2026年7月 Microsoft Patch Tuesday - 過去最多のパッチと実攻撃中のゼロデイを読み解く
約15分
2026年7月のMicrosoft Patch Tuesdayは公開史上最多の約622件のCVEを修正しました。実際に攻撃されているSharePoint・ADFSのゼロデイ、深刻度スコアの落とし穴、そして実務者がやるべき優先度付けを一次〜準一次情報で整理します。
セキュリティ42 件の記事
セキュリティ の記事
Next.js 月次セキュリティリリースへ移行 - 事前告知される脆弱性パッチと計画的アップグレード
約11分
Next.js が突発的なアドホック修正から月次のセキュリティリリースプログラムへ移行しました。事前告知に含まれる予定時期と最大想定深刻度、7月20日予定の初回リリース（16.2/15.5・high4件/medium5件の見込み）、LLM支援で急増する脆弱性発見という背景を整理します。
npm v12 がインストールスクリプトを既定オフに - サプライチェーン攻撃時代の破壊的変更とCI移行
約16分
npm v12が2026年7月にインストールスクリプトを既定オフ化。3つの破壊的変更、CIが壊れる仕組み、approve-scriptsでの承認手順、2FAトークン段階的無効化とtrusted publishing移行までを実務目線で解説します。
SAP 2026年7月パッチデー - NetWeaver AS ABAP の CVSS 9.9 メモリ破壊とApprouterのHTTPリクエストスマグリング
約12分
SAP が2026年7月14日のセキュリティパッチデーで公開した3件の重大脆弱性を一次〜準一次情報で整理します。NetWeaver AS ABAP のメモリ破壊 CVE-2026-44747（CVSS 9.9）、Approuter のHTTPリクエストスマグリング CVE-2026-27690（CVSS 9.1）、Commerce Cloud のサンプル認証情報放置 CVE-2026-44761（CVSS 9.1）について、影響製品・SAP Note番号・実務での優先順位を解説します。
SSH の仕組み - 鍵交換・ホスト鍵検証・公開鍵認証を一次ソースで理解する
約18分
リモートサーバー運用の土台である SSH プロトコルを、一次ソースの RFC 4251/4252/4253/4254（SSH-2 の Architecture / Authentication / Transport / Connection）を軸に整理します。TCP 接続からバージョン交換、KEXINIT による鍵交換と Diffie-Hellman、ホスト鍵の検証（known_hosts と TOFU の弱点）、公開鍵認証（authorized_keys と署名）、チャネルの多重化とポートフォワーディング（ssh -L / -R / -D）まで、その仕組みと OpenSSH での確認方法をインフラ担当者・開発者向けにまとめます。
TLS 1.3 と HTTPS ハンドシェイクの仕組み - 1-RTT・前方秘匿性・0-RTTを一次ソースで理解する
約16分
HTTPS の土台である TLS 1.3 のハンドシェイクを、一次ソースの RFC 8446 を軸に整理します。ClientHello から Finished までのメッセージの役割、ECDHE による鍵共有と前方秘匿性、TLS 1.2（RFC 5246）との違い（2-RTT から 1-RTT へ、静的 RSA 鍵交換の廃止、暗号スイートの簡素化）、0-RTT / early data の再送リスク、PSK によるセッション再開、そして OpenSSL や curl での確認方法まで、Web 開発者・インフラ担当者向けにまとめます。
leak-museum を公開 - git でシークレットを漏らす26の悪例を「博物館」にした教材リポジトリ
約11分
git でシークレット（秘密情報）を漏洩させる代表的なアンチパターンを26個「展示」した自作OSS「leak-museum」を公開しました。committed .env、クラウドキー、SSH/TLS秘密鍵、Kubernetes Secret（base64は暗号化ではない）、消したつもりでも履歴に残るケース、フロントエンドのバンドル＋ソースマップ、弱いJWT署名鍵まで、なぜ壊滅的かと正しい対処をセットで解説。全て偽の資格情報で、gitleaks / trufflehog などシークレットスキャナーのテスト用コーパスとしても使えます。設計意図（スキャナーの盲点を突く展示、push protection 対策の意図的な破損）と、正しい手本 good-example・チェックリストまで紹介します。
