2026年7月報告のnginx脆弱性（CVE-2026-42533）をDockerで再現してみた | DevelopersIO2026年7月15日に修正されたnginxの認証前RCE脆弱性 CVE-2026-42533（CVSS 9.2）の動作をDockerローカル環境で再現しました。Two-Passキャプチャクロバリングにより、1回のGETリクエストでヒープ情報が漏洩する様子を確認し、修正版1.30.4で問題が解消されることを検証しています。0.9.6から修正版未満の全バージョンが影響を受けるため、早期のアップグレードが推奨されます。
Nginx-poolslip Vulnerability Enables DoS and Code Execution Attacks — Patch Now!
Nginx-poolslip Vulnerability Enables DoS and Code Execution Attacks — Patch Now! A newly disclosed flaw in one of the world’s most widely deployed web servers is forcing administrators into another emergency patch cycle. Tracked as CVE-2026-9256 and publicly nicknamed nginx-poolslip, the vulnerability affects both NGINX Plus and NGINX Open Source, and can be triggered by a remote, unauthenticated
New NGINX 0-Day RCE "nginx-poolslip" Affects Millions of NGINX Servers
New NGINX 0-Day RCE “nginx-poolslip” Affects Millions of NGINX Servers A newly disclosed zero-day remote code execution (RCE) vulnerability, dubbed nginx-poolslip, has been identified in NGINX version 1.31.0, the latest stable release of the widely deployed web server software. The discovery was made by security agent Vega, operating under the NebSec security team, and publicly disclosed via X (fo
NGINX Rift
CVE-2026-42945 · Heap-based Buffer Overflow · CVSS v4.0 9.2 (Critical) found autonomously by depthfirst NGINX Rift An 18 year old memory corruption flaw in NGINX Plus and NGINX Open Source lets an unauthenticated attacker crash worker processes or execute remote code with crafted HTTP requests. TL;DR A bug in the ngx_http_rewrite_module lets a remote, unauthenticated attacker corrupt the heap of a
Self-Maintainable CI ── Go testの失敗をClaudeで自動修復する仕組み - LayerX エンジニアブログ
はじめに LayerX バクラク事業部 Platform Engineering 部 Enabling グループの shibutani です。 CIのテストが落ちたとき、開発者がやることは意外と多いです。ログを読み、原因を特定し、担当者を探し修正依頼 or 自分で修正する。これがrace conditionやflaky testのように再現しにくいものだと、対応はさらに後回しにされがちです。 今回、Go testの失敗を検知したらClaudeが自動でログを分析し、担当チームに通知し、修正PRまで作成する仕組みを構築しました。本記事ではその設計と実装を紹介します。 -race フラグの分離と、その先の課題 出発点はPull Request作成時のCIの速度改善でした。これまではPull Request作成時のCIで -race フラグ付きの go test を実行していましたが、-race
実践CQRS+ES ── 小さな集約と大きな業務出力を両立する - ZOZO TECH BLOG
はじめに こんにちは。基幹システム本部・リプレイス推進部・リプレイス推進ブロックの岡本です。 私たちのチームでは、ZOZOの基幹システムリプレイスの一環として、会計領域のシステムを新規構築しています。アーキテクチャにはCQRS（Command Query Responsibility Segregation）+ES（Event Sourcing）を採用しました（以降、CQRS+ESと略記します）。 本記事では、CQRS+ESを実務へ適用する中で直面した「小さな集約を保ちながら、大量の集約をまたいだ業務出力をどう実現するか」という課題と、その解決で得られた知見を紹介します。 会計システムでは、決済に関連する明細データを決済ID単位の小さな集約（Aggregate）として設計しています。一方で、消込結果を月次でまとめた帳票を出力するようなユースケースでは数万件規模の集約を横断する必要があり、集
LEGOとLet's Encryptで証明書を利用した手順のメモ
