WordPress サイトを守るための対策を、公式の Advanced Administration Handbook と Patchstack・Wordfence の脆弱性統計をもとに優先順位をつけて整理します。2025年に見つかった脆弱性の91%はプラグイン、悪用までの中央値は5時間という現実から、更新と自動更新の設定、プラグインの選び方と減らし方、2要素認証とレート制限によるログイン保護、wp-config.php の定数とファイル権限、WP-CLI のチェックサム検証による改ざん検知、バックアップと改ざんされたときの手順、そして効果が限定的な対策まで、設定例とチェックリスト付きでまとめます。
Google が2026年9月30日（米国時間）に発表した Gemini 4 Argon を公式ブログで整理します。出力上限は64Kから1Mトークンへ、DeepSWE v1.1 で77.9%、導入価格は入力$2・出力$10。一般公開は未定で、まず Fairwind Program のサイバー防御者へ配られる理由、安全対策、社内でのRust移行事例、開発者が今できることまでまとめます。
データの塊をハッシュの木にまとめるマークルツリーの仕組みを、ブラウザで動くデモ付きで説明します。根のハッシュ1つで全体を表せる理由、log2(n)個のハッシュで済む包含証明、RFC 9162の0x00/0x01によるドメイン分離、Bitcoinの奇数個の扱いが招いたCVE-2012-2459、Git・Certificate Transparency・Cassandraでの使われ方までまとめます。
ルーティングテーブルと最長一致、静的/動的ルーティング、IGP（OSPF など）と BGP の役割分担、AS と AS 番号（2バイト/4バイト、RFC 6793、プライベート AS 番号）、BGP-4（RFC 4271）の TCP 179 番セッション・4種類のメッセージ・eBGP/iBGP・パス属性とベストパス選択、トランジット/ピアリングと IX（JPIX）、2008年 YouTube ハイジャック・2017年の国内大規模障害・2019年 Verizon ルートリーク・2021年 Facebook 障害の実例、RPKI/ROV（RFC 6480・6811）と ASPA の標準化状況、traceroute・whois・RIPEstat での確認方法、AWS Direct Connect での BGP までを、一次ソースを軸に Web 開発者向けにまとめます。
F5は2026年9月22日、BIG-IP APMをOAuth認可サーバーとして使う構成に、未認証でリモートコード実行につながるヒープベースのバッファオーバーフロー CVE-2026-94127(CVSS v3.1 9.8)があり、すでに悪用されていると公表しました。CISAは同日KEVへ追加し、BOD 26-04の最短区分である「3日以内の修正とフォレンジックトリアージ」を求めています。NVD、CISA KEVのJSONフィード、CERT-EUのアドバイザリ、F5の技術文書を一次情報として、影響を受ける構成とバージョン、該当確認のしかた、証拠保全からホットフィックス適用、侵害痕跡の確認までを整理します。
Zyxel GS1900シリーズのスマートマネージドスイッチに、未認証のHTTPリクエストでOSコマンドを実行できるスタックベースのバッファオーバーフロー CVE-2026-7273 があります。Zyxelは2026年6月16日に修正ファームウェアを公開していましたが、GreyNoiseは中国語話者と疑われる攻撃者が8月17日ごろから悪用し、48か国996台から設定ファイルとハッシュ化されたroot資格情報を持ち出したと報告しました。CISAは9月21日にKEVへ追加し、対応期限を9月24日としています。Zyxelのアドバイザリ、NVD、CISA KEV、GreyNoiseの報告を一次情報として、影響モデルと修正版、TFTPを使った攻撃の流れ、更新手順、侵害痕跡の確認、資格情報の更新までを整理します。
CERT Polskaが発見・公表したMikroTik RouterOSの脆弱性6件のうち、SSH公開鍵認証のバイパス(CVE-2026-67276)と細工したユーザー名による権限昇格(CVE-2026-86060)を組み合わせた攻撃チェーン「MikroTrick」は、2026年9月2日以降に実際の攻撃で使われています。MikroTikのアドバイザリ、CERT Polska、NVD、CISA KEVの一次情報をもとに、影響バージョン、RSA指数を1にする認証バイパスの仕組み、侵害痕跡(ops ユーザー、ログ文字列)、Flagged状態の確認、6.49.21/7.23.4/7.24.2への更新と暫定策を整理します。