OpenSSH 10.4 の新機能とセキュリティ修正 - sftp/scp の脆弱性対応と量子耐性への流れ
約11分
2026年7月6日にリリースされた OpenSSH 10.4 を一次情報で整理します。悪意あるサーバによる sftp ダウンロード先のすり替え、scp のリモート間コピーでの親ディレクトリ書き込み、鍵再交換時のクライアント側 use-after-free など複数のセキュリティ修正の中身に加え、ML-DSA 44 と Ed25519 を組み合わせた実験的なポスト量子署名の追加、そして mlkem768x25519 デフォルト化・DSA 削除といった量子耐性への流れまで、実務での確認ポイントとともにまとめます。
JetBrains 製品の重大脆弱性 2026年7月 - Hub/YouTrack のアカウント乗っ取りと IntelliJ IDEA の RCE
約17分
JetBrains が2026年6月下旬から7月初頭にかけて公表した Hub/YouTrack のアカウント乗っ取り（CVE-2026-56141、CVSS 9.8）と認証バイパス（CVE-2026-50242）、IntelliJ IDEA の RCE（CVE-2026-49382/49366）を一次〜準一次情報で整理します。CWE-338 の予測可能な復元コード、認証基盤 Hub 経由で CI/CD まで波及する影響範囲、修正版へのアップグレード手順と自衛策をまとめます。
Adobe ColdFusion の緊急パッチ APSB26-68 - CVSS 10.0 が6件並ぶ認証不要 RCE と実務対応
約12分
Adobe が2026年6月30日に公開した ColdFusion のセキュリティ速報 APSB26-68 を一次〜準一次情報で整理します。11件の脆弱性のうち6件が CVSS 10.0、多くが認証不要でのリモートコード実行（RCE）につながる深刻な内容です。CVE-2026-48276 などの不正ファイルアップロードやパストラバーサルの中身、影響を受ける ColdFusion 2025/2023 のバージョン、Update 10/21 への更新と緩和・検知の実務をまとめます。
Bad Epoll(CVE-2026-46242)とは - Linux カーネル epoll の権限昇格脆弱性と、AI が見逃した競合バグを読み解く
約18分
Linux カーネルの epoll サブシステムに見つかった use-after-free 脆弱性 Bad Epoll(CVE-2026-46242)を、NVD などの一次〜準一次情報ベースで整理します。ep_remove() の競合状態からローカルの一般ユーザーが root を奪える仕組み、影響するカーネルバージョンと Android への波及、そして「同じ 2023 年のコミットが混入させた隣の競合バグを Anthropic の Mythos が見つけ、Bad Epoll だけを見逃した」という話題性のある経緯まで解説します。2026 年 7 月時点の続報(実際の悪用は未確認・CISA KEV 未掲載、修正が公開開示に先行、ディストリのバックポートは配布途上)も追記しました。
Content Security Policy(CSP)入門 - XSS を緩和するブラウザの防御層を設計する
約16分
Content Security Policy(CSP)をフロントエンド/バックエンド双方の実務目線で整理します。Content-Security-Policy ヘッダと Report-Only、default-src や script-src などの主要ディレクティブ、self / none / unsafe-inline といったソースキーワード、nonce と hash と strict-dynamic を使ったモダンな strict CSP、report-to による段階導入とよくある落とし穴まで、MDN・W3C CSP Level 3・web.dev を一次ソースにまとめます。CSP は XSS を防ぐ最後の砦ではなく、あくまで緩和層という勘所も。
