PHPのパッチ、再開したMuseのリンク、エージェントの点数は、どれもあなたの仕事を終わらせていない
PHPはパッチのあとにオフにしたい設定を1行追加、MuseのリンクのタイトルはまだDNSに残り、Self-Directionはエージェントに失敗から学ばせます。各ニュースに今週の作業を1つ添えました。
今週の3つのニュースには同じ場面があります。誰かが「終わった」と宣言し、後片付けは利用者に残るというものです。PHPは2つの深刻な脆弱性に対するパッチを出しましたが、10月23日にはPHPチームがさらに、オフにしておくとよい設定を1行追加しました。Metaは、Museのリンク共有をいったん止め、10月22日に新しいアドレスで再開しましたが、あなたが付けた会話のタイトルは、Clarocによれば、ドメイン名の公開記録にまだ残っています。そして1本の研究プレプリントは、エージェント（自分で何段階もツールを呼び出すAIソフトウェア）が失敗から学ぶと述べていますが、その数字は著者自身が3つの公開テストセットで報告したものです。
PHP：更新しても、もう1つオフにしたい機能がある
10月21日、PHPチームは、ログインなしでコードをリモート実行できる2つの脆弱性についての勧告を公開し、修正版の8.5.12、8.4.27、8.3.36、8.2.35を出しました。いちばん簡単な確認方法は、ウェブサイトの面倒を見ている人に動いているPHPのバージョンを聞き、この4つの番号と比べることです。
10月23日、同じphp.netのページに、PHPチームは補足の告知を載せました。次の定期バグ修正リリースまでsession.upload_progress.enabled=0（セッション中にファイルアップロードの進捗を報告する機能をオフにする設定）にするよう勧めています。起こりにくいとする、リモートでのコード実行の経路をふさぐためです。チームによると、このバグが現れるのは、アプリケーションが設定でsession.serialize_handlerをphp_binaryまたはphp_serializeにしたうえで、session_start()を呼ぶ前にini_set()で実行時にphpへ切り替え、しかも進捗の機能がオンのままのときだけです。実行時にこのハンドラーを変えないアプリケーションは、そのままで構いません。PHPチームは、CVE-2026-115560の勧告の全文を次のリリースで公開する予定です。10月21日の勧告を受けてすでにこの設定をオフにした人は、そのままにしておけばよく、追加の作業は要りません。
今週やること：ウェブサイトを他の人が運用しているなら、2つ聞いてください。1つ目は、修正された4つのバージョンのどれかに上げたか。2つ目は、アプリケーションのコードのどこかでini_setを呼び、session.serialize_handlerを変えていないか。変えているなら、次のリリースまでsession.upload_progressをオフにします。サーバーを自分で管理しているなら、ソースコードと設定からserialize_handlerを検索すれば、この珍しいグループに当てはまるかどうか分かります。
Muse：共有は再開されたが、会話のタイトルが消えたわけではない
サイバーセキュリティ会社のClarocは、2026年9月8日に公開されたMetaのAIアシスタントMuseについての調査を発表しました。Museは共有ページのアドレスを会話のタイトルから作っており、そのアドレスがpassive DNS（コンピューターが調べたドメイン名を記録して残したデータ）に入り込みました。Clarocは、そのようなアドレスを6,800件以上見つけたと述べています。10月20日の更新では、MetaがArs Technicaに機能をいったん止めると話したこと、そしてClarocが再確認した40件のリンクがもう開かなかったことが書かれています。同じくClarocによれば、タイトルを含むドメイン名はpassive DNSの履歴にまだ残っています。
2日後の10月22日、MetaのDavid SingletonはXに「The underlying issue is now fixed, and sharing is back on」（根本の問題は修正され、共有は再開された）と書きました。古い共有リンクにはそれぞれ新しいアドレスが付き、古いリンクを開くと、送り主に新しいリンクを頼むメッセージが表示されます。The Vergeが同じ日に報じ、問題は会話の共有ではなく、artifact（Museの中で作る文書や画像）のアドレスにあったというMetaの説明も伝えています。
