Another work as a co-author got accepted to USENIX FAST 2023, this time it's Android (UFS)!

I'm grateful for the team and the opportunity allowing me to work on something that's my passion.

usenix.org/conference/fas…

I believe it'll be published sometime in Feb, 2023.

Found this photo dating back to 2015. I must've had a deathwish.

*sshole is out

if you run sshd on alpine, openwrt or any musl box with password auth on: update now

official writeup: sshhole.com

very cursed

People need to be reminded on how slow microSD cards are and how it does not scale like the rest of the UFS, NVMe interface.

I frankly don't understand why this is blowing up.
I'm just pointing out how slow microSDs are than what people's glorified memories serve.

Bitrates are getting higher. I don't want it for photos/videos either.

I literally compared it with NVMe.
MicroSDE *is* NVMe. I'm not talking about MicroSDE.

After all those years I've been using wireless ADB so often even if I'm not debugging anything,

TIL that PC's adb client sends TCP keepalive at 1 second interval, basically preventing the device to enter proper sleep. 🤦‍♂️

Added ADB_TCP_KEEPALIVE_INTERVAL=0 to my environment.

Yeah this is not fun.

This works surprisingly well.

github.com/arter97/DevChr…

In lieu of flowers, memorial contributions may be made to:
Johns Hopkins Alzheimer’s Disease Research Center Fund   
alzresearch.org/giving/
Alzheimer’s Foundation of America Caregiver Resources    
alzfdn.org/donate/

Photo Credit: Tommy Garcia

I still daily drive a S25 Edge and I don't see myself changing anytime soon. Anything else on the market is a downgrade for me.

제목만봤음에도 웃음을참을수없었음... 너희가 고생이 많다 그래 blog.cloudflare.com/k-isms/

솔직히 왜 아직도 내가 여기 있는지 모르겠다

github.com/gayanvoice/top…

💀

This seems bad.

【PHPセキュリティ問題　時系列順まとめ】

今回のPHPの事案を時系列順にまとめてみました。

----
2024年：PHPの潜在的な脆弱性を発見
外部監査をきっかけにメモリ管理の問題を認識。
しかし、修正方針がまとまらず約2年間対応が停滞。

↓

2026年8月：重大な任意コード実行リスクが判明
Calif（セキュリティ企業）やOpenAIなどが、認証なしで任意コード実行（RCE）が可能な攻撃経路を報告。
PHP開発チームが修正を最優先で進める。

↓

10月21日 0時頃：脆弱性情報が事前流出
修正パッチ公開前に、2件のCVE番号がHacker Newsへ投稿され、←何してんの
それがSNSや掲示板にも拡散。

※この時点では技術的な詳細は含まれていなかった。

↓

10月21日 4時30分：PHP公式が緊急告知
情報流出を受け、パッチ公開予定を22日から21日23時（日本時間）へ前倒し。

↓

10月21日 5時頃：攻撃実証動画が誤公開
Califが攻撃の動作動画を誤って公開。←最高にカス、バカ

すぐに削除されたものの複製が拡散し、攻撃コードの開発が加速。

↓

10月21日：研究者らによる未検証情報が拡散
パッチ公開前に、@ J4ck3LSyN などによって脆弱性の原因や再現方法をSNSなどで発信する動きが発生。←余計なことをするな

↓

10月21日 16時41分：修正済みバイナリを先行公開
Chainguard（セキュリティを専門とする米国企業）が公開予定の約6時間前に修正済みコンテナイメージを配布。←最大最悪のカス、超絶ルール違反

これにより攻撃者によるパッチの差分解析が可能な状態に。

※PHP Foundationもこれを一方的なエンバーゴ違反（事前に取り決めた情報の公開禁止期間を守らないこと）と明言しています。

↓

10月21日：国内外でサービスの緊急停止が相次ぐ
修正パッチがまだ提供されていないため、国内外のWebサービスや政府機関が予防措置として一時停止・メンテナンスを実施。

↓

10月21日 23時頃：PHP公式が修正版を公開
CVE-2026-109618、CVE-2026-109619への修正を含むPHP 8.2〜8.5の更新版を公開。

↓

10月22日：情報流出と管理体制の問題が焦点に
PHP Foundationが、2024年からの修正停滞を組織的な失敗と認める。協調的な脆弱性開示が崩れた経緯も問題視される。

----

【結論】人災。

特に、
⚠️ Califが攻撃の動作動画を誤って公開したこと
⚠️ Chainguardの勝手な判断による修正済みバイナリを含むコンテナイメージの公開
が最悪。終わってます。

Effective Immediately, all organizations using PHP for their systems are advised to be prepared for an update addressing two critical vulnerabilities. PHP is widely used for web applications. These vulnerabilities often provide a direct path to the server's file system or database. If an immediate update is not feasible, it is recommend that organizations take the system offline until it can be fully mitigated. NSA will follow up shortly with more specific guidance.

Geez

I'm curious: How many of you are full-time, paid software engineers and think something like PhotoCraft/AnyPS5 is acceptable and should be continued?

If you're not a professional software engineer (yet) or are just a hobbyist, please skip this one.