2026年7月17日、認証不要でリモートからの任意コード実行（RCE）につながる脆弱性「CVE-2026-63030」「CVE-2026-60137」を修正したWordPress 6.8.6、6.9.5、および 7.0.2 が公開されました（参考：WordPress 7.0.2 Release）。Searchlight Cyber の Adam Kues 氏により報告された脆弱性です。 弊社 GMO Flatt Security リサーチチームの追加検証では、脆弱なバージョンでは標準構成でも、管理者の認証情報等を要さずに、リモートからの任意コード実行が可能である と判断しています。直近発見され…

!この記事は毎週必ず記事がでるテックブログ Loglass Tech Blog Sprint の152週目の記事です！3年間連続達成まで残り7週となりました！こんにちは、ログラスの松岡(@little_hand_s)です。 3行まとめ「レビューして」でも指摘は返ってくる。「敵対的検証して」は課題がある前提で反証を試み、判定と根拠まで返してくるのが違い敵対的検証はClaude Code公式も推奨するパターン。筆者のClaude Code環境では、一言でサブエージェントによる多視点検証が走った指摘は鵜呑みにしない。採否を決めるのは人間。この記事自身も敵対的検証を通して書...

こんにちは、サイオステクノロジー武井です。今回はasync/awaitの動きをOSカーネルのレイヤーから追うことで理解を深めようとしてみます。 1. async/awaitはむずい async/await、なかなかにとっ ...世界一わかりみの深いasync/awaitによる非同期処理 first appeared on SIOS Tech Lab.

私たちのチームでは、品質管理システム（QMS）SaaS「QMSmart」の開発で、約 100 spec / 140 テストケースの E2E テストを、PR ごとに CI で自動実行し、wall-clock 6〜8 分で完走させる運用が回っています。これはユニットテスト（Vitest）の CI とほぼ同じ所要時間です。本記事では、これを実現するために行った並列実行を前提にした E2E テストの構造設計Playwright workers による並列化GitHub Actions Runner の設定とチューニング（Kong 502 の根治まで）flaky テストを作らないため...

はじめに検索画面のUIを決める会議では、「この条件、とりあえずあいまい検索でお願いします」「並び替えはとりあえず全部入れましょう」といったやりとりがよく発生します。その結果、後からバックエンドで検索速度に困る、という経験を何度かしました。私が働いているNCDCでは、PMだけでなくデザイナーやエンジニアも要件定義や基本設計の会議に参加することが多いです。業務システムの画面は、デザイナーさんが作ったFigmaを元にお客さんとUIを決めていくのですが、議論の主体はデザイナーさんで、エンジニアは気になった時だけ発言する、というスタンスが多いかなぁと思います。本記事では、業務システムの検...

はじめに こんにちは、データシステム部MA推薦ブロックの佐藤（@rayuron）です。私たちは、主にZOZOTOWNのメール配信のパーソナライズなど、マーケティングオートメーションに関するレコメンドシステムを開発・運用しています。 以前、テックブログで工数やAI活用による工数削減を計測する仕組みを、タスク管理ツールのGitHub Projectsで構築する方法をご紹介しました。前回の記事が計測の仕組みの作り方を扱ったのに対し、本記事では仕組みを1年間運用して得られた結果とその考察、そして今後の展望をご紹介します。

こんにちは、菊池（akikuchi_rks）です。 私の所属するチームではClaude Codeを開発フローに取り入れており、私自身も設計書のレビューや定型調査の自動化など、さまざまな業務でスキル（Agent Skills）を作成してきました。 スキルを書き続けていて特に感じるのは、「とりあえず動くスキル」と「安定して業務に組み込めるスキル」は別物だということです。同じスキルなのに実行のたびに結果の形が変わる、自分は使えるのにチームメンバーが動かすと品質が落ちる、という悩みに心当たりのある方も多いのではないでしょうか。 私はこの差を分けるのは、AIにどう仕事を任せるかをしっかり設計できているか…

id:kizashi1122 です。 はじめに バイブコーディングが当たり前になってきて、プルリクエストは大量生産できるようになったのに、レビューがボトルネックになっているという話をよく聞きます。一方でレビューも AI に任せるという話や、いやそこは人間がすべきだろという議論もあります。 そもそもビジネスでシステムを提供しているのであれば、何かあった場合はコードを AI が作ってようが人間が作ってようが責任は会社が負うことになります。ここは大前提です。個人的にはまだ「全部 AI にまかせて大丈夫！」というところまではいってないように思います。 レビューとは コード作成の指示を出すのは人間である…

