Previewing RSS of セキュリティホール memo

》 ノルウェーで運用されている中国製電動バスにリモートアクセス機能が隠されていることが発見される (gigazine, 11/7)

》 Mozillaのサポートページを和訳してきた日本語コミュニティが解散、Mozillaが勝手に機械翻訳ボットでページを上書きし始めたため (gigazine, 11/7)

》 12歳タイ少女働かせた疑い マッサージ店経営者逮捕 人身取引か (NHK, 11/6)。めちゃくちゃだが、これが日本の現状。

• ＜独自＞「学校に通いたい」12歳タイ人少女働かせた疑いでマッサージ店摘発　人身取引か (産経, 11/6 05:00)

• 12歳タイ人少女、母親が日本に置き去りか　「人身取引」増える被害 (朝日, 11/6 05:10)。産経の独自は 10 分程度でしかなかったということでしょうか?

• 人身取引の12歳、33日間で60人の客　「いやだ、やりたくない」 (朝日, 11/6 12:00)。「約60人」。

• 潜在化する人身取引被害、加害者は身近にいるかも　「需要の根絶を」 (朝日, 11/6 7:00)

  　SNSで誰とでもつながることができ、居場所のない子どもや女性が集まる東京・歌舞伎町の「トー横」のような場所がある現状では、性的搾取目的の人身取引の被害に巻き込まれる可能性は常にある。
  　人身取引は心身に重大な被害をもたらす。日本には、人身取引を防止し、加害者を取り締まると同時に、被害者を保護するための包括的な法律がない。政府が対策に乗り出してから20年以上経つのに、被害者に対する中長期的な支援が体系的に確立されていないのも問題だ。
  　加害者も被害者も特別な人たちではない。特に加害者になりうる「客」の多くは身近にいる「普通の人」だということを知ってほしい。そして、今の子どもたちを未来の加害者や被害者にしないために、学校教育の中で具体的な事例を集めて教え、親にも啓発をしてほしい。人身取引が身近で起きているという意識を育てることが大切だ。

• 12歳少女が性的マッサージ店で61人にサービス…報酬はタイに帰国した母が　増加する「人身取引」の実態 (東京, 11/6 20:11)

》 メタ、2024年売上高の1割が不正広告か　ロイター報道 (日経, 11/7)。1割というと少なく聞こえるが、

米メタは2024年の年間売上高の1割にあたる約160億ドル（約2兆4500億円）が、詐欺や販売禁止品などの不正広告によるものだと予測していた

　不正広告で約2.5兆円儲けると予想していたという話。 とてつもないな。

　元ねたはこちらの模様: Meta is earning a fortune on a deluge of fraudulent ads, documents show (Reuters, 11/6)。DeepL 訳:

不正行為の多くは、メタ社の内部警告システムによってフラグが立てられるほど、疑わしい行動をとるマーケティング担当者によるものだった。しかし、同社が広告主を禁止するのは、自動システムがその広告主が詐欺を行っている可能性が少なくとも95％以上あると予測した場合だけであることが、文書で明らかになっている。 文書によれば、メタ社は、広告主が詐欺師である可能性が高いと判断した場合、ペナルティーとして高い広告料金を請求する。これは、疑わしい広告主が広告を出稿するのを思いとどまらせるためだという。

　その方が儲かるからだよね。 クソが。

文書によれば、Metaはまた、疑わしい広告主に対する措置によって生じる収益損失の限度についても制限を設けている。 2月の文書によれば、2025年上半期において、疑わしい広告主を審査するチームは、メタ社の総収入の0.15％以上の損失を被る可能性のある行動をとることを禁じられていた。これは、メタ社が2025年上半期に生み出した900億ドルのうち、約1億3500万ドルに相当する。

　うへえ。クソすぎる。

》 Xにて“凍結祭り”のワードがトレンド入り。Xのアカウントが「偽装行為」を理由に突如凍結されたという報告が多数上がる。「フォロワーがごっそり減った」「まったく身に覚えがない」との声も (電ファミニコゲーマー, 11/6)

NVIDIA アプリ

• 「NVIDIA アプリ」にパス検索の問題 ～コード実行や権限昇格につながる恐れ (窓の杜, 2025.11.06)。NVIDIA アプリ 11.0.5.260 以降で修正されている。

　Chrome 142.0.7444.134/.135 (Windows) 142.0.7444.135 (Mac) 142.0.7444.134 (Linux) 公開。5 件のセキュリティ修正を含む。関連:

• Chrome for Android (Google, 2025.11.05)。 Chrome 142 (142.0.7444.138) for Android。