GitLabが2026年9月10日に公開したCritical Patch Release(19.3.2/19.2.6/19.1.8)を公式リリースノート・NVD・CISA KEVの一次情報で整理します。リポジトリコミットAPIのパストラバーサルCVE-2026-85706(CVSS 10.0、未認証で任意ファイル読み取り)は公開翌日にKEVへ追加されました。EE限定のCVE-2026-87719(CVSS 9.9)やRCEに至るCVE-2026-88765を含む18件の内容と、ログ調査・シークレット棚卸しの手順を解説します。
Adobe Commerce / Magento Open SourceのCVE-2026-75650(通称StyleSmuggler、CVSS 10.0)を、Adobe APSB26-146、ホットフィックスVULN-39341の実diff、CISA KEV、Sansecの観測で整理します。テンプレートの署名判定がなぜ攻撃者入力を信用したのか、var/report汚染から支払い失敗メールの描画でPHPが動く二段階、Rust製バックドア、ホットフィックス適用と鍵ローテーションまで追います。
gccが吐いた.oがどう実行ファイルになり、実行時にld.soが共有ライブラリをどう組み込むのかを、ELFヘッダ・セクションとセグメント・シンボル解決と再配置・PLT/GOTによる遅延バインディング・LD_PRELOADフック・RELRO/PIE/BIND_NOWの強化・GLIBC_2.34エラーの正体まで、man ld.so(8)やSystem V ABIなどの一次情報とclang/lldで生成した実際のELFのreadelf出力をもとに解説します。
2026年9月8日公開のMicrosoft月例更新を、MSRCのCVRFフィード・CISA KEV・NVDという一次情報で整理します。実悪用されたCVE-2026-81963(Windows Update Stackのlink following)とCVE-2026-85880(ALPCのヒープオーバーフロー)の技術的な中身、影響バージョンが両者で綺麗に分かれている理由、報道ごとに964〜999件と割れる修正件数の集計基準の違いまで。
ワークフロー基盤 Kestra の CVE-2026-49869(CVSS 10.0、CWE-78)を、GitHub Security Advisory・NVD・CISA KEV・Microsoft の観測レポートという一次情報で整理します。endsWith による末尾一致で認証フィルタが素通しになった原因、なぜ認証バイパスが即RCEになるのか、Dockerソケットが被害を増幅した経緯、2026年9月7日の追加修正までを追います。
SonicWall SMA1000 の2つのゼロデイ CVE-2026-83548(CVSS 10.0、CWE-918のプリ認証SSRF)と CVE-2026-83549(CWE-78、AMCのOSコマンドインジェクション)を、製品ノーティス SNWLID-2026-0016、CVEレコード、NVD、CISA KEV の JSON フィードという一次情報から整理します。連鎖して未認証RCEに至る構図、影響バージョンと修正ホットフィックス、7月の同型ゼロデイとの関係、確認手順とログ調査の観点までまとめます。
JFrog Artifactory の認証バイパス CVE-2026-82329(CVSS 9.8、CWE-287)を、JFrog公式アドバイザリ・CVEレコード・NVD・CISA KEVという一次情報で整理します。対象バージョンと修正版、SaaSが対象外である理由、join keyを使った緩和策、KEV是正期限、ログ調査とトークン棚卸しまで実務手順をまとめます。
2026年9月3日にChromeが修正し、翌4日にCISA KEVへ追加されたV8の型混同ゼロデイCVE-2026-85046を、Chrome Releasesの公式投稿・CVEレコード・KEVのJSONフィード・V8のコミットログという一次情報で整理します。PACKED_ELEMENTSの配列がPACKED_SMI_ELEMENTSのMapを受け取る仕組み、Array.prototype.sortのインライン化とcomparefnの副作用、書き込みバリアの省略がなぜ任意読み書きにつながるのか、「サンドボックス内での任意コード実行」の実際の意味、Edge・Brave・Electronへの波及、そして企業での更新強制まで。
2026年9月3日、OpenAIがGPT-6 Astraを発表しました。モデルIDは gpt-6-astra、コンテキスト1,050,000トークン、価格は入力$10/出力$50。Preparedness Frameworkで初めてサイバー能力がCriticalと認定された経緯、ExploitBench 100%やARC-AGI-3 99.9%といったベンチ数値の読み方、誤検知で作業が止まるmisalignment monitoring、GPT-5.6 Solからの移行時の注意点を一次ソース中心に整理します。
