tomiyan(冨田昌邦) retweeted
またセキュリティリリースかいー、しんどいなー
WordPress 7.1.4 is now available. This security release fixes multiple issues, and site owners should update immediately. Update from the WordPress Dashboard or download the release. wp.me/pZhYe-5Ha
tomiyan(冨田昌邦) retweeted
士郎正宗によるサイバーパンクの金字塔
「攻殻機動隊」
新作アニメーション、制作始動。
アニメーション制作:サイエンスSARU
#攻殻機動隊 #theghostintheshell
PHPもそうだけど、証明書の話もヤバくて、速やかに証明書セットの更新をできるところはやって、OSとかブラウザも緊急アップデートとかかかり次第速やかに全社員が更新する必要があります
emudhra.we-have-a-problem.co…
Node.jsの件はちょうどさっき詳細発表された。
High
・CVE-2026-105482:dns.resolve が NULL 文字を含む名前を切り詰める(26/24/22)
・CVE-2026-105483:IP を全角数字で書くと TLS 証明書のホスト名検証をバイパス(26/24)
・CVE-2026-106069:ホストが IP に緩く解決される場合の TLS 証明書ホスト名バイパス
・CVE-2026-111497:Brotli デコーダの境界外書き込み → リモートコード実行
PHPに続いてNode.jsも出ている。
しばらくこういった緊急対応が続くんだろうなあ…。
nodejs.org/ja/blog/vulnerabi…
tomiyan(冨田昌邦) retweeted
Homebrewもか。ごちゃごちゃ言わずとにかく更新するしかないな。
emudhra.we-have-a-problem.co…
認証局eMudhraの中間証明書、秘密鍵が「数ミリ秒」で復元可能な脆弱性 大手各社が緊急遮断
itmedia.co.jp/news/article/2…
PHPに続いてNode.jsもsecurity release。
nodejs.org/en/blog/vulnerabi…
tomiyan(冨田昌邦) retweeted
死なば諸共なのかな
「マンション管理会社にも金銭」と談合業者 大規模修繕で新たな証言:朝日新聞 asahi.com/articles/ASVBN2HJF…
tomiyan(冨田昌邦) retweeted
【重要】Linuxカーネルの脆弱性(CVE-2026-99999)に関する当社サービスへの影響について
sakura.ad.jp/corporate/infor…
tomiyan(冨田昌邦) retweeted
【クーリッシュに血液 原因は未特定】
news.yahoo.co.jp/pickup/6598…
tomiyan(冨田昌邦) retweeted
最も優秀なシニアエンジニアが先月会社を辞めてしまった。3回も昇進させていたにも関わらず、という記事
medium.com/javarevisited/my-…
・最高のシニアエンジニアだったエレナが3回の昇進を経た末に先月会社を辞めた
・昇進を重ねるたびに現場でのコーディング作業が奪われていった
・3回目の昇進で役職と給与が上がり大量の会議が増えたが、6ヶ月後に彼女はより低い肩書きとともに他社へ転職した
・転職の理由は高い給料ではなく、再びコードを書かせてくれるという約束だった
・エレナは不具合の原因を素早く突き止め、周囲から深く信頼される卓越したエンジニアだった
・シニアからリードエンジニアへの最初の昇進は妥当であり、調整作業や報告が増えても設計や困難な実装に取り組む時間は十分に残っていた
・彼女が追加された管理業務を難なくこなしたため、会社はさらに多くの管理業務を与えるようになった
・2回目の昇進で3つのチームを担当するようになり、意見調整や面接や計画策定などでカレンダーが会議で埋まった
・開発時間を確保するために設けた作業枠も、次々と発生する優先度の高い会議によって潰されていった
・会社はプルリクエストの減少を委任の成功と捉え、成果が出ていることばかり評価して、彼女が仕事への熱量を失っていることに気づかなかった
・彼女の本質的な価値は会議に出ることではなく、リスクを見抜いて適切な判断を下す能力にあった
・3回目の昇進でエンジニアリングディレクターになり、予算や評価などの管理業務に追われて技術的な貢献は皆無になった
・昇進の1ヶ月後に感想を聞くと忙しいと答えたが、それは過密なスケジュールによる疲労ではなく、情熱を持てる仕事から切り離された虚無感だった
・新しい役職でも彼女は優秀に業務をこなし、離職率の低下やスムーズな意思疎通など組織の成果は向上していた
・人事評価で現場からの脱却を絶賛し更なる組織の統括を打診した2週間後に、彼女は退職願を提出した
・最も危険な退職はパフォーマンスの低下ではなく、本人が望んでいない仕事で成果を出し始めたときに起きる
・転職先の役職は部下も予算もないスタッフソフトウェアエンジニアだったが、給与水準は維持されていた
・転職先の面接では一週間のうち作る作業にどれくらい時間を使いたいかを聞かれ、その時間が職務として保護された
・会社のキャリアパスには管理職と個人貢献者の2つが存在したものの、実際には大勢を管理する道だけが高く評価されていた
・会社は影響力の拡大と実務からの距離を混同しており、彼女は技術への愛着を捨てるようなリーダーシップの定義を拒絶したのだった
・彼女の退職を機に、昇進時の対話では肩書が変わっても残したい実務は何かを最初に尋ねるように改めた
・管理職と同等の給与と影響力を持つ技術職を新設し、技術的に優秀な人を安易に管理職へ移動させるのをやめた
・昇進後はカレンダーを定期的に確認し、会議で作業時間が潰されていないかチェックする仕組みを導入した
・昇進は本人にとって望む場所への移動でなければ意味がなく、愛着のある現場仕事を卒業すべきものとして扱わないことが重要である
tomiyan(冨田昌邦) retweeted
ついに管理会社がSaaSを内製し始めたぞ。。。
210室を自主管理する不動産会社が賃貸管理システムを内製しました。 prtimes.jp/main/html/rd/p/00…
tomiyan(冨田昌邦) retweeted
簡単にまとめた😀
2026年7月15日以降にリポジトリを作ると GitHub Actions OIDC トークンの sub のフォーマットが変わる - kakakakakku blog kakakakakku.hatenablog.com/e…
tomiyan(冨田昌邦) retweeted
WordPressのコアにセキュリティアップデート!
