Cloudflareが有能すぎる。どうやら日本時間で12:02（お昼）ごろにPHPの脆弱性について既に保護を展開していた。 無料プランは何もしなくても保護を適用済み。有料プランはManaged Rulesetをブロックしてなければ適用済みとのこと。 流石に神対応なのでここに神社を立てよう。

【PHP脆弱性対応の「後」にむけて】 みなさん、昨晩からのPHP対応お疲れ様です。一晩中連絡鳴り止んでおらず、一部の個別メッセージに返せてなくて申し訳ないです。 一括して、今、世の中の CTOs/CISOs に届いてほしいことを４つ書き残しておきます↓ （まとまりない部分もあるのですが、投稿しないよりマシかなと、このまま投げちゃいます） Point 1: これからは、ソフトウェア業界全体で、高負荷の続くタイミングになります。意図してセキュリティに時間をあて、チームが「休息」が取れる体制を。 ・我々は脆弱性リサーチに数年間継続的に取り組んできてました。だからこそ感じますが、ここ一年（体感では GPT-5.6 Sol 以後）が、最も「本当に？」みたいな脆弱性が掘り出されていく一年になると思います。こんなのまだあったの？という驚きとともに。 ・特に複雑なメモリバグの類（memory safe でない言語製のものを中心に）、あるいは認可バグの類が中心になると思われます。 ・少なくともここから年末までは、このクラスの脆弱性がまだまだ出てくると考えておく必要があります。（僕が読み外しているかもしれませんが、恐らく高い確度でこうなります。直近のPHP脆弱性すら、いま世界中の研究者が Variant Analysis をしていて、多分まだ出てくるでしょう） ・このご時世では、新規機能の開発に割く時間を明確に落とすしかありません。あくまで経営者である CTO には取りにくい判断なのは重々承知です（僕もそうなので）。 ・「対応AIで」と思うかも知れません。これは技術的には正しいです。ただ、組織的には正しくないです。確実になんとかならず、組織は疲弊していきます。 ・なんせセキュリティ対応は大抵自分にタイミングが御せないからです。深夜の対応、急な対応、計画の変更、デグレへの不安、脆弱性情報過多（そもそも自社に影響があるかも分からないものが大半なのに）… と、ストレスの強度がぐんぐん高まっていきます。昨日〜今朝のPHP対応のようなものが、毎週あれば、チームは比較的簡単に壊れてしまうでしょう。 ・敢えてリーダーが、セキュリティへの、時間・お金（・トークン）にアロケしてください。これは経営者にしか取れない択で、かついま技術経営者に求められることです。 Point 2: 「必要なら予防的にサービス停止」の覚悟を決め、予めできる調整を重ねたい。止められない場合は、仮想パッチ・監視へのリソースアロケを。 ・前提、今回のPHPの件のような脆弱性の対応では、「顧客の保護のためならサービスを止めざるを得ない場面」が訪れます。今回も様々なビジネスがそれに直面しました。今後も訪れるでしょう。 ・今回の経験を旨に、本当に止めてはならないのか、止めらるのか、止めうる期待値調整がお客様と出来ているか、を徹底的に見直しておきましょう。 ・直近の流れをうけての、お客様への事前連絡（スタンス表明）も有効だと思います。（弊社 GMO Flatt Security 製品についても、これからそれをし、リリースノートとして掲示予定です。我々のサービスの侵害、特に Takumi Guard の侵害は、ソフトウェサプライチェーンの最悪な侵害につながるからです。） ・勿論、止めてはならないビジネスも様々存在します。ビジネスドメインに由来する規制/制約（特に金融・医療セグメント）もあれば、顧客とのSLAもあるでしょう。ただし、現代においては、それらに反するリスクと、セキュリティ被害にあうリスクを天秤にかける必要がでてきています。少し前まではサービス停止でのデメリットは容易に考えられても、セキュリティ侵害など考えにくい、という時代でしたが、今はそうではありません。この天秤を再考する必要があります。（なお、「もう何がなんでも止めてはならない」ビジネスは、相当に限定的だと思います。） ・どうしても止めてはならない（もう何がなんでも止めてはならないもの。限定的であれ存在。人命に関わるもの中心）という場合、厳しい戦いになりますが、WAFレイヤなどで緩和策を施しては祈り、監視する、という流れになります。必要なコンポーネント（WAFなど）と運用リソースがあるならば、苦しい時代ですが、休息うまく取りながらやっていきましょう。なければ、これもしんどいですが、整えましょう。 Point 3: もし平時があれば、システムのモダナイズ（Rebuild and Retire）を検討されたい。 ・もし自社での緊急対応が落ち着いているならば、レガシーコンポーネント（数年塩漬けのシステム）、誰がメンテできるのか分からないオーパーツ的存在から順に、作り直し（Rebuild）と旧システムの廃止（Retire）を試みてください。新規開発の代わりに、ここにリソースを充てることが CTO/CISO の仕事です。（他の誰もそれを決められないので。）これは追々自分たちを助けてくれる（ついでにAI-native 開発に移行できて改善しやすくなる）とも思料。 ・どのシステムからモダナイズしていくかですが：「XXXで書かれているとまずい」というのは燃えるし言いにくいものの、memory unsafe な言語、type safety があまり確保されていない言語の実装は、モダナイズを検討すべきでしょう。（僕はPHP好きですが、C/C++ で書かれた php-src は、やはりメモリバグ類に対して見通しに限界がありますね。好きなんですが…） ・また経験上、開発当時に DevOps プラクティスすら整っていなかった時代のソフトウェアも、モダナイズを検討したほうがよいです。「セキュリティ診断」をしても、取り返しのつかない量の脆弱性が出てきて、作り直したほうが早い、となる傾向にあります。（弊社でも診断/ペネトレしてますが、こうなると、どうしようもありません。） ・ただし Rebuild には、強いソフトウェア開発力が必要で、AI-native なスタイルに移行することは必須です。この意味で CTO の力がいります。かつ、どこからレガシーの追い出しをするか、どうレキュリティ的なレジリエンスを確保するかは、CISO 的な感性が求められます。既製品（とくに SaaS）を買って処理したほうがいいな、というような判断には CIO 的センスが求められます。総力戦だと思ってください。 Point 4: CTO/CISO の総力戦を。 ・Point 3でも述べた通り、直近のくだりには、CTO/CISO の総力戦が必要です。ボードがセキュリティに向かって一致団結する必要があります。 ・結構これらロールの間にサイロがあるケースがありますが、そんなことを言っている場合ではありません。 ・団結を！

