ITD / SECURITY & DEFENSE
情報とツールで、デジタルの防御を。
情報漏えい・
不正アクセス。確かめて、守る。
あわてず、状況を確かめて、次の一歩へ。
トラブルへの対処から事故・CVEの解説、
Webサイトの点検、AIの安全な使い方まで。
初動ナビは状況を選ぶだけ。パスワードや書類の入力は不要。
01LATEST / 最新のセキュリティ情報
いま、確認したい情報。
新しい事故・脆弱性の速報、実際に悪用されている脆弱性、最近公表された深刻な脆弱性。脆弱性フィード更新の最終成功 2026-10-29 00:01 JST
速報（事故・脆弱性）出典つき
- 第1報Adobe Commerce・Magentoの脆弱性 CVE-2026-48356｜米CISAが悪用を確認（KEV）・7月の修正と侵入の確かめ方
- 第1報一番くじONLINEの配送情報が漏えいした可能性（バンダイロジパルへの不正アクセス）：氏名・住所・電話番号と、会員がやること
- 第1報Joshin（旧・上新電機）への不正アクセス（最大約600万件）：会員の氏名・住所・電話番号などが漏えいした可能性、利用者がやること
- 第1報アンケートサイトQzooへの不正アクセス（約40万件）：口座情報を含む会員情報が漏れた可能性と、会員がやること
- 更新Brotli脆弱性 CVE-2026-111497（Node2Shell）｜Node.js・Python・.NETの確かめ方と更新
実際に悪用中の脆弱性CISA KEV 新着
- CVE-2026-111497CVSS 9.2BrotliGoogle Brotli バージョン 1.0.3 から 1.2.0 まで(全プラットフォーム)の c/dec/decode.c に存在するバッファオーバーフローの脆弱性により、認証されていないリモートの攻撃者が、悪意を持って細工された Brotli 圧縮ストリームを使用して、隣接するデコーダの状態メモリを破損させたり、機密性のあるメモリ内容を漏えいさせたり、サービス拒否を引き起こしたり、場合によっては任意のコードを実行させたりする可能性があります。 ユーザーは、1.0.3 から 1.2.0 までの Brotli ライブラリまたはバイナリを、利用可能な最新版である 1.0.10、1.1.1、または 1.2.1 に更新してください。
- CVE-2026-48356CVSS 9.3Adobe CommerceAdobe Commerceには、危険な種類のファイルの無制限なアップロード（CWE-434）に関する脆弱性が存在します。この脆弱性を悪用されると、現在のユーザーのコンテキストで任意のコードが実行される可能性があり、被害者のアカウントまたはセッションに対する権限昇格や制御を取得されるおそれがあります。この問題の悪用には、被害者が悪意を持って細工されたURLにアクセスする、または侵害されたWebページを閲覧するといったユーザー操作が必要です。スコープは変更されています。
- CVE-2026-109618CVSS 9.2PHPPHPは、メモリ不足(OOM)エラーが発生した際に longjmp() を使用して現在のコンテキストを抜け出し、リクエストの処理を中止します。一部のコンテキストではこの状況を適切に考慮しておらず、メモリを割り当てる前にリクエスト用メモリを未初期化の状態のまま残す場合があります。その後のリクエストのクリーンアップ処理が、このメモリを読み取ったり、これに基づいて分岐したりする可能性があります。複数のOOM戦略により、この状態を安定して引き起こすことができ、リモートコード実行(RCE)につながる可能性があります。
- CVE-2026-109619CVSS 9.2PHPPHPには、リクエストのメモリ領域を一時的に指すさまざまなグローバル状態が存在します。場合によっては、このグローバル状態が正しくリセットされなかったり、リセット後に再度設定されてしまったりします。その結果、グローバル状態がリクエストのメモリが解放された後も参照し続けることがあります。後続のリクエストは、この古い状態が完全に初期化される前に読み取ったり、それに基づいて分岐したりする可能性があります。複数の手法によってこの状態を引き起こすことができ、リモートコード実行（RCE）につながる恐れがあります。
- CVE-2026-110447CVSS 9.2Nextcloud / CollaboraNextcloud アプリ「richdocumentscode」として提供される Collabora Online の組み込み CODE サーバー（26.4.303 より前のバージョン）には、リモートコード実行を許す脆弱性が存在します。この脆弱性は 2026 年 9 月および 10 月に実際の攻撃で悪用が確認されており、CVE-2025-66208 とは別の脆弱性です。CODE サーバーが起動していない場合（例：製品が最近再起動された場合）、proxy.php における OS コマンドインジェクションが発生します。なお、この脆弱性はスタンドアロン版の Collabora Online サーバーには存在せず、CODE サーバーを用いたこの構成のみが影響を受けます。
最近公表された深刻な脆弱性CVSS 8.8以上
- CVE-2026-111120CVSS 8.8The VikRentCar Car Rental Management System plugin for WordPress is vulnerable to Cross-Site Request Forgery in all versions up to, and including, 1.4.8. This is due to missing or incorrect nonce validation on the condtext_update_tmpl function. This makes it possible for unauthenticated attackers to write arbitrary PHP code to the plugin's executable template files such as site/helpers/email_tmpl.php, which are later include()d by loadEmailTemplate() and loadPdfTemplate(), achieving remote code execution on the server via a forged request granted they can trick a site administrator into performing an action such as clicking on a link. The injected PHP payload bypasses sanitization because the plugin's own __PHP_OPEN__/__PHP_CLOSE__ placeholder expansion and cleanPHPSourceCode() logic explicitly reverse both sanitize_text_field filtering and saveHTML() HTML-encoding, restoring a literal <?php...?> payload to live PHP before it is written to disk. Successful exploitation additionally requires an action by an administrator — the attacker cannot trigger the vulnerability on their own.
