毎朝3分！セキュリティRadio

■ 今日のハイライト 今日はインフラエンジニア必須の重要アップデート情報をお届けします。 ▼ CVE-2026-27586：Caddy WebサーバーのmTLS認証回避 人気のWebサーバー「Caddy」で、CA証明書の設定不備がある場合に認証が「素通り」してしまう（Fail Open）深刻な脆弱性が発見されました。また、管理APIの設定書き換え脆弱性（CVE-2026-27589）も報告されています。 ・影響：認証の無効化、設定の乗っ取り ・対策：最新版への即時アッ...

■ 今日のハイライト 2026年2月25日、本日はWeb開発者やツール利用者に影響の大きい脆弱性情報をお届けします。特にCraft CMSでの高度な攻撃手法と、yt-dlpでのコマンド実行リスクに注目です。 ▼ Craft CMS：複数の脆弱性 Webサイト構築で人気のCraft CMSに3つの脆弱性が報告されました。 (1) CVE-2026-27128：トークン使用制限の回避 競合状態（Race Condition）を利用し、チェック処理と更新処理の間の隙を突くことで、制限以上の...

■ 今日の歴史解説 今日は「NotPetya (2017)」を振り返ります。 ▼ 何が起きた？ ウクライナの会計ソフト経由で拡散。世界で100億ドル（約1兆円以上）の被害を出した、史上最も破壊的なサイバー攻撃と呼ばれるインシデントです。 ▼ ここがポイント (1) サプライチェーン攻撃 正規のソフトウェアアップデートを悪用して侵入しました。 (2) 凶悪な拡散力 「EternalBlue」という脆弱性攻撃ツールと、認証情報を盗む機能を組み合わせ、ネ...

■ 今日の歴史解説 今日のテーマは「Emotet（エモテット）テイクダウンと復活 (2021-2022)」です。 世界最凶と呼ばれたマルウェアが、国際的な警察の捜査で一度は壊滅しながらも、なぜゾンビのように蘇ったのか。その経緯と、私たちがそこから学ぶべき教訓を解説します。 ▼ エピソードのポイント ・2021年1月、国際作戦「オペレーション・レディバード」による劇的な壊滅 ・そのわずか10ヶ月後、別のボットネット経由での復活劇 ・...

今週（2026/2/15〜2/22）のセキュリティニュースを3分で振り返り！急速に普及するAIツールや、企業インフラの要となるNAS製品に重大な脆弱性が相次ぎました。 【今週のハイライト】 ■ AIエージェント・開発基盤の落とし穴 ・OpenClaw：Webフック認証回避やコンテナエスケープなど、20件以上の修正 (CVE-2026-27488, CVE-2026-27002 他) ・Google Cloud Vertex AI：XSSおよびRCEの可能性 (CVE-2026-2472, CVE-2026-2473) ■ インフラ...

■ 今日のハイライト 今日は開発者ツールやAIライブラリに関する緊急性の高いセキュリティニュースを3点ピックアップしてお届けします。 ▼ Dagu：デフォルト設定で認証なしRCE Go言語製ワークフローエンジン「Dagu」において、デフォルト設定のままAPIを使用すると、認証なしで任意のコマンドが実行可能な状態であることが判明しました。 ・影響：サーバーの完全な乗っ取り ・対策：認証の有効化、ネットワーク制限 ▼ NPMパッケージ...

■ 今日の用語解説 今日は「EDR (Endpoint Detection and Response)」について解説します。 ▼ EDRとは？ PCやサーバーなどの「エンドポイント」における脅威の検知と事後対応を支援する仕組みです。 ・従来のアンチウイルス(EPP)が「侵入を防ぐ」ものなら ・EDRは「侵入された後に素早く見つけて対処する」ものです。 ▼ なぜ重要なのか？ (1) マルウェアの高度化（すり抜けの増加） (2) テレワークによる境界防御の限界 (3) 被害拡...

■ 今日の用語解説 今日は「多要素認証 (MFA)」について解説します。 ▼ 多要素認証 (MFA) とは？ アクセス時に「知識」「所持」「生体」という3つの要素のうち、2つ以上を組み合わせて本人確認を行う仕組みです。 ▼ 認証の3要素 (1) 知識情報 (Knowledge)：パスワードなど「知っていること」 (2) 所持情報 (Possession)：スマホやトークンなど「持っているもの」 (3) 生体情報 (Inherence)：指紋や顔など「自分自身」 ▼ なぜ重要な...

