技術

M1 Max 64GBで1枚約38秒（Turbo系）、約260秒（Base系）だったAnima公式の5構成（Turbo v1.1、Aesthetic v1.1など）を、EVO-X2（Radeon 8060S / ROCm / Windows）のComfyUIで同じ条件にそろえて計測した。読み込み後の生成はTurbo系約9秒、Base系約65秒で、キャラLoRAを当てても秒数は変わらなかった。

SYNパケットのIPv4オプションの解放タイミングを突くLinuxカーネルの解放後使用（UAF）CVE-2026-98432。4.4以降の全系列が対象で、修正版は5.10.272、6.1.190、6.12.113、7.2.10など。AnthropicがMPTCPの待ち受けを持つサーバーで認証なしのroot実行を示し、Go 1.24以降の既定動作も絡む。

参照画像1枚でキャラを保って構図を変えるAnima用アダプター、Ref Adapter v2とRole-Ref-KVを、前回のpilot版と同じ条件でBase・Aesthetic・Turbo・2.9Bに当てた。ポーズ指定を足すCharRef-LLLiteで、参照アダプターをRole-Ref-KVに差し替えられるかも試した。

phpMyAdminのWebAuthnセキュリティキー登録がInternal error: TypeErrorで失敗する。原因は予備実装CustomServerがAAGUIDを生16バイトのままJSONに入れること。127.0.0.1限定のDocker環境で実際の登録フローを通して特定した。登録できたレコードも公式tarball側へ移すとログインできない。開発ブランチでは2026年9月に修正済み。

phpMyAdmin 5.2.3のWebAuthn二要素認証を回避できるとするPoCを、127.0.0.1だけのDocker検証環境で動かした。署名を検証しないCustomServerではでたらめな署名でログインできたが、公式tarballを展開した構成ではInvalid signature.で拒否された。影響するインストール方法をComposerの実行結果つきで整理する。

参照画像1枚でキャラを保ったまま構図を変えるAnima Ref Adapterを、READMEの対応外のTurbo v1.0やv1.1、Aesthetic v1.1、2.9BなどにM1 MaxのComfyUIで当てて試した。Turbo系で起きる4コマ崩れの原因と回避設定、各モデルでのパラメータを整理する。

OpenAIが2026年10月26日に発表したETH反証の論文とLean証明を開き、計算量の式が準指数時間（2のo(n)乗）に入るかをSymPyで確かめた。数時間後にAnthropicも同じ計算量の反証を公開していたこと、Lean版と論文版の上界の差、実用上は速くならない理由、SETHや暗号への影響を原典に沿って整理した。

M1 Max 64GBでOllama・llama.cpp・Magnitude・uzu・Localsの速度を比較。GGUFとMLXでの実効速度、投機的デコードの効果、並列リクエスト時のスケーリング差を実機で検証した。

お名前.com デスクトップクラウドの攻撃者が、2026年10月27日正午に利用者の情報とされるデータの公開を始めた。GMOの第8〜11報の状況、攻撃者のサイトを開いてはいけない理由、利用者のPCまで影響が及ぶと言われるRDPドライブ共有の仕組みと手元PCの設定確認手順をまとめた。

PHP 8.4.26を標的にしたCTF「Steal My Bitcoin」が解かれ、単一ファイルのPython PoCが公開された。session.upload_progressのUAFからメモリ上限到達、アドレス漏えい、HashTable経由のコマンド実行まで一続きに通す攻撃連鎖の構成と動作条件を追った。

AWS SAM CLI 1.63.0〜1.166.1で、sam build --hook-name terraformがリソースアドレスをシェルコマンドへ埋め込んでいた。対象の条件、CIのシークレットが漏洩する仕組み、Windowsのcmd.exe仕様でshlex.quoteが挫折した経緯、更新手順をまとめた。

2026年10月25日公開のTailwormレポートは、Tailscale SSHの転送機能から接続先サーバーのroot権限を奪えると指摘した。修正版もCVEもない段階で、影響する設定と、ポリシー絞り込みや転送無効化など今取れる緩和策を、レポート・公式声明・コードから確かめた。