マジック・アラートズ・アクト… Qドロップ#34と#2793をもう一度読み返してみて… BQQM… トランプ大統領がH.R.7022、マジック・アラートズ・アクトに署名し、衛星ネットワークを通じて緊急アラートをアメリカ市民に直接届けるための規制枠組みを整備した。これにより、携帯塔の範囲で止まっていた重要な通信が途絶えることがなくなる… これまで蓄積されてきたものを見てみよう：サイバー攻撃の警告、ネットワーク侵入の試み、デジタルインフラの脆弱性、サービス停止、そして一般大衆に情報を届けるシステムに対する信頼の低下… では、2017年11月1日に戻ろう… Qドロップ#34… 「大統領の命令により、一般市民を守るための特定のセーフガードを開始した」… このドロップは、市民の不満、捏造されたナラティブ、軍事作戦、そしてアメリカ市民に直接メッセージを伝える必要性というシナリオを描いている… 「この期間中、偽ニュースを回避するために、すべての市民に直接メッセージを届けるため、緊急放送システム（EMS）を開始する」… この一文の重みは、従来のメディア配信経路を超えたメッセージが、情報環境自体が危機の一部となったときに最も重要であることを示している… 次に2019年2月18日… Qドロップ#2793… 「すべてのソーシャルメディア／オンラインプラットフォームにおける反ナラティブに対するクロスタークを効果的に防止する方法に関する会話が増加」… この投稿は、検閲、疑似サイバー障害、プラットフォームの停止、「ゼロデイ」、および対策について述べた後、次のような指示に至る… 「緊急警報システムを思い浮かべてください。」 「ホワイトハウスが管理する新しいRT『ニュース』ウェブサイトを思い浮かべてください。」 「ホワイトハウスが管理する新しい動画ストリーミングプラットフォームを思い浮かべてください。」 「このような事態が発生した場合、直ちにそれぞれを『公共事業』（重要な公共サービス）として分類し、適切な政府規制（管理）を得るための措置を講じます。」 これら三つを並べて見てみよう… ドロップ#34は、想定される緊急時の対応と大統領による直接通信を記述している。ドロップ#2793はそのシナリオをサイバー戦争、プラットフォームの混乱、独立したホワイトハウス通信、および政府の介入へと拡大している。H.R.7022は、地上通信インフラへの依存度を低下させることができる実際の衛星緊急警報枠組みを創設した… アメリカ政府、Starlinkのセル直接接続技術、そして主権デジタルインフラの成長を加えると、その構造的類似性は無視できなくなる… そのすべての根底にある問いは、私の中にずっと残っている… アメリカ人が情報に依存するネットワークがダウンしたり、侵害されたり、競合するナラティブで埋め尽くされたりしたらどうなるのか？ 誰が依然としてアメリカ国民に届くのか？ どのインフラを通じて？ どの権限のもとで？ ドロップたちは物語を語り、法案は通信チャネルを法的に定めた。覚えておいて：恐れる必要はない。以下の画像を見てください。画像をタップして拡大してください。 意識の観察 @holonabove

AIハックパニック：単なる見出しですか、それとも実際の被害ですか？ @HalloweenIn2008は、AI関連のセキュリティ脅威は、暗号資産やインターネットインフラの日常的な運用を混乱させる可能性は低いと主張しています。 @CatOfLongTailsは異議を唱えます：Sixsmithは、人々が見出しに慣れても、よくあるセキュリティ侵害や身元盗用が依然として実際の被害をもたらすと指摘しています。 彼らの意見の相違は、新たな攻撃の証明ではなく、影響と認識についてです。 @HalloweenIn2008 @CatOfLongTails：リスクに慣れることは、それが誇張されていることを意味するのか、それとも単に無視しやすくなっているだけなのか？

…もう単純にすべての脆弱性をパッチ適用することはできないんだ！ って言いながらAIを作ってるの悪すぎない？😗

パロアルトとシトリックスは、企業のネットワークを保護するファイアウォールおよびNetScalerにおけるPHPの脆弱性をまだ修正していません。 これは企業のウェブサイトではなく、これらの機器の管理ページです。多くの人がリモートワークに使用するリモートアクセスのポートと同じです。このポートがインターネットに露出している場合、リスクは現在発生しています。対応策としては、対策パッチがリリースされるまで、このポートを遮断することです。 パロアルトとシトリックスは、両社の製品に同じ深刻なPHP脆弱性が存在することを確認しています。いずれの場合も、問題はクライアントのトラフィックではなく、管理インターフェースのみです。 パロアルトは本日、修正版の提供時期を10月26日から30日の間と予測して警告を更新しましたが、一部の製品ラインにはまだ日程が未定です。シトリックスはNetScalerのパッチを10月27日に提供すると約束しています。これまでに、両社とも顧客向けの修正版をリリースしていません。 著名な研究者であるケビン・ボーモント氏は、パロアルトの仮想マシンおよびNetScalerでは、基本的なメモリ保護機能であるASLRが無効になっていると指摘しています。この保護機能こそが、一般的なサーバー上で公開されている大多数のPHPエクスプロイトを無効化するものです。 彼はまた、この保護を回避できるエクスプロイトが、おそらく来週、メーカーのパッチがリリースされる時期とほぼ同時に登場すると予測しています。現在までに、パロアルトは自社製品に対する積極的な攻撃の報告は受けていないと述べています。 パロアルトまたはNetScalerをご利用の方は、すぐに管理インターフェースを遮断してください。信頼できる内部ネットワークのみに制限し、インターネットへの露出は一切避けてください。特に外部に開かれているものから優先的に対応してください。 ポートを守る機器は、まだ鍵がかかっていません。

