株式会社pharmake 代表取締役社長/大阪大学薬学部卒/製薬で開発、メディカル、マーケティング職を経てヘルスケアベンチャーへ。1人でも多くの病院薬剤師がより充実した働き方を得られるように株式会社pharmakeを設立。医療従事者の人材育成・組織開発・キャリア形成・DX/生成AI活用をご支援しています
Joined January 2011
- Tweets3K
- Following132
- Followers571
- Likes1K
こんな歴史だったのか…
でも改めてセキュリティの大事さというか、「HPなんてClaudeで作れちゃうよね！」という意識から一段意識が変わったんじゃないかな、と思う。
一方、今回のケースで「証券会社や銀行もハックされたの？」「預金を引き出しておかなきゃ！」「Wi-fi切っておこう！」って変な怖がり方も出ていて、非エンジニアだとしても、最低限のワードは知っておかないとなぁと思いました。
改めて「正しく怖がる」って大事ですね。
【PHPセキュリティ問題 時系列順まとめ】
今回のPHPの事案を時系列順にまとめてみました。
----
2024年：PHPの潜在的な脆弱性を発見
外部監査をきっかけにメモリ管理の問題を認識。
しかし、修正方針がまとまらず約2年間対応が停滞。
↓
2026年8月：重大な任意コード実行リスクが判明
Calif（セキュリティ企業）やOpenAIなどが、認証なしで任意コード実行（RCE）が可能な攻撃経路を報告。
PHP開発チームが修正を最優先で進める。
↓
10月21日 0時頃：脆弱性情報が事前流出
修正パッチ公開前に、2件のCVE番号がHacker Newsへ投稿され、←何してんの
それがSNSや掲示板にも拡散。
※この時点では技術的な詳細は含まれていなかった。
↓
10月21日 4時30分：PHP公式が緊急告知
情報流出を受け、パッチ公開予定を22日から21日23時（日本時間）へ前倒し。
↓
10月21日 5時頃：攻撃実証動画が誤公開
Califが攻撃の動作動画を誤って公開。←最高にカス、バカ
すぐに削除されたものの複製が拡散し、攻撃コードの開発が加速。
↓
10月21日：研究者らによる未検証情報が拡散
パッチ公開前に、@ J4ck3LSyN などによって脆弱性の原因や再現方法をSNSなどで発信する動きが発生。←余計なことをするな
↓
10月21日 16時41分：修正済みバイナリを先行公開
Chainguard（セキュリティを専門とする米国企業）が公開予定の約6時間前に修正済みコンテナイメージを配布。←最大最悪のカス、超絶ルール違反
これにより攻撃者によるパッチの差分解析が可能な状態に。
※PHP Foundationもこれを一方的なエンバーゴ違反（事前に取り決めた情報の公開禁止期間を守らないこと）と明言しています。
↓
10月21日：国内外でサービスの緊急停止が相次ぐ
修正パッチがまだ提供されていないため、国内外のWebサービスや政府機関が予防措置として一時停止・メンテナンスを実施。
↓
10月21日 23時頃：PHP公式が修正版を公開
CVE-2026-109618、CVE-2026-109619への修正を含むPHP 8.2〜8.5の更新版を公開。
↓
10月22日：情報流出と管理体制の問題が焦点に
PHP Foundationが、2024年からの修正停滞を組織的な失敗と認める。協調的な脆弱性開示が崩れた経緯も問題視される。
----
【結論】人災。
特に、
⚠️ Califが攻撃の動作動画を誤って公開したこと
⚠️ Chainguardの勝手な判断による修正済みバイナリを含むコンテナイメージの公開
が最悪。終わってます。
【緊急メンテナンスのお知らせ】
サービス稼働に利用しているソフトウェアにおいて、重大なセキュリティ脆弱性が発見されたことから、安全を確保するため、弊社サイトを一時的に停止いたします。
ご不便をおかけいたしますが、どうぞよろしくお願いいたします。
え、え、え？
@ryosei_asai RYOSEIさんに連絡もらって、今プチパニック。私では「？？？」なので、夜遅いところ申し訳ないけど、うちのエンジニアに速攻連絡…
皆様に、今夜に対応して頂きたい大至急のお願いです。
多くのウェブサイトで使用されているPHPに関し、PHPのセキュリティチームが、重大な２件の脆弱性に関する注意喚起を行っています。
公開しているウェブサイトでPHPを使用しているか確認し、今夜、10月21日午後11時（日本時間）に公開される修正パッチについて、可及的速やかに適用できるよう準備をお願いします。
修正パッチを速やかに適用することが困難な場合は、例えばウェブサイト等を一時的に停止させることも、リスクを低減させるための有効策の一つと考えられます。
国家サイバー統括室のXアカウントでも関係する情報を発信していますので、そちらも参考にして下さい。
国家サイバー統括室(注意・警戒情報)（@cyber_forecast） / X
最近タスクの抜け漏れがちょいちょいあって、タスク管理表じゃ限界だな…と思い。
Claudeに「管理シートと私の送信履歴から未対応のタスクを毎日整理して教えて」とお願いしたら、勝手に「秘書リマインド」って名付けてきた笑
【10/28（水）無料オンラインセミナー】
今回のテーマは、
「成長してほしい。でも、本人がそこまで望んでいないときどうする？」
です。
管理職の先生方とお話ししていると、
「今の仕事だけでなく、もっと幅広い経験を積んでほしい」
「学べる環境は整っているのに、なかなか手を挙げてくれない」
「成長してほしいという思いはあるけれど、本人が望んでいないことをどこまで求めてよいのだろう」
といった悩みを伺うことがあります。
部下の能力や可能性を感じているからこそ、もっといろいろな経験を積んでほしい。将来的には、主任や係長として活躍してほしい。
けれども、本人は今の仕事に満足していたり、新しい役割を担うことを望んでいなかったりする。
「今のままで十分です」と言われると、それ以上どう働きかければよいのか、迷うこともあるのではないでしょうか。
今回のセミナーでは、組織行動学やキャリア心理学の知見をもとに、一人ひとりに合った働きかけのヒントを探ります。
・部下や後輩にもっと経験を積んでほしいが、伝え方に迷っている方
・主任や係長など、次の役割を期待する職員への関わり方に悩んでいる方
・本人の希望を尊重しながら、成長を支援したい方
に向けた内容です。
開催日時：10/28（水）12:30〜／19:00〜
※いずれも同じ内容・30分
開催場所：Zoom
参加費：無料
■お申し込み
参加をご希望の方は、コメント欄のURLよりお申し込みください。
12:30／19:00ともに同じ内容です。
開催時刻までお申し込みいただけます。
ご参加をお待ちしております。
3時間半の研修終わりました！
今日は組織で起こりうる問題に、役職者としてどう対応していくか考えるケースワーク！
怒涛の😉3ケース！
みなさんもヘトヘト。頭使いましたー！
いつものご褒美で炉端焼きのはなまるに💮
