苫米地英人

第40弾ワークスDVDのブログ案内特別先々行予約販売を開始。今回は特に未発表の50番台から70番台の苫米地理論定理群による認知理論と認知生物学をベースにAIやサイバーそしてその先まで見据えた次世代社会を率いる皆さんへ重要知識を伝達しようと思う。数学の知識は不要。私の非公開の機能音源特別ライブに招待付き tomabechi.jp tomabechi.jp/archives/516651…

In the same week as PHP2Shell, the incident most widely reported in Japan was unauthorised access to “Onamae.com Desktop Cloud”, a VPS service for automated foreign-exchange (FX) trading provided by GMO Internet. According to its announcements and press reports, events unfolded as follows. The intrusion route has not been disclosed. GMO has stated that “a security problem existed in the system of this service”, but has not said whether PHP was running or whether PHP2Shell was involved. The malicious program was confirmed on 20 October, before the PHP2Shell fixes were published (the evening of 21 October) and after pre-disclosure exploitation attempts were observed (17 October), but timing alone cannot establish a link. This paper does not count the case as PHP2Shell damage. Claims made by the attacker side, such as the routes of intrusion and data theft, are also unverified. Even so, the case matters for this paper’s argument. First, even with a VPS as the hosting arrangement, the damage reached inside customers’ servers. The malicious program was placed in customers’ server environments, and trading-account credentials stored on the servers were targeted. Virtualisation boundaries separate customers from one another, but they do not protect the software running inside each server or the secrets kept there. The provider is also collecting and analysing customers’ own devices, so concern now extends to those devices too. Second, to prevent the damage from spreading, the provider stopped the servers on all plans (26,739 servers were described as potentially affected). Control panels, server creation and restoration, and remote-access infrastructure that reach many servers form common management infrastructure, where a breach at one point can spread to the whole. Which part was breached in this case has not been disclosed, but the fact that a complete shutdown had to be chosen illustrates the danger. Third, the provider decided not to restart the existing platform as it was and offered customers migration to an alternative service on an independent cloud platform. In not continuing to use a compromised environment and rebuilding from a trustworthy state, this is in line with the immutable infrastructure of Section 10. So whether or not PHP was running, the questions the case put to organisations are the same as those of PHP2Shell. What runs where (the asset register)? Who fixed what and when, and did the fix reach the running systems (responsibility and evidence for updates)? Which secrets sit on servers, and how far can an intruder reach (least privilege and secret management)? Can credentials and sessions be revoked immediately (response)? Can environments be rebuilt from trustworthy artefacts (recovery)? Moving to a VPS only redistributes these questions between provider and customer; it does not remove them. A DevSecOps capability is essential on one’s own servers, on a VPS and in the cloud alike. English updated version Reengineering National Cyber Resilience Around Existing Systems - A Two-Stage DevSecOps Policy Informed by PHP2Shell, the History of ARPANET, UNIX and Mach, and Memory Safety Hideto Tomabechi CyLab Carnegie Mellon University, C5I Center George Mason University, Cognitive Research Laboratories tomabechi.jp/CyberResilience…