これで変わることが1つあります。以前に送ったリンクについて、「古いリンクがもう開かない」ことで終わりにしないでください。顧客名や給与の数字のようなタイトルを付けたMuseの会話を共有したことがあるなら、そのタイトルは漏れたものとして扱い、会社の規則に沿って対応します。見直しの手順は、送ったAIアシスタントの共有リンクを見直す5つの手順（MuseがDNSに会話のタイトルを残した件を受けて）（10月23日）にすでにあり、6,800件という数字もそこで触れています。それ以降に新しいのは、Museが共有を再開したため、リンクを送り直す必要がある人は新しいアドレスを取らなければならないという点です。使っているすべてのAIアシスタントで、これからは共有ボタンを押す前に当たり障りのないタイトルを付けてください。Clarocは、多くのAIアシスタントも公開リンクで共有するが、タイトルをアドレスに入れるのはMuse固有の点だと書いています。この記事の出典は、Museがベトナムで使えるかどうかには触れていません。
Self-Direction：「教訓を覚える」エージェント、ただし点数は著者自身の報告
10月22日、ある著者グループがSelf-DirectionについてのプレプリントをarXiv（査読を受ける前の研究原稿を置く場所）に投稿しました。エージェントが作業を間違えると、自分でそのやり方を見直し、教訓を1つ引き出して、adapter（アダプター）に書き込みます。adapterは、元のモデルに足す小さなパラメータの層で、元のモデルのパラメータのおよそ0.02%にあたります。元のモデルの重みは変わりません。adapterはライブラリとして保存され、エージェントは似た作業のときにそこから選んで使い回します。
著者らは、オープンなQwenモデルをもとにしたエージェントを、GAIA（オープンな調査）、Claw-Eval（ツールの利用）、Terminal-Bench 2.1（コマンドライン操作）の3つのテストセットで測りました。成功率は8.9〜17.0ポイント上がり、最先端のシステムと並ぶと報告し、エージェントが同じ失敗を繰り返す回数が減り、自己修正の信頼性がほぼ2倍になったと述べています。これは著者自身が報告した結果で、独立した再確認はまだ誰もしていません。
働く人にとって、まだインストールするものはありません。要約には、今すぐ使える製品やコードがあるとは書かれていません。使えるのは1つの問いです。ベンダーが自社のエージェントは「失敗から学ぶ」と言うなら、その教訓がどこに保存され、どのくらいの期間残り、確認や削除の方法があるかを聞いてください。自分でエージェントを作っているなら、繰り返す失敗を一覧に書き写してください。それは、どんな「教え方」の前後でも比べられる、あなた自身のテストセットになります。
今週やる3つのこと
-
ウェブサイトを運用している人に聞く：修正されたPHPのバージョンに上げたか、
session.upload_progressをオフにする必要があるか。 -
Museのリンクを共有したことがあるなら、会話のタイトルはすでに公開されたものとして扱う。これからは、共有するすべてのリンクに当たり障りのないタイトルを付ける。
-
Self-Directionは新しい考え方として読む。自分の作業でテストできたときにだけ、やり方を変える。
出典
-
PHP.net「Informational advisory: Session upload progress」（2026年10月23日） — オフにする設定の1行とCVE-2026-115560についてのPHPチームの告知。
-
php-src、CVE-2026-109619の勧告GHSA-6wmf-4rv5-p3rp — リモートでのコード実行の脆弱性と修正版についての、10月21日のPHPチームの勧告。
-
Claroc Research Team「GhostShares: Muse passive DNS」（2026年10月20日更新） — サイバーセキュリティ会社の調査。MetaがArs Technicaに話した内容はClarocが伝えたもの。
-
Kansalほか「Don’t Forget What You Just Learned: Self-Directed Repair Turns Agent Mistakes Into Lasting Lessons」arXiv:2610.31846（2026年10月22日） — 査読を受けていないプレプリント。
-
David Singleton（Meta）「An update on @Muse shared artifacts」（2026年10月22日） — 共有の再開と新しいアドレスについてのMetaの説明。
-
The Verge「Meta turns Muse sharing back on」（2026年10月22日） — Museが共有を再開したことを伝える記事。