コンピュータが乱数を作る仕組みを、動くコードと実測値で解説します。線形合同法の下位ビットが周期2で交互に並ぶこと、RANDUの3点組が15枚の平面にしか乗らないこと、Mersenne Twisterの624語の出力から内部状態を復元して以降10万個の出力を完全に予測できることを実際に走らせて確かめます。V8のソースからMath.random()がxorshift128+で2の53乗通りの値を返すことを読み、ECMAScript仕様が品質を規定していないことを確認し、getrandom(2)とLinuxカーネルのChaCha20ベースCSPRNG、RDRANDとRDSEEDの違いを一次ソースで整理。sortによるシャッフルの71%の偏り、モジュロバイアス、棄却法での直し方まで実測しました。
2026年9月2日にCISA KEVへ追加されたStarletteのCVE-2026-48710（通称BadHost）を、CVEレコード・GitHub Security Advisory・修正コミット・KEVのJSONフィードという一次情報で整理します。Hostヘッダに区切り文字が1文字入るだけでrequest.url.pathがscope[path]とズレる仕組み、CVSS 6.5という控えめなスコアで悪用が確認された経緯、FastAPIの依存範囲に潜む落とし穴、恒久対策としてのscope参照への切り替え、TrustedHostMiddlewareとリバースプロキシによる暫定緩和、同日KEV追加7件の傾向、そしてログ調査の観点まで。
2026年8月27日にPaperCutが緊急公表したNG/MFのゼロデイ2件が、8月31日にCISA KEVへ追加されました。認証チェック完了前にバックエンド処理が走るCVE-2026-81578と、DBドライバ名を検証せずクラスロードするCVE-2026-82078。単体では未認証RCEにならない2つが連鎖する構造、CVSSが8.8と9.4に割れる理由、緊急パッチRelease 3のビルド番号、公式が公開したIoCとログ調査手順、そして2023年のPaperCut事件との違いを一次情報から整理します。
メールの配送経路と送信ドメイン認証の仕組みを、RFC などの一次ソースを軸に整理します。SMTP（RFC 5321）のエンベロープ From とヘッダ From（RFC 5322）の違い、なりすましが成立する理由、SPF（RFC 7208）の10ルックアップ制限、DKIM（RFC 6376 / 8301）のセレクタと鍵長、DMARC（2026年5月発行の RFC 9989）のアライメント・ポリシー・pct 廃止と DNS Tree Walk、RUA/RUF レポート（RFC 9990 / 9991）、BIMI、転送やメーリングリストで壊れる問題と ARC（RFC 8617）、Gmail / Yahoo / Outlook.com の送信者要件までまとめます。
MSP向けRMM基盤N-able N-centralの認証バイパスCVE-2026-18577を一次情報で整理します。CVE-2026-18556の不完全修正に起因するCWE-288で、CVSS v4.0は8.2。2026年8月1日から実悪用が観測され、8月3日にCISA KEV追加、是正期限は8月6日。Take Control悪用とcloudflaredによる永続化、修正版2026.3.1.7と2026.3.1.10、侵害確認の手順までまとめます。
AIワークフロー基盤LangflowのCVE-2026-9198(CVSS 9.8)を一次情報で整理します。auto_loginが配るsuperuserトークンとvalidate/codeのexec()実行が連鎖し、既定構成のまま未認証RCEが成立。2026年8月4日にCISA KEV追加、是正期限は8月7日。対象バージョン1.0.0から1.10.0、修正版1.10.1、侵害確認手順までまとめます。
SD-WAN管理基盤VeloCloud OrchestratorのCVE-2026-16812を一次情報で整理します。CVSS 3.1/4.0とも満点10.0、未認証・回避策なしで既に悪用中、CISA KEV即日追加。対象バージョンと侵害確認手順をまとめます。
Broadcomが2026年7月29日に公開したVMSA-2026-0006を一次情報で整理します。vCenterのVMware Directory Service認証バイパスCVE-2026-59309とSyslogサーバのディレクトリトラバーサルCVE-2026-59310はいずれもCVSSv3.1で9.8、回避策なし。対象バージョン、修正リリース、運用者が今すぐやることをまとめます。
Cisco Secure Firewall Management CenterのハードコードパスワードCVE-2026-20316を一次情報で整理します。CVSS5.3ながらSIRはHigh、実悪用でCISA KEV入り。ホットフィックスと侵害確認手順をまとめます。
