2026年9月10日にCISAのKEVカタログへ追加されたMikroTik RouterOSの2件を、MikroTik公式アドバイザリとCERT Polskaの公表で整理します。修正版6.49.21、7.23.4、7.24.2の選び方、SSHを開けない回避策、更新後のFlagged確認と不審な設定の点検手順まで解説します。
2026年9月9日にCISAのKEVカタログへ追加されたCVE-2025-25249を一次情報で整理します。2025年採番のCVEが1年半後にKEV入りした時系列、CVSSが7.4と8.1と9.8に割れる理由、影響範囲の読み方、KEVとEPSSを併用した優先度づけ、侵害確認の手順を解説します。
ドメイン管理者やroot、クラウドのルートアカウントを常時保有させない運用の設計手順を、保管と払い出し、ジャストインタイム昇格、セッション記録という仕組みの面から整理します。Windows、Linux、クラウドごとの具体策と、製品を買わない現実解も示します。
端末やディスクの中身を後から証拠として説明できる形で保全するための機材選定ガイドです。ハードウェア型ライトブロッカーとソフトウェア型の機構差、NIST CFTTの要件と検証結果の読み方、イメージングとハッシュ、付随する備品、法令と社内手続きまでを整理します。
Plesk for LinuxのBackup Managerで、リストア時のシンボリックリンク競合により一顧客がrootへ至るCVE-2026-68488と、署名のないヘッダのパストラバーサルCVE-2026-68487を一次情報で整理します。CVSS 9.9の読み方、機構、修正版18.0.80.7と18.0.79.11への更新手順、緩和と事後確認を解説します。
ReDoS(CWE-1333)を、バックトラック型エンジンが失敗時に経路を総当たりして指数時間や多項式時間に陥る機構から整理します。危険なパターンの見分け方、CloudflareとStack Overflowの障害例、Go/RE2/Rust/.NET/Java/Python/Ruby/Node.jsごとの対策、静的検出ツール、入力長の上限やタイムアウトなど設計面の守りとコードレビューの観点まで解説します。
2.4GHz独自プロトコルの受信機で起きるキー入力の盗聴(KeySniffer)と入力注入(MouseJack)、Logitech Unifyingの一連の脆弱性(CVE-2019-13052から13055)、Bluetooth LEのSecurity Mode 1 Level 4とペアリング方式、Logi BoltとMicrosoftのAES暗号化の公式記載、有線に戻す判断、受信機のファームウェア更新、企業での持ち込み機器の統制と共有オフィスでの注意までを一次情報で確認できた範囲で整理します。
オンプレミスADが侵入後の横展開と権限昇格の中心になる理由を整理し、Enterprise Access ModelとAD DS Tierモデル、Protected Usersと認証ポリシーサイロ、Windows LAPS、krbtgtとDCSync、監査ログ、フォレストリカバリまでを一次情報から体系立てて解説します。
cPanel/WHMのEmailTrack機能で見つかったSQLインジェクション由来のroot権限リモートコード実行CVE-2026-67401を一次情報で整理します。CVSS 9.9とScope:Changedが共用ホスティングで意味するもの、修正版のビルド番号、更新ティアの確認手順、悪用状況の現在地と優先度づけを解説します。
悪意あるリポジトリを開いただけで、CLI型のAIコーディングエージェントが攻撃者の指定したコマンドを実行してしまうGitSpawnについて、core.fsmonitorなどのgit設定がコマンド実行シンクになる機構、影響製品と修正状況、開発者と情報システム担当が取れる防御策を一次情報で整理します。
Citrixが2026年8月19日にCTX696939で公表したCVE-2026-19490を整理します。Gateway(SSL VPN、ICA Proxy、CVPN、RDP Proxy)またはAAA仮想サーバ構成で成立する認証回避の影響条件がビルド番号で切り替わる点、CISA KEV収載で設定された3日の是正期限、パッチ後にやることを一次情報の範囲でまとめます。
インシデント調査や脅威ハンティング、IDS/NDR導入でパケットをどこでどう取るかを決めるための選定ガイドです。スイッチのポートミラーリングとパッシブ光TAP、アグリゲーションTAP、インラインTAPの機構差、選定軸、クラウドでの代替手段、保存容量の見積り、法的な注意までを整理します。
オフィスや自宅で交わす会話そのものが漏えい経路になるという前提で、サウンドマスキング装置と吸音パネル、Web会議用の防音ブースを選ぶ手順を整理します。遮音と吸音とマスキングの役割の違い、ISO 22955やASTM E2638などの指標、音量を上げすぎると逆効果になる仕組みまで、一次情報で確認できた範囲でまとめます。
検知アラートを待つ運用から、仮説を立てて手元のログを能動的に探しに行く運用へ移るための実務記事です。MITREのTTPベースハンティング、ATT&CKのDetection Strategy、CISAとASD's ACSCほかの共同ガイダンス、JPCERT/CCのログ分析資料をもとに、仮説の立て方から探索の実行、検知ルールへの昇格までを整理します。
サーバ室に行かずに再起動やBIOS操作を行うためのIP-KVM(KVM over IP)とスマートPDUを、管理経路そのものが侵入口になるという観点から選ぶ手順を整理します。BMCやiDRACとの違い、認証と暗号化、管理VLANと踏み台、ファームウェア更新、監査証跡、電源リブートの権限まで一次情報で確認できた範囲でまとめます。
Kubernetesクラスタを運用する層の守り方を、RBACの権限設計、Pod Security StandardsとPod Security Admission、NetworkPolicyによる既定拒否、Secretsの保存時暗号化、kubeletとコントロールプレーンの設定、監査ログとアドミッション制御まで、公式ドキュメントの記述に沿って整理します。
2026年9月の月例更新で修正されたWindows Update Stackの権限昇格ゼロデイCVE-2026-81963を一次情報で整理します。リンク追跡(CWE-59)で権限昇格が成立する機構、同時にKEV入りしたCVE-2026-85880、影響製品とKB、是正期限、検知と適用の優先順位づけを解説します。