SharePoint Server の RCE 脆弱性 CVE-2026-45659 - CISA KEV 入りした認証済みユーザーによるデシリアライズ攻撃と対策
約14分
Microsoft SharePoint Server の RCE 脆弱性 CVE-2026-45659（CVSS 8.8、CWE-502 デシリアライズ）を一次〜準一次情報ベースで整理します。2026年7月2日の CISA KEV 追加、7月4日の連邦是正期限、Site Member 権限だけで悪用可能な攻撃条件、影響を受ける SharePoint Server 2016/2019/Subscription Edition、そしてパッチ適用・緩和・検知の実務対応をまとめます。
Cursor の RCE 脆弱性 DuneSlide（CVE-2026-50548/50549）- プロンプトインジェクションがサンドボックスを破るとき
約14分
Cato Networks が公表した Cursor IDE の2つの重大 RCE 脆弱性「DuneSlide」（CVE-2026-50548 / CVE-2026-50549、CVSS 9.8）を一次情報ベースで整理します。run_terminal_cmd の working_directory パラメータ悪用と symlink 解決フォールバックの悪用が、ゼロクリックのプロンプトインジェクションからサンドボックス脱出・完全なシステム侵害に至る仕組みと、いま打つべき対策をまとめます。
Next.js Server Functions の DoS 脆弱性 2026 - RSC デシリアライズ由来 CVE への対処
約14分
App Router の Server Function エンドポイントを狙うデシリアライズ由来の DoS 脆弱性 CVE-2026-23864 / CVE-2026-23869 を解説します。影響有無の確認方法、上げるべき Next.js のバージョン、WAF などの緩和策を実務目線でまとめました。
公開鍵暗号とデジタル署名 入門 - なぜ鍵を公開しても安全なのか
約19分
HTTPS・パスキー・JWT 署名・Git 署名など、現代の Web を支える公開鍵暗号とデジタル署名を、非暗号専門の Web 開発者向けに直感的に解説します。対称鍵の鍵配送問題、鍵ペアと一方向性という発想、RSA と楕円曲線 (ECC/Ed25519) の位置づけ、デジタル署名が保証する完全性・認証・否認防止、ハッシュと署名の関係、証明書と認証局 (CA)・TLS 1.3 での使われ方、openssl や Node.js crypto で署名・検証を試す例、そして耐量子暗号 (PQC) の展望までを、RFC・NIST を一次ソースにまとめます。
パスキーとパスワードの移行 - FIDO Credential Exchange (CXP/CXF) 入門
約12分
パスキーやパスワードを管理ツール間で安全に移行するための標準、FIDO Alliance の Credential Exchange Protocol (CXP) と Credential Exchange Format (CXF) を整理します。CXF=JSON ベースのデータ形式、CXP=HPKE による暗号化転送という役割分担、ドラフトという現在のステータス、そして 2026 年 6 月の Google Play services 26.21 による Android 対応や iOS/macOS 26 の対応まで、一次ソースを軸にまとめます。
DNS の仕組み入門 - 名前解決・レコード種別・TTL とキャッシュを理解する
約23分
DNS（ドメインネームシステム）の名前解決の仕組みを、一次ソースである RFC を軸に整理します。ルート・TLD・権威サーバーの階層、再帰リゾルバとスタブリゾルバ、A/AAAA/CNAME/MX/NS/SOA/TXT/CAA/SRV/PTR などのレコード種別、再帰と反復の解決の流れ、TTL とキャッシュ、ネガティブキャッシュ（RFC 2308）、ポート53と UDP/TCP・EDNS0（RFC 6891）、DNSSEC（RFC 4033）、DoH（RFC 8484）/DoT（RFC 7858）まで、Web 開発者・インフラ担当者向けにまとめます。
Node.js が一気に塞いだ「TLSホスト名検証バイパス」4種 - 2026年6月の緊急アップデートを読み解く
約12分