■ 今日の用語解説 今日のテーマは「フィッシング (Phishing)」です。 ▼ フィッシングとは？ 実在する組織や個人になりすまし、偽のWebサイトへの誘導やマルウェア付きの添付ファイルを通じて、ID・パスワード・クレジットカード情報などの機密情報を盗み出す攻撃手法です。 ▼ エンジニアが押さえておくべきポイント (1) 攻撃の進化 単なる「ばらまき型」から、特定の個人を狙う「スピアフィッシング」や、経営層を狙う「ホエリング...

■ 今日の用語解説 今日は「セッションハイジャック」について解説します。 ▼ セッションハイジャックとは？ ユーザーとサーバーの接続状態（セッション）を管理する「セッションID」を攻撃者が盗み出し、正規ユーザーになりすます攻撃手法です。 パスワードが破られていなくても、ログイン後の「鍵」であるIDが盗まれれば、アカウントは乗っ取られてしまいます。 ▼ 主な攻撃手法 (1) 盗聴（スニフィング）：暗号化されていない通信...

■ 今日の用語解説 今日は「ランサムウェア」について解説します。 ▼ ランサムウェアとは？ 感染したPCやサーバーのデータを暗号化し、復旧の対価として身代金（ランサム）を要求するマルウェアです。 近年はデータを盗み出した上で「公開するぞ」と脅す「二重脅迫」が主流です。 ▼ エンジニアが知るべき攻撃ステップ (1) 初期侵入：VPNの脆弱性やフィッシングメール (2) 内部探索：Active Directory等の権限奪取 (3) 横展開：重要...

■ 今日の用語解説 今日は「サプライチェーン攻撃」について解説します。 ▼ サプライチェーン攻撃とは？ ターゲット企業を直接攻撃するのではなく、取引先や利用しているソフトウェア（ライブラリやツール）を足がかりにして侵入するサイバー攻撃の手法です。 ▼ エンジニアにとっての重要ポイント 特に「ソフトウェアサプライチェーン」のリスクが高まっています。 (1) ライブラリへの混入 npmやPyPIなどのパッケージ管理システムで...

■ 今日のハイライト 今週の締めくくりとして、インフラからAIまで幅広い分野のセキュリティニュースをお届けします。 ▼ Jenkins：情報漏洩とXSSの脆弱性 識別子：CVE-2026-27100, CVE-2026-27099 CI/CDツールのデファクトスタンダードであるJenkinsに、ビルド情報の漏洩と格納型XSSの脆弱性が修正されました。ノードのオフライン理由などの入力値処理に不備がありました。 ・対策：最新のLTS版などへの更新を推奨 ▼ OpenStack Nova...

■ 今日の用語解説 今日は「DNSポイズニング」について解説します。 ▼ DNSポイズニングとは？ インターネット上の住所案内システムであるDNS（Domain Name System）のキャッシュサーバーに、嘘のIPアドレス情報を注入する攻撃手法です。 ▼ なぜ重要なのか？（リスク） (1) ユーザーが正しいURLを入力しても偽サイトへ飛ばされる (2) フィッシング詐欺やマルウェア配布に悪用される (3) 利用者側での検知が非常に難しい ▼ 技術的なポ...

■ 今日の用語解説 今日は、セキュリティの歴史において最も有名かつ危険な脆弱性の一つ、「バッファオーバーフロー」について解説します。 ▼ バッファオーバーフローとは？ プログラムが用意したメモリ領域（バッファ）の容量を超えてデータが入力され、あふれたデータが隣接するメモリを書き換えてしまう現象です。 ▼ 発生するとどうなる？ ・プログラムの異常終了（クラッシュ） ・悪意あるコードの実行（乗っ取り） ・管理者権...

■ 今日のハイライト 今日は開発者・インフラエンジニア必須の重要セキュリティニュースをお届けします。特にAIエージェント基盤とNode.jsエコシステムに大きな動きがあります。 ▼ OpenClawにおける複数の深刻な脆弱性 AIエージェント「OpenClaw」で、RCE、SSRF、認証バイパスなど多数の脆弱性が報告されました。 ・CVE-2026-24764：プロンプトインジェクションによるRCE ・CVE-2026-25474：Telegram Webhookの認証バイパス ・その...

■ 今日の用語解説 今日は「SQLインジェクション」について解説します。 ▼ SQLインジェクションとは？ Webアプリケーションの入力フォームなどを通じて、不正なデータベース操作命令（SQL）を送り込む攻撃手法です。Webセキュリティにおいて最も有名で危険な脆弱性の一つです。 ▼ なぜ重要なのか？（リスク） (1) 情報漏洩：顧客リストやパスワードが盗まれる (2) 認証回避：パスワードなしで管理者としてログインされる (3) データ...