はじめにGitHub Actions からパッケージを公開するとき，こんなワークフローを組んでいないでしょうか？GitHub 上で Release を作成する→ on: release: types: [published] でワークフローが起動する→ npm publish が走る操作する側から見ると，非常に分かりやすいですよね。Release を作れば NPM にも公開される。GitHub Release を起点として，その後ろにパッケージレジストリへの publish をぶら下げる構成です。ところが，2025 年に GitHub の Immutable Rele...

この記事は、CYBOZU SUMMER BLOG FES '26の記事です。 こんにちは。スクラムマスターのToshinari（@10shinari）です⚡️ 本記事では、スプリント最終日になってはじめて間に合わないと気づく、そんな状況を繰り返さないために、スプリント中にチームで計画と現実のズレへ気づき、進め方を適応させていく「再計画」の考え方と、そのためにチームでできることをご紹介します。 スプリント中の「再計画」とは スクラムでは、スプリントプランニングで立てた計画をもとに、チームでスプリントを進めていきます。スプリントゴールを定め、どのPBIに取り組むかを選び、必要な作業に落とし込む。こ…

こんにちは、北海道から freee red team*1に参加している yu です。 読者の皆さんは、freee の全社障害訓練というものをご存知でしょうか。 私自身、4年前の転職の際は障害訓練の記事を見て freee に興味を持つきっかけになったり、入社直後の2022年の障害訓練では手も足も出ず歯痒い思いをしたりと、大変思い入れの深いイベントです。 developers.freee.co.jp 一方で、ここ数年で急速に拡大を続けるこの組織において全社障害訓練を行うハードルは高くなり、思うように実施できない状況が続いていました。 「じゃあ、多少スコープを絞ってでも自分たちでやれば良いのではない…

はじめに クライアントIPの取得方法 Railsはクライアントと直接通信しているわけではない X-Forwarded-Forとは X-Forwarded-For は複数のIPが入る じゃあ X-Forwarded-For をそのまま読めばいいのか？ 一度ブラウザを経由すると信頼できなくなる Railsのrequest.remote_ipは何をしているのか まとめ はじめに こんにちは。PLEXでPLEX JOBの開発を行っている田中です。 普段はRailsでの開発をメインに行っています。 認証や監査に関わる機能では、クライアントのIP アドレスを保存することがあります。 例えば、 監査ログ 不…

こんにちは。freee請求書エンジニアのshunです。 24卒未経験でfreeeに入社し、freee請求書プロダクトの開発を行っています。 この記事では、先日行ったAPIのスロークエリの改善について紹介します。 APIのエンドポイントで発生していた約5分のスロークエリを、原因調査からMySQLオプティマイザの挙動の読み解きまで行い、20秒まで短縮しました。 「SQL単体では正しそうなのに実行計画が壊れる」「オプティマイザが期待と違うインデックスを選んでしまう」というのは、地味ですがよく遭遇するテーマだと思います。最近はMCP経由でAIエージェントがAPIを叩くようにもなってきており、APIのパ…

この記事は Dress Code Advent Calendar 2026/07 の 12本目の記事です。こんにちは、Dress Code株式会社 でプロダクトエンジニアをやっているなたこんです。データベース周りで個人的にハマったことを紹介します。更新したはずのデータが読み取り時に古いまま返ってきたとき、何をどの順で疑えばよいかを、実際の事例に沿って整理します。 TL;DR「テーブルから DELETE したはずの行が、SELECT で返り続ける」という事象に遭遇した。確認できた状況は次の通り。該当クエリが主キー被覆だったため、実行計画が index-...