中小企業とSOHOが複数台のアクセスポイントをまとめて運用するとき、何を基準に機種を選ぶかを整理します。WPA3の動作モード、802.1XとRADIUSによる利用者ごとの認証、SSIDとVLANの分離、コントローラ管理とライセンス費用、PoE給電と更新体制まで、一次情報で確認できた範囲でまとめます。
Chrome 152.0.7977.82で修正されたV8の型混同CVE-2026-85046を一次情報で整理します。sortの最適化で要素種別が入れ替わる機構、サンドボックスの内側で何ができるのか、Edgeなど派生ブラウザへの波及、更新の回し方までをまとめます。
Adobe CommerceとMagentoの0day、StyleSmuggler(CVE-2026-75650)を整理します。CVSS10.0と影響バージョン、テンプレートのstylesプロパティと決済失敗メールの二段構成、VULN-39341の適用、暗号鍵と資格情報のローテーション、侵害調査の手順までまとめます。
SAML 2.0のSSOは、IdPが署名したアサーションをSPが検証することで成り立ちます。SP起点とIdP起点の流れ、RedirectとPOSTのバインディング、AudienceやInResponseToの検証、XML Signature Wrappingの成立条件、Golden SAMLに備える署名鍵の保護までを、一次情報をもとに設計とレビューの手順として整理します。
小規模オフィスの機器室やラック1本の環境を守るために、温湿度、漏水、扉の開閉、停電という監視対象ごとにセンサーを選ぶ観点を整理します。可用性と物理アクセスの証跡という位置づけ、通知経路の設計、センサー自体の保護、しきい値と点検の決め方までまとめます。
インシデント対応計画は書いただけでは動きません。NIST SP 800-84とJPCERT/CCの演習プログラム、CISAのCTEPをもとに、机上演習の目的の決め方、参加者とシナリオの作り方、当日の運営、報告から計画の改訂までを手順で示します。
Microsoft Exchange Serverの認証バイパスCVE-2026-62911(CVSS 8.0、CWE-294)を一次情報で整理します。2026年8月更新の対象版と修正ビルド、Exploitation Less Likelyでも優先度が上がる材料、Extended Protectionの状態確認とMRSProxyの露出点検、Exchange 2016と2019のESU期限までを実務目線で解説します。
カバレッジガイド型ファジングの機構を一次情報で整理します。libFuzzerとGoのgo test -fuzzで動くfuzz targetの書き方、AddressSanitizerとの併用理由、シードコーパスと辞書、CIへの組み込みと時間配分、クラッシュのトリアージまでを開発者向けにまとめます。
サーバーラックや持ち出しPC、郵送する記録媒体の封緘に使う改ざん防止シールの選び方を整理します。開封痕の方式や貼付面の条件、連番と台帳の運用を軸に、ISO 17712の適用範囲やNISTの公的資料で確認できる範囲だけをもとにまとめます。
ワークフロー基盤KestraのCVE-2026-49869(CVSS 10.0)を一次情報で整理します。認証フィルタがパスをendsWithで判定していたため、末尾がconfigsになる任意のAPIパスで認証が迂回されます。KEV追加の事実、修正版1.0.45と1.3.21、外部公開の確認、侵害有無の見方をまとめます。
オフィスの複合機とプリンターは、文書そのものが通り、内部ストレージに残り、ネットワークに常時つながる機器です。国際標準に基づく調達要件、初期パスワードと不要プロトコルの扱い、ストレージ暗号化と認証プリント、廃棄とリース返却までを、経済産業省とIPA、NIST、各社の公式資料で整理します。
Math.randomやmt_randのような一般用途の擬似乱数がなぜトークン生成の脆弱性になるのかを内部状態の仕組みから説明し、CSPRNGでの生成、必要なビット数の見積もり、言語別の正しい書き方、生成後のハッシュ保管と定数時間比較までをMITREとOWASPとNISTと各言語の公式ドキュメントで確認しながら整理します。
VoIP PBXのSwitchvoxに見つかった認証不要SQLインジェクションCVE-2026-9586を一次情報で整理します。/paエンドポイントの機構、8.4.0.2での修正、KEV収録と3日の是正期限、侵害確認と遮断の手順までまとめます。
AIゲートウェイLiteLLMの認証不備CVE-2026-59822を一次情報で整理します。MCP Streamable HTTPで失敗したキー検証が空のUserAPIKeyAuth()へ置き換わる機構、1.84.0での修正、CISA KEV収録と是正期限、暫定策と更新後の資格情報ローテーションまでまとめます。
iOSとAndroidのアプリは実行環境が利用者の端末にあり、バイナリも通信も解析されます。OWASP MASVSの8カテゴリとMASTGを軸に、保存と通信と認証とプラットフォーム連携の設計を、開発者が着手順に使える形で整理します。
macOSのScreen Sharing(screensharingd)の認証不備CVE-2026-65400を一次情報で整理します。Appleの修正版はmacOS Tahoe 26.6.1とSequoia 15.7.9とSonoma 14.8.9、CISAは2026年8月18日にKEVへ収録しました。5900/tcpの露出確認、画面共有の停止、MDMでの一括管理、ログでの侵害確認までを実務手順としてまとめます。
Webhookはセッションも認証情報も持たない公開URLに、外部から状態変更の通知が届く仕組みです。HMAC署名の検証、生ボディの扱い、タイムスタンプによるリプレイ対策、テナント認可、冪等性、鍵のローテーション、送信側のSSRF対策を一次情報で整理します。
コード署名が保証するのは配布元の身元と改ざんの有無だけで、中身の安全性ではありません。ハッシュと証明書とタイムスタンプの機構、CA/Browser Forumが求める鍵保護要件、HSMやマネージド署名への移行、鍵漏えい時の失効と再配布の手順を一次情報で整理します。
JFrog Artifactoryの認証不備CVE-2026-82329を一次情報で整理します。既定構成では未認証の攻撃者が管理者権限を得られる可能性があり、CVSSは9.8、CISAのKEVにも収録されました。修正版の版番号の読み方、暫定策、トークン失効、監査ログで侵害を確かめる手順をまとめます。
小規模オフィスやサーバー室の出入口を、IC認証と記録付きの電気錠で守るための選び方を整理します。認証方式とカードの中身の違い、停電時の挙動、避難との両立、記録の保存件数と保存期間、共連れの限界までを公的資料とメーカー公式で確認します。
