脆弱性
このタグの記事 21 件
【速報】PHPに重大な脆弱性2件（CVE-2026-109618・CVE-2026-109619）、IPA・JPCERT/CCも注意喚起：修正版 8.5.12・8.4.27・8.3.36・8.2.35 へ今すぐ更新
PHPの開発チームは2026年10月21日、認証なしで遠隔からコードを実行される（RCE）おそれのある重大な脆弱性2件を直したPHP 8.5.12、8.4.27、8.3.36、8.2.35を公開し、すべての利用者にすぐ更新するよう求めた。脆弱性はメモリ不足の処理に関するCVE-2026-109618と、リクエストをまたいで古い内部状態が残るCVE-2026-109619で、どちらもCVSS v4.0で9.2。Webのリクエストを処理するPHP全般（PHP-FPM、Apacheのmod_php、php-cgi、FrankenPHP、LiteSpeed）が対象で、開発チームはmod_phpの危険が最も高いとし、認証なしのリクエストでアプリケーションのコードが動く前に攻撃が成立する攻撃コードを確認したとしている。8.1以前は公式の更新がなく、7.4・8.0・8.1向けにはソースへの最小限の修正だけを提供した。Linuxの配布元には事前に修正が渡されている。完全な回避策はなく、更新だけが安全な選択だとしている。10月22日にはIPAとJPCERT/CCが注意喚起を出し、JVNもJVNVU#99905564を公開した。米CISAは、公表の時点で悪用を観測していないとしている。侵入が確定したという発表は、10月22日13時45分時点で見当たらない。レンタルサーバーは多くの事業者が適用の完了を知らせたが、まだ完了を知らせていない事業者もある。当サイトの結論：PHPを使うサイトは、自分で更新するのか事業者が更新するのかを確かめ、今日のうちに修正版へ上げる。レンタルサーバーでは、各社の完了のお知らせを公式サイトで確かめる。
Metabaseの脆弱性を悪用した情報漏えい（Trezor約8万人ほか）：住所や連絡先が漏れた人と、分析ツールを運用する人がやること
2026年8月、BI（ビジネスインテリジェンス）・分析ツール Metabase の認証なしSQLインジェクション（CVE-2026-72898、CVSS 10.0）が、修正版の公開前から悪用されていたことが分かった。Metabase は自社のクラウド版の利用者の一部（3%未満）と、インターネットから到達できる自前運用のインスタンスが侵害されたと公表している。影響を公表した組織には、暗号資産のハードウェアウォレットを販売する Trezor（物流委託先の分析環境から、注文者 80,689人の氏名・住所・電話番号・メールアドレスなど）、ノートPCの Framework、自動化ツールの n8n、Anaconda 傘下の Kilo Code、ウォレット基盤の Privy などがある。当サイトの結論：漏れた範囲は、侵入された分析ツールがその時点で読めたデータの範囲と一致している。Trezor の利用者はウォレットのバックアップ（リカバリーシード）を誰にも入力・提供せず、自宅住所が知られた前提で郵便や電話の指示にも従わない。分析ツールを運用する側は、修正版への更新に加えて、ツールに読ませるデータを分析に必要な列だけに絞る。
英国の登記所Companies HouseのWebFiling不具合：ログインした人が他社の非公開情報を見られた問題と、取締役・開発者がやること
