何でも雑用係

GASでスプレッドシートを動かす

シート間の転記、条件付き集計、メール通知、定期実行。よくある「手作業でやってたやつ」をスクリプトにします。

※「全部自動化して！」は無理です。小さく動かしてから広げます。

複数AIを使い分ける

Grok・Claude・ChatGPT・Gemini・DeepSeek。用途に合わせて使い分けて、下書きや整理をします。最終判断は人間がします。

データ転記・整理・下準備

PDFからの転記、CSV整形、表記揺れの統一。地味だけど正確にやります。

業務システムの経験を活かす

会員管理や顧客データまわりの仕組みを小さく作って運用した経験があります。データ管理・集計・簡単な自動化の延長で活かせます。

業務システム構築

会員制サービスの管理画面や顧客データ管理を自前で構築・運用した経験があります。小さく動くものを作って回す側です。

アフィリエイト・半自動ツール

アフィリエイトサイト運営や半自動ツールを作った経験があります。公開ライブラリをそのまま信用せず、自分で検証するタイプです。

クラウド・ローカル環境

AWS（Lightsailなど）、GCP（過去に本格利用）、Ollamaでのローカル推論を触っています。

まずは自分の環境で試す！

公開情報が出たら、まず自分の環境で範囲を見る。バックアップは暗号化し、パスワードや鍵はその中身とは別に置く。戻せることを確認してから、変更する。

事例1：証明書関連の更新

きっかけは、証明書の発行元 eMudhra（emSign）が極端に弱い鍵を使っていた、という公開情報。Python自体の不具合ではなく、その証明書をまだ信頼していると、同じネットワーク上の誰かがパッケージの配布元になりすまし、pipが警告なしに別の中身を取ってくる余地があった。ローカルのPython環境で影響範囲を確認してから、オフラインでハッシュ検証済みのパッケージを使い、更新前の状態は戻せるように残して更新した。稼働中の処理は止めず、対象の証明書は更新後の環境から除いている。

事例2：Tailscaleの暫定対策

TailscaleのTailworm報告で、SSHまわりの権限昇格のリスクを確認した。公式の修正を待つ間、自分の環境（PCとAndroid）でSSHの有効状態を見て、不要なものは無効にした。forwardingも無効にする設定を入れた。全部は止めず、必要な接続は残したまま、リスクだけ下げている。

事例3：Brotliの更新

公開情報で、Brotliの展開処理に欠陥（CVE-2026-111497）があり、細工された圧縮データでメモリが壊れる余地があると知った。動いている機械で、影響範囲だけ先に見た。Node.jsはすでに修正済みで、対象のPython環境にはBrotliのパッケージは入っていなかった。本体のlibbrotliだけ、チェックサムを確認して修正版に入れ替えた。システム全体の更新や、動いている処理の再起動はしていない。コンテナの中と、同梱されている分は、止める影響が大きいので後に回している。

UEFIの穴（CVE-2026-97631）

サーバーで広く使われるUEFIの土台、TianoCore EDK IIに、16年も放置されていたバッファオーバーフローが公開された。弱いファームウェアでPXE起動と起動時のネットワークが揃うと、OSが立ち上がる前にコードを実行できる余地がある。無条件の遠隔攻撃ではないが、ソースの修正は入ったものの実機は各メーカーのファームウェア更新待ち。ベンダーの基盤を「大丈夫だろう」と信用していたら、16年ものの根本的な穴が残っていた事例。

大手VPSの設定ミス

2026年10月、上場のIT事業者がデスクトップクラウドのVPS約2.7万台規模の侵害を受けたと報じられた。共有の管理者アカウントと古い設定が放置されていた、という話が中心。攻撃者側の数字や身代金の主張には未検証のものがあるが、CEO本人が「社内の専門家が以前から指摘していた」と認めている。さらに同社は「能動的サイバー防御」の適用を政府に緊急要請した。民間企業単独では対応しきれないとして、国に攻撃元の無害化などを求めた形だ。大手だから安心、という前提が崩れた典型例。

組み込み機器のTLS

ルーターやプリンターなどに入っているWebサーバー GoAhead のTLS実装で、失効した証明書を通す穴などが見つかった。修正版は出ているが、末端の機器はメーカーがファームウェアを出さないと直らない。数億台規模で使われている組み込みのTLSですら、基本的な実装に穴があった。ベンダー任せの組み込み機器を「安心」の根拠にするのは危険。

メッセージアプリのE2EE

公開された暗号解析では、LINEのLetter Sealing v2は、悪意のあるサーバーによる再送や並べ替えを利用者に知らせない、という結果だった。スタンプからは平文が漏れる、ともされている。日本で日常的に使われているメッセージアプリのE2EEが、実はサーバー側でかなり好き放題できる設計だった。大手の「E2EEやってます」をそのまま信用しない理由になる。