無料で提供されている認証局のLet's Encryptから、Webサーバ用のSSL証明書を取得・設定する。Let's EncryptにはCertbotという公式のクライアントがあるが、今回はOSSで公開されているLEGOを使ってみる。 OS：Ubuntu 20.04Webサーバ：nginx 1.18.0LEGO：4.5.3ダウンロードgithub （https://github.com/go-acme/lego）のReleasesからLEGOの実行ファイルをダウンロードする。 ダウンロードしたのはlinux_amd64。解凍して適当なパスに配置する（今回は /usr/local/bin/に配置）。 証明書の取得コマンドラインでlegoを実行して証明書を取得する。この際ドメインの所有者確認が行われるが、これには二つの方法がありコマンドパラメータが異なる。 なお以降のサンプルではパラメータを下
legoでLet's EncryptのSSL/TLS証明書を発行し、自動更新するよう設定する - Qiita
AWSやGCP等のクラウドサービスを使っていると、SSL/TLS証明書のマネージドサービスが提供されていることが多く、大変手軽で便利ですよね。一方で、マネージドサービスがない場合や、あってもその証明書を使えないケースが私の周りでもたまにあり、自前でSSL/TLS証明書を発行・管理しなければならないことがあります。 ドメイン認証であれば Let's Encrypt で十分なことがほとんどなので、無料でSSL/TLS証明書を発行・自動更新することができます。 certbot-autoを使うという情報が多いようだが… 私も数年前まではcertbot-autoというツールを使っていたのですが、コマンドを実行するとデフォルトで自動アップデートされるようになっています。自動アップデートを抑制するオプションを付けずにSSL/TLS証明書を自動更新するように設定してしまうと、certbot-autoが自動
%CPU Utilization Is A Lie
I deal with a lot of servers at work, and one thing everyone wants to know about their servers is how close they are to being at max utilization. It should be easy, right? Just pull up top or another system monitor tool, look at network, memory and CPU utilization, and whichever one is the highest tells you how close you are to the limits. For example, this machine is at 50% CPU utilization, so it
納得感のある決定事項の共有方法 - Konifar's ZATSU
意思決定の場にいない人に対して決定事項を共有する際、いくつか気をつけておくといいなぁと考えていたことを雑にまとめておきたい。 決定する前から進捗をちょっとずつ共有しておく 決定前の話なので後の祭りかもしれないが、いきなり結果をドーンだと相手を戸惑わせることがあるので事前に議事録を共有したり中間で説明する機会を作ったりするとよい 背景と前提条件を伝える なぜやるのかわからないまま結果だけ共有すると納得してもらいにくい。決定する上での前提条件を知らないと余計な反発をうむこともあるので注意が必要。それまでずっと考えてきた当事者は気づきにくいが、びっくりするくらい前提知識が違うことがある。相手は何も知らないものとして、イチから説明した方がよい 決定までの経緯を伝える 結論より経緯の伝え方が重要。どのような議論があってそんな決定になったか、簡潔に伝えましょう 捨ててきた選択肢も伝える 結果に至るまで
Next.jsのコンパイラから知るServer Actionsの完全解析 ~セキュリティ上の注意点も含めて~ - カミナシ エンジニアブログ
はじめに StatHackカンパニーの渡邉です。 私の普段の取り組みをこちらで紹介しているのでこちらもどうぞ。 note.kaminashi.jp 私たちKaminashiでは、さまざまなプロダクトにNext.jsを採用し始めています。 今回のブログではNext.jsの最も特徴的な機能の一つであるServer Actionsに関してフォーカスし、それがどういう仕組みで動いているのかコンパイラのソースコードを確認しながら解説し、 最後に実装上の注意点について述べます。 特にServer Actionsの具体的な中身の解説に関してはヘビーなので、実装上の注意点だけ見てもらうだけでも良いかもしれないです。 それではやっていきましょう。 Server Actionsとは？ Server ActionsとはNext.js v14から正式にリリースされた機能で、従来フロントエンドのために記述していたR
知っていてこだわらない、それがいいソフトウェアエンジニアの条件なんだと僕は思うんだ - assertInstanceOf('Engineer', $a_suenami)
週末の午前中、カフェでアイスコーヒーを飲みながらふとポエムでも書いてみようかと思い立ってしまったので、ちょっと前からよく考えていることを書く。本当に思いつきで書くので乱文になる可能性が高いけどご容赦いただきたい。そもそもブログを書くこと自体が相当久しぶりだ。 僕ももう 30 をすぎて、プログラマの世界ではさすがにもう若手とは呼べなくなり、教育っていうのはおこがましいけど、まあ自分より若い人たちの指導みたいなことをやらないといけない立場になってきたからこそ、「いいプログラマとはどういう人なんだろう。この人たちはどういうことを学べたら幸せだろう。」ということをよく考えるようになった。そういう話をする。 プログラマは手段のスペシャリストである 世の中には目的・手段論みたいな論調が存在する。 「それは手段だよね。目的をはき違えたらダメだよ。」という話はいたるところでよく耳にするんだけど、僕はこれを
JavaScript で Wasm 使ってるなら要注意！ そのメモリ、本当に解放されてますか？ - カミナシ エンジニアブログ
