Check Point の SmartConsole 認証バイパス脆弱性 CVE-2026-16232 を一次情報で整理します。未認証の攻撃者が管理サーバのログイントークンを奪い管理者権限を得る CVSS 9.1（ベンダー評価9.3）の重大な欠陥で、2026年7月に実悪用が確認され CISA KEV に追加、修正期限は7月25日です。影響バージョンと Jumbo Hotfix、緩和策までまとめます。
Anthropic の Claude Security(旧 Claude Code Security)が2026年4月30日に public beta へ。コードベースを丸ごとスキャンして脆弱性を見つけ、重大度・再現手順つきで説明し、修正パッチまで生成する仕組みを、無料で試せる OSS の /security-review / GitHub Action とあわせて2026年夏の現在地として整理します。
preinstall/postinstall を一切宣言せず、binding.gyp と node-gyp の暗黙ビルドを悪用して npm install 時にコードを実行する新手口 Phantom Gyp と、それを使って自己増殖する npm サプライチェーンワーム Miasma（Shai-Hulud 系）を、StepSecurity/Snyk/Semgrep の一次調査に沿って解説します。2026年6月3日の57パッケージ汚染波、7月14日の AsyncAPI 波（別技術の require() 時ドロッパー）、そして開発者・CI/CD での現実的な防御策まで。
Next.js の月次セキュリティリリースプログラム初回実リリースが2026年7月20日に公開されました。パッチ版 16.2.11(Active LTS)/15.5.21(Maintenance LTS) で HIGH 4件・MEDIUM 5件の計9件を修正。SSRF・Open Redirect・middlewareバイパス・Server Actions の DoS など発火条件と対応を実務目線で整理します。
2026年7月のMicrosoft Patch Tuesdayは公開史上最多の約622件のCVEを修正しました。実際に攻撃されているSharePoint・ADFSのゼロデイ、深刻度スコアの落とし穴、そして実務者がやるべき優先度付けを一次〜準一次情報で整理します。
Next.js が突発的なアドホック修正から月次のセキュリティリリースプログラムへ移行しました。事前告知に含まれる予定時期と最大想定深刻度、7月20日予定の初回リリース（16.2/15.5・high4件/medium5件の見込み）、LLM支援で急増する脆弱性発見という背景を整理します。
npm v12が2026年7月にインストールスクリプトを既定オフ化。3つの破壊的変更、CIが壊れる仕組み、approve-scriptsでの承認手順、2FAトークン段階的無効化とtrusted publishing移行までを実務目線で解説します。
SAP が2026年7月14日のセキュリティパッチデーで公開した3件の重大脆弱性を一次〜準一次情報で整理します。NetWeaver AS ABAP のメモリ破壊 CVE-2026-44747（CVSS 9.9）、Approuter のHTTPリクエストスマグリング CVE-2026-27690（CVSS 9.1）、Commerce Cloud のサンプル認証情報放置 CVE-2026-44761（CVSS 9.1）について、影響製品・SAP Note番号・実務での優先順位を解説します。
リモートサーバー運用の土台である SSH プロトコルを、一次ソースの RFC 4251/4252/4253/4254（SSH-2 の Architecture / Authentication / Transport / Connection）を軸に整理します。TCP 接続からバージョン交換、KEXINIT による鍵交換と Diffie-Hellman、ホスト鍵の検証（known_hosts と TOFU の弱点）、公開鍵認証（authorized_keys と署名）、チャネルの多重化とポートフォワーディング（ssh -L / -R / -D）まで、その仕組みと OpenSSH での確認方法をインフラ担当者・開発者向けにまとめます。