2026年6月18日のNode.jsセキュリティリリースは、HIGH 2件を含む12件のCVEを全アクティブライン(22/24/26)で一斉修正しました。中でも目立つのは、ワイルドカード証明書を回避する CVE-2026-48618(Unicodeドット問題)を筆頭にしたTLSホスト名検証バイパスの集中修正です。なぜ「ホスト名を正しく比較する」だけのことがこれほど壊れやすいのか、各CVEの仕組みと、いま実務でやるべきことを整理します。
OAuth 2.0 / OpenID Connect 入門 - 認可と認証の違い、Authorization Code Flow + PKCE まで
約17分
OAuth 2.0（認可）と OpenID Connect（認証）の違いを、登場人物・各種トークン・フローの観点から整理します。なぜ今 Authorization Code Flow + PKCE が推奨なのか、Implicit Flow や ROPC がなぜ非推奨になったのか、access/refresh/ID トークンの役割は何かを、RFC 6749/7636/6750/9700 と OAuth 2.1 ドラフト、OpenID Connect Core 1.0 を一次ソースに、Web アプリ開発者向けにまとめます。
pnpm のパッチ機能に潜むパストラバーサル - CVE-2026-50015 とは何か
約16分
2026年6月、pnpm のパッチ適用パイプライン（patchedDependencies / @pnpm/patch-package）に複数のパストラバーサル脆弱性が公開されました。中心となる CVE-2026-50015 は、悪意ある .patch ファイルの diff --git ヘッダに ../ を仕込むと、pnpm install 実行時にパッケージディレクトリ外へ任意ファイルを書き込める問題です。攻撃の仕組み、影響バージョン、修正版、自分が影響を受けるかの確認方法と対処を、GHSA と NVD の一次情報で整理します。
2026年 日本のセキュリティインシデントまとめ - 1月のマイナビ・東海大からKDDI1422万件まで
約22分
2026年1月から日本国内で発生・公表された主要なセキュリティインシデントを通年で整理します。マイナビ11万件・東海大学19万件・穴吹ハウジング20万件・マツダなどの1〜3月、アフラック生命438万人・KDDI系メール1,422万件・九州電力送配電1,090万口の大規模漏洩、CAMPFIRE・マネーフォワードのGitHub経由不正アクセス、市立奈良病院・九州大学病院の医療機関被害、佐嘉平川屋のEスキミング、西日本シティ銀行BeRealなど新入社員のSNS漏洩まで、サイバー攻撃と人的事故の両面を一次ソース付きで横断解説します。
Webhook 受信側のベストプラクティス - 署名検証・リトライ・冪等性・順序
約9分
Webhook を安全・堅牢に受け取るための設計を実務目線で整理します。HMAC-SHA256 による署名検証とリプレイ攻撃対策（タイムスタンプ）、生のボディで検証する理由、定数時間比較、at-least-once 配信を前提にした冪等な処理、保証されない配信順序への備え、まず素早く 2xx を返して非同期処理する受信パターン、未知イベントの扱い、シークレットのローテーションや CSRF 除外まで、Stripe・GitHub・Standard Webhooks を一次ソースにまとめます。
環境変数と.envによる設定と秘密情報の管理
約5分
設定をコードから切り離す理由、.envの正しい扱い、Node.jsのネイティブ読み込み、NEXT_PUBLICやVITE_が秘密を漏らす仕組み、漏洩時の対処を、Twelve-Factor App・各公式ドキュメント・OWASPに沿って説明します。
Cookie・セッション・SameSite の基礎 - Secure / HttpOnly と CSRF・CORS の関係
約11分
Web認証の土台となる Cookie・セッション・SameSite を実務目線で整理します。Set-Cookie の属性（Expires/Max-Age・Domain/Path）、Secure と HttpOnly が防ぐ脅威、SameSite の Strict/Lax/None の違いと None に Secure が要る理由、サーバー側セッションとログイン後の ID 再生成、SameSite だけで CSRF を防ぎきれない理由、クロスオリジンで Cookie を送る CORS の条件、__Host-/__Secure- プレフィックスまで、MDN・RFC 6265bis・OWASP を一次ソースにまとめます。
