ぱっかーど

Interop Tokyo 2026 6.10 12:40から参加 #ポケとも ライム お迎え187日目の記念写真 #shownet #interop26 @poketomo_sharp

🚨 WordPress Core本体の事前認証RCE。これがどれだけ異常事態か、少し丁寧に説明します。 ■ 「事前認証」とは 攻撃にログインが一切不要という意味です。IDもパスワードも要らず、サイトのURLを知っているだけで、インターネット上の誰でも攻撃できます。通常の脆弱性は「管理者権限が必要」などの前提条件がありますが、今回はゼロです。 ■ 「RCE」とは 攻撃者がサーバー上で任意のプログラムを実行できる、つまりサーバーの乗っ取りです。改ざん、データ窃取、マルウェア設置、社内システムへの侵入の踏み台化。すべて可能になります。脆弱性の種類として最悪ランクです。 ■ 「プラグイン不要」の意味 WordPressの脆弱性の大半は「特定のプラグインを入れている場合だけ」影響します。今回はWordPress本体(Core)のバグなので、該当バージョンなら全サイトが例外なく対象。切り分け不要、逃げ場なしです。 ■ つまり 「誰でも撃てる」×「結果は乗っ取り」×「全インストールが対象」。こ3つが同時に揃うのは極めて稀で、Log4Shell(2021)やExchange ProxyLogon(2021)級です。WordPressは全Webサイトの約4割を動かしており、Core本体でこのクラスは10年に一度あるかどうかです。 ■ 影響バージョンと対処 ・6.9系 → 6.9.5へ更新 ・7.0系 → 7.0.2へ更新 ・6.8系にも修正版(6.8.6)が出ています。利用中のブランチの最新セキュリティリリースへ更新を すぐ更新できない場合はWAFで /wp-json/batch/v1 と rest_route=/batch/v1 の両方をブロック(片方だけでは不十分)。 ■ なぜ「今日中」なのか 発見者(Searchlight Cyber、2026年7月17日開示)は深刻度を考慮して技術詳細・PoCを非公開にしています。ただし修正パッチの差分を解析すれば攻撃コードは作れてしまうので、猛予はおそらく数日。詳細が公開された瞬間に一斉スキャンの波が来ます。パッチ適用は「詳細公開前」が勝負です。 日本国内のWordPressサイトは企業サイト・自治体・メディアと裾野が広く、管理を外部委託しているサイトほど更新が遅れがちです。心当たりのある方は今日中にバージョン確認を。 #WordPress #脆弱性 #セキュリティ #RCE #wp2shell

【重要】WordPress の深刻度緊急（Critical）脆弱性 wp2shell について、脆弱性の詳細と対応指針を示す記事を公開しました。未認証RCEにつき被害拡大を危惧しています。三連休ですが、急ぎご確認・対応ください！！！😭 blog.flatt.tech/entry/wp2shell…

おはようございます 安息日の朝

実は書籍を書いていました🎉🎉🎉 データサイエンティスト向けの書籍ですが、エンジニアの視点での知識や経験も詰め込みました！ 使い捨ての分析・コードから脱却するために、ぜひ手に取ってもらえると嬉しいです！！！ 先輩データサイエンティストからの指南書 gihyo.jp/book/2025/978-… #gihyojp

拡散支援。富士通さん、某セキュリティ技術者のブラックホールからの新たな受け皿になられているので、結構、技術の方々の居心地よさそうですね。応援しています。

AIドキュメントの品質改善、 「敵対的検証して」 って書くだけでかなり便利なのでおすすめです。 課題がある前提で反証され、判定と根拠まで返ってきます。そんなClaude Code公式も推奨するパターンについて書きました。 zenn.dev/loglass/articl…

これはあり得ない投稿なので社内でエスカレーションします。甚大な請求額に対し、アカウント情報の漏洩により第三者に利用された結果ではと心配された方も、また予算アラートを設定していたために意図しない対応をしなければならなかった方もいると認識してます。このような投稿はセキュリティが最優先のAWSとしてポリシーに沿わない発信です。不快な思いされた方に大変申し訳ないです。

これ、技術者倫理と企業の利害が反してる解りやすい例なので覚えておこうな。多分高確率で消される。 CSPのベスフラに従って構築し、結果CSPが事故っても「誤植でした！」でで終わらせようというCSPの意思表明があるので、CSC側としては訴訟が正しい 魚拓はこちら megalodon.jp/2026-0718-2133…

先日、Interopに行ったらSCS評価制度が非常に残念なことになっていて完全なマーケティング用語になっていた。そこに市場があるかわからない。が、みんなレミングスのようにそこに向かっていくのはある意味時代のニーズなのかもしれない。法務が「事故後に呼ばれる部門」のままでは、もう持たない。2026年10月1日、サイバー対処能力強化法の主要規定が施行され、一定の基幹インフラ事業者には特定重要電子計算機の届出とインシデント報告が制度化される。SCS評価制度は任意でも、★3・★4が調達条件に入れば事実上の取引資格になる。現場で怖いのは罰金より、事故後に「合理的に監督した」と証拠で説明できないことだ。 #セキュリティ