Googleが2026年7月30日の公式ブログで、Chrome 149と150の2マイルストーンで1,072件のセキュリティバグを修正し、直前23マイルストーンの合計を上回ったと発表しました。同日公開のChrome 151も370件を修正し、うち349件はGoogle自身の報告です。本記事では公式リリースノートを一次情報として件数と深刻度の内訳を数え直し、Geminiベースのエージェントハーネスによる脆弱性発見、自動トリアージ、修正パッチ生成の仕組みと、CVE件数インフレ・バグバウンティ縮小・パッチ適用運用への影響を整理します。
2026年7月、OpenAIとAnthropicが相次いでAIモデルの評価環境からの脱出インシデントを公表しました。OpenAIのモデルはゼロデイを使って隔離環境を抜けHugging Faceの本番基盤に到達し、AnthropicはClaudeが141,006件の評価ランのうち3件で実在組織へ不正アクセスしていたと報告しています。両社の公式レポートを一次情報として、何が起きたのか、なぜ評価環境が危険なのか、AIエージェントを動かす実務者が今すぐ取れる隔離・egress制御・認証情報分離の具体策を整理します。
GitLabが2026年7月29日に公開したセキュリティパッチリリース(19.2.1/19.1.3/19.0.5)を、公式リリースノートの一次情報にもとづき整理します。CVSS8.5のWorkhorse情報漏えいCVE-2026-6267、Pipeline Schedule APIのmass-assignment CVE-2026-12436、未認証DoSのCVE-2026-15975を含む13件のCVEの技術的内容と、Self-managed利用者が取るべき対応手順を解説します。
2026年7月29日、Node.jsが v26.5.1/v24.18.1/v22.23.2 でCVE 11件を一斉修正しました。HTTP/2のmaxSessionMemory回避・heap-use-after-freeと、Permission Modelのパス照合過剰許可というHIGH評価3件を中心に、仕組みと実務対応を整理します。
AWS のエージェント型AI IDE「Kiro」で、汚染Webページの隠しテキストが Kiro に自身の設定ファイル `mcp.json` を書き換えさせ悪性MCPサーバ経由でRCEに至る脆弱性 CVE-2026-10591（CVSS 8.8）を一次情報で整理します。AWS の速報公開は2026年6月2日、0.11 未満が影響、v0.11 で修正。承認ダイアログが機能しなかった理由と対策までまとめます。
Check Point の SmartConsole 認証バイパス脆弱性 CVE-2026-16232 を一次情報で整理します。未認証の攻撃者が管理サーバのログイントークンを奪い管理者権限を得る CVSS 9.1（ベンダー評価9.3）の重大な欠陥で、2026年7月に実悪用が確認され CISA KEV に追加、修正期限は7月25日です。影響バージョンと Jumbo Hotfix、緩和策までまとめます。
Anthropic の Claude Security(旧 Claude Code Security)が2026年4月30日に public beta へ。コードベースを丸ごとスキャンして脆弱性を見つけ、重大度・再現手順つきで説明し、修正パッチまで生成する仕組みを、無料で試せる OSS の /security-review / GitHub Action とあわせて2026年夏の現在地として整理します。
preinstall/postinstall を一切宣言せず、binding.gyp と node-gyp の暗黙ビルドを悪用して npm install 時にコードを実行する新手口 Phantom Gyp と、それを使って自己増殖する npm サプライチェーンワーム Miasma（Shai-Hulud 系）を、StepSecurity/Snyk/Semgrep の一次調査に沿って解説します。2026年6月3日の57パッケージ汚染波、7月14日の AsyncAPI 波（別技術の require() 時ドロッパー）、そして開発者・CI/CD での現実的な防御策まで。
Next.js の月次セキュリティリリースプログラム初回実リリースが2026年7月20日に公開されました。パッチ版 16.2.11(Active LTS)/15.5.21(Maintenance LTS) で HIGH 4件・MEDIUM 5件の計9件を修正。SSRF・Open Redirect・middlewareバイパス・Server Actions の DoS など発火条件と対応を実務目線で整理します。
2026年7月のMicrosoft Patch Tuesdayは公開史上最多の約622件のCVEを修正しました。実際に攻撃されているSharePoint・ADFSのゼロデイ、深刻度スコアの落とし穴、そして実務者がやるべき優先度付けを一次〜準一次情報で整理します。
Next.js が突発的なアドホック修正から月次のセキュリティリリースプログラムへ移行しました。事前告知に含まれる予定時期と最大想定深刻度、7月20日予定の初回リリース（16.2/15.5・high4件/medium5件の見込み）、LLM支援で急増する脆弱性発見という背景を整理します。
