関西のインフラエンジニア（経験20年超）｜NW・クラウド・セキュリティの設計構築・PM｜CCIE Lifetime Emeritus / VCAP-DCA / Azure Solutions Architect Expert｜セキュリティや AI の話題を、現場の目線で発信
Joined August 2012
- Tweets552
- Following109
- Followers1.3K
- Likes1.5K
確かに怖いですよね。
予算を渋るのは、セキュリティの投資対効果が見えづらいからという面もあるのかなって思ってます。
例えば、被害が起きた場合の損失額や発生可能性、それを対策でどれだけ減らせるか分かれば、経営側も予算を判断しやすいはず。セキュリティはそこを見積もるのが難しいのだと思います。
Thanks for the heads-up, AJ. Your post was the starting point for my write-up for Japanese infra engineers on checking non-browser TLS clients like Java, curl, and containers.
GitLab に CVSS 10.0 の脆弱性（CVE-2026-110264）
特定条件下で、認証なしの任意コード実行につながる可能性があります。
10/12 にも CVSS 10.0 の脆弱性が修正されたばかりですが別件です。
こちらも別途記事にまとめます。
（本日3度目。今日はもうないよね？）
「GitLab」に深刻度“最大”の脆弱性 認証なしで任意のコード実行の恐れ、修正版適用を CVSS「10.0」
itmedia.co.jp/news/article/2…
まさに。
PHP に限らず、システム全般で導入時の予算は確保できても、その後のアップデートや脆弱性対応の費用は後回しになりがち。
「作って終わり」ではなく、安全に使い続けるための保守費用まで、当たり前に予算化されるようになってほしい。
個人の肌感覚ですが、民間の IT 案件は減っている印象があります。特にセキュリティは重要と分かってても、予算確保が難しいのかなと。
関西は「見えないものにはお金をかけにくい」なんて話も聞きますが、最近は被害がこれでもか！と見えてしまってるんで、投資が進むことを期待してます。
言い方は荒いが、「深夜に人を呼ばないとパッチを当てられない」状態から抜け出すべき、という課題設定はまっとう。
ただ答えは「クラウドに移す」じゃなく「止めずに更新できる作りにする」ことだと思う。
基盤の更新は任せられても、新しい PHP で動くかの確認と切り替え判断は利用者側に残る。
Splunk Enterprise と SOAR で 31 件の脆弱性が修正。CVSS 9.9 が 3 件含まれてます。
10/7 にも更新がありましたが、今回は別のやつです。
別途記事にまとめます。
（脆弱性の記事ばかり増えていく。AI 防御の検証記事も早く書きたいのに…）
Splunk EnterpriseとSplunk SOARで31件の脆弱性が修正。EnterpriseのCVE-2026-76299とCVE-2026-76302、SOARのCVE-2026-76531がCVSSスコア9.9。 securityonline.info/splunk-v…
Tomcat の脆弱性 8 件、「とりあえず WAF で」では全部は防げません。
CVSS 9.1 の 3 件も、JNDIRealm・HTTP/2・AJP の設定次第で影響が変わります。まずはバージョンと設定の棚卸しから。
mytech-blog.com/tomcat-oct20…
PAN-OS・Panorama も影響対象とのこと。現時点で修正版の提供時期は未定で、管理インターフェースへのアクセスを絞るのが推奨対策です。
管理画面を外に出さないのは、今回に限らず基本。
別途記事にまとめます。
php2shell、PAN-OS も影響を受けるのでみなさんこちらも忘れずに(現状はパッチでてないので管理インターフェースを制限してとのこと)
CVE-2026-109618 Impact of Critical Vulnerabilities in PHP (CVE-2026-109618, CVE-2026-109619) on Palo Alto Networks Products
security.paloaltonetworks.co…
Oracle Java 脆弱性（2026年10月）の記事を更新しました。
10月 CPU の修正版 21.0.13 なども CVE-2026-91403 の影響対象です。CPU への更新とは別にパッチの確認が必要です。
10月の Oracle Java 脆弱性、系列ごとの修正版をにまとめました。
注意点は、IPA の一覧に載っているのは「修正版」ではなく「脆弱な版」ということ。8月の CSPU を当てた環境も対象です。
さらに JDK 21 は 21.0.13 から OTN ライセンスに変わるので、上げる前に条件確認を。
mytech-blog.com/oracle-java-…
eMudhra の中間 CA の秘密鍵問題、インフラ向けに記事書きました。
ブラウザー対策済みでも、Java・curl・コンテナなどの通信まで安全とは限りません。
参照する証明書ストアや検証方法が異なるためです。確認・更新ポイントをまとめました。
mytech-blog.com/emudhra-ca-c…
これはかなり重大な話ですね。
Chrome や Firefox は対策済みですが、インフラ側はそれで終わりではありません。
Java や curl、コンテナなど、TLS の証明書検証方法によって対応が異なります。
何を確認・更新すべきか、インフラエンジニアの目線で記事にまとめます。
PHPとは別件ですが、とにかく全員今すぐ引用元のとこに貼ってるサイトにアクセスしてみて、赤文字が出たらマズいと思ってください(画像の通り、私はマズかったです)
事の発端とかは全部省略して何がマズいのかを簡単に言うと、「悪意ある攻撃者が、自分が所有していないgoogleや銀行のドメインとかについて、暗号学的に正しい署名を持つ偽証明書が作れちゃう」ってこと。
これができると何がマズいのかといえば、DNSの改ざんとか経路の乗っ取りとかで接続先をすり替えることが出来た瞬間に
・HTTPS通信の盗聴と改ざん
・ログイン情報、Cookie、APIトークンの窃取
・正規サイトを装った偽コンテンツの配信
・ソフトウェアのダウンロード内容やAPI応答の改ざん
が全部できちゃうって感じ
つまり「偽サイトが、暗号学的に正しい証明書を使用して、正規の手順で、本当のサイトになりすませる」ってこと
実際に攻撃が行われたかってのは分かってないけど、とりあえず赤文字が出たら非常に脆弱な状態にあるってことは確かなので、まず確認し、赤文字が出たらOSとかBrowserとか全部更新してください
それこそAI Agentに聞いてもOKです
PHPは企業とかに対する問題だったのであれば、こっちは個人で対処しないとダメな問題なので、今すぐ更新とかによる確認を！(特にEdgeユーザーは要チェック)
10月の Oracle Java 脆弱性、系列ごとの修正版をにまとめました。
注意点は、IPA の一覧に載っているのは「修正版」ではなく「脆弱な版」ということ。8月の CSPU を当てた環境も対象です。
さらに JDK 21 は 21.0.13 から OTN ライセンスに変わるので、上げる前に条件確認を。
mytech-blog.com/oracle-java-…