通信事業者の顧客情報

Sony Network Communicationsが、So-netとplalaの顧客約258万件の不正アクセスを公表した。個人情報に加え、アカウントの認証情報や、少数の銀行口座の記録も含まれると会社が確認している。大手通信事業者ですら、基本的なアクセス管理を守れずに大規模な顧客情報を流出させた。外部の大手サービスを「安心」の根拠にするのは危険。

ブラウザのJavaScriptエンジン

世界で最も使われているブラウザのJavaScriptエンジン（V8）に、特別に作られたHTMLページを開くだけでサンドボックス内で任意のコードを実行できるメモリ破壊の脆弱性が見つかった（CVE-2026-118320、CVSS 8.8）。ダウンロードも拡張機能もいらない。156.0.8078.73より前のバージョンが影響を受け、パッチは出ているが、更新をすぐ適用しないと危ない。Chromiumベースの他のブラウザも、各ベンダーの対応まで影響を受ける可能性がある。大手のブラウザですら「ただページを開くだけ」で危ない穴が出る典型例。

AIのキャッシュ分離ミス

CloudflareのWorkers AI（GLM-5.3）で、他の顧客のリクエストデータが混ざって返される事故が起きた。SGLangのKVキャッシュでテナント分離がうまくいっておらず、長いプロンプトを投げたときに前のユーザーのキャッシュが残っていた。2026年8〜9月に155件のレスポンスが影響を受け、すでに対応済み。サイバーセキュリティを本業にしている企業ですら、自社のAIサービスで基本的な分離をミスった典型例。

画像変換機能のXSS

Cloudflareの画像変換機能（/cdn-cgi/image/）で、複数の小さな穴を連鎖させてCSPをバイパスし、悪意のあるJavaScriptを実行できることが示された。svg-hushの処理やキャッシュの挙動を悪用したもので、Cloudflareをプロキシしているサイトの一部（約24.3%）が影響を受ける可能性がある。サイバーセキュリティを本業にしている企業の機能ですら、画像の最適化でXSSが成立する典型例。

LinuxカーネルのTCP脆弱性

LinuxカーネルのTCP処理に、root権限でコードを実行できる脆弱性（CVE-2026-98432、CVSS 9.8）が見つかった。特別に細工されたパケットで、遠隔から権限昇格が可能になる。Anthropicの研究モデルがエクスプロイトを作成したという報告もあり、パッチは出ているが、適用が遅れると広範囲で危険。カーネルという最も基本的な部分ですら、こういう穴が出る典型例。

Cisco ASA/FTDのゼロデイ

CiscoのASA/FTDファイアウォールに、悪用が確認されているゼロデイ（CVE-2026-76418）が公開された。SSL VPN機器を再起動させる攻撃が可能で、すでに実害が出ている。大手ネットワーク機器ですら、ゼロデイを放置していた典型例。パッチが出るまでVPNを信用できない状態になる。

Drupalの重大RCE

Drupalに重大なリモートコード実行の脆弱性（CVE-2026-108097）が見つかり、約147万件のサイトが該当するとされた。公開後すぐに悪用の可能性が高まった。CMSの基盤ですら、基本的な入力処理でRCEが成立する。更新を怠ると、サイトごと乗っ取られる典型例。

Wasmtimeのサンドボックス脱出

WebAssemblyランタイムのWasmtimeで、サンドボックスを脱出して任意のコードを実行できる脆弱性（CVSS 9.9）が公開された。Wasmを「安全な実行環境」として信用していた前提が崩れる。ランタイムの実装ミスで、隔離が機能しなくなる典型例。

グッドスマイルの決済情報

グッドスマイルカンパニーで、決済カード情報約40.2万件が漏洩した可能性があると報じられた。大手フィギュアメーカーですら、顧客の決済情報を守りきれなかった。外部サービスを「大手だから安心」とする根拠にはならない典型例。

GMOへの攻撃とデータ公開

GMOインターネットへの攻撃で、身代金の期限が切れた後に盗んだデータの公開が始まった。上場の大手IT企業ですら、攻撃を止めきれず、顧客データを守ることに失敗した。さらに国に能動的防御を要請する事態になった。大手だから安全、という前提が完全に崩れた典型例。

GhostActionのサプライチェーン

GhostActionと呼ばれるサプライチェーン攻撃で、GitHubリポジトリ約2.3万件が標的になった。依存関係を通じて悪意のあるコードが注入される。オープンソースを「誰かがチェックしてる」と信用していたら、大規模に汚染されていた典型例。

npmワーム「testmetest」

npmのワーム「testmetest」が、AIツールの設定ファイルを通じて、リポジトリを開いただけで攻撃コードを実行する手口が確認された。開発環境のツールですら、設定ファイル経由で感染する。AI関連のツールを安易に信用すると危ない典型例。

Giteeの認証情報露出

GiteeでクラウドやAI関連の認証情報約2.64万件が露出した。ソースコードホスティングの大手ですら、秘密情報を公開リポジトリに置いてしまう。開発者向けのプラットフォームを「安全」とする根拠にはならない典型例。