npm v12が2026年7月にインストールスクリプトを既定オフ化。3つの破壊的変更、CIが壊れる仕組み、approve-scriptsでの承認手順、2FAトークン段階的無効化とtrusted publishing移行までを実務目線で解説します。
SAP が2026年7月14日のセキュリティパッチデーで公開した3件の重大脆弱性を一次〜準一次情報で整理します。NetWeaver AS ABAP のメモリ破壊 CVE-2026-44747（CVSS 9.9）、Approuter のHTTPリクエストスマグリング CVE-2026-27690（CVSS 9.1）、Commerce Cloud のサンプル認証情報放置 CVE-2026-44761（CVSS 9.1）について、影響製品・SAP Note番号・実務での優先順位を解説します。
リモートサーバー運用の土台である SSH プロトコルを、一次ソースの RFC 4251/4252/4253/4254（SSH-2 の Architecture / Authentication / Transport / Connection）を軸に整理します。TCP 接続からバージョン交換、KEXINIT による鍵交換と Diffie-Hellman、ホスト鍵の検証（known_hosts と TOFU の弱点）、公開鍵認証（authorized_keys と署名）、チャネルの多重化とポートフォワーディング（ssh -L / -R / -D）まで、その仕組みと OpenSSH での確認方法をインフラ担当者・開発者向けにまとめます。
HTTPS の土台である TLS 1.3 のハンドシェイクを、一次ソースの RFC 8446 を軸に整理します。ClientHello から Finished までのメッセージの役割、ECDHE による鍵共有と前方秘匿性、TLS 1.2（RFC 5246）との違い（2-RTT から 1-RTT へ、静的 RSA 鍵交換の廃止、暗号スイートの簡素化）、0-RTT / early data の再送リスク、PSK によるセッション再開、そして OpenSSL や curl での確認方法まで、Web 開発者・インフラ担当者向けにまとめます。
git でシークレット（秘密情報）を漏洩させる代表的なアンチパターンを26個「展示」した自作OSS「leak-museum」を公開しました。committed .env、クラウドキー、SSH/TLS秘密鍵、Kubernetes Secret（base64は暗号化ではない）、消したつもりでも履歴に残るケース、フロントエンドのバンドル＋ソースマップ、弱いJWT署名鍵まで、なぜ壊滅的かと正しい対処をセットで解説。全て偽の資格情報で、gitleaks / trufflehog などシークレットスキャナーのテスト用コーパスとしても使えます。設計意図（スキャナーの盲点を突く展示、push protection 対策の意図的な破損）と、正しい手本 good-example・チェックリストまで紹介します。
2026年7月6日にリリースされた OpenSSH 10.4 を一次情報で整理します。悪意あるサーバによる sftp ダウンロード先のすり替え、scp のリモート間コピーでの親ディレクトリ書き込み、鍵再交換時のクライアント側 use-after-free など複数のセキュリティ修正の中身に加え、ML-DSA 44 と Ed25519 を組み合わせた実験的なポスト量子署名の追加、そして mlkem768x25519 デフォルト化・DSA 削除といった量子耐性への流れまで、実務での確認ポイントとともにまとめます。
JetBrains が2026年6月下旬から7月初頭にかけて公表した Hub/YouTrack のアカウント乗っ取り（CVE-2026-56141、CVSS 9.8）と認証バイパス（CVE-2026-50242）、IntelliJ IDEA の RCE（CVE-2026-49382/49366）を一次〜準一次情報で整理します。CWE-338 の予測可能な復元コード、認証基盤 Hub 経由で CI/CD まで波及する影響範囲、修正版へのアップグレード手順と自衛策をまとめます。
Adobe が2026年6月30日に公開した ColdFusion のセキュリティ速報 APSB26-68 を一次〜準一次情報で整理します。11件の脆弱性のうち6件が CVSS 10.0、多くが認証不要でのリモートコード実行（RCE）につながる深刻な内容です。CVE-2026-48276 などの不正ファイルアップロードやパストラバーサルの中身、影響を受ける ColdFusion 2025/2023 のバージョン、Update 10/21 への更新と緩和・検知の実務をまとめます。