英国の会社登記所Companies Houseは2026年3月13日、WebFilingにログインした登録利用者が、特定の操作をすると他社の情報を見たり変更したりできる可能性がある問題を把握し、同日13時30分にサービスを停止、3月16日9時に再開した。同機関によれば、原因は2025年10月11日の大規模なシステム更新で入った不具合（defect）で、外部からのサイバー攻撃ではない。見えた可能性があるのは、取締役と重要な支配権を持つ者（PSC）の生年月日の『日』、自宅住所、会社の登録メールアドレスで、同意のない届け出（新しい決算書や取締役の変更など）も技術的には可能だった。パスワード、本人確認のデータ、既存の届け出書類は影響を受けていない。4月8日の更新では、ごく少数の不正アクセスや変更の試みを確認したとしている。これは外部からの侵入ではなく、認可（アクセス権の確認）の不具合だ。ログインの確認は機能していたが、その利用者がこの会社の情報を扱ってよいかの確認が抜けていた。取締役は届け出履歴を確かめ、届け出があるたびにメールが届くFollowに登録する。開発者は、他人のデータを要求したら拒否されることを、更新のたびにテストで確かめる。
MOVEit 大規模情報漏えい（2023）— SQLインジェクションのゼロデイが2,700社超に波及した原因と防御
入口はインターネット公開のファイル転送製品MOVEit TransferのSQLインジェクションのゼロデイ（CVE-2023-34362）。Web shell（LEMURLOOT）が仕込まれ背後のDBからデータが一括窃取され、2,700社超・約9,330万人分が流出。多くの被害者は委託先・取引先がMOVEitを使っていたことで間接的に巻き込まれた。あなたの環境ではKEV即時パッチ・公開面の最小化・Web↔DBの最小権限と分離・委託先の棚卸しとデータ最小化で備える。
CORSとは — 仕組みと、設定ミス（CORS misconfiguration）で起きること
CORSは『別オリジンのJSが自分のAPI応答を読めるか』をブラウザが制御する仕組み。設定ミス＝任意Originの反射や Access-Control-Allow-Origin:* と認証情報の併用で、第三者サイトからログイン済みデータを読まれる。基本の防御は許可リスト方式・Originを鵜呑みに反射しない・既定で拒否。
セッション固定（Session Fixation）とは：攻撃者が用意したセッションIDでログインさせる攻撃
セッション固定は、攻撃者が用意した既知のセッションIDを被害者に使わせ、ログイン後にそのIDでなりすます攻撃。基本の防御は『ログイン（と権限変化）のたびにセッションIDを再生成する』こと。URLからのID受け取りを禁じ、Cookieには HttpOnly/Secure/SameSite を付ける。
クリックジャッキングとは：透明に重ねたページのボタンを押させる攻撃
クリックジャッキングは、自サイトを透明な iframe で別サイトに重ね、利用者に意図しない操作（送金・設定変更・同意）をさせる攻撃。最も効果的な防御は『自サイトを他サイトの枠に埋め込ませない』＝CSP frame-ancestors と X-Frame-Options。
IDORとは：IDを書き換えるだけで他人のデータが見えてしまう脆弱性
IDORは、?id=124 を 125 に書き換えるだけで他人の請求書・個人情報が見える、アクセス制御不備の脆弱性。基本の防御は『サーバー側で“このログイン中の利用者が、この対象を見てよいか”を毎回チェックする』。推測されにくいIDは対策にならない。
オープンリダイレクトとは：信頼されたサイトのURLから別サイトへ転送される脆弱性
オープンリダイレクトは、?next= 等の遷移先パラメータに外部URLを入れられ、信頼ドメインを踏み台に別サイトへ飛ばせる脆弱性。フィッシングに悪用される。基本の防御は『遷移先に外部URLを受け取らない／許可リストか相対パスだけにする』。
パストラバーサルとは：../ を使ってサーバー上の非公開ファイルを読まれる脆弱性
パストラバーサルは、ファイル名の入力に ../ を混ぜて基準ディレクトリの外へ抜け出し、.env・設定・鍵などを読み書きさせる脆弱性。基本の防御は『利用者入力を生のファイルパスに使わない』『正規化して基準ディレクトリ内に閉じ込める』。
CSRF（クロスサイトリクエストフォージェリ）とは：ログイン中の利用者に意図しない操作をさせる攻撃
