tag
SQLインジェクション
このタグの記事 3 件
CVSS9.82026-07-21
CVE-2026-63030 / CVE-2026-60137 — WordPressコアの未認証SQLi→RCE（解説と対応策）
WordPressコアのREST APIバッチエンドポイントのルート混同（CVE-2026-63030・CWE-436）が、WP_Queryのauthor__not_inのSQLインジェクション（CVE-2026-60137・CWE-89）と連鎖し、未認証のSQLi→RCEに至り得る（CVSS 9.8・KEV掲載）。両者は同一リリースで修正済み。本命の対応は『6.8.6 / 6.9.5 / 7.0.2 以降へ更新』＋侵害確認。WordPressはコア＝影響範囲が極めて広く、更新が最優先。
CVSS9.82026-06-12
MOVEit 大規模情報漏えい（2023）— SQLインジェクションのゼロデイが2,700社超に波及した原因と防御
入口はインターネット公開のファイル転送製品MOVEit TransferのSQLインジェクションのゼロデイ（CVE-2023-34362）。Web shell（LEMURLOOT）が仕込まれ背後のDBからデータが一括窃取され、2,700社超・約9,330万人分が流出。多くの被害者は委託先・取引先がMOVEitを使っていたことで間接的に巻き込まれた。あなたの環境ではKEV即時パッチ・公開面の最小化・Web↔DBの最小権限と分離・委託先の棚卸しとデータ最小化で備える。
2026-06-08
SQLインジェクション（SQLi）とは — 入力でデータベースの命令を書き換えられる穴
SQLiは、入力が“データ”でなく“命令の一部”として解釈され、DBへの問い合わせの意味が変わる脆弱性。読み出し・改ざん・全削除に直結。本命の防御は『文字列連結をやめ、プレースホルダ（プリペアドステートメント）で値を渡す』こと。