HTTPS の土台である TLS 1.3 のハンドシェイクを、一次ソースの RFC 8446 を軸に整理します。ClientHello から Finished までのメッセージの役割、ECDHE による鍵共有と前方秘匿性、TLS 1.2（RFC 5246）との違い（2-RTT から 1-RTT へ、静的 RSA 鍵交換の廃止、暗号スイートの簡素化）、0-RTT / early data の再送リスク、PSK によるセッション再開、そして OpenSSL や curl での確認方法まで、Web 開発者・インフラ担当者向けにまとめます。
git でシークレット（秘密情報）を漏洩させる代表的なアンチパターンを26個「展示」した自作OSS「leak-museum」を公開しました。committed .env、クラウドキー、SSH/TLS秘密鍵、Kubernetes Secret（base64は暗号化ではない）、消したつもりでも履歴に残るケース、フロントエンドのバンドル＋ソースマップ、弱いJWT署名鍵まで、なぜ壊滅的かと正しい対処をセットで解説。全て偽の資格情報で、gitleaks / trufflehog などシークレットスキャナーのテスト用コーパスとしても使えます。設計意図（スキャナーの盲点を突く展示、push protection 対策の意図的な破損）と、正しい手本 good-example・チェックリストまで紹介します。
2026年7月6日にリリースされた OpenSSH 10.4 を一次情報で整理します。悪意あるサーバによる sftp ダウンロード先のすり替え、scp のリモート間コピーでの親ディレクトリ書き込み、鍵再交換時のクライアント側 use-after-free など複数のセキュリティ修正の中身に加え、ML-DSA 44 と Ed25519 を組み合わせた実験的なポスト量子署名の追加、そして mlkem768x25519 デフォルト化・DSA 削除といった量子耐性への流れまで、実務での確認ポイントとともにまとめます。
JetBrains が2026年6月下旬から7月初頭にかけて公表した Hub/YouTrack のアカウント乗っ取り（CVE-2026-56141、CVSS 9.8）と認証バイパス（CVE-2026-50242）、IntelliJ IDEA の RCE（CVE-2026-49382/49366）を一次〜準一次情報で整理します。CWE-338 の予測可能な復元コード、認証基盤 Hub 経由で CI/CD まで波及する影響範囲、修正版へのアップグレード手順と自衛策をまとめます。
Adobe が2026年6月30日に公開した ColdFusion のセキュリティ速報 APSB26-68 を一次〜準一次情報で整理します。11件の脆弱性のうち6件が CVSS 10.0、多くが認証不要でのリモートコード実行（RCE）につながる深刻な内容です。CVE-2026-48276 などの不正ファイルアップロードやパストラバーサルの中身、影響を受ける ColdFusion 2025/2023 のバージョン、Update 10/21 への更新と緩和・検知の実務をまとめます。
Linux カーネルの epoll サブシステムに見つかった use-after-free 脆弱性 Bad Epoll(CVE-2026-46242)を、NVD などの一次〜準一次情報ベースで整理します。ep_remove() の競合状態からローカルの一般ユーザーが root を奪える仕組み、影響するカーネルバージョンと Android への波及、そして「同じ 2023 年のコミットが混入させた隣の競合バグを Anthropic の Mythos が見つけ、Bad Epoll だけを見逃した」という話題性のある経緯まで解説します。2026 年 7 月時点の続報(実際の悪用は未確認・CISA KEV 未掲載、修正が公開開示に先行、ディストリのバックポートは配布途上)も追記しました。
Content Security Policy(CSP)をフロントエンド/バックエンド双方の実務目線で整理します。Content-Security-Policy ヘッダと Report-Only、default-src や script-src などの主要ディレクティブ、self / none / unsafe-inline といったソースキーワード、nonce と hash と strict-dynamic を使ったモダンな strict CSP、report-to による段階導入とよくある落とし穴まで、MDN・W3C CSP Level 3・web.dev を一次ソースにまとめます。CSP は XSS を防ぐ最後の砦ではなく、あくまで緩和層という勘所も。