CSRFは、ログイン中の利用者のブラウザに“本人が意図しない操作”を勝手に送らせる攻撃。ブラウザがCookieを自動送信する性質を悪用する。基本の防御はCSRFトークン＋SameSite Cookie。状態変更にGETを使わないことも重要。
SQLインジェクション（SQLi）とは：入力でデータベースへの命令を書き換えられる脆弱性
SQLiは、入力が“データ”でなく“命令の一部”として解釈され、DBへの問い合わせの意味が変わる脆弱性。読み出し・改ざん・全削除に直結。基本の防御は『文字列連結をやめ、プレースホルダ（プリペアドステートメント）で値を渡す』こと。
XSS（クロスサイトスクリプティング）とは：他人のブラウザで攻撃者のスクリプトが実行される脆弱性
XSSは、攻撃者の用意した文字列が“スクリプトとして”別の利用者のブラウザで実行される脆弱性。セッション窃取・なりすましに直結。基本の防御は『出力時のエスケープ』。フレームワークの自動エスケープを外さないことが最大の対策。
CVEとは：脆弱性に付く共通の識別番号のしくみ
CVEは脆弱性に付く世界共通の識別番号（例 CVE-2025-12345）。同じ脆弱性を皆が同じ名前で参照でき、対策・監視の起点になる。CVE=名前、CVSS=深刻度、KEV=悪用中かで役割が違う。個人は機械監視で追うのが現実的。
CVSSとは：脆弱性の深刻度スコアと、その採点基準
CVSSは脆弱性の深刻度を0.0〜10.0で表す共通スコア。点数は『攻撃元・複雑性・必要権限・利用者関与・影響範囲・CIA』という決められたメトリクスを計算式に通して算出される。基準を知れば10.0の意味も読める。ただし優先度はKEV（悪用中か）と自分が使っているかも併せて判断する。
RCE（リモートコード実行）とは — なぜ最悪クラスの脆弱性なのか
RCEは攻撃者がサーバー上で任意のコードを実行できてしまう脆弱性。情報漏洩にとどまらず乗っ取りに直結する最悪クラス。被害範囲は『そのプロセスの権限』で決まる。防御の要は迅速な更新・CVE監視・最小権限。
SSRF（サーバーサイドリクエストフォージェリ）とは
SSRFは、外部入力のURLを使ってサーバーに内部リソース（内部IPやクラウドメタデータ）にアクセスさせる攻撃。URLを取りに行く機能を作るなら、宛先の許可リスト・内部遮断・リダイレクト/DNS再解決による回避への対策が必須。Capital One事故の原因でもあった。
Equifax 情報漏えい事件（2017）— 未パッチのApache Strutsで1.47億人が漏れた原因と防御
原因は『修正パッチが出ていた既知CVE（CVSS 9.8）を公開システムに当てなかった』こと。監視装置の証明書失効で76日間も持ち出しに気づけず被害が拡大。あなたの環境では資産の棚卸し・パッチSLA・機械監視・検知の健全性で再発防止する。
Heartbleed（CVE-2014-0160）— OpenSSLの不具合でサーバーのメモリ内容が漏れた事件
OpenSSLのメモリ過読み取りで、秘密鍵やセッションまで漏れうる事件。要求した長さより多くメモリを返してしまう実装ミスが原因。教訓は『漏れた前提で動く＝証明書再発行・鍵と秘密の総入れ替え』と、基盤となるソフトウェアの監視・メモリ安全性の価値。
Log4Shell（CVE-2021-44228）— ログ出力ライブラリの脆弱性と、使っているかすぐに確認できなかった理由
Log4jの脆弱性(CVSS 10.0)。核心は『間接的な依存（推移的依存）で、知らないうちに使っている』ことの危険。ログ出力という受け身の処理が攻撃経路になった。SBOMと依存の機械監視、迅速なパッチ、追随CVEの追跡が教訓。
XZ Utils バックドア（CVE-2024-3094）— 信頼を得た共同維持者が仕込んだサプライチェーン攻撃
圧縮ライブラリxzに、信頼を得た維持者がバックドアを仕込んだサプライチェーン攻撃。安定版到達寸前で一技術者の『遅い』という違和感が食い止めた。コードでなく『人と信頼』が狙われた。依存の最小化・版固定・再現性・違和感の追跡・維持者支援が教訓。