ohida @ohida

今後間違いなくセキュリティインシデントのトリアージが質と物量によってボトルネックになると思っていて、ここを人力からAIに一次対応を切り替えないと、物理で負けてしまいそうだなと思っています。

(などと言ってたら、HPには利用していたようでメンテナンスに入ってしまいました…それは中の人が知りませんでした、申し訳ありません🙇‍♂️💦開発には関係していません💦)

ＰＨＰ文藝（ＰＨＰ文芸文庫） @php_bungei

4 days ago

(´-`).｡oO(世間でPHPが話題ですが、弊社なんと全然関係ありません…プログラミング言語PHPが生まれるだいたい半世紀弱前からPHPを名乗っている、活字で生きる会社なのです…)

192 18K 74K 4.6M 3K

【PHP脆弱性対応の「後」にむけて】 みなさん、昨晩からのPHP対応お疲れ様です。一晩中連絡鳴り止んでおらず、一部の個別メッセージに返せてなくて申し訳ないです。 一括して、今、世の中の CTOs/CISOs に届いてほしいことを４つ書き残しておきます↓ （まとまりない部分もあるのですが、投稿しないよりマシかなと、このまま投げちゃいます） Point 1: これからは、ソフトウェア業界全体で、高負荷の続くタイミングになります。意図してセキュリティに時間をあて、チームが「休息」が取れる体制を。 ・我々は脆弱性リサーチに数年間継続的に取り組んできてました。だからこそ感じますが、ここ一年（体感では GPT-5.6 Sol 以後）が、最も「本当に？」みたいな脆弱性が掘り出されていく一年になると思います。こんなのまだあったの？という驚きとともに。 ・特に複雑なメモリバグの類（memory safe でない言語製のものを中心に）、あるいは認可バグの類が中心になると思われます。 ・少なくともここから年末までは、このクラスの脆弱性がまだまだ出てくると考えておく必要があります。（僕が読み外しているかもしれませんが、恐らく高い確度でこうなります。直近のPHP脆弱性すら、いま世界中の研究者が Variant Analysis をしていて、多分まだ出てくるでしょう） ・このご時世では、新規機能の開発に割く時間を明確に落とすしかありません。あくまで経営者である CTO には取りにくい判断なのは重々承知です（僕もそうなので）。 ・「対応AIで」と思うかも知れません。これは技術的には正しいです。ただ、組織的には正しくないです。確実になんとかならず、組織は疲弊していきます。 ・なんせセキュリティ対応は大抵自分にタイミングが御せないからです。深夜の対応、急な対応、計画の変更、デグレへの不安、脆弱性情報過多（そもそも自社に影響があるかも分からないものが大半なのに）… と、ストレスの強度がぐんぐん高まっていきます。昨日〜今朝のPHP対応のようなものが、毎週あれば、チームは比較的簡単に壊れてしまうでしょう。 ・敢えてリーダーが、セキュリティへの、時間・お金（・トークン）にアロケしてください。これは経営者にしか取れない択で、かついま技術経営者に求められることです。 Point 2: 「必要なら予防的にサービス停止」の覚悟を決め、予めできる調整を重ねたい。止められない場合は、仮想パッチ・監視へのリソースアロケを。 ・前提、今回のPHPの件のような脆弱性の対応では、「顧客の保護のためならサービスを止めざるを得ない場面」が訪れます。今回も様々なビジネスがそれに直面しました。今後も訪れるでしょう。 ・今回の経験を旨に、本当に止めてはならないのか、止めらるのか、止めうる期待値調整がお客様と出来ているか、を徹底的に見直しておきましょう。 ・直近の流れをうけての、お客様への事前連絡（スタンス表明）も有効だと思います。（弊社 GMO Flatt Security 製品についても、これからそれをし、リリースノートとして掲示予定です。我々のサービスの侵害、特に Takumi Guard の侵害は、ソフトウェサプライチェーンの最悪な侵害につながるからです。） ・勿論、止めてはならないビジネスも様々存在します。ビジネスドメインに由来する規制/制約（特に金融・医療セグメント）もあれば、顧客とのSLAもあるでしょう。ただし、現代においては、それらに反するリスクと、セキュリティ被害にあうリスクを天秤にかける必要がでてきています。少し前まではサービス停止でのデメリットは容易に考えられても、セキュリティ侵害など考えにくい、という時代でしたが、今はそうではありません。この天秤を再考する必要があります。（なお、「もう何がなんでも止めてはならない」ビジネスは、相当に限定的だと思います。） ・どうしても止めてはならない（もう何がなんでも止めてはならないもの。限定的であれ存在。人命に関わるもの中心）という場合、厳しい戦いになりますが、WAFレイヤなどで緩和策を施しては祈り、監視する、という流れになります。必要なコンポーネント（WAFなど）と運用リソースがあるならば、苦しい時代ですが、休息うまく取りながらやっていきましょう。なければ、これもしんどいですが、整えましょう。 Point 3: もし平時があれば、システムのモダナイズ（Rebuild and Retire）を検討されたい。 ・もし自社での緊急対応が落ち着いているならば、レガシーコンポーネント（数年塩漬けのシステム）、誰がメンテできるのか分からないオーパーツ的存在から順に、作り直し（Rebuild）と旧システムの廃止（Retire）を試みてください。新規開発の代わりに、ここにリソースを充てることが CTO/CISO の仕事です。（他の誰もそれを決められないので。）これは追々自分たちを助けてくれる（ついでにAI-native 開発に移行できて改善しやすくなる）とも思料。 ・どのシステムからモダナイズしていくかですが：「XXXで書かれているとまずい」というのは燃えるし言いにくいものの、memory unsafe な言語、type safety があまり確保されていない言語の実装は、モダナイズを検討すべきでしょう。（僕はPHP好きですが、C/C++ で書かれた php-src は、やはりメモリバグ類に対して見通しに限界がありますね。好きなんですが…） ・また経験上、開発当時に DevOps プラクティスすら整っていなかった時代のソフトウェアも、モダナイズを検討したほうがよいです。「セキュリティ診断」をしても、取り返しのつかない量の脆弱性が出てきて、作り直したほうが早い、となる傾向にあります。（弊社でも診断/ペネトレしてますが、こうなると、どうしようもありません。） ・ただし Rebuild には、強いソフトウェア開発力が必要で、AI-native なスタイルに移行することは必須です。この意味で CTO の力がいります。かつ、どこからレガシーの追い出しをするか、どうレキュリティ的なレジリエンスを確保するかは、CISO 的な感性が求められます。既製品（とくに SaaS）を買って処理したほうがいいな、というような判断には CIO 的センスが求められます。総力戦だと思ってください。 Point 4: CTO/CISO の総力戦を。 ・Point 3でも述べた通り、直近のくだりには、CTO/CISO の総力戦が必要です。ボードがセキュリティに向かって一致団結する必要があります。 ・結構これらロールの間にサイロがあるケースがありますが、そんなことを言っている場合ではありません。 ・団結を！