》 20兆円の資産に見向きもしなかった…突然姿を消した｢ビットコイン生みの親｣を大真面目に追ってわかったこと (President Online, 11/5)

　この要約でもわかるように、サトシの物語はイエス・キリストによく似ている。
　ホワイトペーパーはビットコイナー（熱狂的なビットコイン支持者）にとってのバイブル（聖書）であり、その創造主は何人かの弟子とともに布教に努めたが、ほどなくして身を隠してしまう。3年後に一瞬だけ“復活”したものの、それ以降はいっさいの痕跡を残していない。そして（すくなくともビットコイナーにとっては）、サトシはイエスと同じく人類を新たな世界へと導いたのだ。
　ジャーナリストのベンジャミン・ウォレスは、「革命的な技術を考案し、それを世に送り出しながら名声を求めなかった人物というのは、近代科学史において前例がなかった」という。

》 DLsite提供元がSNS「Pommu」リリース　すでにR-18コンテンツの投稿が続々 (ITmedia, 11/6)。R-18 ok ok な SNS だそうですよ。

特徴は、DLsiteと同様のコンプライアンスポリシーを採用している点と、R-18コンテンツ表示の可否をワンクリックで切り替えられる点だ。

》 日本郵便、クマ出没で一部業務を見合わせの可能性　出没地域では17時以降の二輪車配達中止も (ITmedia, 11/6)

》 トランプ関税、最高裁が疑問呈す　年内にも判決 (Wall Street Journal, 11/6)

》 中国鉱山企業がアフリカで環境汚染、被害者に圧力 (Wall Street Journal, 11/6)

》 米国市場が動揺、このまま暴落か (Wall Street Journal, 11/6)

》 たった3銘柄に大きく振り回される高市トレードのまやかし…日経平均暴落で一時5万円割れ (日刊ゲンダイ, 11/6)。「AI・半導体関連の値がさ株のソフトバンクグループ、アドバンテスト、東京エレクトロンの3銘柄だけで実に1000円弱も押し下げた」。

》 UPS2976 便 (MD-11F 貨物機) 墜落事故方面

• At least 12 killed by UPS plane crash in Louisville, including a child (wlky, 随時更新)

• UPS plane explodes in front of stunned trucker (news.com.au / YouTube, 11/6)。墜落時をとらえたドラレコ映像。 左翼を下にして墜落している。

• Statement about UPS Flight 2976 (Boeing, 11/4)。MD-11 は (今は) ボーイングの機体。

• What We Know: UPS MD-11 Accident (flyingmag.com, 11/5)

• One of UPS Jet’s Engines Detached From Plane in Louisville, Official Says (NYTimes, 11/5)

》 Italy’s Tank-Killer Centauro B1 Rolls Into Frontlines in Ukraine With Air Assault Forces (united24 media, 11/2)。 何両いるのかは不明。

》 BitLocker回復画面が表示される不具合。2025年10月15日以降のWindows Updateに起因。一部のWindows11 25H2 / 24H2、Windows10 22H2環境で発生 (ニッチなPCゲーマーの環境構築Z, 11/6)。対象 PC は KIR で対応される模様。

》 MS、Windows Updateの更新プログラム名簡略化を一部撤回。反発を受けて。新しい名称には年月が復活 (ニッチなPCゲーマーの環境構築Z, 11/4)。朝令暮改。

》 Arti 1.7.0 released: Onion service restricted discovery, experimental HTTP proxy, relay development, and more. (Tor project, 11/3)。Rust による次世代 Tor 実装だそうです。

》 New Release: Tor Browser 15.0 (Tor project, 10/28)。iida さん情報ありがとうございます。

Apple 方面 (iOS / iPadOS, tvOS, watchOS, visionOS, macOS, Safari, Xcode) (2025.11.05)

　iOS / iPadOS 18.7.2 出ました。

• About the security content of iOS 18.7.2 and iPadOS 18.7.2 (Apple, 2025.11.05)

》 フィリー造船所での原子力潜水艦建造…時間かかる見込み (ハンギョレ, 10/31)。韓国原潜保有 ok ok の件、 建造は韓国ではなく米国で行うことになるようで。

　ただし、実際に韓国企業による原潜建造が実現するまでには、少なからぬ難関が予想される。ハンファ・フィリー造船所は330メートル×45メートル規模のドライドック（建造スペース）を2つ保有しているが、原潜の建造には密閉式ドックなどの高度な設備が必要になるため、直ちに潜水艦を建造するのは不可能だという。設計や溶接などの高度な作業の遂行や小型原子炉の設置などのためには、追加の投資とインフラ改良が避けられないわけだ。
　ドックなどの設備が整ったとしても、潜水艦の建造そのものも長い時間がかかる。従来のディーゼル潜水艦（3600トン級「蒋英実（チャン・ヨンシル）」）も、設計から進水までには7～8年ほどかかった。原潜が建造されるフィリー造船所の設備や規模が蒋英実艦を建造したハンファオーシャン巨済（コジェ）事業所に比べて劣悪で小さいことを考慮すると、建造はさらに長引く見通しだ。

