関西のインフラエンジニア（経験20年超）｜NW・クラウド・セキュリティの設計構築・PM｜CCIE Lifetime Emeritus / VCAP-DCA / Azure Solutions Architect Expert｜セキュリティや AI の話題を、現場の目線で発信
Joined August 2012
- Tweets552
- Following109
- Followers1.3K
- Likes1.5K
Pinned Tweet
これからインフラエンジニアを目指す人に、伝えたいこと。
「インフラエンジニアになる」より、「何をやってみたいか」から始めるのもありだと思う。
AI を使えば、開発や創作を一人で形にできる時代。
でも、作ったものを公開しようとすると、すぐにサーバーやネットワーク、セキュリティの壁にぶつかる。
必要に迫られて学ぶインフラは強い。
自分も初めて AI で Web アプリを作って公開したとき、最初に決めたのは「秘密情報をどこに置くか」だった。
生成 AI の API キーは、漏れると第三者に使われ、課金や利用枠の消費につながる。
だからコードには書かず Secret Manager に置き、Cloud Run から参照してブラウザ側には出さないようにした。
認証まわりは Firebase に任せて、自分では作り込まなかった。
地味だけど、インフラを触ってきた人間が最初に気にするのはこういうところ。
肩書きはインフラエンジニア。でも、それは名刺がわり。
インフラ以外のことに挑戦するときも、その土台が支えになっている。
就職や転職で、インフラをやってみたいなと悩んでいる方の参考になればうれしいです。
個人的には、セキュリティを軸に経験を積めるところは特におすすめです。
GitLab に CVSS 10.0 の脆弱性（CVE-2026-110264）
特定条件下で、認証なしの任意コード実行につながる可能性があります。
10/12 にも CVSS 10.0 の脆弱性が修正されたばかりですが別件です。
こちらも別途記事にまとめます。
（本日3度目。今日はもうないよね？）
「GitLab」に深刻度“最大”の脆弱性 認証なしで任意のコード実行の恐れ、修正版適用を CVSS「10.0」
itmedia.co.jp/news/article/2…
言い方は荒いが、「深夜に人を呼ばないとパッチを当てられない」状態から抜け出すべき、という課題設定はまっとう。
ただ答えは「クラウドに移す」じゃなく「止めずに更新できる作りにする」ことだと思う。
基盤の更新は任せられても、新しい PHP で動くかの確認と切り替え判断は利用者側に残る。
Splunk Enterprise と SOAR で 31 件の脆弱性が修正。CVSS 9.9 が 3 件含まれてます。
10/7 にも更新がありましたが、今回は別のやつです。
別途記事にまとめます。
（脆弱性の記事ばかり増えていく。AI 防御の検証記事も早く書きたいのに…）
Splunk EnterpriseとSplunk SOARで31件の脆弱性が修正。EnterpriseのCVE-2026-76299とCVE-2026-76302、SOARのCVE-2026-76531がCVSSスコア9.9。 securityonline.info/splunk-v…
Tomcat の脆弱性 8 件、「とりあえず WAF で」では全部は防げません。
CVSS 9.1 の 3 件も、JNDIRealm・HTTP/2・AJP の設定次第で影響が変わります。まずはバージョンと設定の棚卸しから。
mytech-blog.com/tomcat-oct20…
PAN-OS・Panorama も影響対象とのこと。現時点で修正版の提供時期は未定で、管理インターフェースへのアクセスを絞るのが推奨対策です。
管理画面を外に出さないのは、今回に限らず基本。
別途記事にまとめます。
php2shell、PAN-OS も影響を受けるのでみなさんこちらも忘れずに(現状はパッチでてないので管理インターフェースを制限してとのこと)
CVE-2026-109618 Impact of Critical Vulnerabilities in PHP (CVE-2026-109618, CVE-2026-109619) on Palo Alto Networks Products
security.paloaltonetworks.co…
Oracle Java 脆弱性（2026年10月）の記事を更新しました。
10月 CPU の修正版 21.0.13 なども CVE-2026-91403 の影響対象です。CPU への更新とは別にパッチの確認が必要です。
10月の Oracle Java 脆弱性、系列ごとの修正版をにまとめました。
注意点は、IPA の一覧に載っているのは「修正版」ではなく「脆弱な版」ということ。8月の CSPU を当てた環境も対象です。
さらに JDK 21 は 21.0.13 から OTN ライセンスに変わるので、上げる前に条件確認を。
mytech-blog.com/oracle-java-…
eMudhra の中間 CA の秘密鍵問題、インフラ向けに記事書きました。
ブラウザー対策済みでも、Java・curl・コンテナなどの通信まで安全とは限りません。
参照する証明書ストアや検証方法が異なるためです。確認・更新ポイントをまとめました。
mytech-blog.com/emudhra-ca-c…
これはかなり重大な話ですね。
Chrome や Firefox は対策済みですが、インフラ側はそれで終わりではありません。
Java や curl、コンテナなど、TLS の証明書検証方法によって対応が異なります。
