技術

OpenAIが2026年10月26日に発表したETH反証の論文とLean証明を開き、計算量の式が準指数時間（2のo(n)乗）に入るかをSymPyで確かめた。数時間後にAnthropicも同じ計算量の反証を公開していたこと、Lean版と論文版の上界の差、実用上は速くならない理由、SETHや暗号への影響を原典に沿って整理した。

M1 Max 64GBでOllama・llama.cpp・Magnitude・uzu・Localsの速度を比較。GGUFとMLXでの実効速度、投機的デコードの効果、並列リクエスト時のスケーリング差を実機で検証した。

お名前.com デスクトップクラウドの攻撃者が、2026年10月27日正午に利用者の情報とされるデータの公開を始めた。GMOの第8〜11報の状況、攻撃者のサイトを開いてはいけない理由、利用者のPCまで影響が及ぶと言われるRDPドライブ共有の仕組みと手元PCの設定確認手順をまとめた。

PHP 8.4.26を標的にしたCTF「Steal My Bitcoin」が解かれ、単一ファイルのPython PoCが公開された。session.upload_progressのUAFからメモリ上限到達、アドレス漏えい、HashTable経由のコマンド実行まで一続きに通す攻撃連鎖の構成と動作条件を追った。

AWS SAM CLI 1.63.0〜1.166.1で、sam build --hook-name terraformがリソースアドレスをシェルコマンドへ埋め込んでいた。対象の条件、CIのシークレットが漏洩する仕組み、Windowsのcmd.exe仕様でshlex.quoteが挫折した経緯、更新手順をまとめた。

2026年10月25日公開のTailwormレポートは、Tailscale SSHの転送機能から接続先サーバーのroot権限を奪えると指摘した。修正版もCVEもない段階で、影響する設定と、ポリシー絞り込みや転送無効化など今取れる緩和策を、レポート・公式声明・コードから確かめた。

PHP 5.3から8.6（2026年11月正式版予定）までで、組み込み関数の挙動、引数の受け取り方、名前空間が変わり、エラーも出ずに結果が変わる移行の落とし穴を版ごとに整理した。8.6でのmb_ereg系非推奨やセッション設定の既定値変更もまとめた。

お名前.com デスクトップクラウドへの不正アクセスで、GMOが2026年10月24日に政府へ能動的サイバー防御の適用を求めた。国家からの攻撃でなくても要請できると考えた根拠を警察官職務執行法の条文で確かめ、政府の手続き、国外のサーバーへ措置をとるときの国際法上の論点、発動の見通しを書いた。

Node2Shell、HTTP2Shellと呼ばれるBrotliの範囲外書き込み（CVE-2026-111497）は、PythonのBrotliパッケージや、Brotli対応でビルドされたcurl（`--compressed` を付けた場合）にも及ぶ。手元のWindows 11で、Pythonが送るヘッダーに関係なく応答を展開すること、pip-auditで検出できること、10月24日時点のGit for Windowsが修正前のBrotliを同梱していること（10月26日の2.56.0.windows.4で修正）を確かめ、Node.jsも修正版へ入れ替えた。

巨人監督に就任した松井秀喜の巨人時代とメジャー10年を、PythonでNPBの記録とMLB Stats APIから集計した。リーグ平均を100にしたOPS+で王貞治・長嶋茂雄や松井以降の巨人の4番と並べ、メジャーではWARの内訳と投球単位のデータも調べた。

2026年10月23日、GitLabのCVE-2026-89078など4件の原因になったOnigmoのバグを直したRuby 4.0.9、3.4.12、3.3.13が出た。外部の文字列から正規表現を組み立てるRubyアプリは更新の対象になる。WSL2でビルドした5つの版に修正PRのテストパターンを流し、修正前の版が異常終了するのを確かめた。

php2shellの修正版から2日後の2026年10月23日、PHP公式が21日の修正版では直っていない別のRCE、CVE-2026-115560を告知した。対象になるアプリの3つの条件、session.upload_progress.enabled=0をすでに入れたサーバーは追加の作業がいらないこと、まだ公表されていない項目、自分のコードの確かめ方を載せる。