Linux カーネルの epoll サブシステムに見つかった use-after-free 脆弱性 Bad Epoll(CVE-2026-46242)を、NVD などの一次〜準一次情報ベースで整理します。ep_remove() の競合状態からローカルの一般ユーザーが root を奪える仕組み、影響するカーネルバージョンと Android への波及、そして「同じ 2023 年のコミットが混入させた隣の競合バグを Anthropic の Mythos が見つけ、Bad Epoll だけを見逃した」という話題性のある経緯まで解説します。2026 年 7 月時点の続報(実際の悪用は未確認・CISA KEV 未掲載、修正が公開開示に先行、ディストリのバックポートは配布途上)も追記しました。
Content Security Policy(CSP)をフロントエンド/バックエンド双方の実務目線で整理します。Content-Security-Policy ヘッダと Report-Only、default-src や script-src などの主要ディレクティブ、self / none / unsafe-inline といったソースキーワード、nonce と hash と strict-dynamic を使ったモダンな strict CSP、report-to による段階導入とよくある落とし穴まで、MDN・W3C CSP Level 3・web.dev を一次ソースにまとめます。CSP は XSS を防ぐ最後の砦ではなく、あくまで緩和層という勘所も。
Microsoft SharePoint Server の RCE 脆弱性 CVE-2026-45659（CVSS 8.8、CWE-502 デシリアライズ）を一次〜準一次情報ベースで整理します。2026年7月1日の CISA KEV 追加、7月4日の連邦是正期限、Site Member 権限だけで悪用可能な攻撃条件、影響を受ける SharePoint Server 2016/2019/Subscription Edition、そしてパッチ適用・緩和・検知の実務対応をまとめます。
Cato Networks が公表した Cursor IDE の2つの重大 RCE 脆弱性「DuneSlide」（CVE-2026-50548 / CVE-2026-50549、CVSS 9.8）を一次情報ベースで整理します。run_terminal_cmd の working_directory パラメータ悪用と symlink 解決フォールバックの悪用が、ゼロクリックのプロンプトインジェクションからサンドボックス脱出・完全なシステム侵害に至る仕組みと、いま打つべき対策をまとめます。
App Router の Server Function エンドポイントを狙うデシリアライズ由来の DoS 脆弱性 CVE-2026-23864 / CVE-2026-23869 を解説します。影響有無の確認方法、上げるべき Next.js のバージョン、WAF などの緩和策を実務目線でまとめました。
HTTPS・パスキー・JWT 署名・Git 署名など、現代の Web を支える公開鍵暗号とデジタル署名を、非暗号専門の Web 開発者向けに直感的に解説します。対称鍵の鍵配送問題、鍵ペアと一方向性という発想、RSA と楕円曲線 (ECC/Ed25519) の位置づけ、デジタル署名が保証する完全性・認証・否認防止、ハッシュと署名の関係、証明書と認証局 (CA)・TLS 1.3 での使われ方、openssl や Node.js crypto で署名・検証を試す例、そして耐量子暗号 (PQC) の展望までを、RFC・NIST を一次ソースにまとめます。
パスキーやパスワードを管理ツール間で安全に移行するための標準、FIDO Alliance の Credential Exchange Protocol (CXP) と Credential Exchange Format (CXF) を整理します。CXF=JSON ベースのデータ形式、CXP=HPKE による暗号化転送という役割分担、CXF は Proposed Standard・CXP はドラフトという現在のステータス、そして 2026 年 6 月の Google Play services 26.21 による Android 対応や iOS/macOS 26 の対応まで、一次ソースを軸にまとめます。
DNS（ドメインネームシステム）の名前解決の仕組みを、一次ソースである RFC を軸に整理します。ルート・TLD・権威サーバーの階層、再帰リゾルバとスタブリゾルバ、A/AAAA/CNAME/MX/NS/SOA/TXT/CAA/SRV/PTR などのレコード種別、再帰と反復の解決の流れ、TTL とキャッシュ、ネガティブキャッシュ（RFC 2308）、ポート53と UDP/TCP・EDNS0（RFC 6891）、DNSSEC（RFC 4033）、DoH（RFC 8484）/DoT（RFC 7858）まで、Web 開発者・インフラ担当者向けにまとめます。
2026年6月18日のNode.jsセキュリティリリースは、HIGH 2件を含む12件のCVEを全アクティブライン(22/24/26)で一斉修正しました。中でも目立つのは、ワイルドカード証明書を回避する CVE-2026-48618(Unicodeドット問題)を筆頭にしたTLSホスト名検証バイパスの集中修正です。なぜ「ホスト名を正しく比較する」だけのことがこれほど壊れやすいのか、各CVEの仕組みと、いま実務でやるべきことを整理します。