何を確認・更新すべきか、インフラエンジニアの目線で記事にまとめます。
PHPとは別件ですが、とにかく全員今すぐ引用元のとこに貼ってるサイトにアクセスしてみて、赤文字が出たらマズいと思ってください(画像の通り、私はマズかったです)
事の発端とかは全部省略して何がマズいのかを簡単に言うと、「悪意ある攻撃者が、自分が所有していないgoogleや銀行のドメインとかについて、暗号学的に正しい署名を持つ偽証明書が作れちゃう」ってこと。
これができると何がマズいのかといえば、DNSの改ざんとか経路の乗っ取りとかで接続先をすり替えることが出来た瞬間に
・HTTPS通信の盗聴と改ざん
・ログイン情報、Cookie、APIトークンの窃取
・正規サイトを装った偽コンテンツの配信
・ソフトウェアのダウンロード内容やAPI応答の改ざん
が全部できちゃうって感じ
つまり「偽サイトが、暗号学的に正しい証明書を使用して、正規の手順で、本当のサイトになりすませる」ってこと
実際に攻撃が行われたかってのは分かってないけど、とりあえず赤文字が出たら非常に脆弱な状態にあるってことは確かなので、まず確認し、赤文字が出たらOSとかBrowserとか全部更新してください
それこそAI Agentに聞いてもOKです
PHPは企業とかに対する問題だったのであれば、こっちは個人で対処しないとダメな問題なので、今すぐ更新とかによる確認を！(特にEdgeユーザーは要チェック)
10月の Oracle Java 脆弱性、系列ごとの修正版をにまとめました。
注意点は、IPA の一覧に載っているのは「修正版」ではなく「脆弱な版」ということ。8月の CSPU を当てた環境も対象です。
さらに JDK 21 は 21.0.13 から OTN ライセンスに変わるので、上げる前に条件確認を。
mytech-blog.com/oracle-java-…
PHP 公式の発表を受け、記事を更新しました。
認証不要の RCE が正式に確認され、修正版も公開されています。
影響する実行環境、修正版、更新できない場合の暫定対策を追記しました。
PHP に重大な脆弱性 2 件。CVSS 9.2
RCE の可能性も報告されており、PHP 利用者は要警戒。
修正版は本日 23:00（日本時間）公開予定。影響範囲は未確定です。
mytech-blog.com/cve-2026-109…
PHP に重大な脆弱性 2 件。CVSS 9.2
RCE の可能性も報告されており、PHP 利用者は要警戒。
修正版は本日 23:00（日本時間）公開予定。影響範囲は未確定です。
mytech-blog.com/cve-2026-109…
「最終判断は人間」では粗い、には同意です。実際、コマンド実行の承認も AI に任せるケースが増えました。
ただ「人が手放してきた」という観察と、「何を手放してよいか」は別の問い。
結果への責任まで手放したわけではないはずです。
人間とAIの関係の議論で「最終判断は人間がやる」みたいな解像度の低い主張をする人がいるが、現実には2026年の2~8月の間に人間が意思決定を手放す方向での大きな変化があったんだよという話
scrapbox.io/nishio/%E4%BA%BA…
NEC が委託先経由の不正アクセス公表。
委託先の端末から正規アカウントで侵入され、お客さま環境のファイル暗号化や、関係者間の共有クラウドストレージからの漏えいが確認されたとのこと。
正規の認証情報が使われると入口では止めにくい。委託先の端末や権限まで含めた設計が問われる事案です。
jpn.nec.com/news/info/202610…
オープンウェイトが上位モデルに近づくほど、論点は「どのモデル使うか」から「どこで、どう動かすか」に移っていく。GPU の調達、電力、運用、そして権限設計。
手元で動かせる選択肢が増えるのはうれしい一方で、インフラ側の宿題も一緒に増える。
Opus5.5があまりにも必要十分すぎて
これ、本当はFableだったんじゃないの？とか
本当はAntropic逆ザヤじゃないのとか思っちゃう。
Opus5.5が出る前は正直、ChatGPT-SolとLuna最高、Claudeイラネ、解約しましたの声がXで響き渡ってた。
上場目前だったAntropicの起死回生の一手だった。
とはいえ、各社の内部モデルは既に何世代も進んでいるだろうから、妄想でしかないのだけれど。
Opus5.5以前と以後で世界が変わったよ。
DSV4.1が本当にOpus5.5に達しているのであれば、
それがオープンウェイトになったことで、また世界が塗り替えられるのだと思う。
あとはGPUが安くなればね
マン・トラップ、指紋認証、トイレに行くのもエスコート付き。
データセンターの物理セキュリティは「人の善意に頼らず、仕組みで止める」の徹底版です。
権限設計も同じで、ルール守ってもらう前に、守らなくても通れない構造をつくるのが先だと思います。
Ever wondered where the Internet actually lives? The Dallas Infomart and Equinix DA11! 🌐
——-> I got access inside this massive data center to see how they cool millions of server, an entire room packed wall-to-wall with high-powered GPUs.
Watch the full video to discover everything I learned there! 👇
youtu.be/v477fvbj3rk?si=2OKx…