CyberFix Note
セキュアコーディング
SAML 2.0によるSSOの仕組みと設計の落とし穴。アサーション検証から署名鍵の保護まで
SAML 2.0のSSOは、IdPが署名したアサーションをSPが検証することで成り立ちます。SP起点とIdP起点の流れ、RedirectとPOSTのバインディング、AudienceやInResponseToの検証、XML Signature Wrappingの成立条件、Golden SAMLに備える署名鍵の保護までを、一次情報をもとに設計とレビューの手順として整理します。
記事一覧（5ページ目）
防御・ハードニング
温湿度と漏水と扉の開閉を見張るサーバールーム環境監視センサーの選び方
小規模オフィスの機器室やラック1本の環境を守るために、温湿度、漏水、扉の開閉、停電という監視対象ごとにセンサーを選ぶ観点を整理します。可用性と物理アクセスの証跡という位置づけ、通知経路の設計、センサー自体の保護、しきい値と点検の決め方までまとめます。
インシデント対応・フォレンジック
インシデント対応計画が本当に動くかを会議室で確かめる机上演習の進め方
インシデント対応計画は書いただけでは動きません。NIST SP 800-84とJPCERT/CCの演習プログラム、CISAのCTEPをもとに、机上演習の目的の決め方、参加者とシナリオの作り方、当日の運営、報告から計画の改訂までを手順で示します。
脆弱性・CVE解説
オンプレミスExchange ServerのCVE-2026-62911。CVSS 8.0でも優先度が上がる理由と更新後に残る確認作業
Microsoft Exchange Serverの認証バイパスCVE-2026-62911(CVSS 8.0、CWE-294)を一次情報で整理します。2026年8月更新の対象版と修正ビルド、Exploitation Less Likelyでも優先度が上がる材料、Extended Protectionの状態確認とMRSProxyの露出点検、Exchange 2016と2019のESU期限までを実務目線で解説します。
セキュアコーディング
ファジング入門。脆弱性を出荷前に自分で見つけるテストの仕組みと始め方
カバレッジガイド型ファジングの機構を一次情報で整理します。libFuzzerとGoのgo test -fuzzで動くfuzz targetの書き方、AddressSanitizerとの併用理由、シードコーパスと辞書、CIへの組み込みと時間配分、クラッシュのトリアージまでを開発者向けにまとめます。
防御・ハードニング
改ざん防止シールの選び方。開封の痕跡を残して機器と媒体の封緘を管理する
サーバーラックや持ち出しPC、郵送する記録媒体の封緘に使う改ざん防止シールの選び方を整理します。開封痕の方式や貼付面の条件、連番と台帳の運用を軸に、ISO 17712の適用範囲やNISTの公的資料で確認できる範囲だけをもとにまとめます。
脆弱性・CVE解説
KestraのCVE-2026-49869。末尾一致で認証を判定したフィルタが認証なしのRCEになる
ワークフロー基盤KestraのCVE-2026-49869(CVSS 10.0)を一次情報で整理します。認証フィルタがパスをendsWithで判定していたため、末尾がconfigsになる任意のAPIパスで認証が迂回されます。KEV追加の事実、修正版1.0.45と1.3.21、外部公開の確認、侵害有無の見方をまとめます。
防御・ハードニング
常時録画で消耗する前提で選ぶ高耐久microSDカードの選び方
防犯カメラとドライブレコーダーの記録メディアは、上書きの多さと電源断を前提に選びます。NANDが消耗する仕組み、TBWや録画時間といった公表指標の読み方、SDアソシエーションの表示の意味、盗難と廃棄への備えまでを公式資料と公的資料で整理します。
防御・ハードニング
セキュリティ機能から見るオフィス複合機とプリンターの選び方
オフィスの複合機とプリンターは、文書そのものが通り、内部ストレージに残り、ネットワークに常時つながる機器です。国際標準に基づく調達要件、初期パスワードと不要プロトコルの扱い、ストレージ暗号化と認証プリント、廃棄とリース返却までを、経済産業省とIPA、NIST、各社の公式資料で整理します。
セキュアコーディング
安全な乱数の作り方。CSPRNGでトークンや一時URLを予測されない値にする
Math.randomやmt_randのような一般用途の擬似乱数がなぜトークン生成の脆弱性になるのかを内部状態の仕組みから説明し、CSPRNGでの生成、必要なビット数の見積もり、言語別の正しい書き方、生成後のハッシュ保管と定数時間比較までをMITREとOWASPとNISTと各言語の公式ドキュメントで確認しながら整理します。
脆弱性・CVE解説
Sangoma SwitchvoxのCVE-2026-9586。認証不要の/paがPhoneIPをSQLへ連結する機構と悪用の実態
VoIP PBXのSwitchvoxに見つかった認証不要SQLインジェクションCVE-2026-9586を一次情報で整理します。/paエンドポイントの機構、8.4.0.2での修正、KEV収録と3日の是正期限、侵害確認と遮断の手順までまとめます。
ガバナンス・コンプライアンス
脆弱性開示ポリシー(VDP)と受付窓口の作り方。報告を受け取る側の体制を最小構成から整える
自社の製品やサービスの脆弱性を外部から報告されたとき、受け取る側に窓口と手順がないと、報告は担当部署へ届きにくくなります。日本の情報セキュリティ早期警戒パートナーシップ、ISO/IEC 29147と30111、RFC 9116のsecurity.txtを一次情報で整理し、脆弱性開示ポリシーの項目と最小構成の立ち上げ手順をまとめます。