CORS の仕組みとハマりどころ - プリフライト・credentials・Allow-Origin を理解する
約10分
CORS（オリジン間リソース共有）を実務目線で整理します。同一オリジンポリシーとの関係、単純リクエストとプリフライト（OPTIONS）の条件、Access-Control-Allow-Origin などの各ヘッダ、credentials 付きで * が使えない理由、Vary: Origin とキャッシュ、そして「No Access-Control-Allow-Origin header」エラーの意味と対処まで、MDN と WHATWG Fetch Standard を一次ソースにまとめます。CORS はブラウザの仕組みであって認可ではない、という勘所も。
JWT（JSON Web Token）の仕組みと正しい使い方 - 署名・検証とセキュリティの落とし穴
約12分
JWT（JSON Web Token）を実務目線で整理します。header.payload.signature の3部構造と Base64URL、iss/sub/aud/exp などのクレーム、HS256 と RS256/ES256 の使い分け、検証の流れ、そして alg:none 攻撃・アルゴリズム混同・「JWT は暗号化ではないので中身は誰でも読める」という誤解・失効の難しさといった落とし穴まで、RFC 7519/7515/7518/8725 と OWASP を一次ソースにまとめます。
正規表現 実践入門 - よく使うパターンと、ReDoS などの落とし穴
約9分
正規表現を実務目線で整理します。文字クラス・量指定子・アンカー・グループといった基本、キャプチャ/非キャプチャ/名前付きグループ、先読み・後読み、貪欲と非貪欲、フラグの違い、そして ReDoS（壊滅的バックトラッキング）やメールアドレス完全正規表現の誤謬、HTML を正規表現でパースしてはいけない理由まで、MDN を一次ソースに「使うべきでない場面」も含めてまとめます。
pnpm 10 のサプライチェーン防御 - postinstall を止めて依存を「承認」する
約8分
pnpm 10 はインストール時の依存のビルドスクリプト（postinstall 等）をデフォルトでブロックし、明示的に承認した依存だけ実行します。onlyBuiltDependencies や approve-builds、minimumReleaseAge を使った現実的なサプライチェーン防御設定を、手元の pnpm 10.12.4 の挙動を確認しながら整理します。
Passkeys / WebAuthn 入門 - パスワードレス認証を管理画面に入れる前に知っておくこと
約7分
パスキー（Passkeys）と Web Authentication API（WebAuthn）の仕組みを、公開鍵暗号・登録/認証セレモニー・フィッシング耐性の観点から整理します。なぜパスワードより安全なのか、管理画面に導入するときの判断材料（復旧手段・MFAとの違い）まで、実装目線でまとめます。
プロンプトインジェクションがRCEになる日 - AIエージェントとMCPが攻撃対象になった2026年
約10分
2026年5月に相次いだAIエージェントフレームワークとMCPの脆弱性を整理します。Semantic Kernelのプロンプトインジェクション→RCE（CVE-2026-26030 / CVE-2026-25592）や、MCPのSTDIOトランスポート設計に起因するRCE群を題材に、「LLMはセキュリティ境界ではない」という原則と、いま打つべき防御策をまとめます。
【続報】TeamPCP が GitHub 内部リポジトリ3,800件を流出 - 汚染 VS Code 拡張と npm staged publishing
約11分
2026年5月、TanStack 事件を起こした TeamPCP が汚染 VS Code 拡張「Nx Console」を経由して GitHub 従業員端末を侵害し、内部リポジトリ約3,800件を流出させた事件を整理します。攻撃チェーン、ペイロード、そして npm が投入した staged publishing（2FA承認ゲート）まで。
【サプライチェーン攻撃】2026年5月11日 TanStack 乗っ取り事件 - SLSA provenance が効かなかった日