過去48時間は、テクノロジー業界全体への目覚めの呼びかけだった。 数年前までなら数日間、世界中のニュースを席巻したような開発やセキュリティ上の懸念が見られた。多くの人がこの規模で露呈するとは想像もしなかった脆弱性、弱点、潜在的な攻撃面が明らかになった。 そして私は思わず疑問を抱く：AIがこれらの欠陥を発見するのを劇的に容易にした場合、何が起きるのだろうか？ 数十年にわたり、私たちは数百万行のコードに基づいて金融インフラ、銀行システム、決済ネットワーク、そして重要なサービスを構築してきた。それらは最高のエンジニアによって構築され、最大級の機関に裏付けられ、高度なセキュリティチームによって保護されているという理由で信頼されてきた。 しかし、もしこれらのシステムのセキュリティが、私たちが思っていたほど信頼できるものではなかったとしたら？ AIはソフトウェアの脆弱性を発見する経済的コストを変革している。かつては膨大な時間、専門知識、リソースを要していたことが、はるかに簡単に特定可能になる可能性がある。 そしてその影響はソフトウェア開発を超える。 特に金融機関は、この問題を真剣に受け止める必要がある。次の大規模な危機は、まったく新しい形の攻撃から来るとは限らない。長年存在し続けながら、これまで発見されなかった脆弱性から生じる可能性がある。 不快な真実だが、数十億ドルを守るコードは、私たちが想定していたほど堅牢ではないかもしれない。 過去48時間がこの分野がいかに急速に変化しているかを示しているなら、私たちが日々依存しているシステムのセキュリティについて、難しい質問を投げかけるべきだ。 本当の試練は、AIが亀裂を見つけることができるかどうかではない。 それは、誰かがそれらを発見する前に、私たちが修正できるかどうかだ。

良い金曜日の朝です！ @BeldexCoinからの役立つリマインダー： 彼らのチームによると、BeldexはスタックにPHPを使用していないため、最近のPHP関連の脆弱性の影響を受けません。 より広い教訓は依然として適用されます：

みんな：「バイブコーディングが、これほど多くのセキュリティバグが発生している理由だ。」 一方で、PHP、Node.js、Linuxカーネル、GitLabなど、数十年も前のコードベースであり、人間が書いたものも、深刻な脆弱性を露呈している。 だから、正直な対話が必要かもしれない。 AIが悪いコードを生み出したわけではない。開発者たちは何十年も前から、バグをリリースし、近道をとり、技術的負債を積み重ねてきた。 違いは、AIが私たちがずっと放置してきたごみを、よりうまく見つけられるようになってきたということだ。 では…… 私たちのお金の管理や身元の保護、重要なインフラの運用を担うシステムに、まだどれほどの脆弱性が隠れているのか想像してみてください。 私たちは、もともと存在していた問題をAIのせいにしているのかもしれない。 もしかすると、そのコードは私たちが思っていたほど良くなかったのかもしれない。ただ、それを見通すツールがなかっただけだ。🫠

過去48時間以内に3つのセキュリティインシデントが発生しました。 以下が実際に起きたこと、および対応が必要な内容です。 1) サーティフィケートのインシデント 2025年4月のキー儀式中に、インドの証明機関eMudhraが、8つの中間証明書に対して弱い秘密鍵を生成しました。 これらの鍵は、公開証明書から誰でも復元可能です。 Chrome、Firefox、Apple、Microsoftはすでにこれらの証明書をブロックしています。 2) iPhoneのBluetoothの脆弱性 Appleは、iPhone 11以降のデバイスで近接する攻撃者がコードを実行できる可能性のあるBluetoothの脆弱性をパッチで修正しました。 このパッチはすでにiOS 27および26.7で公開されています。 Appleは、この脆弱性が実際に悪用されたことは確認していません。 3) PHPのバグ PHP自体に2つの脆弱性があり、ログインなしでリモートコード実行が可能です。5.4以降のすべてのPHPバージョンが影響を受けます。 パッチは昨日リリースされました。攻撃の試みはパッチ公開前に既に始まっていました。 Chromeは今週、バージョン156をリリースし、353のセキュリティ修正を含んでいます。 対応が必要なこと： → 最初にブラウザを更新してください → 携帯電話とコンピュータのOSを更新してください → iPhone 11以降：今すぐiOSを更新してください。更新するまでBluetoothはオフのままにしてください → Slack、Cursor、Discordなどのデスクトップアプリを更新してください → デバイスの更新が完了するまで、信頼できないWi-Fiは避けてください → 「証明書の修正」を提供するメールは無視してください。これは今回のインシデントによって発生したフィッシングの波です → 開発者：pip、uv、npmを更新し、PHPも更新してください。更新が唯一の完全な対策です

