日刊ダイジェスト · Hacker News
· 32 ハッカーニュース
PHPセキュリティチームのJakub Zelenka氏が、2件の重大な脆弱性に対応するセキュリティリリースを予告した。いずれもCVSS v4.0で9.2のCritical評価。公開は2026年10月21日14:00 UTCを予定しており、全PHPユーザーに事前準備と速やかなアップデートを呼びかけている。脆弱性の詳細が公開された場合や実際の悪用が確認された場合は、前倒しでリリースされる可能性がある…
主要ブラウザベンダーが協力するInteropプロジェクトで、2027年に向けたCSSの新機能が計画されている。Mozillaが作成したランキングシステムで最も要望の多い機能を選定中だ。@functionによるCSS関数、corner-shapeやborder-shapeによる自由な角の形状、アンカー配置のLevel 2、inherit()関数、スクロールトリガーアニメーション、reading-f…
PHPのsession.upload_progressハンドラにヒープuse-after-freeがあり、解放済みのzvalポインタを再取得してzend_call_function経由でsystem()を呼べる。デフォルト設定のまま1回のmultipart POSTで発火し、8.4.4と8.2.34で検証済み。パッチ前の緩和策としてsession.upload_progress.enabled=…
MetaのAIエージェントMuseは会話をリンクで共有できるが、URLのサブドメインに会話タイトルが含まれていたため、セキュリティ企業ClarocはパッシブDNS検索だけで6,800件の共有リンクを列挙できた。開いた数百件には、極秘の役員面接メモ、CEO向けの社内売上レビュー、融資申請、口座番号を含む不正アラートなどが含まれていた。Metaは調査の間、共有機能を停止している。
PHPセキュリティチームが、2026年10月21日14:00 UTCに予定されるセキュリティリリースの事前告知を出した。修正対象はCVSS v4.0で9.2と評価された2件の重大な脆弱性で、全PHPユーザーに事前準備と公開後の即時アップグレードを呼びかけている。詳細が公開された場合や実際の悪用が確認された場合は、前倒しでリリースする可能性があるとしている。影響バージョンや修正版はリリース時に公表…
古いディスプレイでは、画面を上から下へ1行ずつ更新する過程で横位置がずれ、文字が斜体のように見えることがある。これは写真のローリングシャッターと同じ現象で、著者はこれを「意図的な斜体ではない」と指摘。さらに、スクロール方向や傾きの慣習は文化依存であり、製作者の選択次第で結果が変わる点に、タイポグラフィへの深い理解と文化の価値を見出している。
PingCAPのTiDB Cloudから10.6TB、490万ファイルが流出した。攻撃者は同社リポジトリにコミットされた認証情報を使い、制御プレーンのDBを複製。9月8日から30日まで6時間ごとに88回連続で再エクスポートさせたが、検知イベントはゼロだった。180,046テナント、115,308の平文APIキー、2,064万件の顧客SQL文、413の非公開リポジトリが含まれる。Jiraには202…
量子力学では、物体の状態はHilbert空間と呼ばれる抽象的な可能性の空間を指すベクトルとして表される。1920年代にHeisenbergの行列力学とSchrödingerの波動力学という二つの異なる理論が同じ予測を導いた謎を、23歳のJohn von NeumannがHilbertの着想をもとに1927年に解き、両者が同一の量子状態の異なる数学的表現であることを示した。状態は観測前には滑らかに…
Subaruは2027年末までに欧州で内燃機関車の販売を終了し、EV専用ブランドへと転換する。EUの排出ガス規制と運転支援規制が理由で、必ずしも自ら選んだ道ではない。まずOutbackが今年末で生産終了し、2027年にはImpreza、Crosstrek、Foresterが続く。2028年以降はToyotaと共同開発したSolterra、E-Outback、Unchartedの3車種のみとなる。…
WSJの報道によれば、MuskがStarlinkの通信速度を意図的に落とすよう指示し、ウクライナ側は事前に何の通知も受けていなかったという。Hacker Newsでは、この指示の出所をめぐりReuters、The Telegraph、WSJの各報道が食い違っている点が指摘され、民間人が一国の防衛インフラや外交にこれほどの影響力を持つことへの懸念が噴出。防衛製品をMuskの企業から購入する際のリス…