Full details of a remotely exploitable vulnerability in the core engine of *all* PHP versions will be released tomorrow, October 21st. If your organization has internet facing PHP applications then you need to be ready to patch the minute the update is released or *strongly* consider taking the application offline until you can: php.net/index.php#2026…

Dark Web Informer @DarkWebInformer

4 days ago

🚨 PHP warns of two critical vulnerabilities as emergency patches arrive tomorrow The PHP security team will release updates on October 21 at 14:00 UTC for two vulnerabilities, each rated 9.2 under CVSS v4.0. ⠀ Security researchers identified the flaws as CVE-2026-109618 and

59 240 1K 534K 486

github.com/ohida/codex-ec…

Frequent Codex resets change the strategy: use your quota, bridge short gaps with credits, and use banked resets before they expire. Codex Echo keeps your remaining quota and reset deadlines in view, so you can focus on building. #codex

煉獄 弐、好きだったなー

Indie Freaks👜インディーゲームグッズ販売中！ @Indie_FreaksJP

a week ago

《日本語対応》早い話が「煉獄」フォロワー。3DアクションRPG『EGO DESCENT』 戦うために造られた実験機となり、地下100階を目指せ。 機体は頭、胴、右腕、左腕、脚から構成され、敵から奪った部品に換装可能。 部品はランダム性能／効果を持つ。取捨選択し最強機体を目指そう。 協力プレイ対応。

2 52 131 20K 39

@GamewithDave Thanks for giving indie games a spotlight! I made HOSHIKAGE, a one-finger sword-action game. Swipe to parry, then hold to cut down staggered enemies in one strike. hoshikage.app

Swipe to parry. Hold to strike. Stagger several enemies, then take them down together. Simple controls. Every parry counts. Free. No ads. No sign-up. For the smoothest experience, try the iOS or Android app.