PHP2Shellと同じ週に国内で大きく報じられたのが、GMOインターネットが提供するFX自動売買向けのVPS「お名前.com デスクトップクラウド」への不正アクセスである。VPSについてもDevSecOpsが同様に必須なことを書き加えた。 tomabechi.jp/CyberResilience… 侵入の経路は公表されていない。GMOは「本サービスのシステムにセキュリティ上の問題が存在」したとしているが、PHPが稼働していたか、PHP2Shellが関係したかは明らかにされていない。 不正なプログラムの確認は10月20日であり、PHP2Shellの修正版の公開（21日夜）より前、公表前の悪用の試みが観測された17日より後であるが、時期が近いことだけでは両者の関係は推定できない。 本稿は本件をPHP2Shellの被害として数えない。また、攻撃者側の主張（侵入や情報窃取の経路など）は検証されていない。 それでも、本件は本稿の主張にとって重要である。 第一に、VPSという提供形態でも、被害は利用者のサーバーの内側に及んだ。不正なプログラムは利用者のサーバー環境に置かれ、サーバー内に保管された取引口座の認証情報が狙われた。 仮想化の境界は契約者どうしを分けても、各サーバーの内側で動くソフトウェアと、そこに置かれた秘密情報を守るものではない。さらに事業者は利用者の端末を預かって解析しており、懸念は利用者自身の端末にも及んでいる。 第二に、事業者は被害の拡大を防ぐため、全プランのサーバーを停止した（影響の可能性があるとされたのは2万6,739件）。多数のサーバーに通じる管理画面、サーバーの作成・復元、遠隔接続の基盤は、一点が破られれば全体に波及し得る共通の管理基盤である。 本件でどの部分が破られたかは公表されていないが、全体の停止を選ばざるを得なかったことは、この危険を示している。 第三に、事業者は既存の基盤をそのまま再開しない方針を示し、利用者には独立したクラウド基盤上の代替サービスへの移行を案内した。侵害された環境を使い続けず、信頼できる状態から作り直すという点で、第10節の不変インフラの考え方に通じる。 したがって、PHPが稼働していたか否かにかかわらず、この事案が組織に突き付けた問いはPHP2Shellと同じである。 どこで何が動いているか（資産台帳）。誰がいつ修正し、それが稼働中の実体に反映されたか（更新の責任と証拠）。 サーバーにどの秘密情報が置かれ、侵害時にどこまで到達されるか（最小権限と秘密情報の管理）。 認証情報とセッションを直ちに失効できるか（対応）。信頼できる成果物から作り直せるか（復旧）。 VPSへの移行は、これらの問いを事業者と利用者の間で分担し直すだけであり、問いそのものを消すものではない。DevSecOpsの体制は、自前のサーバーでも、VPSでも、クラウドでも必須である。 日本語 tomabechi.jp/CyberResilience… English tomabechi.jp/CyberResilience…

政策・技術論文 各国政府関係者向け 既存資産を活かす国家サイバー耐性の再設計 PHP2Shell、ARPANET・UNIX・Machの歴史、メモリ安全性から導く二段階のDevSecOps政策 苫米地英人 tomabechi.jp/CyberResilience… 要旨 2026年10月、PHP処理系の中核で発見された二つの欠陥（CVE-2026-109618、CVE-2026-109619、通称PHP2Shell）は、日本を含む多数の国で行政・金融・交通・報道・商取引のWebサービスを一斉に停止させた。日本では国の機関、自治体、銀行、航空、電力、大学、ホスティング事業者を含む少なくとも246組織がサービス停止を告知し、欧州・カナダでも政府サイトが予防的に閉鎖された。欧州の政府機関では侵入後の横展開が確認され、攻撃者がAIエージェントを用いた形跡も報告された。[52,53,57,58] 本稿は、この事件を個別の不具合ではなく構造的な問題の現れとして扱う。PHPのアプリケーションはPHP言語で書かれるが、それを実行するエンジンはC言語で書かれている。C言語とUNIXは、参加者が限られ相互に信頼し合う研究共同体の時代に生まれ、メモリの確保・解放の正しさをプログラマに委ねる設計を今も受け継いでいる。今日の行政情報システムは、匿名かつ国家主体を含む攻撃者が常時接続してくる環境で、この基盤を大規模に使い続けている。 しかし、世界中のOSと言語処理系を一度に置き換えることはできない。本稿の中心的主張は、OSやプログラミング言語を根本的に変えなくても、開発・調達・配備・運用の仕組みをDevSecOpsとして再設計すれば、攻撃にさらされる面、侵害の成立、侵害後の到達範囲、修正までの時間、復旧能力をそれぞれ縮小でき、それらの効果は掛け算で効くという点にある。その上で第二段階として、外部入力を処理する高リスク部品から、ANSI Common Lisp、Erlang、Rustなどメモリ安全性と障害隔離に優れた言語・ランタイムへ、AIを補助に用いながら段階的に移行する。 本稿は、事件の事実関係を一次資料と修正コードの確認によって整理し、ARPANET・UNIX・BSD・Machの歴史から現在のリスクの由来を説明し、各国政府が義務化すべき統制と導入工程を提案する。技術者が検証できる厳密さを保ちつつ、政策担当者が判断に使えるよう、各節に平易な解説を付した。掲載コードは筆者の作成環境で実際にコンパイル・実行し、出力を併記した。 キーワード：サイバーレジリエンス、DevSecOps、メモリ安全性、PHP2Shell、ゼロトラスト、ソフトウェア供給網、Common Lisp、Erlang、Rust、政府調達 政策・技術論文 tomabechi.jp/CyberResilience… 英語版 tomabechi.jp/CyberResilience…