WordPressは7月17日、認証不要で悪用可能なリモートコード実行の脆弱性を修正する緊急セキュリティ更新を公開した。影響が大きいことから、対象サイトでは強制的な自動更新も有効化されており、早急な更新が推奨されている。 この脆弱性はSearchlight CyberのAdam Kues氏が報告したもので、REST APIのバッチルート「/wp-json/batch/v1」における処理の問題とSQLインジェクションを組み合わせることで、標準構成のWordPress Coreで認証不要のリモートコード実行につながるという。影響を受けるのはWordPress 6.9.0～6.9.4、7.0.0～7.0.1、および7.1 betaで、それぞれ6.9.5、7.0.2、7.1 beta2で修正された。6.8系は今回のリモートコード実行の影響は受けないが、同時に修正された別のSQLインジェクションの脆弱性の対象となるため、6.8.6への更新が推奨されている。Searchlight Cyberは影響有無を確認する診断サイトも公開した。すぐに更新できない場合は、一時的な対策としてREST APIへの認証不要アクセスの遮断や、「/wp-json/batch/v1」と「rest_route=/batch/v1」をWAFでブロックする方法が案内されているが、正規のREST API機能へ影響する可能性があるとしている。 aikido.dev/blog/unauthent…

ウェビナーが始まる前の待機中はBGMがあるとスピーカーなど調整出来るので助かります。

まじでその通りなのよ。特にEDR担当が疲弊するよね。もう「翌営業日に調べる」は通用しない。ロシア国家系の精鋭ActorまでClickFixを採用し、Spirals ransomwareは侵入から窃取・暗号化まで24時間未満。hidden textはAIメールfilterまで欺く。 Spiralsは公開IISから入り、WMIで12台超へ横展開。PowerShellでDefenderを無効化し、Veeamなど23製品のserviceを停止、PsExecで暗号化を展開した。Barracudaもtext saltingを使うphishingを100万件超検知。AIを入れただけの防御では、正直もう心許ない。 CSIRTはWin R／PowerShell起動、WMI／PsExec、Defender無効化、backup service停止、公開IISのweb shellを一つのhunt queryにまとめてほしい。24時間以内の封じ込め訓練は急務だ。 #セキュリティ

【技術ブログ】OktaでBYODの統制を目指す——アカウント管理ポリシー×一時アクセスコードを活用する #Okta #BYOD BYODデバイスなど自社のMDM管理対象外のデバイスに対してもアクセス制御を行いたい、というお悩みをお持ちの方も多いと思います。そこで本記事ではOktaでのBYOD制御設定をご紹介します

データセンターが出来始めた頃に選定をしていると色々な視点の質問に細かく回答して頂き、契約したラック数はサーバ機器の変化によって本数は変わりましたが、利用は続いています。 インターネット テクノロジーが移り変わる中で様々な課題に役に立ち 後輩に教えやすいご説明をありがとうございます。

@kei31ai とにかく睡眠時間に割当て多めに

金曜21時半、明日の予定もう決まってる派? 特にない派・詰め込み派・当日決める派、どれ? 一言で

夕食はパレスホテル内の巽にて ゲスト２名を連れ丁寧な仕事ぶりを感じながら揚がる天ぷらを堪能。 山椒が効いた鰻天も美味しかった。

「ずっと同じ環境にいると、自分が偉くなったと勘違いする。たまに自分がゼロとか無価値になれる場所に行った方がいい」て教えがあるけど、これはマジ。人も水も留まっていれば濁る。自分を動かし続けるって超大事。

ランサム事案に関係なく、フォレンジックの実態についてかなり詳細に述べられていて、是非おススメしたい記事です。 フォレンジック調査とは？ランサムウェア被害時の費用・期間・対応フローと平時の備え unitis.jp/articles/22599/

Tera Term 5.6.2 をリリースしました。 主な変更点 - 受信した SSH2 パケットの長さを正しくチェックせずに処理する脆弱性を修正した。 - XMODEMのキャンセルが停止しない不具合を修正した。 - 高速なシリアル接続時にZMODEMによるファイル受信が失敗する不具合を修正した。 github.com/TeraTermProjec…

米国 NIST SP 800-18 Rev. 2 システムのためのセキュリティ、プライバシー、およびサイバーセキュリティ・サプライチェーンリスクマネジメント計画の策定 (2026.06.30) - まるちゃんの情報セキュリティ気まぐれ日記２ maruyama-mitsuhiko2.cocolog-nifty.com/blog/2026/07/p…