防犯カメラの録画に使うHDDは、24時間365日の連続書き込みという用途に合わせて選びます。ワークロードレートの読み方、保存日数からの容量の逆算、CMRとSMRの確認、RAIDとエラー回復制御、S.M.A.R.T.による予兆監視、保存期間と個人情報保護法の関係を、各社の公式データシートと公的資料で整理します。
ログインを多要素認証で固めても、パスワード再設定と復旧の経路が弱ければアカウントはそちらから奪われます。OWASPのForgot Password Cheat SheetとNIST SP 800-63B-4(2025年7月)、ASVS 5.0.0、CWE-640、IPA「安全なウェブサイトの作り方」をもとに、トークンの生成と保管、ユーザー列挙を防ぐ応答、再設定後のセッション処理、復旧経路の選び方、ヘルプデスク経由の統制、実装とテストまで整理します。
Starletteの通称BadHost(CVE-2026-48710)を一次情報で整理します。Hostヘッダを検証せずにURLを再構築していたため、request.url.pathがルーティングの実パスと食い違い、パス前方一致の認可ミドルウェアが迂回されます。KEV追加の事実、影響範囲、1.0.1の修正内容、暫定回避策、ログの見方をまとめます。
アカウントは作る作業だけが催促され、権限を変える作業と止める作業は誰にも急かされません。IPAの内部不正防止ガイドラインと個人情報保護委員会のガイドライン、NIST SP 800-53とCIS Controls v8.1をもとに、入社と異動と退職にIDの状態を同期させる設計、退職時の順序、棚卸しの回し方、人ではないIDと委託先IDの扱いまで整理します。
PaperCut NG/MFで悪用が確認された2件のゼロデイを一次情報で整理します。認証検証の完了前にバックエンド処理が走るCVE-2026-81578と、ドライバ名を検証せずクラスを読み込むCVE-2026-82078が連鎖して事前認証RCEに至る機構、緊急パッチが3回出た経緯、侵害調査で見る痕跡までまとめます。
ルーターやスイッチ、NAS、UPSを施錠して収めるための鍵付きサーバーラックを選ぶ観点を整理します。物理アクセスが管理者権限に化ける仕組み、19インチの寸法規格、壁掛けと床置きの使い分け、施錠方式と鍵の管理、放熱と換気、電源とケーブルの取り回し、地震対策の固定までまとめます。
添付したZIPを暗号化し、パスワードを後から同じ経路の別メールで送るPPAPが何を守れていないのかを、ZIPの暗号化仕様とマルウェア検査の回避、政府の廃止方針という三つの角度から整理します。誤送信対策としての限界、クラウドストレージやS/MIMEといった移行先の判断軸、受け取る側の運用までまとめます。
vCenterのSyslogサーバに見つかったディレクトリトラバーサルCVE-2026-59310を一次情報で整理します。未認証でroot権限のコード実行に至る機構、修正公開から5日で始まった大規模な悪用の時系列、cronとリバースSSHによる居座りからESXiのランサムウェア展開へ広がる経路、そして侵害調査で見るべき痕跡をまとめます。
WinSockのカーネルドライバafd.sysに見つかった特権昇格ゼロデイCVE-2026-68820を一次情報で整理します。use-after-freeとrace conditionでSYSTEMへ昇格する機構、Lazarusが防衛関連への攻撃で悪用した経緯、8月更新の適用優先度とEDRでの検知観点を解説します。
BIツールMetabaseのゼロデイCVE-2026-72898を一次情報で整理します。未認証の/api/session/reset_passwordからSQLが注入され管理者権限に至る機構、CVSS 10.0とCISA KEV収録、最小安全版への更新と侵害確認の手順を解説します。
OS標準の正規ツールを使う環境寄生型攻撃は、新しい実行ファイルを残さない場合があり、ファイル単位のシグネチャや既知IOCだけでは見逃しやすい手口です。CISAほか9機関の共同ガイダンスとMITRE ATT&CK、Microsoft公式資料をもとに、成立の機構とログ設計、抑止策を整理します。
N-able N-centralのCVE-2026-18577を一次情報で整理します。CVE-2026-18556への修正が不完全で認証回避が残り、2026年8月にCISAのKEVカタログへ追加されました。影響を受ける版と修正版2026.3.1.7への更新、痕跡確認の手順を解説します。
Hugging Faceのdiffusersで公表された3件のtrust_remote_codeバイパス(CVE-2026-44827、CVE-2026-44513、CVE-2026-45804)を一次情報で整理します。既定値のNoneがファイル名になる仕組み、設定取得とリポジトリ取得の時間差、0.38.0での修正内容、影響範囲の確認と更新できない場合の緩和までを解説します。
パスワード認証から公開鍵認証へ移す理由を署名の仕組みから説明し、OpenSSH公式のman説明とリリースノートで確認できた既定値をもとに、sshd_configの要点、鍵の作り方と保管、踏み台とアクセス経路、ログと検知までを整理します。
FortiOSのCVE-2025-68686(FG-IR-25-934)を一次情報で整理します。2025年4月のシンボリックリンク永続化に対する修正を回避する欠陥で、2026年7月27日にCISAのKEVカタログへ追加されました。CVSSが中程度でも緊急度が高い理由、影響版と修正版、仮想パッチ、侵害前提の復旧までを解説します。
SBOMはソフトウェアの部品表です。2026年7月に日本を含む各国が共同署名した国際ガイダンスの最小要素、SPDXとCycloneDXの選び分け、ビルド時生成の理由、VEXとの突合、そして調達契約で規定すべき事項までを一次情報にもとづいて整理します。
ARPは送信者を確かめる手段を持たないため、同じL2セグメントにいる相手にキャッシュを書き換えられる場合があります。RFC 826やMITRE ATT&CK T1557.002、スイッチベンダ公式資料をもとに、成立条件と限界、検知と対策を整理します。
Ruby on RailsのActive StorageのCVE-2026-66066(KindaRails2Shell)を一次情報で整理します。libvipsがunfuzzedと印を付けた操作を無効化していなかった既定設定の欠陥、成立条件、影響版と修正版7.2.3.2/8.0.5.1/8.1.3.1、libvips 8.13の前提、緩和策、シークレット入れ替えまでを実務目線で解説します。
