2026年4月6日～2026年4月12日に読んだ中で気になったニュースとメモ書きです。

[OpenSSL4.0でSSLv3削除]

こちらの記事から。

2014年のPOODLE攻撃を受けて2015年のRFC 7568でSSLv3が非推奨となって10年以上が経ち、2026年4月にリリースされるOpenSSL 4.0で、SSLv3のコードが削除されるとのこと。

「OpenSSL」なのに……次期バージョン「OpenSSL 4.0」で「SSL 3.0」対応が完全削除／実装から27年、「SSL」のコードベースがなくなる https://t.co/hUf57ii1LF pic.twitter.com/9i9eEGmssk
— 窓の杜 (@madonomori) 2026年4月8日

ラーメン(麺無し)みたいになっとるがな https://t.co/uf4pp9Ntaj
— 吉川拓真 (@Y_hozihozinext) 2026年4月9日

forest.watch.impress.co.jp

RFC 7568については過去にこんなやり取りもあったみたい。

『Rename OpenSSL to OpenTLS To Comply with RFC7568』https://t.co/O443bwK25f

OpenSSLをOpenTLSに変える話し、定期的に出ては閉じられてる
— ゆき (@flano_yuki) 2026年4月9日

github.com

パッケージ名の問題もあるので、難しい...。

https://t.co/a0USgpugJf
ここらは名前変えるとハッカーが旧名称のパッケージ名を占領してマルウェア混入バージョン展開してくるので永遠にこのままでお願いしたい
— いもいもくん (@ma_anago) 2026年4月9日

[その他のニュース]

▼Cloudflareも2029年PQC目標

こちらのツイートから。

I have been working on PQC for a decade now, and always thought of and planned for a 2035+ Q-day. Changing deadlines is rough: but that is what you gotta do when things change. https://t.co/xQnJvKI43v
— Bas Westerbaan (@bwesterb) 2026年4月7日

リンク先はこちら。

blog.cloudflare.com

先々週のGoogleに続き、Cloudflareも2029年中の対応を目指すと宣言した。2026年中にML-DSAのサポート、2027年にMerkle Tree証明書のサポートが予定されているとのこと。

知らなかったけど、PQ HSTSというHTTPレベルでダウングレード攻撃を防ぐ仕組み（Require-Post-Quantumヘッダーを利用）も予定されているらしい。

www.chromium.org

同じようたタイミングで、こういった論文も出ている。楕円曲線を破るのにはまだまだコストはかかりそうだが...。

https://t.co/6SH3X4jTIZ estimates 2^29 qubits running 1/3 hour to break an ECC key. https://t.co/N0ER3RhUfd estimates 6 watts per qubit. 2^30 watt-hours costs about 0.1 million USD in electricity + cost of building hardware. More analysis can change numbers in either direction.
— Daniel J. Bernstein (@hashbreaker) 2026年4月10日

I took the 2026 numbers but managed to botch the copying: my 29 should have been 19! Yes, this cascades into the watt-hour calculation. Thanks for the correction; I'll issue a revised calculation momentarily.
— Daniel J. Bernstein (@hashbreaker) 2026年4月11日

▼TP-Link製ルーターへのDNSハイジャック攻撃

こちらのツイートから。

【自分用メモ】ロシアのサイバー攻撃グループ「APT28」が、古いルーターの脆弱性を悪用したDNSハイジャック攻撃。米英機関が情報公開 - INTERNET Watch https://t.co/GuCwgGeqH1
— Yasuhiro Morishita (@OrangeMorishita) 2026年4月10日

ここにもつないでおこう。https://t.co/KfaDcnNX94
— Yasuhiro Morishita (@OrangeMorishita) 2026年4月10日

TLSを検証しない実装が刺されたのかと思ったが、ユーザが自ら攻撃を許可しただけじゃないか……。
公式の案内も、パスキーとMFAが同列に語られていてズレてる
SOHO router compromise leads to DNS hijacking and adversary-in-the-middle attacks | Microsoft Security Bloghttps://t.co/RrwSGW0I99 https://t.co/MtGnKPPPC8
— しばにゃん (@shibanyan_1) 2026年4月8日

リンク先はこちら。

internet.watch.impress.co.jp

警告出してもやはりユーザーに無視されがち、というのはプロフェッショナルTLS＆PKI 改題第2版でも指摘されている。難しい...。

▼OpenSSLの脆弱性（CVE-2026-31790など）

こちらのツイートから。

暗号ライブラリOpenSSLに複数の脆弱性が見つかり、未初期化メモリの漏えいにつながる問題が修正された。特にRSA処理の不備により、攻撃者に機密データが渡る可能性があり、広範なシステムへの影響が懸念されている。早急な更新が求められる。…
— yousukezan (@yousukezan) 2026年4月8日

リンク先はこちら。

cybersecuritynews.com

OpenSSL 3.0以降限定かつRSA KEM関連ということなので、TLS1.3でRSA証明書を使っているようなパターンでは問題はなさそう。