Love a good parry? Deflect a flurry of attacks. Cut down multiple enemies in one decisive strike. HOSHIKAGE. One-finger sword action. Play free on iOS, Android or in your browser: hoshikage.app

unityroom ver unityroom.com/games/hoshikage #unityroom #インディーゲーム

ハムフロゲームズ様（@hamflo_sauna）にご紹介いただきました！👼 「星影の刃」レビュー【タイミングよく敵の攻撃を弾くリズムアクション】 hamster-sauna-games.com/hoshikage-no-y…

HOSHIKAGE itch ver ohida.itch.io/hoshikage #gamedev #indiegame

指先ひとつで、剣戟アクション。 『星影の刃』公開しました！ 迫る連撃を弾き、一閃でまとめて斬り伏せる。 切り絵調の和風世界で、剣戟の緊張感と爽快感を。 ブラウザ・iOS・Androidで無料で遊べます。 hoshikage.app

『星影の刃』とは？ フリックと長押しだけで剣戟を楽しめる無料アクションゲーム フリックで敵の攻撃を弾き、長押しの一閃で反撃。ブラウザ・App Store・Google Playで遊べる、指先ひとつの和風剣戟アクションです。 techgame-lab.com/techgame-lab/?… #アクションゲーム #インディーゲーム #ゲーム

乔布斯曾在一次采访中说： “我特别喜欢和聪明人交往，因为不用考虑他们的尊严。” 记者就反问： “聪明人难道就没有尊严吗？” 乔布斯解释说： “聪明人更关注自己的成长，时刻保持开放的心态，而不是捍卫面子，不是想方设法证明自己没错。” 所以，认知低的人最大的特征就是永远无法理解你的维度。 你说的是逻辑，他听的是情绪； 你讲的是结构，他在想你是不是瞧不起他。 和认知低的人沟通就是一种巨大的消耗，因为你们根本不在同一个频道： 你讲理，他就打感情牌； 你分析因果，他反问你是不是太冷血。 最后你不得不放弃沟通。 你试图唤醒一个没有自省能力的大脑，本身就是徒劳。 认知低的人无法分清楚事实和观点，他们会用自己的情绪和偏见为这个世界下结论。

We discovered a sophisticated recording device that was hidden inside one of our offices. We used our models to understand the device and where it had come from, identifying that a specific employee had planted it a few days earlier. We referred the matter to the FBI, and we’re grateful to the agents and prosecutors who moved quickly to make an arrest. The FBI’s investigation is ongoing and we will continue to support their work. At this time, we have no indications of this individual inappropriately accessing or exfiltrating model weights, source code, or customer data. The employee was terminated. We take protecting our technology, data, and people seriously, and as a matter of national importance. Our security program is designed to protect against a wide range of threat actors, from insider risks to cybercriminals to nation states, and this case is an example of how AI can help address these sophisticated security threats.

書いた。 Getty Imagesの再建に思うこと。フリー素材サイト「ぱくたそ」の15年と、AI時代の写真素材とは｜ぱくたそブログ pakutaso.com/blog/getty-ima…

名前がついた。この攻撃が特に日本に目立ってるということは、日本のスマホアプリ請負業界にBad Practiceとしてこういう雑な実装が拡がっていたことを意味するのではないかな。とはいえ直ぐに対応しないと。 / “【注意喚起】 相次ぐ情報漏えい、その原因の一つは「アプリ解…” htn.to/2Xw8z3cgRT

@GamewithDave I’m making HOSHIKAGE, a sword-action game played with just flicks and a long press. Parry a flurry of attacks, then cut through multiple enemies with a single finishing strike. Here’s a 30-second look! ⚔️