広告アカウントを乗っ取られて数千万の被害。人生終了はこれで防げ。

【話題】DMM・PayPay・LINEなどの情報を盗んだとハッカーが主張 ・データ管理会社「PingCAP」から10.6TBの情報を盗んだとしている ・PingCAPは社内システムからの情報流出を公表済み ※DMMなど各サービスの利用者情報が流出したかは未確認

おいおい、今度はPython... AIエンジニア御用達のLiteLLMが、また乗っ取られている。3月に続いて2回目。 LiteLLMは、OpenAIやClaude、GeminiなどいろいろなAIを同じ書き方で呼べるようにしてくれるPythonの部品で、AIを使った開発ではかなりの確率で入っている。今回はその公式の配布元に、悪いコードが入った版（1.107.0）が出回った。 怖いのは、インストールしただけで、パソコンやサーバーに入っている鍵や認証情報をまとめて抜かれること。AWSなどのクラウドの鍵、GitHubのトークン、ブラウザに保存したパスワード、それにClaudeやCursor、Codexといった AI開発ツールのログイン情報まで狙われている。 PHPの件は「これから更新すれば防げる」話だったけど、こっちは入れた時点でもうやられているかもしれない話。1.107.0を入れた心当たりがある人は、1.106.2に戻したうえで、鍵やパスワードを全部作り直したほうがいい。

ガチでコレ うちもハーネス自作してるけど cloudflare最強すぎる。 メール、LINE、どの経路か？どのタグか？どのURLをクリックしてるか？ まで全てのデータをAIに直で渡せるから 改善スピードレベチだし、 他にも 「セミナー」の文言を「勉強会」に変える些細な変更も LP、ステップ、メール、予約フォームとか全部変えたりするの地味にだるかったり、一部変更忘れて整合性がズレてたりするのも一括で一瞬で変えてくれるし LPもセクションごとに何%読まれてるか？とかまで解析できるし サブスク代浮くしガチで最高です。

Cloudflare has deployed default web application firewall (WAF) protections for newly disclosed PHP vulnerabilities before public disclosure. The rules use request and response signals to stop exploit attempts and prevent exposed data from reaching attackers. cfl.re/488w8dc

【サイバーセキュリティ対策本部】 ⚠️PHPに重大な脆弱性！！⚠️ 本日（10月21日）午後11時（日本時間）に2件の脆弱性に関する修正パッチが公開予定。 PHPを利用している場合は速やかに適用できるように　 事前準備をお願いします。 #PHP #脆弱性

【速報】 ナウル共和国政府観光局はウェブサイトのレベルが低く、何らの情報も保持していないためサイバー攻撃の被害がなかったことを発表した

WordPressでちょうど10年運用し、1,000記事以上あったブログを、Cloudflare×Claude Codeで全面リニューアル完了。 無事全記事移動できたのはもちろん、デザインもかなり良くなりました。 さらに、 1️⃣サーバー代が不要になった 2️⃣記事作成から公開までClaude Codeに任せられるようになった 3️⃣YouTube動画のリンクを渡すだけで、記事を作成してくれるようになった 4️⃣WordPressのようなメンテが不要になった Claude Code使えるなら、もうWordPressは不要どころか、WordPressじゃないほうが運用が楽になりました。 本当、時代が大きく変わりました☺️