Cisco Secure Firewall Management Center SoftwareのCVE-2026-20316を解説します。製品に埋め込まれた低権限アカウントの静的認証情報が広い範囲の弱点になりやすい機構、CiscoがCVSSの示すMediumではなくSIRをHighと評価した理由、修正済みソフトウェアの適用とKEV収載、侵害痕跡の確認方法を一次情報で整理します。
Kerberoasting(MITRE ATT&CK T1558.003)は、Active Directoryの正規のKerberos機能でサービスチケットを集め、サービスアカウントのパスワードをオフライン解析にかける手口です。成立条件と検知、対策を一次情報から整理します。
DLLサイドローディング(DLL side-loading)は、署名済みの正規アプリケーションがWindowsのDLL検索順序を悪用され、悪意あるDLLを読み込まされる攻撃であり検知回避の手口でもあります。MITRE ATT&CK T1574.001とMicrosoft公式資料をもとに仕組みと対策を整理します。
JetBrains TeamCity On-PremisesのCVE-2026-63077を解説します。エージェントポーリングプロトコルの認証不備で未認証RCEが起きる機構、CVSS9.8の深刻度、影響バージョンと修正版、CI/CDへの実務上の影響と対応手順を一次情報で整理します。
クリプトジャッキングを侵入経路から検知の着眼点まで整理します。クラウド認証情報の窃取やDockerやKubernetesの管理API露出、MITRE ATT&CKのResource Hijacking(T1496)に沿った分類、AWSやGoogle Cloudの検知機能まで実務担当者向けに解説します。
Arista傘下のVeloCloud Orchestrator(VCO)オンプレ版に見つかった未認証OSコマンドインジェクションCVE-2026-16812(CVSS10.0、CWE-78)を一次情報で整理します。内部専用機能が外部到達可能だった経緯、影響バージョンと修正版、CISA KEV収録とBOD26-04の是正期限、初動対応までを解説します。
Check Point Security Management / Multi-Domain Security ManagementのSmartConsoleログイン処理にある認証バイパスCVE-2026-16232を解説します。未認証でアプリケーションログイントークンを取得され管理者として入られる機構と、Jumbo HFAの適用や侵害痕跡の点検までを一次情報で整理します。
LDAPインジェクション(CWE-90)を発生原理から対策まで整理します。利用者名に渡された*や括弧が検索フィルタの意味を変えて認証をすり抜ける仕組み、RFC 4515とRFC 4514でエスケープ規則が異なる理由、検索してからバインドする2段構えや最小権限のバインドアカウントまで開発者向けに解説します。
2026年7月のPatch Tuesdayで修正されたDynamics 365 Business CentralとDynamics NAVオンプレミス版の未認証RCE、CVE-2026-55944(CVSS 9.8)を一次情報で整理します。細工したログインリクエストが信頼できないデータのデシリアライズを引き起こしコード実行に至る機構と、更新適用や公開面の縮小の初動を実務目線で解説します。
NoSQLインジェクション(CWE-943相当)を発生原理から対策まで整理します。信頼できない入力がクエリのオブジェクト構造や演算子として解釈され、認証回避やデータ抽出に至る仕組みと、型検証や演算子の拒否、安全なクエリAPI、$whereの不使用、最小権限による根本対策を開発者向けに解説します。
Torのオニオンルーティングと.onionサービスの仕組みを原理から整理し、なぜランサムウェアのリークサイトや不正市場がこの上に置かれるのかを説明します。自組織の情報が流出したときに気づくための監視の考え方と、Tor経由の通信をどう扱うかまでを実務目線でまとめます。
マスアサインメント(CWE-915)は、リクエストのパラメータをフレームワークがオブジェクトの属性へ自動で束縛する際、公開すべきでない属性まで書き換えられてしまう欠陥です。roleやis_adminの上書きによる権限昇格の機構、OWASP API Securityでの位置づけ、許可リストと入力専用DTOによる対策を、Web/API開発者向けに整理します。
NGINXの未認証ヒープバッファオーバーフローCVE-2026-42533を一次情報で整理します。map正規表現の出力変数をキャプチャ参照より後に使う構成で、二段階評価の測長と書き込みがずれてワーカーを壊す機構、既定はDoSでASLR次第でRCEに至る条件差、影響を受ける版と修正版(1.30.4/1.31.3/37.0.3.1)、更新と名前付きキャプチャの暫定緩和を実務目線で解説します。
JoomlaのPage Builder CK拡張の未認証任意ファイルアップロードRCE(CVE-2026-56290)を一次情報で整理します。認証もアクセス制御も持たない前面のアップロード口が保存先とファイル名を丸ごと受け取りWebシェルを置かれる機構、影響3.6.0未満と修正版3.6.0、CISA KEV収録と実悪用、更新と痕跡調査の初動を実務目線で解説します。
プロトタイプ汚染(CWE-1321)を発生原理から対策まで開発者目線で整理します。信頼できない入力を安全でない再帰マージやプロパティ設定で扱うと、__proto__やconstructorを通じて共有されるObject.prototypeが汚染され、ほぼ全てのオブジェクトに影響します。Object.create(null)やMapの利用、危険キーの拒否で塞ぐ方法を解説します。
レースコンディション(CWE-362)とTOCTOU(CWE-367)を、発生原理から対策まで開発者目線で整理します。並行リクエストで残高が二重に引き出される、クーポンが多重適用される、ファイル検査の隙にシンボリックリンクが差し替わるといった不整合が、なぜ検査と使用の間で起きるのか。データベースの原子性や冪等性キー、安全なファイル操作で塞ぐ方法を解説します。
WordPress Coreの未認証リモートコード実行wp2shellを一次情報で整理します。バッチREST APIのルート取り違え(CVE-2026-63030)がWP_QueryのSQLインジェクション(CVE-2026-60137)と連鎖して管理者作成からコード実行に至る機構、影響を受ける版と修正版6.9.5/7.0.2、更新とWAF遮断とログ点検の初動を実務目線で解説します。
