不正アクセスで、GMOが2026年10月24日に政府へ能動的サイバー防御の適用を求めた。国家からの攻撃でなくても要請できると考えた根拠を警察官職務執行法の条文で確かめ、政府の手続き、国外のサーバーへ措置をとるときの国際法上の論点、発動の見通しを書いた。

Node2Shell、HTTP2Shellと呼ばれるBrotliの範囲外書き込み（CVE-2026-111497）は、PythonのBrotliパッケージや、Brotli対応でビルドされたcurl（`--compressed` を付けた場合）にも及ぶ。手元のWindows 11で、Pythonが送るヘッダーに関係なく応答を展開すること、pip-auditで検出できること、10月24日時点のGit for Windowsが修正前のBrotliを同梱していること（10月26日の2.56.0.windows.4で修正）を確かめ、Node.jsも修正版へ入れ替えた。

2026年10月23日、GitLabのCVE-2026-89078など4件の原因になったOnigmoのバグを直したRuby 4.0.9、3.4.12、3.3.13が出た。外部の文字列から正規表現を組み立てるRubyアプリは更新の対象になる。WSL2でビルドした5つの版に修正PRのテストパターンを流し、修正前の版が異常終了するのを確かめた。

php2shellの修正版から2日後の2026年10月23日、PHP公式が21日の修正版では直っていない別のRCE、CVE-2026-115560を告知した。対象になるアプリの3つの条件、session.upload_progress.enabled=0をすでに入れたサーバーは追加の作業がいらないこと、まだ公表されていない項目、自分のコードの確かめ方を載せる。

V4belが公開したInfinity Coreは、タイマーやシグナルなどLinuxカーネル中核の6件。導入時期が5.7から7.2までばらつき、Debian 12と13やUbuntu 24.04の標準カーネルで影響するのはTimerの1件だけ。一方でRHELはバックポートでFutexなども抱えており、CVEごとの導入版と主要ディストリの状況を整理した。

OBSのブラウザソースに悪意あるページを読み込ませると何ができるのか、ページ権限0〜5・obs-websocket有効化・CEFのサンドボックス状態を手元のWindowsのOBS 32.2.2で実測した。噂の「PHP経由」が実際には何を指すのかを権限レベルごとに確かめた。

2026年10月21日にPHPがphp2shell（CVE-2026-109618/109619）を修正した直後、パッチ後の8.5.12にもRCEやメモリ破壊が残ると主張する個人の自己公開ページが出た。どの主張が確定し、どこがまだ裏取り前かを届出状況ごとに分け、サーバー管理者が取るべき対応まで示した。

高市総理は2026年10月21日夜、XでPHPの修正パッチ適用を呼びかけ、自分のホームページも止めた。その総理が2018年にPHP研究所から出したサイバーセキュリティの本と、本部長として署名した自民党の第1次提言の中身、能動的サイバー防御法ができるまで、医師が2代続くデジタル大臣を、提言書や官邸・報道の資料からたどる。

OpenJDKが2026年10月21日に臨時で公表したCVE-2026-91403（CVSS 9.1）は、eMudhraの危殆化した中間CA 8枚をJavaが信頼してしまう問題だった。手元のM4 Mac miniでは、OpenJDK 27.0.1が既定の設定のまま危殆化したチェーンに接続し、失効確認の有効化と blocked.certs への追加ではどちらも拒否した。