31/32
LGモニター起動32回中McAfee広告が表示された回数
10年
TP-Link KasaカメラのGPS座標漏洩が放置された期間
100万行
H-E-Bが基幹システムで本番稼働させるHaskellコード規模
🔥 Top Stories
Windowsには、新しいハードウェアを接続すると対応する純正アプリを自動配信する「Device Setup Manager」という仕組みがある。本来はドライバやユーティリティを手間なく届ける便利機能だが、これがアドウェア配信の抜け道として悪用されている実態が明らかになった。LG製ゲーミングモニター（27GP83Bや27GN800など、2020年発売の旧モデルにもファームウェア更新経由で波及するケースを含む）をWindows PCに接続すると、ユーザーの同意なしに「LG Monitor App Installer」がMicrosoft Store経由で自動インストールされる。このアプリは起動するたびにMcAfeeの広告ポップアップを表示し、検証環境では連続32回の起動のうち31回でMcAfee広告が表示され、残り1回もLG自社ユーティリティの宣伝だったと報告されている。McAfeeを一度もインストールしていない端末でも発生する点が特に問題視されている。原因は、WindowsのデバイスメタデータとMicrosoft Storeのアプリ登録を紐付ける仕組みの審査が緩く、広告表示アプリの混入をブロックできていないことにある。同種の問題はLGに限らず、DellがAlienware対応モニター接続時に同様の経路でAlienware Command Centerを配信しているケースも確認されており、業界全体の構造的な課題であることがうかがえる。回避にはgpedit.mscで「デバイスメタデータに関連付けられたアプリケーションの自動ダウンロードを防止する」ポリシーを有効にする方法がある。
🧠 広告表示アプリがMicrosoft Storeの正規配信網に乗ってしまう時点で、これはLG一社のモラルの問題ではなくWindows Update自体の設計上の穴だと見るべきだ。ただし「31/32回」という数字は今回検証された1台の実測値であり、母数を広げた統計的な発生率までは確認されていない。とはいえDellの事例まで並べれば単発のバグというより業界の慣行に近く、gpedit.mscでの回避策はあくまで対症療法に過ぎない——Microsoftがデバイスメタデータ連携アプリの審査基準を見直さない限り、次の便乗ベンダーが現れるのは時間の問題だろう。
- 対象は27GP83B・27GN800など、2020年発売モデルもファームウェア更新経由で波及
- 連続32回の起動中31回でMcAfee広告ポップアップを表示、McAfee未インストール端末でも発生
- 回避策はgpedit.mscで「デバイスメタデータ関連アプリの自動ダウンロード防止」ポリシーを有効化、DellもAlienware Command Centerで同様の配信経路を使用
💡 Windows機に周辺機器を接続する運用をしている開発者・IT管理者は、グループポリシーでデバイスメタデータ経由の自動アプリ配信を無効化しておかないと、意図せずアドウェアが混入する可能性がある。
Tom's Hardware
⏱ 5 min read
2026-07-18
▲ 907
TP-Link Kasa Spot EC71室内カメラに、ポート9999への未認証UDPパケット1本（{"system":{"get_sysinfo":{}}}）だけで、所有者宅の正確なGPS座標・ハードウェアID・機種名・ファームウェアバージョンが漏洩する脆弱性CVE-2026-9770・CVE-2026-13230が見つかった。データは単純なXOR暗号のみで保護されており、Wiresharkがネイティブに平文としてデコードできる。同種の問題はTP-Linkの独自プロトコル仕様として2016年から存在し、2020年のKC100、2024年のEC71でも同じ挙動が確認されるなど10年以上放置されてきた。2026年1月5日の開示から約半年の協調的開示プロセスを経て、ファームウェア2.4.1でGPS座標をレスポンスから完全に除去する形で修正された。
- ポート9999への未認証UDPパケット1本でGPS座標が漏洩、暗号化は単純なXORのみでWiresharkが平文デコード
- 2016年から少なくとも10年間放置、ファームウェア2.4.1（2026年半ば）で修正、ハードコードされたRSA秘密鍵やMD5パスワード保存も別途判明
GitHub
⏱ 4 min read
2026-07-18
▲ 212
テキサス州最大のスーパーマーケットチェーンH-E-Bは、435店舗以上を支える基幹サプライチェーンシステムの刷新にHaskellを採用し、2018年の実験的導入から8年を経て複数チームが合計100万行近い本番コードを稼働させている。強力な型システムによりnullポインタ例外や型の取り違えといったバグの一部を実行時に発生しなくし、大規模なリファクタリングも型検査に支えられて安全に行えるという。一方でメモリリーク（スペースリーク）への対処にはHaskell特有の知見が必要で、GADTsや型族などの高度な機能が新規参加者の学習コストを押し上げる副作用もあると報告されている。
- 2018年の実験導入から8年、複数チームが合計「100万行近い」Haskellコードを本番稼働させ435店舗超のサプライチェーンを支える
- 型システムでnullポインタ例外・型の取り違えを排除する一方、スペースリークへの対処とGADTs等高度機能の学習コストが課題