ServiceNow AI Platformの事前認証コード実行、CVE-2026-6875を解説します。制限された実行環境から抜け出すサンドボックス脱出が未認証のコード実行に至る機構と、影響判定から該当パッチ適用までを一次情報で整理します。
WatchGuard FireboxのFireware OSにある事前認証RCE、CVE-2026-13368を解説します。Mobile VPN with IKEv2を外部LDAP認証で構成した場合に競合状態起因のuse-after-freeがikedで起きる機構と、影響判定から修正版適用までを一次情報で整理します。
キャッシュキーに含まれないunkeyed inputが応答に反映されると、汚染した応答がキャッシュに載り後続の正規利用者へ配信されます。キャッシュキー、cache buster、レスポンス反映をたどってWebキャッシュポイズニングの機構と、キャッシュ設計を軸にした防御を開発者向けに整理します。
FortiSandboxの未認証OSコマンドインジェクションCVE-2026-25089を一次情報で整理します。CWE-78の機構、NVDページに載るCNA(Fortinet)提供値とPSIRTで異なるCVSS評価、CISAのKEV収録の時系列、影響を受ける版と修正版、境界露出を絞る運用、パッチ後の侵害確認と資格情報の後始末までを運用担当向けに解説します。
使い終えたクラウド資源を消しても、そこを指すCNAMEなどのDNSレコードを残すと、同名の資源を確保した攻撃者にサブドメインを乗っ取られます。原因である宙に浮いたDNSレコード(dangling DNS)の仕組みと、乗っ取りが成立する3段階、クッキー窃取やSSLの誤解、そして廃止時にDNSを先に消す恒久対策を運用担当者向けに整理します。
利用者入力を検証せずにリダイレクト先へ使うことで生じるオープンリダイレクト(CWE-601)を、サーバ側とクライアント側それぞれの機構から解説します。フィッシングやOAuthの認可コード窃取に悪用される理由と、許可リストによる正しい防御設計を開発者向けに整理します。
オンプレミスSharePoint ServerのCVE-2026-56164を解説します。認証チェックの欠落(CWE-306)がなぜ低いCVSS 5.3にもかかわらず実悪用のゼロデイになるのか、machineKey窃取と旧脆弱性との連鎖、そしてパッチだけでは足りない理由を一次情報から整理します。
プロキシとバックエンドがHTTPリクエストの境界を別々に解釈することで起きるリクエストスマグリングを、Content-LengthとTransfer-Encodingの矛盾、CL.TEやHTTP/2ダウングレードdesyncの機構、そして防御設計まで開発者向けに整理します。
Citrix NetScaler ADC/GatewayをSAML IdPとして構成した場合に効くCVE-2026-8451を解説します。/saml/loginでの境界外読み取りが何を漏らし、なぜパッチ後にセッション強制終了が要るのかを機構と一次情報から整理します。
WebアプリのセッションIDを安全に扱う設計を、生成のエントロピー、HttpOnlyやSecureなどのCookie属性、ログイン時の再生成、寿命管理まで、なぜその設定が効くのかという機構から実務目線で整理します。
SonicWall SMA1000シリーズで実際に悪用中のゼロデイ2件を一次情報で整理します。未認証SSRFのCVE-2026-15409とポスト認証のコードインジェクションCVE-2026-15410が連鎖してroot権限奪取に至る機構、KEV収録と是正期限を踏まえた運用担当の初動を解説します。
AD FSの権限昇格ゼロデイCVE-2026-56155(CVSS7.8)を一次情報で整理します。CWE-1220のアクセス制御粒度不足、実際の悪用とCISA KEV収録、7月更新のDKM ACL監査モードとRemediateDkmAclによる是正、フェデレーション基盤ゆえの影響と初動を運用担当向けに解説します。
Cisco Catalyst SD-WANのゼロデイCVE-2026-20245(CVSS7.8)を一次情報で整理します。netadmin権限のローカル攻撃者が細工ファイルでrootを奪う入力検証不備、認証バイパスと連鎖したゼロデイ悪用、CISA KEV収録と初動を解説します。
ユーザー入力がデータではなくテンプレートそのものとして評価されると、多くのエンジンでリモートコード実行にまで至ります。SSTIの発生機構と、値として渡す実装やロジックレス化などの対策を開発者向けに整理します。
透明なiframeで標的サイトを重ねて意図しない操作をさせるクリックジャッキング（UIリドレッシング）の仕組みと、CSP frame-ancestorsやX-Frame-Optionsを使った実装レベルの対策を、開発者向けに整理します。
製造業のPLM基盤PTC WindchillとFlexPLMの未認証RCE脆弱性CVE-2026-12569(CVSS v3.1で9.8、v4.0で9.3)を一次情報で整理します。信頼できないデータのデシリアライゼーションからRCEに至る機構、JSP Webシェル設置が観測された実環境悪用、CISA KEV収録を踏まえた情報システム担当の初動を解説します。
機密データを社外へ持ち出す業務向けに、ハードウェア暗号化ポータブルSSDの選び方を整理します。ソフトウェア暗号化との違い、PINパッドや指紋認証といった認証方式、FIPS認証やブルートフォースロックの意味、OS非依存で使えるか、容量と転送速度の見方を、実在製品とあわせて解説します。
ファイルアップロード機能の脆弱性（CWE-434）を、Webシェルによるリモートコード実行や保存型XSSといった悪用の機構から整理します。拡張子の許可リストに内容の実体検証を重ね、Content-Typeとファイル名を信用せず、公開ディレクトリの外へ保存してスクリプト実行を無効化する、という検証と保存の設計をWebアプリ開発者向けに解説します。
APIキーや秘密鍵をgitに紛れ込ませる事故を、26のアンチパターンで集めた教育リポジトリleak-museum(printemps-tokyo公開)を題材に整理します。なぜ致命的になるのか、どう防ぐのか、万一コミットしたときの手順までを、秘密情報を安全に扱う視点でまとめます。
Oracle PeopleSoft Enterprise PeopleToolsのゼロデイCVE-2026-35273(CVSS9.8)を一次情報で整理します。未認証で重要機能に到達しRCEに至る仕組み、影響版8.61と8.62、ShinyHunters(UNC6240)によるアドバイザリ公開前からの悪用、大学中心100超の組織への侵害、CISA KEV収録を踏まえた対応の緊急度を解説します。