公式プロジェクトとは無関係に、著者が3DプリントでSpectrum Nextラップトップを自作。初代のヒンジや画面互換性の問題を解決するため、14インチWXGA液晶と本物のSpectrum Nextキーボードを採用し、mini PCBやRaspberry Pi、タッチパッド、デュアルMicro-SD、ステレオスピーカーを組み込んだ。後に12V UPSと10,000mAhバッテリーを追加し、約6時…
UNEPの2026年排出ギャップ報告書は、Paris協定が掲げた1.5°C目標を「オーバーシュートなし、または限定的な形で達成する機会は失われた」と断言した。残された道は、今世紀末までに2°C未満に抑えたうえで1.5°Cへ戻すことのみ。2030年までに18%、2040年までに69%の削減が必要だが、各国のNDCを完全実施しても2030年の削減は5〜8%にとどまる。
NetWasmはC#と.NET CILを直接WebAssemblyへコンパイルする独立系コンパイラで、デスクトップCLRやMono、DLLを本番に持ち込まない。同じ42を出力するWASI Preview 2 Componentで、NetWasm 0.8.0はランタイムと正確GC込みで47,798バイト、Rust 1.95.0のサイズ重視プロファイルは53,635バイト。Brotli-11では20…
Macに内蔵されたSecure Enclave上に秘密鍵を生成し、Touch IDでSSH認証を行う方法を3つのコマンドで解説する。鍵は抽出もコピーもできず、ファイルとして残らないため盗難リスクがない。GitHubへの登録手順に加え、ssh-keychain.dylibがSSHエージェントとSecure Enclaveの間でどう署名を仲介するのか、その仕組みも掘り下げる。
判断モデル「Jev」の登場をきっかけに、選択・スコア・noulという3種類の出力を持つモデルの経済性を分析。出力トークンが実質無料で高速という特性から、手書きルールやキャッシュをL1、JevをRAM、LLMをディスク、人間を磁気テープに見立てた「判断階層」を提唱する。1970年のChowの規則を使えば、各層が自信のない入力を下位へ渡す際の損益分岐点を計算でき、誤りのコストが高いほどLLMの価格よ…
AnthropicはClaudeを使い、25のオープンソースプロジェクト（500万行超）の攻撃面を自動分析し、493件の問題を発見した。デフォルト設定・設定の相互作用・早期到達性という3手法で、意図せず認証前に到達できるコードや、セキュリティ制御を黙って無効化する設定の組み合わせを特定。特にOpenSSHでは、無効化されているはずのML-DSA-44関連の約4,500行が未認証クライアントから到…
SNS「Pillowfort」が2026年12月4日で閉鎖するとスタッフが発表した。運営を引き継ぐ後任が見つからず、閉鎖以外の選択肢がなくなったという。サブスクリプションはすべて解約済みで、直近75日分の返金にも応じる。ブログ記事を書き出せるエクスポート機能も近日公開予定。最大時でも非常勤のコミュニティマネージャー1人、モデレーター1人、開発者3人という陣容だった。
Waymoは15都市に4000台以上を展開し、San FranciscoではLyftのシェアを上回った。自動運転への期待と不安が交錯するなか、同社は「Because」キャンペーンで「人間のドライバーより10倍安全」と訴える。一方、工事現場のコーンを突き抜けて高速道路を疾走した車両の事例など、人間が機械と共存する奇妙な現実が浮かび上がる。
システム内に局所的には正しいが互換性のないモデルが積み重なり、変更コストがそれらの翻訳と副作用の防止に支配される状態を「デコヒーレンス」と呼ぶ。変化の速さに比例して加速的に増大し、AIの普及がこれを持続不可能な速度で生み出している。著者は配管の改修やShip of Theseusを例に、場当たり的な修繕が複雑さを爆発させ、やがて誰も安全に迷路を進めなくなる「デコヒーレンス崩壊」への警鐘を鳴らす。
Deckerの1.61から1.71までの1年間を振り返る。最大の目玉はゲームパッド入力対応で、アーケードやアクションゲームが現実的に。LZWベースの新コーデックIMG3により、ディザ画像を使うデッキのファイルサイズが2〜4倍改善され、フロッピーにより多く収まる。Lilにはtrimやceil、rev、distinctなどの演算子が追加され、itch.io上のDecker作品は353点に増えた。
Rustに似た所有権ベースの言語Anteが、借用検査の設計を刷新した。参照の寿命ではなく「プレース」と呼ぶ借用元の集合を追跡し、不安定なプレースをマークすることで、ベクタの先頭と末尾を同時に可変参照しても安全なら通す。Rustがエラーにするコードを型システム内で静的に許可しつつ、ダングリング参照は防ぐ。