■ 今日の用語解説 今日は「Security Operation Center (SOC)」について解説します。 ▼ SOC（ソック）とは？ 組織の情報システムへの脅威を監視・検知・分析するための専門組織または施設のことです。サイバー攻撃の兆候を24時間体制で見守る、いわば「デジタル空間の監視カメラセンター」です。 ▼ なぜ重要なのか？ (1) 侵入を前提とした対策へのシフト（早期発見の重要性） (2) 膨大なログデータの統合的な分析 (3) 専門家による...

■ 今日の用語解説 今日は「SBOM (Software Bill of Materials)」について解説します。 ▼ SBOMとは？ 「エスボム」と読みます。ソフトウェアを構成するコンポーネントやライブラリ、モジュールのバージョン情報をリスト化した「ソフトウェアの部品表」のことです。 ▼ なぜ重要なのか？ 現代の開発ではオープンソース(OSS)の利用が不可欠ですが、これには「サプライチェーンリスク」が伴います。 (1) 脆弱性対応の迅速化 特定のライ...

■ 今日の用語解説 今日は「ゼロデイ攻撃」について解説します。 ▼ ゼロデイ攻撃とは？ ソフトウェアの脆弱性が発見され、修正プログラム（パッチ）が配布される「前」に行われるサイバー攻撃のことです。 防御側の対策準備期間が「ゼロ日」であることから名付けられました。 ▼ なぜ危険なのか？ (1) 従来のウイルス対策ソフト（パターンマッチング）ですり抜けやすい (2) ベンダーが気づいていない「未知の脆弱性」を突かれる (3)...

■ 今日の用語解説 今日は「トロイの木馬（Trojan Horse）」について解説します。 ▼ トロイの木馬とは？ 一見すると便利なツールや無害なファイル（画像やPDFなど）に見せかけて、ユーザーに実行させることで侵入するマルウェアです。 ▼ ウイルスとの違い ・自己増殖（コピー）を行わない ・ユーザー自身の手で実行させる必要がある ▼ 主な機能 (1) バックドア（裏口）の作成 (2) 外部からの遠隔操作（RAT） (3) 銀行口座情報やパス...

■ 今日の用語解説 今日は「バックドア（Backdoor）」について解説します。 ▼ バックドアとは？ 正規の認証手続きを飛ばして、システムに侵入・操作するために設置された「裏口」のことです。 攻撃者が侵入後に設置する場合もあれば、開発者がメンテナンス用に作ったものが悪用される場合もあります。 ▼ なぜ危険なのか？ (1) 永続性：脆弱性が修正されても、裏口から入り続けられる (2) 隠蔽性：正規の通信を装うため発見が難しい...

■ 今日のハイライト 今日は開発者とインフラ管理者に影響の大きい、3つの主要なセキュリティトピックをお届けします。 ▼ トピック1：GitLabにおけるSSRFと認証回避 GitLabにて、サーバーサイドリクエストフォージェリ（SSRF）や認証回避など、複数の深刻な脆弱性が修正されました。 ・影響：認証済みユーザーによる内部ネットワークへの攻撃や、不正な権限行使の可能性 ・対象：GitLab CE/EEのバージョン18系など ・対策：修正版（...

■ 今日の用語解説 今日は「シャドーIT」について解説します。 ▼ シャドーITとは？ 企業やIT部門が許可・把握していないデバイスやクラウドサービスを、従業員が独自に業務利用することです。 例： ・個人のスマホを業務で使う ・許可されていないチャットツールやストレージを使う ▼ なぜ重要なのか？ 一見、業務効率化に見えますが、企業の管理外であるため重大なリスクになります。 (1) 情報漏洩（設定ミスや退職後のアクセス）...

■ 今日の用語解説 今日は「DDoS攻撃（分散型サービス拒否攻撃）」について解説します。 昨日は目立ったセキュリティ事故がなく平和な一日でしたので、基礎知識の復習回です。 ▼ DDoS攻撃とは？ 世界中の多数の機器から一斉にアクセスを送りつけ、Webサイトやサービスをダウンさせる攻撃手法です。単一犯のDoS攻撃と違い、攻撃元が分散しているため防御が難しいのが特徴です。 ▼ 主な攻撃タイプ (1) インフラ層攻撃（L3/L4） 回線の...