安全でないデシリアライゼーション(CWE-502)を、発生原理から対策まで開発者目線で整理します。オブジェクトの復元がなぜ任意コード実行やDoSにつながるのか、ガジェットチェーンの考え方、OWASP Top 10での位置づけの変遷、そしてネイティブ形式を避けJSONを使う根本対策と言語別の危険APIの避け方を解説します。
リモート管理ツールSimpleHelpのCVE-2026-48558(CVSS 10.0)を一次情報で整理します。OIDCのIDトークンを署名検証せずに受け入れる欠陥が、偽造トークンによる技術者セッションの奪取とMFA回避を許す仕組み、影響を受ける版と修正版、CISA KEV収録を踏まえた更新と露出遮断の初動、MSPのサプライチェーンとしての波及を実務目線で解説します。
Adobe ColdFusionに見つかった深刻な脆弱性CVE-2026-48282(CVSS 10.0)を一次情報で整理します。RDSのファイル操作でパス検証が不十分だと任意ファイル書き込みからコード実行に至る仕組み、影響を受ける版と修正の提供、RDS無効化と露出遮断の初動、KEV収録を踏まえた優先度づけを実務目線で解説します。
ブラウザの同一オリジンポリシーを前提に、CORS(オリジン間リソース共有)が何をどう緩める仕組みなのかを整理します。プリフライトや資格情報付きリクエストの扱い、Access-Control-Allow-Originのワイルドカードやオリジン反射といった典型的な設定ミス、許可リストで厳密に照合する安全な設計を開発者向けに解説します。
使わないUSBポートやLANポートを物理的に塞ぐポートブロッカーの役割と限界を整理します。内部不正によるデータ持ち出しや不正なデバイス接続への物理的な備えとして、対応ポートや鍵の互換、色分け、取り外し工具の要否といった選定の軸を、事業所や共用端末の管理担当向けにまとめます。
Oracle E-Business SuiteのOracle Payments(File Transmission)に見つかった未認証の脆弱性CVE-2026-46817(CVSS 9.8)を一次情報で整理します。境界に公開されたERP基盤が認証なしで狙われる仕組み、露出遮断とCPU適用の初動、KEV未収録下での優先度づけ、決済系データを想定した侵害調査を実務目線で解説します。
XMLパーサが外部実体を解決してしまうXXE（XML外部実体参照、CWE-611）を、なぜ成立するのかという機構から、ローカルファイル読み出しやSSRF、実体展開によるDoSといった影響、DTDと外部実体の解決を無効化する根本対策までWebアプリ開発者向けに整理します。
Linuxカーネルのepoll(eventpoll)にある解放後使用(use-after-free)の脆弱性Bad Epoll(CVE-2026-46242)は、ローカルの非特権ユーザーがroot権限を奪える欠陥です。仕組みと影響範囲、CVSS、そして唯一の対策となるカーネル更新の進め方を、NVDやパッチ情報に基づいて整理します。
パソコンやサーバーを手放す前の、記録メディアのデータ抹消と廃棄に使う道具の選び方をまとめます。削除やクイックフォーマットでデータが残る仕組みを確認し、NIST SP 800-88のClearとPurgeとDestroyの考え方に沿って、消去ソフトや物理破壊ツールを用途で選ぶ軸を整理します。上書きが効きにくいSSDの媒体差にも触れます。
Langflowの未認証リモートコード実行CVE-2026-33017を一次情報で整理します。CISA KEV収録と悪用確認、影響を受ける版と修正版1.9.0、AIエージェント基盤を運用する開発者や情報システム担当がとる初動と優先度づけを、実務目線で解説します。
OSコマンドインジェクション(CWE-78)が外部入力をシェルコマンドとして解釈させて成立する機構、OWASPのインジェクション分類での位置づけ、そしてシェルを介さず引数を配列で渡す根本対策までを開発者向けに整理します。入力検証が補助にとどまる理由も扱います。
IDOR（BOLA）は、識別子で受け取った資源を要求元がアクセスしてよいか確かめずに直接参照することで成立します。OWASP A01 Broken Access Controlとの関係、サーバー側でのオブジェクト単位の認可、既定は拒否、推測困難なIDは認可の代替にならない点まで、Web/API開発者向けに整理します。
SharePoint Serverのデシリアライゼーション(CWE-502)による認証済みRCE、CVE-2026-45659(CVSS 8.8)を一次情報で整理します。CISA KEV収録と悪用確認の意味、更新プログラムの適用と露出の遮断、侵害調査の初動、KEVを起点にした優先度づけを、運用担当の実務目線で解説します。
SNSログインや「〜で続ける」の裏側にあるOAuth 2.0とOpenID Connectを一次仕様から整理します。OAuthは認可、OIDCはその上に載る認証という役割の違い、登場人物、認可コードフローとPKCE、アクセストークンとリフレッシュトークンとIDトークンの違い、Implicitフローが非推奨になった理由と典型的な落とし穴まで、開発者と実務者向けに解説します。
攻撃者が本人になりすまして携帯回線を再発行させ、電話番号ごと乗っ取るSIMスワップの手口を解説します。奪った番号でSMS認証や電話の本人確認をどう突破するのか、なぜSMS認証が弱点になるのか、キャリアのPIN設定やSMSに依存しないMFAへの移行、急な圏外という予兆と初動を、利用者と組織の視点で一次情報をもとに整理します。
Ivanti Sentryの未認証OSコマンドインジェクションCVE-2026-10520(CVSS 10.0)を一次情報で整理します。root権限でのリモートコード実行に至る仕組み、CISA KEV収録に基づく優先度づけ、修正版適用と侵害痕跡調査を含む初動を、情報システムやインフラ運用の実務目線で解説します。
ユーザー入力がファイルパスに連結され「../」で基準ディレクトリの外へ到達されるパストラバーサル（CWE-22）を、なぜ成立するのかという機構から、任意ファイル読取などの想定影響、正規化と許可リストによる根本対策までWebアプリ開発者向けに体系的に整理します。
生成AIで作った偽の声や顔を使い、経営者や家族になりすまして送金させるディープフェイク詐欺。なぜ人の耳や目では見抜きにくいのかという機構から、企業の承認プロセスの統制、家族間の合言葉まで、確認手順で止める方法を実務目線で解説します。
