Vulnerability– category –

「メールゲートウェイは外と内の境界で守ってくれる安全装置」——多くの企業情シスがそう信じてきました。しかし2026年5月、その安全装置そのものが侵入経路に化けるという深刻な事態が、国内ユーザーの多いGUARDIANWALL MailSuiteで現実になりました。 JPC...

社内システムやWebアプリのAPIを見ていると、こんなURLに気づくことがあります。/api/users/123/profile というエンドポイントで、自分のユーザーIDが「123」なら、「124」に変えたら別のユーザーの情報が取れてしまうのでは？という疑問です。 この疑問が...

「うちのWebサイトはnginxで動いている。今回の18年バグ、本当に影響あるのか」 — 2026年5月13日にF5とdepthfirstが調整公表したNGINX Rift（CVE-2026-42945）は、まさにこの一言で問い合わせが殺到している脆弱性です。 nginxは世界Webサーバーシェアで約...

Gmail を業務で使っている会社は多いです。 「Scanned by Gmail」というラベルが添付に出ていれば、なんとなく安心していました。私もそう思っていました。 ところが2026年5月11日、その前提を揺るがすリサーチが公開されました。Gmail のスキャナーがウイ...

Webアプリケーションの裏側に潜む「見えない通信の隙間」を攻撃者が突いてくる——そんな脅威が、HTTPリクエストスマグリングです。 近年、大手クラウドサービスやCDNのバグバウンティプログラムで高額報酬案件として注目を集めており、クラウドネイティブな...

「バッファオーバーフロー」という言葉は聞いたことがあるけど、実際にどんな仕組みで攻撃されるのか、よくわからない。 そんなふうに感じているエンジニアは多いと思います。バッファオーバーフローは1988年のMorrisワーム以来、繰り返し悪用されてきた脆...

「XMLを使ったAPIがあるけど、セキュリティって特別に何か気をつけることある？」 そう聞かれたとき、「パラメータのバリデーションをしておけば大丈夫」と答えてしまうエンジニアは少なくありません。しかし、XMLを処理するシステムには、バリデーション...

「問い合わせフォームやCMSでファイルアップロード機能を提供しているが、悪用されないか心配」「Webシェルという言葉を聞いたがどんな被害につながるのか把握できていない」――こうした不安を抱える情シス担当者や開発者は少なくありません。ファイルアッ...

「APT攻撃」という言葉をニュースやセキュリティレポートで目にする機会が増えましたが、「標的型攻撃と何が違うのか」「自社のような中小企業にも関係があるのか」と疑問を持つ情シス担当の方は多いのではないでしょうか。APT攻撃は大企業や官公庁だけの...

「導入しているソフトウェアは正規品だし、アップデートも公式サイトから適用している」――その安心感が、サプライチェーン攻撃の狙い目になっています。正規のソフトウェアや信頼している取引先を経由して攻撃が仕掛けられるため、従来のセキュリティ対策...