Microsoft SharePoint Server の RCE 脆弱性 CVE-2026-45659（CVSS 8.8、CWE-502 デシリアライズ）を一次〜準一次情報ベースで整理します。2026年7月2日の CISA KEV 追加、7月4日の連邦是正期限、Site Member 権限だけで悪用可能な攻撃条件、影響を受ける SharePoint Server 2016/2019/Subscription Edition、そしてパッチ適用・緩和・検知の実務対応をまとめます。
Cato Networks が公表した Cursor IDE の2つの重大 RCE 脆弱性「DuneSlide」（CVE-2026-50548 / CVE-2026-50549、CVSS 9.8）を一次情報ベースで整理します。run_terminal_cmd の working_directory パラメータ悪用と symlink 解決フォールバックの悪用が、ゼロクリックのプロンプトインジェクションからサンドボックス脱出・完全なシステム侵害に至る仕組みと、いま打つべき対策をまとめます。
App Router の Server Function エンドポイントを狙うデシリアライズ由来の DoS 脆弱性 CVE-2026-23864 / CVE-2026-23869 を解説します。影響有無の確認方法、上げるべき Next.js のバージョン、WAF などの緩和策を実務目線でまとめました。
HTTPS・パスキー・JWT 署名・Git 署名など、現代の Web を支える公開鍵暗号とデジタル署名を、非暗号専門の Web 開発者向けに直感的に解説します。対称鍵の鍵配送問題、鍵ペアと一方向性という発想、RSA と楕円曲線 (ECC/Ed25519) の位置づけ、デジタル署名が保証する完全性・認証・否認防止、ハッシュと署名の関係、証明書と認証局 (CA)・TLS 1.3 での使われ方、openssl や Node.js crypto で署名・検証を試す例、そして耐量子暗号 (PQC) の展望までを、RFC・NIST を一次ソースにまとめます。
パスキーやパスワードを管理ツール間で安全に移行するための標準、FIDO Alliance の Credential Exchange Protocol (CXP) と Credential Exchange Format (CXF) を整理します。CXF=JSON ベースのデータ形式、CXP=HPKE による暗号化転送という役割分担、ドラフトという現在のステータス、そして 2026 年 6 月の Google Play services 26.21 による Android 対応や iOS/macOS 26 の対応まで、一次ソースを軸にまとめます。
DNS（ドメインネームシステム）の名前解決の仕組みを、一次ソースである RFC を軸に整理します。ルート・TLD・権威サーバーの階層、再帰リゾルバとスタブリゾルバ、A/AAAA/CNAME/MX/NS/SOA/TXT/CAA/SRV/PTR などのレコード種別、再帰と反復の解決の流れ、TTL とキャッシュ、ネガティブキャッシュ（RFC 2308）、ポート53と UDP/TCP・EDNS0（RFC 6891）、DNSSEC（RFC 4033）、DoH（RFC 8484）/DoT（RFC 7858）まで、Web 開発者・インフラ担当者向けにまとめます。
2026年6月18日のNode.jsセキュリティリリースは、HIGH 2件を含む12件のCVEを全アクティブライン(22/24/26)で一斉修正しました。中でも目立つのは、ワイルドカード証明書を回避する CVE-2026-48618(Unicodeドット問題)を筆頭にしたTLSホスト名検証バイパスの集中修正です。なぜ「ホスト名を正しく比較する」だけのことがこれほど壊れやすいのか、各CVEの仕組みと、いま実務でやるべきことを整理します。
OAuth 2.0（認可）と OpenID Connect（認証）の違いを、登場人物・各種トークン・フローの観点から整理します。なぜ今 Authorization Code Flow + PKCE が推奨なのか、Implicit Flow や ROPC がなぜ非推奨になったのか、access/refresh/ID トークンの役割は何かを、RFC 6749/7636/6750/9700 と OAuth 2.1 ドラフト、OpenID Connect Core 1.0 を一次ソースに、Web アプリ開発者向けにまとめます。