【各位】今夜23時、ネットの裏側で「15分間の極限攻防」が始まります。 本日10/21、Webの約8割の土台である「PHP」に致命的な欠陥（CVSS 9.2の超危険度）が発覚し、修正プログラムが日本時間の今夜23時に緊急公開されます。 解説と個人としての緊急対策を取り急ぎ。 ーーー（読み飛ばしてOK）ーーー ◆ どういう欠陥か？（攻撃の仕組み）サーバーにデータを処理させる「入力チェック機能（パース処理）」の境界線の不備です。本来は拒否されるべき「不正に加工されたリクエスト」を正常なデータだと誤認して読み込んでしまう構造的欠陥です。 ◆ そこを突くと何ができるのか？① 遠隔でのコマンド強制実行（RCE）外部から一切のログイン手順を飛ばし、サーバー内で「最高管理者コマンド」を勝手に実行できます。② データベースの完全強奪サイト内の全会員データ・暗号化パスワード・決済履歴を、防御を無視して一括で外部へ抜き出せます。③ サーバーの「踏み台」化・ランサムウェア化サイトを乗っ取ってマルウェアを植え付け、そこを拠点に他の企業や個人へ攻撃を拡大させます。 ーーーーーーーーーーーーーーー 恐ろしいのはここから。パッチが出た瞬間、攻撃者側はAIを使って「どこが直されたか」を一瞬で解析し、わずか15分以内に全世界の脆弱なサイトへ自動攻撃を仕掛けると予測されています。 「エンジニアの話でしょ？」ではありません。PHPはネット通販や予約サイト、企業システムの「心臓部」です。ここが破られると、サービス停止だけでなく、過去に登録したあなたの名前、住所、クレカ情報、パスワードが大量流出します。 ⚠️【今すぐできる自衛3つ】 ① 使い回しパスワードの緊急変更（漏洩した瞬間に別サービスへ侵入される連鎖を防ぐ） ② 主要サービスで「二要素認証（2FA）」をON ③ 「メンテナンス通知」や「パスワード再設定」を騙る詐欺メールに警戒 今夜は全国のエンジニアが徹夜で防御戦に入ります。自分と家族の身を守るために、ブクマして備えてください。身近な人にもシェアを。 今晩からサイバー攻撃のフェーズが変わります。 明日の景色はわかりません。

お名前.com 2026/10/21【お知らせ】 【重要】【重要】[お名前.com デスクトップクラウド]第三者による不正アクセスに関するお詫びとお知らせ（2026年10月21日 4:00時点） onamae.com/news/article/1158…

【Studio 緊急メンテナンスのお知らせ】 PHP開発チームが公表した重大な脆弱性に関する告知を受け、予防措置としてStudioの一部機能を一時停止し、必要な対応と安全性の確認を進めてまいります。 今回のメンテナンスはPHPの脆弱性に対する予防措置としての対応です。本件に起因する被害は確認されておりません。また、公開済みのWebサイトの閲覧には影響ございません。 ■ 一時停止期間 2026年10月21日（水）22:00以降（日本時間） ※終了時刻は未定です。再開次第、下記の方法でお知らせします。 ■ メンテナンスモード中、お使いいただけない機能 ・Studioアプリケーション（ダッシュボードおよびエディター）へのログイン、およびアプリケーション上のすべての操作 ・テンプレートの購入・出品 ■ 影響のない機能 ・公開済みのWebサイトの閲覧 ・プレビューサイトの閲覧 ■ 再開について 影響範囲の確認と必要な対応・動作確認が完了し次第、サービスを再開します。 再開時には、公式ステータスページ・公式サイト・メール・公式Xにてお知らせします。 公式ステータスページ status.studio.design/ 公式サイト studio.design/ja/whats-new/m… ※メールは配信システムの都合上、すべてのお客様に一斉にはお送りできず、順番にお届けします。そのため、再開から到着まで時間がかかる場合があります。最新の状況は上記ステータスページにてご確認ください。 ■ お問い合わせ メンテナンス中のお問い合わせは、以下の窓口で受け付けています。 studio.design/ja/support 急なお知らせとなり、ご利用中の皆様には大変ご迷惑をおかけいたします。誠に申し訳ございません。 参考: PHP 開発チームが公表した重大な脆弱性に関する告知 php.net/archive/2026.php#202…

PHPの脆弱性について話題ですが、XServerさんはさすが対応早い。 さっきまで入れてたのに急に入れなくなった。 PHPもWordpressも最新版だったので、ChatGPTにも聞いたけど現時点で何かする必要はなさそう。

さっきLステップ、エルメ、UTAGEの話してたんだけど、もはや全部いらなくなりますわ。 Cloudflareでいける。 LINE用のサードパーティはタグ付けされたデータのリプレイスめちゃくちゃ厳しい問題（基本は諦める）が課題で、マーケターとしてはどのツールも選びたくなかった。 リプレイスどころか全部辞められる時代きた。 無料のLINEハーネス使おうか悩んでたけど、Cloudflare一択っぽいな。 LINE構築とLINEマーケで稼げる時代もそろそろ終わりに向かうと思われます。 Cloudflare簡単すぎる。 事業主の皆さん、デジタルマーケは激変してるので、最新情報追って実行までやってるマーケターを捕まえておいてください。