- CVE-2026-109218CVSS 9.8The Contact Manager plugin for WordPress is vulnerable to Arbitrary File Upload in all versions up to, and including, 9.1.2 via the add_message function. This is due to an incomplete extension blacklist that fails to detect dangerous extensions when a trailing dot causes the extension-derivation routine to return an empty string, which sanitize_file_name() then silently removes before the file is written to disk. This makes it possible for unauthenticated attackers to upload files that may be executable, which makes remote code execution possible. Successful code execution additionally requires the server to use Apache with libapache2-mod-php (which maps .phar to PHP by default) and the attacker to retrieve the uploaded file within the brief window before it is removed by unlink() at end of request.
- CVE-2026-84999CVSS 9.8The Pie Register Premium plugin for WordPress is vulnerable to Unrestricted File Type Upload in all versions up to, and including, 3.8.4.0 via the piereg_file_upload function. This is due to the plugin performing file type validation via wp_check_filetype and wp_check_filetype_and_ext but never checking whether those validation calls produced errors before move_uploaded_file() is called, combined with no nonce or capability check on the AJAX handler. This makes it possible for unauthenticated attackers to upload files of dangerous types (e.g. PHP scripts) that may be executable, which makes remote code execution possible. The server returns the generated destination filename in the response, giving the attacker the exact path needed to trigger the uploaded file.
- CVE-2026-106013CVSS 9.8The Jupiter X Core plugin for WordPress is vulnerable to Authentication Bypass via the Twitter/X Social Login handler in all versions up to and including 4.61.0. The vulnerability exists within the verify_twitter_callback function because after exchanging the visitor's oauth_verifier for their access token, the handler never calls setOauthToken() to reassign the returned credentials to the TwitterOAuth client, causing the subsequent account/verify_credentials API call to remain signed with the site operator's stored Access Token and Access Token Secret rather than the authenticating visitor's token. This causes the X API to return the profile of the X application owner instead of the signing-in visitor, and the plugin then resolves and authenticates a WordPress account solely by matching that owner's email address via wp_set_auth_cookie(), allowing unauthenticated attackers to gain authenticated access as the WordPress user whose email corresponds to the X app owner, who is typically the site administrator.
- CVE-2026-48360CVSS 9.6Adobe Connect is affected by an Improper Control of Generation of Code ('Code Injection') vulnerability that could result in arbitrary code execution in the context of the current user. An attacker could exploit this vulnerability to execute arbitrary code. Exploitation of this issue requires user interaction in that a victim must visit a maliciously crafted URL or interact with a compromised web page. Scope is changed.
悪用状況はCISA KEV、深刻度はNVDの公表値です。修正版と対象範囲は、必ず各ベンダーの公式勧告で確認してください。
02SECURITY TOOLKIT / 無料ツール
その設定、そのコード。まず、確かめる。
目的に合った無料ツールへ。各ツールで処理場所と通信内容を確認できます。
HTTP / HEADERS
Webサイトの設定
公開応答のセキュリティヘッダを確認
ツールを開くOSV / DEPENDENCIES依存パッケージ
OSVの既知脆弱性と照合
ツールを開くLOCAL / SECRETSコードの秘密情報
ブラウザ内で文字列を検査
ツールを開くCSP / POLICYCSPの作成・検査
コンテンツの許可ポリシーを見直す
ツールを開く診断・検査の結果は、対象全体の安全性を保証するものではありません。
03THREAT INTELLIGENCE / 公表情報
事故と脆弱性を、対策につなげる。
公表内容を出典から確認し、自分に必要な対応を見極めるための情報。
04RESPONSE / 状況から探す
いま、何が気になっていますか？
よくある状況から、確認することと対処の順番を探せます。
特集 ／ AIに、どこまで任せる？
AIを使う前に、
任せる範囲を決める。
どこまで権限を渡すか。何を送信してよいか。
どこで人の確認を挟むか。ガイドと模擬演習で考えます。
05日頃の備え
日頃の備えを、少しずつ。
個人の対策から開発・組織運用まで。必要なテーマから読み進められます。
情報は、根拠とともに。各記事の確認日・出典もあわせてご覧ください。