過去のほぼ全バージョンに存在する脆弱性のようです。
投稿者ユーザー以上でログインされなければ大丈夫そうだけど、 管理が甘いサイトは危ないですね。
wordpress.org/news/2026/08/w…
tomiyan(冨田昌邦) retweeted
tl;dv を使っているところありそうだけど、18万件以上の会議データが誰でも閲覧可能になっていた、という内容で厳しい。
・tl;dvのFirestoreデータベースにおいて、テナント間のアクセス制御が完全に欠落していた
・無料ユーザーであっても、プラットフォーム上の全会議データを自由に検索できる状態
・結果として、84,312人のユーザーによる181,874件の会議レコードが露出した
・露出したデータには、23カ国の政府機関や大学、多数の企業の会議が含まれている
・さらに、現在録画中である会議のIDもリアルタイムに取得可能だった
・これは、進行中のライブ会議へ招待なしで誰でも乱入できることを意味する
・筆者は1月にこの重大な脆弱性をtl;dvの運営チームへ報告した
・ただ、そこから6ヶ月が経過しても脆弱性は修正されていない
・CTOからの返答も一切なく、現在も放置されているとのこと
bobdahacker.com/blog/tldv-ha…
tomiyan(冨田昌邦) retweeted
WordPressに無認証クロスサイトスクリプティングの脆弱性。CVE-2026-64638はCVSSスコア8.9で、ログイン画面が脆弱。悪意あるページからの遷移により、遠隔コード実行が可能な可能性。他脆弱性と併せ7.0.3で修正。バックポートもあり。 securityonline.info/wordpres…
tomiyan(冨田昌邦) retweeted
【データビジュアライゼーション】
首都圏家賃マップ-街の高級化で東西に新序列、1135駅データを個別に大解剖 bloomberg.com/graphics/2026-…
首都圏の家賃は、長らく西高東低と言われてきた構図から、上昇率(値上がり)でみれば「東高西低」の新たな序列へ。
ブルームバーグが、首都圏の1135駅で各駅から徒歩10分圏内にある賃貸住宅に、不動産テックのestieの協力を得て家賃動向を分析。
2020年と2025年の約45万室のデータを比較したところ、東京の東側に加え、上位には埼玉・千葉・神奈川の郊外エリアでも家賃上昇が進んでいることが分かった。
家賃上昇率が60%超になった駅もあった。
tomiyan(冨田昌邦) retweeted
🚨 WordPress Core本体の事前認証RCE。これがどれだけ異常事態か、少し丁寧に説明します。
■ 「事前認証」とは
攻撃にログインが一切不要という意味です。IDもパスワードも要らず、サイトのURLを知っているだけで、インターネット上の誰でも攻撃できます。通常の脆弱性は「管理者権限が必要」などの前提条件がありますが、今回はゼロです。
■ 「RCE」とは
攻撃者がサーバー上で任意のプログラムを実行できる、つまりサーバーの乗っ取りです。改ざん、データ窃取、マルウェア設置、社内システムへの侵入の踏み台化。すべて可能になります。脆弱性の種類として最悪ランクです。
■ 「プラグイン不要」の意味
WordPressの脆弱性の大半は「特定のプラグインを入れている場合だけ」影響します。今回はWordPress本体(Core)のバグなので、該当バージョンなら全サイトが例外なく対象。切り分け不要、逃げ場なしです。
■ つまり
「誰でも撃てる」×「結果は乗っ取り」×「全インストールが対象」。こ3つが同時に揃うのは極めて稀で、Log4Shell(2021)やExchange ProxyLogon(2021)級です。WordPressは全Webサイトの約4割を動かしており、Core本体でこのクラスは10年に一度あるかどうかです。
■ 影響バージョンと対処
・6.9系 → 6.9.5へ更新
・7.0系 → 7.0.2へ更新
・6.8系にも修正版(6.8.6)が出ています。利用中のブランチの最新セキュリティリリースへ更新を
すぐ更新できない場合はWAFで /wp-json/batch/v1 と rest_route=/batch/v1 の両方をブロック(片方だけでは不十分)。
■ なぜ「今日中」なのか
発見者(Searchlight Cyber、2026年7月17日開示)は深刻度を考慮して技術詳細・PoCを非公開にしています。ただし修正パッチの差分を解析すれば攻撃コードは作れてしまうので、猛予はおそらく数日。詳細が公開された瞬間に一斉スキャンの波が来ます。パッチ適用は「詳細公開前」が勝負です。
日本国内のWordPressサイトは企業サイト・自治体・メディアと裾野が広く、管理を外部委託しているサイトほど更新が遅れがちです。心当たりのある方は今日中にバージョン確認を。
#WordPress #脆弱性 #セキュリティ #RCE #wp2shell





