2026年6月、pnpm のパッチ適用パイプライン（patchedDependencies / @pnpm/patch-package）に複数のパストラバーサル脆弱性が公開されました。中心となる CVE-2026-50015 は、悪意ある .patch ファイルの diff --git ヘッダに ../ を仕込むと、pnpm install 実行時にパッケージディレクトリ外へ任意ファイルを書き込める問題です。攻撃の仕組み、影響バージョン、修正版、自分が影響を受けるかの確認方法と対処を、GHSA と NVD の一次情報で整理します。
2026年1月から日本国内で発生・公表された主要なセキュリティインシデントを通年で整理します。マイナビ11万件・東海大学19万件・穴吹ハウジング20万件・マツダなどの1〜3月、アフラック生命438万人・KDDI系メール1,422万件・九州電力送配電1,090万口の大規模漏洩、CAMPFIRE・マネーフォワードのGitHub経由不正アクセス、市立奈良病院・九州大学病院の医療機関被害、佐嘉平川屋のEスキミング、西日本シティ銀行BeRealなど新入社員のSNS漏洩まで、サイバー攻撃と人的事故の両面を一次ソース付きで横断解説します。
Webhook を安全・堅牢に受け取るための設計を実務目線で整理します。HMAC-SHA256 による署名検証とリプレイ攻撃対策（タイムスタンプ）、生のボディで検証する理由、定数時間比較、at-least-once 配信を前提にした冪等な処理、保証されない配信順序への備え、まず素早く 2xx を返して非同期処理する受信パターン、未知イベントの扱い、シークレットのローテーションや CSRF 除外まで、Stripe・GitHub・Standard Webhooks を一次ソースにまとめます。
設定をコードから切り離す理由、.envの正しい扱い、Node.jsのネイティブ読み込み、NEXT_PUBLICやVITE_が秘密を漏らす仕組み、漏洩時の対処を、Twelve-Factor App・各公式ドキュメント・OWASPに沿って説明します。
Web認証の土台となる Cookie・セッション・SameSite を実務目線で整理します。Set-Cookie の属性（Expires/Max-Age・Domain/Path）、Secure と HttpOnly が防ぐ脅威、SameSite の Strict/Lax/None の違いと None に Secure が要る理由、サーバー側セッションとログイン後の ID 再生成、SameSite だけで CSRF を防ぎきれない理由、クロスオリジンで Cookie を送る CORS の条件、__Host-/__Secure- プレフィックスまで、MDN・RFC 6265bis・OWASP を一次ソースにまとめます。
CORS（オリジン間リソース共有）を実務目線で整理します。同一オリジンポリシーとの関係、単純リクエストとプリフライト（OPTIONS）の条件、Access-Control-Allow-Origin などの各ヘッダ、credentials 付きで * が使えない理由、Vary: Origin とキャッシュ、そして「No Access-Control-Allow-Origin header」エラーの意味と対処まで、MDN と WHATWG Fetch Standard を一次ソースにまとめます。CORS はブラウザの仕組みであって認可ではない、という勘所も。
JWT（JSON Web Token）を実務目線で整理します。header.payload.signature の3部構造と Base64URL、iss/sub/aud/exp などのクレーム、HS256 と RS256/ES256 の使い分け、検証の流れ、そして alg:none 攻撃・アルゴリズム混同・「JWT は暗号化ではないので中身は誰でも読める」という誤解・失効の難しさといった落とし穴まで、RFC 7519/7515/7518/8725 と OWASP を一次ソースにまとめます。
正規表現を実務目線で整理します。文字クラス・量指定子・アンカー・グループといった基本、キャプチャ/非キャプチャ/名前付きグループ、先読み・後読み、貪欲と非貪欲、フラグの違い、そして ReDoS（壊滅的バックトラッキング）やメールアドレス完全正規表現の誤謬、HTML を正規表現でパースしてはいけない理由まで、MDN を一次ソースに「使うべきでない場面」も含めてまとめます。