連載企画「卒業生訪問インタビュー」 第21回のゲストは、株式会社サンリオで活躍中の id:r_kurain さんこと、倉井龍太郎さんです。はてなCTOのid:motemenがお話を伺いました。

はじめに この記事は SRE 連載です。 前月の記事ははてなブログに Amazon CloudFront SaaS Manager を導入した話でした。 前月に引き続き id:hagihala です。 はてなのとある Perl で実装された大規模サービス (以下「対象サービス」) は、Amazon ECS Fargate 上で運用しています。コスト最適化を検討するにあたり「Graviton (arm64) に移行すればコストが下がるのでは」という仮説のもと検討を始めたのですが、対象サービスのワークロードで実際に速くなるのか、信頼できるデータが必要でした。また昨年9月に Amazon ECS M…

ブラウザSSO前提だった社内レポートの認可システムに、OAuth 2.0 Device Authorization Grant（RFC 8628）を実装。SSO基盤には手を入れず認可システム自身をAuthorization Serverにすることで、追加インフラゼロ・既存認可ロジック無改修でCLIやAIエージェントからの安全なアクセスを実現した実装を紹介します。

こんにちは。 サービスプラットフォーム部 SRE チームの谷合です。普段はメガネ集めと、キャンプギア収集、毎日のビールを楽しみながら生きています。 2026年7月10日〜11日開催のSRE NEXT 2026 に登壇してきました。 「Inclusive SRE」のテーマの通り、様々なロールの方や経験者の方が多く参加しておりました。Devサイドの方との共同発表や、デザインの視点からCUJを考えるといったセッションがあり、「Inclusive SRE」を体現した発表だったなと感銘を受けました。 弊社のおすすめセッションは以下の記事にまとめていますので、本記事と併せてご覧ください。 tech.and…

2026年7月14日、AsyncAPI エコシステムの複数の npm パッケージに悪性コードが注入されました。一部は週間数百万ダウンロードされる、広く利用されているパッケージです。 注入された悪性コードは、ワーム型マルウェアです。require() や import された際、開発者のもつ認証情報を盗み出す他、他の npm/PyPI/crates.io に悪性パッケージを公開する自己拡散能力を持っています。 本記事は、弊社が Takumi Guard の解析基盤をベースに観測＆分析した情報を踏まえ、日本のコミュニティに向けて、影響と対策を中心に整理するものです。 TL;DR - 対応指針 はじ…

教育×AIを代表する３学会（AIED・EDM・L@S）が合同で開催した学術イベントFestival of Learning 2026に参加し、EDMにおいてshort paperが１件採択され、登壇させていただきました。現地ソウルでのイベントの様子や教育AIの現状を知りたい方は是非

この記事は、CYBOZU SUMMER BLOG FES '26の記事です。 こんにちは、クラウド基盤本部の三村です。 サイボウズでは、オンプレミスのKubernetes基盤「Neco」でサービスを運用しています。 この記事では、IRQ Affinityの設定によってCPU PinningされたPodの動作が不安定になった事象について紹介します。 概要 Necoの基盤では、データセンター上にあるサーバーを用いてKubernetesクラスタを構築しています。 (詳細については以前の記事をご覧ください。) KubernetesノードのOSにはFlatcar Container Linux(以下Fl…

こんにちは、松島です。元々はバックエンドエンジニアで、今はDeSCヘルスケアでデータアナリスト兼アナリティクスエンジニアをしています。「LLM×データ×分析×エンジニアリング」の交差点あたりが好きで、気づけばいつもそのあたりで手を動かしています。普段は業務でClaude Codeを触りまくっています。使っていると、~/.claude の下にはいろいろなものが溜まっていきます。CLAUDE.mdに書き足したルール、Claudeが勝手に覚えてくれたメモリ、日々のセッションログ、いつか作ったスキル。ここまでは、使っている人ならみんな知っている話だと思います。

お待たせいたしました！本日2026年7月16日（木）、Mackerelのログ機能をオープンβ版として公開しました。 この機能でどのような課題を解こうとしているのかは、以前の事前告知記事にまとめています。 mackerel.io では、ご利用条件や機能の使い方、ログの送信方法、そして正式リリースに向けた今後の予定を順にご案内します。 目次 β版の対象とご利用条件 ご利用可能なアカウント β期間中の料金 利用開始までの手順 β期間中の制約 ログ機能でできること サービスからログを絞り込んで探す 1. サービスの選択 2. 検索したいメッセージの入力 3. ログレベルの選択 構造化ログを画面から絞り…