　米英のノウハウが入る予定の SSN-AUKUS とは違って、 韓国原潜はあくまで韓国独自技術ということみたい。 高濃縮ウランだけ米国産と。

　関連:

• 核燃料だけを要請したのに「潜水艦は米国で作れ」…建造場所から神経を繰り広げる韓米 (ハンギョレ, 10/31)

• 李大統領の公約になかった原子力潜水艦、なぜトランプ大統領との談判で登場？ (ハンギョレ, 10/31)

• 【独自】韓米合意のファクトシートに原子力潜水艦も含まれる見通し (ハンギョレ, 11/3)

• 「水深の浅い朝鮮半島水域に適切か」…慎重論の中でも急速に進められる韓国の原潜 (ハンギョレ, 11/3)

• ニューヨーク・タイムズ「原潜で韓国のバランス外交は終わったとの評価」 (ハンギョレ, 11/4)

• 韓国軍「原子力潜水艦、2030年代半ばに進水可能」…李大統領に報告 (中央日報, 11/5)。楽観的すぎるのでは。

》 巡航ミサイルに「日本製エンジン」搭載へ!? その“現実味” ウクライナも熱望の破壊力 (乗りものニュース, 11/2)。タウルス・システムズと川重で共同開発?!

》 情報漏えいは“宇宙からも”──9万円の市販アンテナで衛星通信を傍受　海外チームが報告　個人情報や軍事・企業データなど取得 (ITmedia, 11/4)

》 日本経済新聞社で利用のSlackに不正ログイン、情報流出の疑い (Internet Watch, 11/4)

》 「Windows Update」の各パッチの名前が大幅簡素化、Microsoftが方針を見直す (窓の杜, 11/4)。現行のプレビュー patch も新方式で表示されている。

》 NY市長選、34歳マムダニ氏が当選確実　イスラム教徒で初　米報道 (朝日, 11/5)。おめでとうございます。

　関連: Live Updates: Mamdani Wins N.Y.C. Mayor’s Race After Highest Turnout in Decades (NYTimes, 11/4)

》 UPS2976 便 (MD-11F 貨物機) 墜落事故方面

• 航空機事故に関するUPSの声明 (UPS, 11/4)

• At least 7 dead after catastrophic plane crash at Louisville airport (Wlky, 11/4)。生放送中。離陸時および墜落現場の映像あり。 離陸時に既に左エンジンから発火しているように見える。 V1 越えてしまっていたのかなあ。

• UPS MD-11 crashes departing Louisville (FlightRadar24, 11/4)

• UPS Cargo Plane Crashes in Louisville, Killing at Least 7 (NYTimes, 11/4)

• UPS Airlines Flight 2976 (Wikipedia)

• 米ケンタッキー州でＵＰＳ機が離陸後墜落、3人死亡・11人負傷と州知事 (ロイター, 11/5)

• ツイート。

  New footage about UPS cargo plane crash near Louisville, Kentucky airport showing the fire during take-off. pic.twitter.com/p93xAw6qa4

  — aircraftmaintenancengineer (@airmainengineer) November 4, 2025

　そういえば Firefox 144 系列が出ていたんでしたね。忘れてました。

　Firefox 144.0.2 にはセキュリティ修正が 1 件含まれています。

• CVE-2025-12380: Use-after-free in WebGPU internals triggered from a compromised child process (Mozilla, 2025.10.28)

　0-day ではない模様です。

• 全体

  • Apple security releases (Apple)

• iOS / iPadOS

  • About the security content of iOS 26.1 and iPadOS 26.1 (Apple, 2025.11.03)

  iOS / iPadOS 18 系列の修正は (まだ?) リリースされていないようです。

• tvOS

  • About the security content of tvOS 26.1 (Apple, 2025.11.03)

• watchOS

  • About the security content of watchOS 26.1 (Apple, 2025.11.03)

• visionOS

  • About the security content of visionOS 26.1 (Apple, 2025.11.03)

• macOS

  • About the security content of macOS Tahoe 26.1 (Apple, 2025.11.03)

  • About the security content of macOS Sequoia 15.7.2 (Apple, 2025.11.03)

  • About the security content of macOS Sonoma 14.8.2 (Apple, 2025.11.03)

• Safari

  • About the security content of Safari 26.1 (Apple, 2025.11.03)