約26分
2026年5月11日に発生したTanStack npmサプライチェーン攻撃を、GitHubActions、OIDC、SLSA provenance、Mini Shai-Huludの文脈から整理します。
WordPress REST API 完全ガイド - 認証・カスタムエンドポイント・ヘッドレスCMS活用まで
約23分
WordPress 標準の REST API（/wp-json/wp/v2/）を徹底解説。基本エンドポイントの一覧、Application Passwords / Cookie + X-WP-Nonce / JWT などの認証方法、register_rest_route によるカスタムエンドポイント実装、Next.js でのヘッドレスCMS活用、ユーザー列挙やCSRFなどのセキュリティ落とし穴まで、実装サンプル付きで網羅します。
2025年 日本のセキュリティインシデントまとめ - アサヒ・アスクルのランサムから証券口座乗っ取りまで
約13分
2025年に日本国内で発生・公表された主要なセキュリティインシデントを整理します。快活CLUB729万件や損保ジャパン最大1,748万件、PR TIMESの不正アクセス、アサヒグループ・アスクル・ハウステンボスを襲ったランサムウェア、審調社やローレルバンクマシン経由のサプライチェーン波及、約7,400億円規模に達した証券口座乗っ取り、そして警察庁が公表した2025年の統計（ランサム226件・フィッシング245万件・不正送金約104億円）まで、一次ソース付きで横断解説します。
【サプライチェーン攻撃】2026年3月31日、npmパッケージ「axios」乗っ取り事件の全容と対策
約17分
週1億ダウンロードを誇るnpmパッケージ「axios」が、北朝鮮系脅威アクターによって乗っ取られた事件を解説。攻撃の手口、影響を受けたバージョン、自分のプロジェクトの確認方法、今後の防御策をまとめます。
【緊急】npm パッケージ「axios」が乗っ取られた事件まとめ — 2026年3月31日のサプライチェーン攻撃
約13分
2026年3月31日、週間1億ダウンロードを超える人気パッケージ「axios」のnpmアカウントが乗っ取られ、悪意あるバージョン1.14.1と0.30.4が公開されました。攻撃の全容、影響を受けるバージョンの確認方法、今後の防御策をまとめます。
OpenClaw（旧Clawdbot/Moltbot）2026年4月最新版 - 約36万スターに到達したAIエージェントとセキュリティ嵐
約31分
WhatsApp/TelegramからPCを操作できるオープンソースAIエージェント「OpenClaw」は2026年1月のリリースから半年弱で約36万GitHubスターに到達し、史上最も注目を浴びるOSSとなりました。一方で2026年2月の大規模セキュリティ嵐（複数CVE、ClawJacked、悪意ある340件のスキル）と、4月の堅牢化アップデートまでを最新情報で解説します。
React2Shell（CVE-2025-55182）の実際の被害事例 - クリプトマイナー感染とその対策
約9分
Next.jsの脆弱性CVE-2025-55182（React2Shell）を悪用したクリプトマイナー感染の実際の事例を報告します。発見の経緯、感染状況、そして行った対策について詳しく解説します。
oath-toolkit で CLI から OTP を取得する - 自動化時代の2FA対応
約10分
Google Authenticator で使う OTP（ワンタイムパスワード）を CLI で取得する方法。oath-toolkit を使えば、Playwright や AI エージェントでのログイン自動化にも対応できます。
超緊急：React Server Components に CVSS 10.0 の RCE 脆弱性「React2Shell」CVE-2025-55182
約9分
React Server Componentsに認証不要でリモートコード実行（RCE）可能な脆弱性「React2Shell」が発見されました。CVSSスコアは最大値の10.0。Next.js含む多くのフレームワークが影響。今すぐ対応が必要です。
2FA開発で知ったArgon2：パスワードハッシュ化の新時代
約10分
MD5やSHA-1で十分だと思っていたが、Argon2を知って世界が変わった。パスワードハッシュ化の正解がここにある。