JWT(JSON Web Token)の構造と署名の役割を基礎から整理します。header.payload.signatureの3パート、HS256とRS256の違い、alg:noneやアルゴリズム混同といった検証まわりの落とし穴、有効期限と失効の設計、保存場所によるXSS/CSRFの注意点まで、一次仕様に沿って実装者向けに解説します。
ScreenConnectやAnyDeskなどの正規のリモート監視管理ツール(RMM)が、侵入後の遠隔操作とサポート詐欺の二つの経路で悪用される仕組みを、CISAの共同勧告やベンダー公式情報をもとに整理し、未許可の導入を見分けて防ぐ実務的な手立てを解説します。
CSPを中心に、HSTSやX-Content-Type-Options、クリックジャッキング対策、Referrer-PolicyといったセキュリティHTTPレスポンスヘッダの役割と設定を、開発者向けに整理します。
コンテナ(Docker)が何を仮想化しVMとどう違うか、ホストのカーネルを共有するため隔離が完全でない理由を原理から解説します。NIST SP 800-190の構成要素別リスクに沿って、最小イメージや非root実行、権限の絞り込みなど実務で効く対策を整理します。
AIエージェントを外部ツールにつなぐMCPサーバーの攻撃面を、ツールポイズニングや間接プロンプトインジェクション、過剰な権限とトークンの扱い、信頼できないサーバーとrug pullに整理し、利用者と開発者と組織の防御を公式仕様をもとに解説します。
盗んだnpmトークンで自分を別パッケージへ再公開し、自動で広がるnpmワームの仕組みを、Shai-Huludとその亜種の事例から解説します。install時にコードが走る経路と、開発者と組織それぞれの防御策を整理します。
OWASP Top 10のA10:2021に位置づくSSRF（サーバーサイドリクエストフォージェリ）を、なぜ成立するのかという原理から、内部ネットワークやクラウドメタデータへ到達されうる危険性、許可リスト方式の検証やIMDSv2による防御までを実務目線で整理します。
一見便利なChromeやEdgeの拡張機能が、自動更新で後から情報窃取ツールへ変わる手口が相次いでいます。なぜ審査をすり抜け気づきにくいのか、その仕組みと、利用者と組織それぞれの実務的な対策を解説します。
ネットワークを用途や信頼度で区切ると、侵入後の攻撃者の横移動が境界で止まり被害が広がりにくくなる仕組みを、VLANやACL、DMZ、管理やゲストやIoTの分離、マイクロセグメンテーションとゼロトラストの関係まで、運用担当向けに設計手順とともに整理します。
Webアプリでパスワードを安全に保存する仕組みを、平文保存や単純ハッシュの危険から順に整理します。ソルトがレインボーテーブルを無効化する理屈、ストレッチングの意味、Argon2idなど現行で推奨されるアルゴリズム、ペッパーの位置づけを、OWASPとNISTの一次情報で確認しながら説明します。
偽サイトが入力したIDやパスワード、ワンタイムパスワードをその場で正規サイトへ中継し、認証済みセッションを奪うリアルタイムフィッシング(AiTM)の仕組みを解説します。なぜOTPやSMSでも突破されうるのか、ネットバンキング不正送金の現況、パスキーやFIDO2による構造的な対策までを一次情報をもとに整理します。
VPN機器やファイアウォールなど境界に置くエッジ機器の脆弱性が、なぜ侵入口として狙われるのかを一次情報で整理します。攻撃者が公開機器を探索して内部へ横展開する流れ、取引先の機器が踏み台になる側面、パッチ優先度や露出削減といった運用側の対策を解説します。
攻撃者が生成AIをフィッシング文面の量産やディープフェイクによるなりすましに使うと、何がどう変わるのかを整理します。日本語の不自然さに頼る判断が通用しにくくなった理由と、利用者や組織が兆候を見分けて備える方法を一次情報をもとに解説します。
情報窃取型マルウェアが保存パスワードやブラウザのセッションCookie、暗号資産ウォレットを盗む手口と、窃取したCookieで認証済みセッションを再現して多要素認証を回避する機構を、一次情報をもとに整理します。感染経路と個人や組織の対策もあわせて解説します。
偽の認証画面や偽のエラー画面を見せ、利用者自身にコマンドを貼り付けて実行させるClickFixの仕組みを解説します。なぜブラウザのダウンロード警告が出ないのか、正規のCAPTCHAとの見分け方、個人と組織それぞれの防御を、一次情報をもとに整理します。
ドメイン名がIPアドレスに変換される流れと、キャッシュポイズニングなどの危うさを整理し、応答の真正性を守るDNSSECと、経路上の盗聴を防ぐDNS over HTTPS／DNS over TLSの役割の違いを、RFCやJPRSの一次情報をもとに開発者と運用担当向けに説明します。
なぜメールの送信者は簡単になりすませるのか、という前提からSPF・DKIM・DMARCの役割を整理し、DMARCのアライメントとp=none/quarantine/rejectの段階導入、レポート運用、SPF10ルックアップ超過などのよくある失敗までを、メール運用の実務担当者向けに解説します。
毎月大量に出るパッチを全部当てるのは不可能です。実際に悪用されている脆弱性（CISA KEV）と悪用予測スコア（EPSS）、深刻度（CVSS）を組み合わせたリスクベースの優先度付けを、優先度マトリクスと運用ステップ付きで実務担当者向けに解説します。
ShorのアルゴリズムがRSA/ECCを脅かす理由と「今盗んで後で復号する」リスク、NISTが2024年に標準化したFIPS 203/204/205を一次情報で確認し、暗号資産の棚卸しからハイブリッド方式まで移行の進め方を技術者と意思決定者の双方向けに解説します。
LLMアプリやAIエージェント、コーディング支援を狙うプロンプトインジェクションの仕組みを、直接型と間接型に分けて解説。実例とOWASP/IPAの最新動向をもとに、権限分離や人間の承認といった実務の防御設計までを整理します。
必要最小限の権限だけを与える「最小権限の原則」を、なぜ効くのか（侵害時の被害局所化・横展開の抑止）という原理から噛み砕き、過剰権限の典型例とRBAC・ジャストインタイム権限・定期棚卸しといった実践、ゼロトラストとの関係までを実務目線で整理します。
攻撃者の行動を戦術と技術のマトリクスで整理するMITRE ATT&CKを、原理から実務での使い方まで解説します。検知ルールの評価やレッドチーム演習、脅威インテリジェンスへの活用の勘所を具体的に示します。
攻撃者が侵入前に行う偵察(OSINT)の原理を解説し、自組織の攻撃面(アタックサーフェス)を合法な範囲で把握する手順を実務目線で整理します。能動偵察と受動偵察の違い、関連法令への注意まで具体的に示します。