pnpm 10 はインストール時の依存のビルドスクリプト（postinstall 等）をデフォルトでブロックし、明示的に承認した依存だけ実行します。onlyBuiltDependencies や approve-builds、minimumReleaseAge を使った現実的なサプライチェーン防御設定を、手元の pnpm 10.12.4 の挙動を確認しながら整理します。
パスキー（Passkeys）と Web Authentication API（WebAuthn）の仕組みを、公開鍵暗号・登録/認証セレモニー・フィッシング耐性の観点から整理します。なぜパスワードより安全なのか、管理画面に導入するときの判断材料（復旧手段・MFAとの違い）まで、実装目線でまとめます。
2026年5月に相次いだAIエージェントフレームワークとMCPの脆弱性を整理します。Semantic Kernelのプロンプトインジェクション→RCE（CVE-2026-26030 / CVE-2026-25592）や、MCPのSTDIOトランスポート設計に起因するRCE群を題材に、「LLMはセキュリティ境界ではない」という原則と、いま打つべき防御策をまとめます。
2026年5月、TanStack 事件を起こした TeamPCP が汚染 VS Code 拡張「Nx Console」を経由して GitHub 従業員端末を侵害し、内部リポジトリ約3,800件を流出させた事件を整理します。攻撃チェーン、ペイロード、そして npm が投入した staged publishing（2FA承認ゲート）まで。
2026年5月11日に発生したTanStack npmサプライチェーン攻撃を、GitHubActions、OIDC、SLSA provenance、Mini Shai-Huludの文脈から整理します。
WordPress 標準の REST API（/wp-json/wp/v2/）を徹底解説。基本エンドポイントの一覧、Application Passwords / Cookie + X-WP-Nonce / JWT などの認証方法、register_rest_route によるカスタムエンドポイント実装、Next.js でのヘッドレスCMS活用、ユーザー列挙やCSRFなどのセキュリティ落とし穴まで、実装サンプル付きで網羅します。
2025年に日本国内で発生・公表された主要なセキュリティインシデントを整理します。快活CLUB729万件や損保ジャパン最大1,748万件、PR TIMESの不正アクセス、アサヒグループ・アスクル・ハウステンボスを襲ったランサムウェア、審調社やローレルバンクマシン経由のサプライチェーン波及、約7,400億円規模に達した証券口座乗っ取り、そして警察庁が公表した2025年の統計（ランサム226件・フィッシング245万件・不正送金約104億円）まで、一次ソース付きで横断解説します。
週1億ダウンロードを誇るnpmパッケージ「axios」が、北朝鮮系脅威アクターによって乗っ取られた事件を解説。攻撃の手口、影響を受けたバージョン、自分のプロジェクトの確認方法、今後の防御策をまとめます。
2026年3月31日、週間1億ダウンロードを超える人気パッケージ「axios」のnpmアカウントが乗っ取られ、悪意あるバージョン1.14.1と0.30.4が公開されました。攻撃の全容、影響を受けるバージョンの確認方法、今後の防御策をまとめます。
WhatsApp/TelegramからPCを操作できるオープンソースAIエージェント「OpenClaw」は2026年1月のリリースから半年弱で約36万GitHubスターに到達し、史上最も注目を浴びるOSSとなりました。一方で2026年2月の大規模セキュリティ嵐（複数CVE、ClawJacked、悪意ある340件のスキル）と、4月の堅牢化アップデートまでを最新情報で解説します。
Next.jsの脆弱性CVE-2025-55182（React2Shell）を悪用したクリプトマイナー感染の実際の事例を報告します。発見の経緯、感染状況、そして行った対策について詳しく解説します。
Google Authenticator で使う OTP（ワンタイムパスワード）を CLI で取得する方法。oath-toolkit を使えば、Playwright や AI エージェントでのログイン自動化にも対応できます。
React Server Componentsに認証不要でリモートコード実行（RCE）可能な脆弱性「React2Shell」が発見されました。CVSSスコアは最大値の10.0。Next.js含む多くのフレームワークが影響。今すぐ対応が必要です。
MD5やSHA-1で十分だと思っていたが、Argon2を知って世界が変わった。パスワードハッシュ化の正解がここにある。