Vulnerability– category –
-
F5 BIG-IP→Confluence→Active Directory多段侵入｜Microsoft公開の攻撃チェーンとEDR検知ポイント
2026年5月22日、Microsoft Threat Intelligenceが「エッジ機器から企業全体侵害へ：F5とConfluenceを介した多段Linux侵入」と題する詳細なインシデント分析を公開しました。 インターネットに公開されたF5 BIG-IPロードバランサ1台の侵害から、内部Conflue... -
Laravel Langサプライチェーン攻撃｜Packagist侵害4パッケージ最大700版とPHP autoload経由クロスプラットフォーム窃取
PHP/Laravelエコシステムを直撃するサプライチェーン攻撃が、2026年5月22日にAikidoの脅威インテリジェンスチームによって発覚しました。 日本のニュース系媒体では「Linuxマルウェア混入」と報じられた本件ですが、一次情報をたどると実態はクロスプラッ... -
Drupal SQLi脆弱性で米CISAが警告｜CVE-2026-9082 PostgreSQL利用サイト悪用確認とWAFルール対応
PostgreSQLバックエンドでDrupalを動かしているサイト管理者にとって、2026年5月下旬は緊張感のある一週間でした。 Drupalコアの「データベース抽象化API」にSQLインジェクション脆弱性が判明し、米CISAが2026年5月22日付で「悪用が確認された脆弱性カタロ... -
サーバーサイドテンプレートインジェクション（SSTI）とは？仕組み・被害例・対策をわかりやすく解説
「テンプレートエンジンを使っているから開発が速い──でも、入力値の扱いを一つ間違えると、サーバーを丸ごと乗っ取られる可能性がある」と聞いたことはあるでしょうか。 サーバーサイドテンプレートインジェクション（SSTI: Server-Side Template Injecti... -
JWTの脆弱性と安全な実装方法｜alg:none攻撃・署名偽造の仕組みと対策を解説
WebアプリケーションでJWT（JSON Web Token：ジェイダブリューティー）を導入している現場のエンジニアの方、「JWTを使えば認証は安全」と思い込んでいませんか？実は、JWTには仕様上の落とし穴が複数あり、ライブラリの設定ひとつのミスがシステム全体の... -
安全でないデシリアライゼーションとは？仕組み・被害例・対策をわかりやすく解説
サーバーに届いたデータを「そのままプログラムに渡している」だけで、リモートからサーバーを完全制御される——そんな攻撃が実際に起きています。 それが「安全でないデシリアライゼーション（Insecure Deserialization）」です。SQLインジェクションやXSS... -
Log4Shell（CVE-2021-44228）とは？仕組み・影響範囲・対策をわかりやすく解説
2021年12月、セキュリティ業界に衝撃が走りました。Javaアプリケーションが広く使うログ出力ライブラリに、認証なしでリモートからコード実行（RCE）が可能な致命的な脆弱性が発見されたのです。 この脆弱性は「Log4Shell」と呼ばれ、脆弱性の深刻度を示す... -
Storm-2949が単一ID窃取からM365/Azure全体侵害に至った全手口｜MITRE ATT&CKマッピングと検知ルール
「マルウェアを置かない、正規API経由で完結する、検知の網に最も引っかからない」──2026年5月18日にMicrosoft Threat Intelligence (MSTIC) が公表した攻撃クラスタ Storm-2949 は、防御側の前提を根本から揺さぶる事例でした。攻撃者は誰一人ファイルを... -
JPCERT注意喚起：Apex One等トレンドマイクロ複数脆弱性～影響範囲とパッチ優先度
2026年5月21日、JPCERT/CC が「トレンドマイクロ製 Apex One における複数の脆弱性に関する注意喚起」（at260014）を公開しました。対象は Apex One（オンプレ）、Apex One as a Service、Vision One Endpoint Security - Standard Endpoint Protection の... -
オープンリダイレクト脆弱性とは？仕組み・悪用手口・対策を現場目線で解説
「脆弱性診断でオープンリダイレクトが検出されたが、具体的にどんな被害が出るのか、どう修正すればいいのかがわからない」――Web開発や情シスの現場でよく聞く悩みです。 オープンリダイレクトは、SQLインジェクションやXSSほど知名度がなく「軽微な脆弱...