代表的なWeb脆弱性であるSQLインジェクションを、なぜ起きるのかという原理から、攻撃手法の分類、想定される影響、根本対策であるプレースホルダの使い方、多層防御、検出方法までを実務目線で網羅的に解説します。
Web診断の定番ツールBurp Suiteの基本を、ProxyとRepeaterを中心に原理から解説します。検証環境の整え方、HTTPの観察と再送の進め方、Community版でできること、そして必ず守るべき法的・倫理的な前提までを実務者向けにまとめます。
DDoS攻撃を帯域を溢れさせるボリューム型、コネクション資源を狙うプロトコル型、正常に見えるアプリ層の3種に分けて原理から解説し、CDN・WAF・専用の緩和サービスをどう使い分けるかを運用目線で整理します。
Webアプリケーションの代表的なセキュリティリスクをまとめたOWASP Top 10について、その位置づけ、各カテゴリで何が問題になりどう防ぐか、そして開発プロセスへの組み込み方までを、開発者目線で具体例つきに解説します。
ペネトレーションテストを安全かつ価値あるものにするための進め方を、スコープ定義・許可取得・実施手順・報告書作成の順に実務目線で解説します。PTESやNIST SP 800-115を参照し、許可された対象でのみ行う前提と関連法令への注意も具体的に整理します。
パスワード漏えい対策の決め手となる多要素認証（MFA）について、認証要素の考え方、方式ごとの強度と使い勝手の違い、フィッシング耐性、組織導入の進め方、運用とリカバリーの設計までを実務目線で網羅的に整理します。
自社が直接狙われなくても、取引先やライブラリ、サービス経由で侵入されるのがサプライチェーン攻撃です。実例をもとに攻撃の構造を分解し、信頼の前提を見直すための実務的な防御の考え方を解説します。
個人情報の定義、安全管理措置、漏えい時の報告義務を、開発・運用の現場目線で整理します。何が個人データに当たり、何を実装で担保し、漏えい時に誰へ何日以内に報告するかを一次情報で確認します。
ランサムウェア被害の大半はVPNやリモートデスクトップからの侵入で起きます。初期侵入経路、二重恐喝の仕組み、そしてバックアップと隔離による被害最小化を、実務で判断できる粒度まで噛み砕いて解説します。
FIDO2対応のハードウェアセキュリティキーは、フィッシングに原理的に強い最高水準の認証手段です。仕組み・選ぶ基準・対応サービスの確認方法から、YubiKeyなど実在製品の使い分けまでを実務目線で解説します。
Web APIで起きやすい認証認可の不備、リソース枯渇、入力検証の漏れを、原理と再現条件から解説します。OWASP API Security Top 10(2023)を軸に、開発者がリクエストごとに何を検証すべきかを実務目線で整理します。
Apache Log4jのCVE-2021-44228(Log4Shell)を題材に、依存ライブラリの脆弱性がなぜ広範な被害を生むのかを原理から解説し、SBOMとSCAを軸にしたサプライチェーンの脆弱性管理を実務目線で整理します。
WAFが何を守り何を守れないのかを、シグネチャ検知と振る舞い検知の原理から解説します。回避されうる前提を踏まえ、誤検知(過検知/検知漏れ)の扱い、根本対策との補完まで運用目線で整理します。
APIキーやDB認証情報などのシークレットを、ハードコード回避・集中管理・ローテーション・最小権限という4つの軸で守る方法を、Vaultやクラウドのマネージドサービス、動的シークレットまで実務目線で解説します。
サーバーを攻撃から守る土台となるハードニング（要塞化）の考え方を、最小化・最小権限・継続的な更新・設定の堅牢化という4本柱で整理し、CISベンチマークを使った具体的な進め方と運用までを実務目線で解説します。
修正プログラムが存在しない状態で悪用されるゼロデイ脆弱性について、なぜ防ぎにくいのかを原理から解説し、多層防御・仮想パッチ・迅速なパッチ運用という実務的な備え方を具体的な判断基準まで掘り下げます。
CVSS v3.1とv4.0の構成を整理し、基本値（Base）だけで優先順位を決める落とし穴と、KEVやEPSSなど実際の悪用情報を組み合わせた実務的な脆弱性対応の判断軸を、運用担当者目線で解説します。
セキュリティを開発の最後の検査にせず、CI/CDに自動チェックとして組み込む考え方を解説します。SAST・DAST・SCA・シークレットスキャンの役割の違いと、シフトレフトを現場で回す導入順序・判断基準を具体的にまとめます。
暗号化されたデータは攻撃者の鍵なしには戻せません。本記事は3-2-1ルール、隔離・イミュータブルなバックアップ、そして復旧訓練までを、運用担当が自分の環境で判断できる粒度に噛み砕いて解説します。
「決して信頼せず、常に検証する」というゼロトラストの考え方を、製品の一括導入ではなく、既存環境を活かした最小コストで取り入れる進め方を解説します。ID中心の発想と、無理のない段階導入の優先順位を整理します。
Webアプリの代表的脆弱性CSRFを、なぜ成立するのかという原理から、CSRFトークン（同期トークン・ダブルサブミット）とSameSite Cookieによる多層防御、よくある誤解までを実務目線で体系的に整理します。
自作コードより外部ライブラリのほうが多い時代に、何を使っているかを台帳化するSBOMと、既知の脆弱性を突き合わせるSCAの基本を解説。SPDX/CycloneDXの違い、Dependabot/Renovateによる更新自動化、CI組み込みの判断基準まで実務目線でまとめます。
インシデント発生後の侵害調査を、証拠保全・揮発性の順序・タイムライン再構成・痕跡の読み方という観点から原理ごと整理します。後で証拠にならない調査を避けるための実務の判断基準を具体的に示します。
セキュリティ運用の土台になるログ管理を、取得対象の選び方・保管期間の決め方・改ざん対策・相関分析の原理から実務目線で整理します。インシデント対応で後悔しないための判断基準を具体的に示します。
セキュリティインシデントの最初の1時間を、検知・トリアージ・封じ込め・証拠保全という順序で整理します。慌てて電源を切る前に何を確認し、何を記録すべきか。NISTやJPCERT/CCの枠組みをもとに実務の判断基準を示します。
コンパイル済みバイナリの中身を読み解くリバースエンジニアリングの考え方を、静的解析と動的解析の違い、必要な検証環境、そして著作権法やライセンス・不正アクセス禁止法といった合法性の前提まで、実務で迷わない判断基準とあわせて入門者向けに解説します。
代表的なWeb脆弱性であるXSSを、なぜ起きるのかという原理から、反射型・格納型・DOM型の違い、想定される影響、根本対策である出力エスケープ（コンテキスト別エンコード）とCSPによる多層防御まで、実務目線で体系的に解説します。
CyberFix Note