• Xcode

  • About the security content of Xcode 26.1 (Apple, 2025.11.03)。 「GNU」というは GNU 開発ツール全般ということなんだろうか。 lldb はデバッガー。

2025.11.06 追記:

　iOS / iPadOS 18.7.2 出ました。

• About the security content of iOS 18.7.2 and iPadOS 18.7.2 (Apple, 2025.11.05)

》 メタの巨額AI投資、噴出する疑問 (Wall Street Journal, 10/31)。こういうのをバブルと言うのでは。 関連:

• メタ、4.6兆円起債に応募19兆円　高利回りに殺到するAIマネー (日経, 11/1)

• AI投資競う米ハイテク大手、「バブル懸念」も (Wall Street Journal, 10/31)

• メタやマイクロソフト、AI投資ラッシュで投資家の忍耐試す (ブルームバーグ, 10/30)

• AIバブル崩壊は研究開発の現場にどのように影響するか (日経 xTECH, 10/31)

  　結論を述べると、AIバブル崩壊は必ず起こる。問題はいつ起こるかだ。研究開発マネジャーはその「いつ」に備えておかなければならない。

》 定番ウイルス対策ソフト「ウイルスバスター クラウド」がARM64に対応 (窓の杜, 10/31)。今になってようやく?!

》 TPM-WMIエラーがイベントビューアーに記録される理由。Windows11やWindows10などで発生。イベントID: 1801、このエラーはいったい (ニッチなPCゲーマーの環境構築Z, 11/2)

結論を言えば、上記のエラーが出ても気にする必要はありません。セキュアブート証明書のアップデートはWindows Update経由でいずれ自動的に配信されるため、一般ユーザーは放っておいて問題ありません。

》 ネクスペリア方面

• 主に止まっているのはホンダ?

  • 半導体不足、自動車メーカーの生産停止始まる (Wall Street Journal, 10/29)。「27日、オンタリオ州アリストンにある組み立て工場での生産台数を半減させた」。

  • ネクスペリアの半導体出荷停止問題、ホンダがメキシコの生産を停止　日産も影響調査と在庫確保へ (日刊自動車新聞 / Yahoo, 10/29)。「10月28日からメキシコでの四輪車生産を停止」。

  • ホンダ、半導体供給問題により米オハイオ州の工場で生産を縮小へ (marklines, 10/31)

• トヨタ陣営は余裕あり?

  • 訂正-トヨタ社長、ネクスペリア問題の動向注視　「すぐ欠品にはならず」 (ロイター, 10/31)

  • デンソー、ネクスペリア半導体問題　ほぼ影響なし　他社製品へ代替え可能 (日刊自動車新聞, 10/31)

• 終了のお知らせ?

  • 自動車向け半導体の輸出解禁、中国が発表 (Wall Street Journal, 11/2)

  • 中国はレアアース規制を一部停止、米半導体企業に対する調査終了 (ブルームバーグ, 11/2)

  • Nexperia輸出再開、米中「一時休戦」の裏側：自動車業界を揺るがした半導体供給網の秘めた脆弱性 (XenoSpectrum, 11/2)

    輸出は再開される見込みだが、根本的な問題が解決したわけでは決してない。Nexperiaを巡る問題には、依然として多くの火種が残されている。
    
    第一に、Nexperiaのオランダ本社は、報復措置への対抗として中国の東莞工場へのウェハー（半導体の基板材料）の供給を停止したと報じられている。 たとえ中国政府が輸出を許可しても、製造に必要な原材料が届かなければ生産は維持できない。社内の対立が解消されなければ、サプライチェーンの完全な正常化は難しいだろう。
    
    第二に、親会社であるWingtechが米国のエンティティリストに掲載されているという根本的な事実は変わっていない。米国が今回合意した「50%ルール」の適用延期はあくまで1年間の時限措置であり、この間に米中関係が再び悪化すれば、Nexperiaは再び規制の対象となりかねない。

2025 年 10 月のセキュリティ更新プログラム (月例) (2025.10.17)

　IIS に接続できない (localhost に接続できない、HTTP/2.0 で接続できない) 件、プレビュー更新プログラム KB5067036 に対応が含まれているそうで。

• 「IIS」「localhost」に接続できない問題、プレビューパッチ「KB5067036」で解決 (窓の杜, 2025.10.31)

• 2025 年 10 月 28 日 — KB5067036 (OS ビルド 26200.7019 および 26100.7019) プレビュー (Microsoft, 2025.10.28)

　KB5067036 は タスクマネージャーが完全に終了しない とか スタートメニューの挙動が変とか 気色悪い不具合があるので安易なインストールはおすすめできない感じなんだよなあ。