Haskell.org Blog
⏱ 4 min read
2026-07-17
⚡ Dev & Engineering
プログレッシブJPEGは画像データを低周波（DC成分）から高周波へと複数スキャンに分けて符号化する。この仕組みを使い、複数のJPEG画像をスキャン境界のマーカーを除去して連結すると、ブラウザが読み込みながら表示内容を切り替える「動画」を1ファイルで再現できる。標準的なプログレッシブJPEGは9スキャンが上限だが、各スキャンを最低解像度（1/16）のDC成分のみに絞ることでゴースト表示を避けつつ、主要ブラウザが許容する上限の約90スキャン＝90コマまで詰め込めることを発見した。
- 各スキャンをDC成分のみ（1/16解像度）に絞りAC精緻化によるゴーストを回避、jpegtranのスキャン設定ファイルで生成
- 主要ブラウザは約90スキャンまで許容し、標準のプログレッシブJPEG（9スキャン上限）の約10倍のコマ数を1ファイルに埋め込める
maurycyz.com
⏱ 4 min read
2026-07-17
▲ 635
Djangoサイトを約1万行規模のSQLiteで運用する中で得た知見を共有する記事。ANALYZEコマンドを実行しクエリプランナに統計情報を渡しただけで、4,000行に対する全文検索クエリが5秒から0.05秒へと約100倍高速化した。SQLiteの単一ライター制約により、5秒のタイムアウトを超えるDELETE処理が同時実行ワーカーをクラッシュさせる問題が発生したため、削除処理を小さなバッチに分割して解決している。バックアップはRestic（VACUUM INTOで圧縮後S3へ）とLitestream（400時間保持の増分バックアップ）の2方式を併用する。
- ANALYZE実行だけで4,000行への全文検索クエリが5秒→0.05秒に短縮（約100倍）
- 単一ライター制約で5秒超のDELETEが同時ワーカーをクラッシュさせるためバッチ分割で回避、バックアップはRestic（VACUUM INTO）とLitestream（400時間保持）を併用
jvns.ca
⏱ 5 min read
2026-07-17
使っていないMacを、Claude Codeが画面操作（computer use）まで含めて完全にコントロールできる常時稼働機に仕立てるガイド。`--dangerously-skip-permissions`フラグをメインの作業機で使うことに伴うリスクを避けるため、個人データを一切持たない専用機に隔離する発想が核となっている。手順はApple IDなしのローカルアカウント作成、SSHのパスワードなし接続設定、クリップボードのSSH越し同期、tmuxの永続セッション上でのcomputer use有効化まで及び、必要に応じてTailscaleでの外出先アクセスやClaude in Chrome拡張との連携も追加できる。
- Apple IDなしの新規ローカルアカウントを作成し個人データを一切持たない専用機として隔離、SSHパスワードなし認証を設定
- tmuxの永続セッション上でcomputer useを有効化、Tailscale・Claude in Chrome拡張・スマホからのリモート制御にも対応
ykdojo.github.io
⏱ 6 min read
2026-07-18
▲ 148
仮想マシン分離で知られるセキュリティ特化OS「Qubes OS」について、2011年から2025年までに公開された109件のセキュリティ速報（QSB）とXenセキュリティ勧告464件（うちQubesに影響するもの113件）を統計的に分析した論文。change-point解析やポアソン回帰などの手法を用いた結果、109件中87件（79.8%）がQubes本体のロジックではなくXenやCPU/マイクロアーキテクチャなど上流コンポーネント由来であることが判明した。速報の発生率は2015年第1四半期を境に変化し、2018年以降は統計的に横ばいだが初期より高い水準を維持している。
- 109件のセキュリティ速報のうち87件（79.8%）がXenやCPUなど上流コンポーネント由来、Qubes本体ロジックの欠陥は少数派
- Xenセキュリティ勧告464件中113件がQubesに影響、速報発生率は2015年Q1を境に変化し2018年以降は統計的に横ばい
arXiv
⏱ 5 min read
2026-07-18
▲ 74
Playwrightを初期設定のままGitHub Actions上で走らせると、ブラウザバイナリのダウンロード（300〜500MB、42秒）と直列実行がボトルネックになる。`~/.cache/ms-playwright`をロックファイルのハッシュ値でキャッシュし、キャッシュヒット時は`playwright install-deps`のみ実行、さらに`fullyParallel: true`と`workers: "50%"`設定でCIのコア数に応じた並列実行にすることで、40テスト・3分18秒だったベースラインを5分以内（1ランナー）に収める。PR時はChromiumのみに絞り、フルブラウザ実行はmainマージ時に限定するとさらに実行数を3分の1に削減できる。
- ブラウザバイナリキャッシュ＋`workers: "50%"`で40テスト・3分18秒のベースラインを5分以内（1ランナー）に短縮
- PRではChromiumのみ実行しmainマージ時のみ3ブラウザ全実行、テスト数200件・10分超まではシャーディング不要
Endform Blog
⏱ 4 min read
2026-07-17
🔖 111