OAuth 2.0（認可）と OpenID Connect（認証）の違いを、登場人物・各種トークン・フローの観点から整理します。なぜ今 Authorization Code Flow + PKCE が推奨なのか、Implicit Flow や ROPC がなぜ非推奨になったのか、access/refresh/ID トークンの役割は何かを、RFC 6749/7636/6750/9700 と OAuth 2.1 ドラフト、OpenID Connect Core 1.0 を一次ソースに、Web アプリ開発者向けにまとめます。
2026年6月、pnpm のパッチ適用パイプライン（patchedDependencies / @pnpm/patch-package）に複数のパストラバーサル脆弱性が公開されました。中心となる CVE-2026-50015 は、悪意ある .patch ファイルの diff --git ヘッダに ../ を仕込むと、pnpm install 実行時にパッケージディレクトリ外へ任意ファイルを書き込める問題です。攻撃の仕組み、影響バージョン、修正版、自分が影響を受けるかの確認方法と対処を、GHSA と NVD の一次情報で整理します。
2026年1月から10月上旬までに日本国内で公表された主要なセキュリティインシデントを通年で整理します。マイナビ・東海大学・穴吹ハウジングなどの1〜3月、アフラック生命約440万人・KDDI系メール1,223万件・九州電力送配電1,090万口の大規模漏洩、デジタル庁GSS・イエローハット・ムラウチドットコムの夏、タイムズカー660万件・焼肉きんぐ1,078万件・Gyazo・大和証券・大阪公立大学など9月中旬からの公表ラッシュ、新入社員のSNS漏洩まで、サイバー攻撃と人的事故の両面を出典付きで横断解説します。
Webhook を安全・堅牢に受け取るための設計を実務目線で整理します。HMAC-SHA256 による署名検証とリプレイ攻撃対策（タイムスタンプ）、生のボディで検証する理由、定数時間比較、at-least-once 配信を前提にした冪等な処理、保証されない配信順序への備え、まず素早く 2xx を返して非同期処理する受信パターン、未知イベントの扱い、シークレットのローテーションや CSRF 除外まで、Stripe・GitHub・Standard Webhooks を一次ソースにまとめます。
設定をコードから切り離す理由、.envの正しい扱い、Node.jsのネイティブ読み込み、NEXT_PUBLICやVITE_が秘密を漏らす仕組み、漏洩時の対処を、Twelve-Factor App・各公式ドキュメント・OWASPに沿って説明します。
Web認証の土台となる Cookie・セッション・SameSite を実務目線で整理します。Set-Cookie の属性（Expires/Max-Age・Domain/Path）、Secure と HttpOnly が防ぐ脅威、SameSite の Strict/Lax/None の違いと None に Secure が要る理由、サーバー側セッションとログイン後の ID 再生成、SameSite だけで CSRF を防ぎきれない理由、クロスオリジンで Cookie を送る CORS の条件、__Host-/__Secure- プレフィックスまで、MDN・RFC 6265bis・OWASP を一次ソースにまとめます。
CORS（オリジン間リソース共有）を実務目線で整理します。同一オリジンポリシーとの関係、単純リクエストとプリフライト（OPTIONS）の条件、Access-Control-Allow-Origin などの各ヘッダ、credentials 付きで * が使えない理由、Vary: Origin とキャッシュ、そして「No Access-Control-Allow-Origin header」エラーの意味と対処まで、MDN と WHATWG Fetch Standard を一次ソースにまとめます。CORS はブラウザの仕組みであって認可ではない、という勘所も。
JWT（JSON Web Token）を実務目線で整理します。header.payload.signature の3部構造と Base64URL、iss/sub/aud/exp などのクレーム、HS256 と RS256/ES256 の使い分け、検証の流れ、そして alg:none 攻撃・アルゴリズム混同・「JWT は暗号化ではないので中身は誰でも読める」という誤解・失効の難しさといった落とし穴まで、RFC 7519/7515/7518/8725 と OWASP を一次ソースにまとめます。