timriker氏によるbzoは、BZFlagのクライアント・サーバーとそのまま対戦できるブラウザ版3D戦車ゲーム。デスクトップ、スマホ、VRヘッドセットで動作し、インストールは不要。サーバーはNode.js、クライアントはThree.jsで、WebSockets・WebTransport・WebRTCを介して通信する。BZFlagの全フラッグを実装し、WebXRによるVRモードにも対応。コード…
C++26に追加されるstd::polymorphicは、動的な型を持つメンバーを値として所有するクラスを劇的に単純化する。従来はunique_ptrとvirtualなclone()でコピーを実装する必要があり、派生クラスでのclone()忘れがスライシングを招くなどの問題があった。std::polymorphicは構築時にコピー操作を型消去して保持するため、Rule of Zeroのままコピー…
補助金に支えられた安価なAIの時代が静かに終わりつつある。Storkの価格追跡によると、AlibabaはDeepSeek V4 Flash 0731の出力価格を100万トークンあたり0.40ドルから1.32ドルへと一夜で引き上げ、入力価格も2倍以上にした。MistralやQwen3.6も値上げする中、Zhipu AIだけが85%の大幅値下げに踏み切った。安価なトークン頼みの収益モデルは、ラボの価…
eMudhraの8つの中間CA証明書の秘密鍵が、P-384であるべきところ実質8ビットしかない極端に弱い値だったことが判明した。鍵は4や56、115といった単バイトの数値で、筆者は公開証明書からノートPC上で瞬時に復元。ChromeとFirefoxは遮断済みだが、curlやPython、Node、CI/CD、IoT機器などCTも失効確認も行わない大多数のTLSクライアントは依然として影響を受ける。
Dovepassは、San Franciscoで特定のルートをドローンで飛行できるかを即座に判定するリサーチプロトタイプです。離陸地点・目的地・機種（DJI Mavic 3 Proなど）・時刻を指定するだけで、FAAの空域規制、Giantsの試合日程、SFの公園ルール、PresidioやGolden Gate Bridge周辺の制限、ビルや地形、風速とバッテリー残量までを総合的にチェック。結果は…
Basisの研究者らは、小さな言語WHILEの形式的意味論をLLMに書かせ、その規則が実際のCインタプリタをRISC-Vにコンパイルしたバイナリの挙動と全プログラムで一致することをLeanで証明した。テストでは見逃す59文字の関数名による文字列化の差異も、証明の過程で発見・修正された。検証のボトルネックは定理証明から仕様記述へ移りつつある。
Nexus-CLIは、DeepSeek V3とR1を無料のWebアカウント経由で利用するための純Go製CLI兼ローカルAPIプロキシ。公式APIキー不要で、OpenAI・Anthropic・Ollama互換のエンドポイントを提供し、Claude CodeやCursor、Open WebUIなどからそのまま接続できる。PoWソルバーは難易度144,000のチャレンジを約40〜50ミリ秒で解き、ラン…
Munich、Zurich、London、Istanbulを拠点とするデータ研究・導入ラボのmicroagiが、産業企業の現場で既存ハードウェア上に閉ループで稼働する自律ロボット「Atlas」と、遠隔操作なしで物理作業を訓練データ化する「shift」を発表。身体性を持つAGIの加速を掲げる。
Cloudflare WorkersはV8 isolateで、ネイティブバイナリのTeXエンジンを動かせない。そこでTectonicをNodeとHonoのコンテナに載せ、HTTP越しに呼ぶ構成にした。シェルエスケープを無効化し、ジョブごとにmkdtempで一時ディレクトリを分離。パストラバーサル対策やトークン未設定時の起動拒否など、信頼できないLaTeXを安全に扱うための実際の落とし穴と失敗デプ…
T3 Codeは、Claude Code、Codex、Cursor、Grok Build、OpenCode、Google Antigravityといった既存のエージェントを、iOS・Android・Web・Electronデスクトップから操作できる「エージェントハーネス制御サーフェス」。既存ツールでは満たせなかった性能とリモート対応、そして真にオープンな開発体験を求めて自作された。まだ初期段階で…
パッケージのインストール時にコードを実行させることなくCI/CDホストや開発マシンから認証情報を窃取するマルウェア攻撃が増加している。GitHubはこの対策として、Actionsランナーやコーディングエージェントと上流のパッケージリポジトリの間に位置し、メタデータ要求とダウンロードの両方を検査するpackage firewallを発表した。クールダウン期間やGitHub Advisory Dat…