SMNF

【速報】神奈川県警が川崎市役所を家宅捜索 47news.jp/15183430.html?utm_…

【発表】JAL、顧客情報9万2千人分流出か パスポート番号も news.livedoor.com/article/de… 日本航空は28日、旅客サービスシステムの委託先が不正アクセスを受け、延べ約9万2千人分の顧客情報が流出した可能性があると発表した。このうち約2千人はパスポート番号や国籍なども漏えいした恐れがある。

辺野古沖事故遺族が抗議団体幹部と初めて面会　「分からない」繰り返し、問いに答えず sankei.com/article/20261027-… 「事故当日はカヌーを出して抗議活動をしていたのか」。父親の質問に共同代表の2人は顔を見合わせ、「どうだったかな」とつぶやいた。

不了解中国的人，只知道成天说中国的失业率多高，中国人生活压力多大，但未必清楚为什么不少人明明失业了，却还能勉强维持生活。他们的钱从哪里来？ 除了积蓄和家人接济，还有一部分中国人靠信用卡套现、网贷借款，拆东墙补西墙。 数据显示，2025年末中国居民贷款余额超过83万亿元。2024年末，信用卡逾期半年未偿本金超过1200亿元。 这些数字背后，有多少人正在靠借新还旧维持生活，没人能给出准确答案。只要信用卡还能刷、网贷还能借，日子似乎就能继续过下去。 看看中国的互联网公司，别人都在搞创新，他们却在搞网络放贷。打开中共国常用APP，都能看到网贷向你招手。 所以，一个中国人失业了却还没破产，不一定是因为他有钱，也可能只是因为他还能借到钱。 等大家最后一张信用卡刷不出来、网贷也借不到的时候，真正的危机才开始。

PHP の件、街頭インタビューガチャ SSR 引いてる

【PHPセキュリティ問題　時系列順まとめ】 今回のPHPの事案を時系列順にまとめてみました。 ---- 2024年：PHPの潜在的な脆弱性を発見 外部監査をきっかけにメモリ管理の問題を認識。 しかし、修正方針がまとまらず約2年間対応が停滞。 ↓ 2026年8月：重大な任意コード実行リスクが判明 Calif（セキュリティ企業）やOpenAIなどが、認証なしで任意コード実行（RCE）が可能な攻撃経路を報告。 PHP開発チームが修正を最優先で進める。 ↓ 10月21日 0時頃：脆弱性情報が事前流出 修正パッチ公開前に、2件のCVE番号がHacker Newsへ投稿され、←何してんの それがSNSや掲示板にも拡散。 ※この時点では技術的な詳細は含まれていなかった。 ↓ 10月21日 4時30分：PHP公式が緊急告知 情報流出を受け、パッチ公開予定を22日から21日23時（日本時間）へ前倒し。 ↓ 10月21日 5時頃：攻撃実証動画が誤公開 Califが攻撃の動作動画を誤って公開。←最高にカス、バカ すぐに削除されたものの複製が拡散し、攻撃コードの開発が加速。 ↓ 10月21日：研究者らによる未検証情報が拡散 パッチ公開前に、@ J4ck3LSyN などによって脆弱性の原因や再現方法をSNSなどで発信する動きが発生。←余計なことをするな ↓ 10月21日 16時41分：修正済みバイナリを先行公開 Chainguard（セキュリティを専門とする米国企業）が公開予定の約6時間前に修正済みコンテナイメージを配布。←最大最悪のカス、超絶ルール違反 これにより攻撃者によるパッチの差分解析が可能な状態に。 ※PHP Foundationもこれを一方的なエンバーゴ違反（事前に取り決めた情報の公開禁止期間を守らないこと）と明言しています。 ↓ 10月21日：国内外でサービスの緊急停止が相次ぐ 修正パッチがまだ提供されていないため、国内外のWebサービスや政府機関が予防措置として一時停止・メンテナンスを実施。 ↓ 10月21日 23時頃：PHP公式が修正版を公開 CVE-2026-109618、CVE-2026-109619への修正を含むPHP 8.2〜8.5の更新版を公開。 ↓ 10月22日：情報流出と管理体制の問題が焦点に PHP Foundationが、2024年からの修正停滞を組織的な失敗と認める。協調的な脆弱性開示が崩れた経緯も問題視される。 ---- 【結論】人災。 特に、 ⚠️ Califが攻撃の動作動画を誤って公開したこと ⚠️ Chainguardの勝手な判断による修正済みバイナリを含むコンテナイメージの公開 が最悪。終わってます。