正規表現を実務目線で整理します。文字クラス・量指定子・アンカー・グループといった基本、キャプチャ/非キャプチャ/名前付きグループ、先読み・後読み、貪欲と非貪欲、フラグの違い、そして ReDoS（壊滅的バックトラッキング）やメールアドレス完全正規表現の誤謬、HTML を正規表現でパースしてはいけない理由まで、MDN を一次ソースに「使うべきでない場面」も含めてまとめます。
pnpm 10 はインストール時の依存のビルドスクリプト（postinstall 等）をデフォルトでブロックし、明示的に承認した依存だけ実行します。onlyBuiltDependencies や approve-builds、minimumReleaseAge を使った現実的なサプライチェーン防御設定を、手元の pnpm 10.12.4 の挙動を確認しながら整理します。
パスキー（Passkeys）と Web Authentication API（WebAuthn）の仕組みを、公開鍵暗号・登録/認証セレモニー・フィッシング耐性の観点から整理します。なぜパスワードより安全なのか、管理画面に導入するときの判断材料（復旧手段・MFAとの違い）まで、実装目線でまとめます。
2026年春に相次いだAIエージェントフレームワークとMCPの脆弱性を整理します。Semantic Kernelのプロンプトインジェクション→RCE（CVE-2026-26030 / CVE-2026-25592）や、MCPのSTDIOトランスポート設計に起因するRCE群を題材に、「LLMはセキュリティ境界ではない」という原則と、いま打つべき防御策をまとめます。
2026年5月、TanStack 事件を起こした TeamPCP が汚染 VS Code 拡張「Nx Console」を経由して GitHub 従業員端末を侵害し、内部リポジトリ約3,800件を流出させた事件を整理します。攻撃チェーン、ペイロード、そして npm が投入した staged publishing（2FA承認ゲート）まで。
2026年5月11日に発生したTanStack npmサプライチェーン攻撃を、GitHubActions、OIDC、SLSA provenance、Mini Shai-Huludの文脈から整理します。
WordPress 標準の REST API（/wp-json/wp/v2/）を徹底解説。基本エンドポイントの一覧、Application Passwords / Cookie + X-WP-Nonce / JWT などの認証方法、register_rest_route によるカスタムエンドポイント実装、Next.js でのヘッドレスCMS活用、ユーザー列挙やCSRFなどのセキュリティ落とし穴まで、実装サンプル付きで網羅します。
2025年に日本国内で発生・公表された主要なセキュリティインシデントを整理します。快活CLUB729万件や損保ジャパン最大1,748万件、PR TIMESの不正アクセス、アサヒグループ・アスクル・ハウステンボスを襲ったランサムウェア、審調社やローレルバンクマシン経由のサプライチェーン波及、約7,400億円規模に達した証券口座乗っ取り、そして警察庁が公表した2025年の統計（ランサム226件・フィッシング245万件・不正送金約104億円）まで、一次ソース付きで横断解説します。
週1億ダウンロードを誇るnpmパッケージ「axios」が、北朝鮮系脅威アクターによって乗っ取られた事件を解説。攻撃の手口、影響を受けたバージョン、自分のプロジェクトの確認方法、今後の防御策をまとめます。
2026年3月31日、週間1億ダウンロードを超える人気パッケージ「axios」のnpmアカウントが乗っ取られ、悪意あるバージョン1.14.1と0.30.4が公開されました。攻撃の全容、影響を受けるバージョンの確認方法、今後の防御策をまとめます。
WhatsApp/TelegramからPCを操作できるオープンソースAIエージェント「OpenClaw」は2026年1月のリリースから半年弱で約36万GitHubスターに到達し、史上最も注目を浴びるOSSとなりました。一方で2026年2月の大規模セキュリティ嵐（複数CVE、ClawJacked、悪意ある340件のスキル）と、4月の堅牢化アップデートまでを最新情報で解説します。
Next.jsの脆弱性CVE-2025-55182（React2Shell）を悪用したクリプトマイナー感染の実際の事例を報告します。発見の経緯、感染状況、そして行った対策について詳しく解説します。
Google Authenticator で使う OTP（ワンタイムパスワード）を CLI で取得する方法。oath-toolkit を使えば、Playwright や AI エージェントでのログイン自動化にも対応できます。
React Server Componentsに認証不要でリモートコード実行（RCE）可能な脆弱性「React2Shell」が発見されました。CVSSスコアは最大値の10.0。Next.js含む多くのフレームワークが影響。今すぐ対応が必要です。
MD5やSHA-1で十分だと思っていたが、Argon2を知って世界が変わった。パスワードハッシュ化の正解がここにある。