Vulnerability– category –

「自社サイトのソースコードに、何年も前に貼った外部スクリプトのタグが、まだ残っているかもしれない」。そう言われて、すぐに「ない」と言い切れる方は意外と少ないものです。2026年5月末から、国内の有名企業のサイトで、身に覚えのない認証ダイアログ...

「自社で使っているソフトの中身なんて、ほとんど見たことがない」。そう感じた方こそ、今回の話は落ち着いて読んでほしい内容です。私たちが日々使うシステムの土台には、無数のオープンソースソフトウェア（OSS＝誰でも中身を見られ、無償で使える共有の...

「ログを集めて監視しているSplunkが、まさか侵入の入り口になるなんて」。そう感じた方こそ、今回の話は急いで読んでほしい内容です。守りの中心であるはずのログ監視基盤そのものに、認証なしで遠隔からコードを実行できる深刻な欠陥が見つかり、しかも...

「EDRを入れたから、もうエンドポイントは大丈夫」。そう考えていた現場ほど、今回の話は一度立ち止まって読んでほしい内容です。攻撃者は、EDR（Endpoint Detection and Response＝端末上の不審な挙動を検知して対応する仕組み）が動いていることを前提に...

「MongoDBに移行したからSQLインジェクションの心配はない」──そう安心しているシステムが、実際には似たような攻撃で認証を突破される事例が増えています。 NoSQLデータベースはSQLを使わないため「SQLインジェクション」は通じません。しかし独自のクエ...

ファイルをインクルード（読み込み）する機能は、コードの再利用という意味でウェブアプリ開発では当たり前に使われます。でも、その「読み込み元をユーザーが指定できる」実装になっていたらどうなるか——攻撃者は自分のサーバーに置いた悪意あるファイル...

社内で使っていた開発環境やステージングサイトを外部クラウドから移行したとき、古いサブドメインのDNSレコードをそのまま残してしまっていませんか？その「消し忘れ」が、攻撃者に自社の正規ドメイン配下のページを乗っ取られる原因になります。 この記...

2026年6月9日（日本時間）、暗号通信ライブラリ「OpenSSL」に18件の脆弱性が見つかり、修正版が一斉にリリースされました。OpenSSLはHTTPS通信やメール暗号化、VPNなど、SSL/TLSを使うあらゆる場面で動いている「縁の下の基盤」です。Webサーバーだけでな...

「パスワードリセットのリンクが届いた。でもURLのドメインが正規のものじゃない」 もしそんな報告が社内から上がってきたら、HTTPホストヘッダーインジェクションが原因の可能性があります。 HTTPの ヘッダーは、クライアントが「どのサーバーに接続した...

最近、GraphQLを使ったAPIを構築するプロジェクトが急速に増えています。スマートフォンアプリのバックエンドやモダンなWebサービスで採用が広がり、GitHubやShopifyなど大手サービスも本番環境で活用しています。しかし「GraphQLのセキュリティリスクって...