昨日、Twitter見たんです。Twitter。 そしたらなんか普段は脆弱性の話なんかしない連中まで、PHPの脆弱性で大騒ぎしてるんです。 で、よく見たらなんかphp2shellとか書いてあるんです。 もうね、アホかと。馬鹿かと。 お前らな、php2shellが話題になったくらいで普段見向きもしない脆弱性対応に群がってんじゃねーよ、ボケが。 Criticalだよ、Critical。 お前らが昨日まで見過ごしてた脆弱性もCriticalだろうが。 なんか普段セキュリティに興味ない人とかもいるし。全社総出で脆弱性対応か。おめでてーな。 よーしパパ緊急セキュリティ対応しちゃうぞー、とか言ってるの。もう見てらんない。 お前らな、CVSS 10.0のチケットやるからその席空けろと。 脆弱性対応ってのはな、もっと殺伐としてるべきなんだよ。 本番環境のバージョン一覧を挟んで、開発担当とインフラ担当がいつ喧嘩を始めてもおかしくない、パッチを当てるかサービスを止めるか、そんな雰囲気がいいんじゃねーか。 にわか有識者は、すっこんでろ。 で、やっと影響範囲の確認が始まったかと思ったら、隣の奴が、とりあえずWAFで、とか言ってるんです。 そこでまたぶち切れですよ。 あのな、WAFで防げるかも確認せずにとりあえずWAFなんてきょうび流行んねーんだよ。ボケが。 得意げな顔して何が、とりあえずWAFで、だ。 お前は本当に自社が影響を受けるのか把握してるのかと問いたい。問い詰めたい。小一時間問い詰めたい。 お前、WAFって言いたいだけちゃうんかと。 脆弱性対応通の俺から言わせてもらえば今、通の間での最新流行はやっぱり、影響範囲の棚卸し、これだね。 影響範囲の棚卸し、悪用可能性の確認、パッチ適用。これが通の頼み方。 棚卸しってのは使ってるソフトウェアを把握できる。そん代わり放置してる脆弱性も見つかる。これ。 で、それに悪用可能性と事業影響を踏まえた優先順位付け。これ最強。 しかしこれを頼むと今まで見過ごしてた脆弱性が大量に見つかって対応に追われるという危険も伴う、諸刃の剣。 素人にはお薦め出来ない。 まあお前らド素人は、未対応のDependabot Alertsでも眺めてなさいってこった。

发现一个漏洞，暂定叫 bash2shell。打开终端输入 bash，直接拿到 shell，0-click，无需认证，1989 年起全 Linux 通杀，至今没修 准备提 HackerOne，Critical 起步

問題の令和５年分収支報告書（抜粋） たすき22万も凄いが、バッグ、衣装（仕立て含む）、美容院、スタンドミラー代が政治活動費に計上されてるのが凄い

高市総理「大至急、PHPパッチ適用を」Xで異例の要請　エンジニアは評価「経営層に伝わる」 itmedia.co.jp/news/article/2…

الباحث j4ck3lsyn اللي نشر ثغرة PHP، نزّل تغريدة يوضح فيها موقفه بعد الانتقادات، وخلاصتها: (دزوا أمها) باختصار يقول: ما سويت شي غير قانوني، وما عندي أي عقد ولا اتفاق مع أي برنامج أو منصة، والعقود الاجتماعية ما لها قيمة في زمننا هذا.. فدزوا أمها. وهذي بالضبط هي السالفة. الرجّال نشر ثغرة تنفيذ كود عن بعد في PHP، أداة تشغّل نص مواقع الإنترنت، وبكل برود يقول لك أنا ما وقّعت على شي ولا ملزم بشي. ومن الناحية القانونية صح، ما فيه قانون يجبره ينسّق قبل لا ينشر. بس الإفصاح المنسّق (responsible disclosure) ما كان يوم قانون، هو عُرف المجتمع الأمني عشان الجهة المتأثرة تطلّع تحديث قبل لا يصير الاستغلال متاح للكل.

PHPなんて使ってないから高みの見物 と思っていたNode.js開発者の諸君、今夜は徹夜です