前提これは、コードレビューの絶対的な正解や、チーム全体に強制すべきルールを示す記事ではありません。私がエンジニアとしてどうあるべきだと考えているか。他人の時間をどれだけ重く扱うべきだと考えているか。それを言語化した、個人の職業倫理です。本文に出てくる「お前」には、まず私自身が含まれていることをご認識おきください。自分だけを例外にして、他人を殴るための記事ではありません。私はこうありたいし、一人前を名乗る自分にはこの水準を要求する前提としてご高覧ください。 一人前のエンジニアなら、PRでコメントをもらうな。コードの不備、考慮漏れ、テスト不足、調査不足、説明不足。AIに聞け...

WSL 2.9.3で公開プレビューになったwslc.exeを使うと、Docker Desktopをインストールせずに、Windows上でLinuxコンテナをビルド・実行できます。本記事では、hello-worldの実行、nginxのポート公開、Containerfileからのイメージビルドまでを、実際にWindows 11で動かして確かめます。Dockerを普段使っているWindows開発者向けに、docker runからwslc runへ最短で移れるよう、実行したコマンドと出力、そしてDocker Desktopとの違いをまとめます。公開プレビューのため仕様は変わることがあります（G...

はじめに 株式会社タイミーのプラットフォームエンジニアリングチームに所属している徳富(@yannKazu1)です。 突然ですが、皆さんの組織では「3ヶ月前のログを見たいんですが……」という依頼が来たとき、どう対応していますか？ タイミーではDatadogをログ基盤として利用しています。Datadogは日常的なログ検索やアラート、ダッシュボードなどに使える非常に強力なツールです。一方で、ログの保存にはそれなりのコストがかかります。そのため弊社でも、コストとのバランスを考えてログの種類ごとに14日〜長くても45日程度の保持期間を設定していました。 普段の運用ではこれで十分です。ただ問題となるのは、…

こんにちは、アプリケーションエンジニアの id:walnuts1018 です。 この記事は、昨年リニューアルされたはてなブログ Android アプリにまつわる開発体験や技術詳細を解説する連載 Recomposing Hatena Blog for Android の第三弾です。前回の記事は id:jj1uzh さんの はてなブログAndroidアプリのエディタ実装 でした。エディタ周りがうまく抽象化されていたおかげで初心者の私でも実装に取り組みやすく、とても助かった覚えがあります。 今回は、購読中のブログ記事画面において、はてなスターをアプリでつけられるようにした機能の実装について紹介します…

!この記事は、CYBOZU SUMMER BLOG FES '26の記事です。 はじめにさて、今年も夏がやってきましたね。みなさん、夏休みの過ごし方はもう決まりましたか？私は「今年こそ積んでた技術書を消化するぞ」とひそかに誓っているのですが、どうせ気づいたらYouTubeで虎とライオンが喧嘩する動画を3時間見ている——そんな未来がうっすら見えています。そんなどうでもいい余談は置いといて、普段ReactでWebフロントを書いているみなさん、App StoreやGoogle Playからアプリをダウンロードするたびに「これ、もしかしてReact Native（以降、RN）でサク...

Blacksmith 氏が runs-on を打ち直す様子（イメージ） こんにちは、プロダクト開発本部でエンジニアをしている秋山です。 昨今のプロダクト開発では AI は切っても切れない存在となりました。kickflow でも掲げているバリューの一つに AI 1st があり、日々 Claude Code や Codex をフル活用してプロダクト開発をしています。 昨今の AI モデルの高性能化、コーディング AI のチームナレッジ集積による業務効率化に加えて、開発メンバーの増員（ありがたいことにここ1年で倍の人数になりました！）による稼働量増加などの要因のかけ合わせで、リポジトリのプルリクエス…

