Tomoyuki Tarumi

【言及】細野大臣、全国民に「緊急要請」 食料・水・トイレの備えを news.livedoor.com/article/de… 防災庁が発足する11月2日に、全国民に向けて災害へ備えるよう「緊急要請」を出すと述べた。公助がなくても最低限3日、家で食べ物やトイレや水を用意してほしいと言及している。

Sicherheit hat mich heute um 6:12 Uhr morgens angerufen. „Patchen Sie jeden PHP-Server sofort.“ Ich fragte, was passiert sei. „Zwei kritische Schwachstellen. Remote-Code-Ausführung. Keine Authentifizierung erforderlich.“ Cool. Wie viele PHP-Server haben wir? Laut Inventar: 12 Laut Realität: Niemand weiß es. Wir haben einen gefunden, der WordPress läuft. Drei, die alte interne Tools betreiben. Einen unter dem Schreibtisch von jemandem. Zwei in Vendor-Geräten. Ein vergessenes Mitarbeiterverzeichnis aus 2016. Und einen Server namens: PHP-OLD-DO-NOT-TOUCH Natürlich betreibt der die Gehaltsabrechnungen. Dann haben wir einen PHP-5.6-Box gefunden. Ich fragte, wem er gehört. Die Dokumentation sagte: BRIAN. Brian ist 2019 gegangen. Wir haben Brian angerufen. Er sagte: „Oh wow, der läuft immer noch?“ Ausgezeichnet. Um 8 Uhr morgens hat die Führungsebene dem Incident-Call beigetreten. CEO: „Können Hacker wirklich reinkommen?“ Sicherheit: „Potenziell ja.“ CEO: „Ohne Passwort?“ Sicherheit: „Ja.“ CEO: „Warum brauchen dann WIR Passwörter?“ Nicht die Lektion. Die Finanzabteilung fragte, ob wir nicht bis zum Wochenende mit dem Patchen warten könnten, weil Ausfälle den Umsatz beeinträchtigen. Sicherheit erklärte, dass die Alternative darin besteht, Fremden Code auf unseren Servern ausführen zu lassen. Die Finanzabteilung verlangte einen Kostenvergleich. Um 9:17 Uhr schlug jemand vor, die anfälligen Websites vorübergehend offline zu nehmen. Marketing weigerte sich. „Unsere Kampagne ist live.“ Also hat das Unternehmen in der nächsten Stunde offiziell beschlossen, dass das Aufrechterhalten einer Landingpage für 20 % Rabatt auf Webinar-Registrierungen wichtiger ist als die Verhinderung einer Remote-Serverübernahme. Wir haben schließlich alles gepatcht, was wir finden konnten. Dann entdeckte unser Scanner einen weiteren PHP-Server. Hostname: TEMP-PHP-2014 Laufzeit: 4.512 Tage. Niemand weiß, was er tut. Niemand besitzt ihn. Niemand kann ihn abschalten. Aber jedes Mal, wenn wir den Netzwerkzugriff blockieren, hört das Lager auf, Versandlabels zu drucken. Sicherheit hat ihn als kritische Infrastruktur eingestuft. Er läuft PHP 5.4. Die Schwachstelle existiert länger als die Hälfte unserer Mitarbeiter. Der Notfall-Patch hat vier Stunden gedauert. Herausfinden, was PHP tatsächlich betreibt, hat elf. Das Internet wird nicht mit Code zusammengehalten. Es wird mit Servern zusammengehalten, vor denen sich jeder fürchtet, sie auszuschalten.

皆様に、今夜に対応して頂きたい大至急のお願いです。   多くのウェブサイトで使用されているPHPに関し、PHPのセキュリティチームが、重大な２件の脆弱性に関する注意喚起を行っています。   公開しているウェブサイトでPHPを使用しているか確認し、今夜、10月21日午後11時（日本時間）に公開される修正パッチについて、可及的速やかに適用できるよう準備をお願いします。   修正パッチを速やかに適用することが困難な場合は、例えばウェブサイト等を一時的に停止させることも、リスクを低減させるための有効策の一つと考えられます。   国家サイバー統括室のXアカウントでも関係する情報を発信していますので、そちらも参考にして下さい。 国家サイバー統括室(注意・警戒情報)（@cyber_forecast） / X