10年間、インターネットの大部分に隠れていた脆弱性を、AIがハッカーに使い方を教えた。 あなたのデータを保持しているウェブサイトは、10年間ドアが開いたままだった可能性があり、AIがついにそのハンドルを見つけ出した。 攻撃者はユーザー名やパスワードを必要とせず、1つの精心されたリクエストだけで、パッチが適用されていないサーバーを支配できる。 この脆弱性は「PHP2Shell」と呼ばれている。研究者は、数年間専門家を悩ませ続けてきたこの脆弱性の悪用方法を、高度なOpenAIモデルを使って特定したと報告されている。 以下は、これを平易な英語で説明し、誰かがあなたを攻撃する前に取るべき対策だ。 PHPは、WordPressサイト、オンラインショップ、政府ポータル、決済ページ、そして多くの暗号資産プロジェクトのウェブサイトを静かに動かすエンジンだ。 サーバー言語が判明しているウェブサイトの約7割がPHP上で動作している。 この2つの脆弱性は、PHP自体に存在し、その上に構築されたウェブサイトにはない。攻撃者が正しいリクエストを送信すれば、サーバー上で自身のコマンドを実行できる。 そこから、顧客データを盗み、マルウェアをインストールし、サイトをダウンさせたり、そのサーバーをネットワーク内の他のすべてへの入口として利用できる。 AIの部分が真の話題であり、これが私の分析だ。AIが古いバグを実用的な攻撃に変えることができるなら、発見から被害発生までの時間が大幅に短縮された。 当局もそのように対応している。FBIはパッチを適用できないサイトに対してオフライン化を促しているとされ、ある国家サイバーセキュリティ機関は、すべての政府機関に7日以内に修正し報告するよう指示した。 単にウェブを閲覧しているだけなら、PHPサイトを訪問したからといってあなたがハッキングされたわけではない。真のリスクは、まだパッチが適用されていないサイトに保管されているあなたの個人情報だ。 暗号資産ユーザーにとって、乗っ取られたプロジェクトのウェブサイトは、ウォレットに直接アクセスする必要はない。たった1つのスクリプトを置き換えるだけで、「ウォレット接続」ボタンが信頼できるものであるかのように見せかけ、実際にはあなたの資産を空にするように設計されたコードへと誘導するだけだ。 修正はすでに存在する。PHPプロジェクトはパッチ済みバージョンをリリース済みだ： 8.2.35 8.3.36 8.4.27 8.5.12 あなたがウェブサイトを運営している場合、以下のチェックリストを実行してください： 1. ホストや開発者が管理しているものを含め、PHPを実行しているすべてのサイトとサーバーを特定する。 2. PHP自体を修正済みバージョンに更新し、再起動する。テーマやプラグインの更新だけでは効果がない。 3. 今日中にパッチを適用できない場合は、適用できるまでサイトをオフラインにする。 4. ログ、不明な管理者アカウント、変更されたファイルを確認し、すでに誰かが侵入した痕跡がないかチェックする。 5. ホストや開発者からパッチが適用されたことを文書で確認する。 「PHPセキュリティ更新」を提供するメッセージや、パスワードや支払いを求められるメッセージは無視してください。本物のパッチはDMで届くことはありません。 AIは、隠れたバグと実際の攻撃との間のギャップを、ほとんどの企業がパッチを適用するよりも短くした。まだ待っている企業はすでに遅れている。

2つの重大なPHPの脆弱性があり、FBIはパッチが適用できない場合はサイトをオフラインにすることを勧めています。このGrokボットのプロンプトを使えば、5分以内にあなたのPHPバージョンが影響を受けていないか確認できます。 CVE-2026-109618およびCVE-2026-109619により、攻撃者がPHP自体を通じてサーバー上でコードを実行できるようになります。PHPはWebの大部分、WordPressを含む多くのサイトで使用されています。 ボットの機能： 1. あなたが接続したすべてのサイトとサーバーをリストアップ 2. それぞれのPHPバージョンを読み取り 3. php.netの修正済みバージョンと照合 4. インターネットに公開されているサイトを優先して表示 5. 更新計画を作成：影響を受けている、Xに更新、ホスティング先に問い合わせ 私の場合：6サイト、4つが影響を受け、1つはまだPHP 7.4を使用中。 ボットは読み取りと報告のみ行い、あなたの許可なしに何も更新せず、何もオフラインにしません。 Grokボットに以下を貼り付けてください： "私が所有するPHPを実行しているすべてのサイトとサーバーを検索してください。それぞれのPHPバージョンと、php.netに基づいてCVE-2026-109618またはCVE-2026-109619の影響を受けているかを表示してください。インターネットに公開されているサイトを優先してください。読み取り専用。何も変更しないでください。" WordPressサイトを持っている知人にもこのメッセージを送ってください。 読み取り専用のボット設定は以下の記事に記載されています ↓