こんにちは。FinOpsチームTech Leadの吉澤です。 アンドパッドは、7/10(金)〜11(土)開催のSRE NEXT 2026にLOGOスポンサーとして協賛しました*1。現地にはSRE/DBRE/CRE/FinOpsチームの幅広いメンバーが参加しました。 この記事では、現地参加したメンバーによるおすすめセッションをご紹介します。アーカイブ動画もこれから公開されると思いますので、これからSRE NEXT 2026の内容を追う方は、ぜひご参考ください。 アンドパッドのメンバーによる発表 おすすめセッション SREチーム 千明のおすすめ Terraform共通モジュールをチーム横断で“変え…

!この記事は、CYBOZU SUMMER BLOG FES '26の記事です。 はじめにこんにちは。サイボウズ株式会社 生産性向上チームの星にゃーん（@takoeight0821）です。生産性向上チームでは、社内向けに GitHub Actions のセルフホストランナーを提供しています。ランナーは AWS 上の EC2 インスタンス群で構成されています。github-aws-runners/terraform-aws-github-runner（導入記事）を使い、ジョブの実行数に応じてオートスケールしています。このオートスケールによって、ジョブが増えるほどインスタンス数や...

異なる場所から、同じゴールへ ――まずは、皆さんのご経歴と現在のお仕事をお聞かせください。 ――それぞれのプロダクトについて、概要を教えてください。 ――それぞれ、どんな思いでこのプロダクトに取り組んでいるのでしょうか。 […]

画面ごとにバラバラだった staleTime 設定を、データの性質で選ぶ4プリセットに集約した はじめにこのブログは Dress Code Advent Calendar 2026/07 の 10本目の記事です。こんにちは。ぷーじ（@yug1224）です。約7,500ファイル規模の TypeScript フロントエンドで、新しい画面を作るたびに「この画面の staleTime は何分にするのが正解なんだっけ？」と手が止まっていました。この曖昧さを消したくて、TanStack Query のキャッシュ方針を整理しました。この記事では、QUERY_PRESETS に集約した設計...

こんにちは！アルダグラムでQAエンジニアをしている千葉です。私たちのQAチームでは、テスト分析からテスト設計までのQAプロセスをClaude Codeのskill（スキル）として整備し、チームで共同運用しています。その中心が、これらのQAプロセスを丸ごと任せられるAIエージェント「qa-orchestrator」です。仕組みと効果は、弊社QAメンバーが記事にしていますのでそちらもご参考ください。https://zenn.dev/aldagram_tech/articles/4aea4b13671ae3今ではqa-orchestratorの存在を前提に、固定制インプロセスQAから...

SREホールディングス株式会社でエンジニアをしているサティヤです。 はじめにフロントエンド開発では、Figmaなどで作成されたデザインをもとに、Reactで画面を実装することがよくあります。一見すると「デザイン通りに作るだけ」に見えますが、実際に実装してみると確認すべきポイントは意外と多いです。例えば、以下のような観点があります。既存コンポーネントを使えるか余白や文字サイズはデザインと合っているかloading、error、disabledなど状態ごとの表示はあるか長い文字列や空データの場合にレイアウトが崩れないか実装後にレビューしやすい状態になっているかこの記...

はじめにFusicのレオナです。今回は、Google Researchの時系列基盤モデルTimesFMについて、原論文を読みながら仕組みを整理してみました。 TimesFMとはTimesFMは、Google Researchが開発した時系列予測用の基盤モデルです。時系列とは、売上、電力需要、気温のように、時間の順番に沿って記録された数値です。例えば、過去7日間の1時間ごとの電力需要から、次の24時間を予測する問題を考えます。このとき、モデルへ与える過去7日間をContext(履歴)、予測したい次の24時間をForecast Horizon(予測期間)と呼びます。用語...

AIに仕事を任せたあと、人間は何を見て正しさを判断するのか。Ai WorkforceのPdMが、Agent Inboxという画面の設計を通じて「AIと人間の役割分担」を考えた話です。

はじめにSOMPO Digital Labの眞方です。先日、ICML 2026 Workshopに参加したレポートを公開しました。https://zenn.dev/sompojapan_dx/articles/87563d78a6370cその中で予告したとおり、今回はその中で参加したMechanistic Interpretability Workshopの主題であった Interpretability（解釈可能性）について、分野の全体像がつかめる概要記事（前編）を書きます。想定読者はAI/MLエンジニア・ソフトウェアエンジニアの方です。LLMをAPI経由で使ったことがあり...