技術

Bun PR #30412でZig製コアのRust移植がmainに入った。6755コミット、100万行超の追加、canaryで試せる状態まで進んだ。通常版へ入る前に最適化とクリーンアップが残る。

node-ipcの悪意ある3バージョンはpostinstallではなくCommonJSのrequire時に動く。9.xと12.0.1の実行条件、lockfile、__ntwプロセス、DNS TXT流出の痕跡まで確認する。

楕円曲線 y² = x³ + ax + b の群構造、モジュラー形式とのL関数による同一視（谷山-志村）、フライの曲線でフェルマーの最終定理がどう矛盾に追い込まれるか、を図と数式で追う

CVE-2026-44578は、Next.jsの組み込みNode.jsサーバーをセルフホストしている環境でWebSocketアップグレードリクエストから内部HTTPリクエストを投げられるSSRF。Vercel上は対象外で、15.5.16または16.2.5以上への更新が修正になる。

Composer 2.9.8と2.2.28で修正されたCVE-2026-45793。GitHubの新形式GITHUB_TOKENがハイフンを含むことで検証に落ち、CIログへ平文表示される条件と、GitHubの再ロールアウト前に確認する範囲を整理する。

Fragnesia（CVE-2026-46300）はLinuxのXFRM ESP-in-TCP経路でページキャッシュを書き換えるローカル権限昇格。Dirty Fragと同じ暫定緩和で止められるが、IPsec利用ホストでは副作用の確認が要る。

Uniswapのx*y=kを、スポット価格ではなく取引サイズで動く曲線として読む。V2の定数積、V3/V4の集中流動性、amountOutMinimumで切るスリッページ境界まで確認する。

5月Patch Tuesdayは137件中Critical 30件、公開悪用ゼロ。確認の中心は認証不要でCVSS 9.8のCVE-2026-41089 Netlogon RCEとCVE-2026-41096 DNS Client RCE。ZeroLogon・SIGRedとの違いとExploitability Index控えめの読み方、優先順位、検出ポイントを整理する。

Andrew Quinnのフィンランド語辞書tskで、3GBのSQLite FTSが10MBのRust FSTになった話を読む。前方一致、語形変化、静的データ、接尾辞の共有が揃うと何が起きるか。

nginx 0.6.27〜1.30.0のrewriteモジュールに18年間残っていたバッファオーバーフロー。CVSS 9.2だが全環境ではなく特定のrewrite設定パターンだけが対象で、nginx -Tによる確認方法も書いた

Linux 6.14のNTSYNC、Wine 11.0、Proton 11 betaで何が変わったか。平均FPSよりフレーム時間、/dev/ntsyncの確認、Proton側の採用状況まで。

2026年5月11日にGoogle GTIGが公表した、攻撃者がLLMで生成したゼロデイの初確認事例。OSSウェブ系管理ツールの2FAバイパスを「ハードコードされた信頼仮定」のセマンティック欠陥として発見、Pythonエクスプロイトに残ったハルシネートCVSSスコアと教科書的構造が手がかりだった。APT45・UNC2814の周辺動向まで整理