数ヶ月前、画像処理ライブラリ OpenCV.js を使って Web カメラの映像をリアルタイム処理するプロトタイプを作っていたときのことです。 OpenCV.js は C++ で書かれたコードを WebAssembly（Wasm） にコンパイルして作られており、Wasm ならではのブラウザ上での高速な処理が可能なライブラリです。 実際、画像のフィルタ処理や特徴点検出など、ユニットテストの段階では高速に実行でき、開発は一見順調に進んでいるかのように見えました。 ところが、いざアプリケーションに画像処理モジュールを組み込んでみると、起動したカメラが数秒経つとなぜか止まってしまいました。 コンソールにもエラーは出ず、Chrome を再起動すればまた数秒だけ動く……そんな不可解な状態に悩まされました。 原因は、Wasm のメモリリーク。 そう、恐ろしいことに C++ 製 Wasm で作られたライブ
AIによる開発は楽しすぎるが、基礎学習が疎かになりそうで怖い - $shibayu36->blog;
最近Claude Codeなどのコーディングエージェントによる開発が非常に便利になっていて、何か作りたいなと思ったら今までにないスピードで開発ができるようになった。自分だと https://github.com/shibayu36/mysql-schema-explorer-mcp はCursor AgentやClaude Codeでかなりの部分を開発した。 コーディングエージェントによる開発をいろいろ試して思ったことは、とにかく楽しすぎるということ。自分がこういうものが欲しいなと思ったら、今までにないスピードで魔法のようにできあがる。モノづくりという側面だけでプログラミングを見た時に、面倒な部分をすべてすっ飛ばしてどんどん作れてしまう。この魔法のようにできあがる体験はとにかく楽しい。 一方で、この楽しさは一種の麻薬のようにも感じる時もある。コーディングエージェントによる開発をしていると、
Apple Sandbox(Seatbelt)を・・・強いられているんだ！ - yuzuharaの日記
この記事はカーネル/VM Advent Calendar 2011の記事です． 前書き どうも，サンドボックス萌えなid:yuzuharaです． 今年はみんな大好きMacに標準搭載されているApple Sandboxの話をしてみようと思います サンドボックスっていうと，コンテキストによっていろいろ意味が変わります． この記事でいうサンドボックスは，”OSレベルの実行時アプリケーションの隔離を行う機構”のことをいいます．隔離というのは，プログラムを実行するとOSが管理するリソースのすべてが利用不可能な状態で起動するという感じです．この状態から，セキュリティポリシーにより最低限のリソースの利用を許可していくのがサンドボックスの基本的な利用方法となります． こんな感じ． サンドボックスは，サンドボックス上で実行したアプリケーションを，あらかじめセキュリティポリシーに書かれたリソースにしかアクセス
定期的に何度も読み返している個人的名エントリを置いておく - プププなテクブ
思い立ってから10分くらいで頭に浮かんだものをつらつらと書いた。なんとこれらは全て無料で読める。他にもあるかもしれないので、それは思いついたら都度追記していく。必然的にだが、僕にとっての長澤まさみ枠*1な人たちが名を連ねている。 行動をするときに「自分には向いてないかも」と悩む時間は必要ない soudai.hatenablog.com id:Soudaiさんの記事。特に前川さんの「もし、お前に才能が無かったとして、じゃあお前はどうするんの？そのifの中に実装があるの？何も無いんだったらそのifについて考える時間は無駄じゃん。必要なくない？」っていう言葉が核心付いててめっちゃ好き。年に何回か訪れる気持ちがマイナスになった瞬間とかに読みに行くことが多い。 長く活躍できるエンジニアになるためには？ 技術者として大切にしたいこと speakerdeck.com id:naoyaさんのスライド。先の
Fargateメンテナンスの自動適用について調べた - NRIネットコムBlog
本記事は ブログ書き初めウィーク 4日目の記事です。 📝 3日目 ▶▶ 本記事 ▶▶ 5日目 📅 はじめに Fargateメンテナンスと向き合うモチベーション Fargateメンテナンスとは？ Health Dashboard Fargateメンテナンスはどのように適用されるのか？ スタンドアロンタスクは廃止される サービスタスクの置き換え手順 手動適用 自動適用 適用単位と時間 タスク置き換え時の通知設定 さいごに はじめに こんにちは。加藤です。 最近、Fargateメンテナンスの運用を「手動適用」から「自動適用」に任せる運用に改善しました。本ブログ記事では、改善対応の中で調査したFargateメンテナンスの特徴について書いていきたいと思います。 Fargateメンテナンスと向き合うモチベーション 早速ですが、皆さんはAWS Fargateを運用されていますでしょうか？ aws.a
個人向け節税保険の「ちょこつみ」が新登場！生命保険料控除OKでエポスゴールドのポイントアップ対象と使い勝手良好 - ポイント投資の攻略ブログ
2024年1月2日より「ちょこつみ（日本生命/ニッセイ傷害保障付積立保険）」という保険が販売開始となっています。こちらは実質的な個人向けの節税保険となっています。商品性としては以前に紹介をした「じぶんの積立（明治安田生命）」と類似しています。 人によってはこちらの「ちょこつみ」の方が使い勝手が良いケースもありますし、クレカ払いもOKということでメリットが大きいと感じる人も多いと思います。 うまく活用していきましょうね。 基本として押さえておくこと、節税保険とは？ ちょこつみの商品概要 「ちょこつみ」を利用した生命保険料控除の効果 クレカ払いもOK、エポスゴールドカードなら+1.5％還元と強い 加入は募集人経由限定でオンラインは不可 明治安田生命の「じぶんの積立」との違いを比較 基本として押さえておくこと、節税保険とは？ まず、この「ちょこつみ」という保険は家族やお子さんがいるなど、自分に万
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
https://x.com/i/status/2057071579876753643
Rails 8 Adds Thruster as the Default HTTP/2 Proxy Server