#Security

製品

Ostorlab Threat CenterはNVDのデータに加えてEUVDのインテリジェンスも提供するようになり、EUサイバーレジリエンス法への準備を進めるセキュリティチームに、より広範な脆弱性の可視性をもたらします。

エンジニアリング

ソースコードセキュリティテストの仕組み、従来のSASTが誤検知を生む理由、そしてエージェント型分析がスキャナーのシグナルをすぐ対応に着手できる検出結果へと変える方法を解説します。

セキュリティ

GoPhish最新版が信頼をどのように扱っているか（アイデンティティ、信頼できないコンテンツ、オブジェクトの所有権、認証情報のライフサイクル、外向きリクエスト）を検証した技術評価です。Ostorlab Agentic Deep Scanによるソースコード解析で、レポートレベルの8件の検出結果、PoC、修復の優先順位を確定しました。

セキュリティ

本ガイドでは、業務上の摩擦を生むことなく企業のデータ資産を保護するエンタープライズ向けモバイルアプリベッティング戦略を構築するために必要な、アーキテクチャ、リスク評価手法、導入フレームワークを包括的に解説します。

セキュリティ

LiteLLM Proxy APIに存在するCVSS 9.3のクリティカルな認証不要SQLインジェクション脆弱性、CVE-2026-42208の技術的な解説。複数テーブルの複雑な結合に使われる生のSQLクエリ内でBearerトークンが適切にパラメーター化されていないため、ブラインドのブールベースのタイミング攻撃が可能となり、認証されていない攻撃者が仮想APIキー、ユーザー情報、LLMの利用料金ログなどの機密データをデータベースから直接窃取できます。

セキュリティ

DirtyFragの技術解説です。これは2つのLinuxカーネルのローカル権限昇格の脆弱性（CVE-2026-43284およびCVE-2026-43500、CVSS 7.8 HIGH）であり、権限を持たないあらゆるローカルユーザーが主要なLinuxディストリビューションのほとんどでrootを取得できます。xfrm-ESPとRxRPCのインプレース復号経路の不備を連鎖させ、いずれもDirty PipeおよびCopy Failと同じページキャッシュ書き込みプリミティブに根ざしており、このエクスプロイトはレースコンディションなしで読み取り専用のページキャッシュページを上書きし、ほぼ100%の信頼性を実現します。

セキュリティ

OpenClaw（< 2026.4.15）に存在するCVSS 9.2のクリティカルな認証バイパス脆弱性CVE-2026-44109の技術的解説です。Feishu/Larkプラグインにある2つのフェイルオープンのロジック反転、すなわちWebhook署名バリデーターの1つとカードアクションのリプレイガードの1つにより、認証されていない攻撃者がOpenClawのコマンドディスパッチエンジンに任意のイベントを注入できます。ボットで実行系ツールが有効になっている場合、これはそのままOpenClawプロセスの権限によるホストマシン上での認証なしのリモートコード実行につながります。

セキュリティ

Chatwootのアップロードエンドポイント（≤ v4.12.1）に存在するクリティカルなサーバーサイドリクエストフォージェリ（SSRF）脆弱性の詳細解説。/api/v1/accounts/:id/uploadエンドポイントはexternal_urlパラメーターをスキームチェックのみで検証しており、認証済みのエージェントであれば誰でもサーバーに任意の内部URLを取得させることができます。レスポンスボディ全体がActiveStorageのブロブを通じてインバンドで返されるため、アップロードエンドポイントが完全な読み取りプロキシと化します。DigitalOceanのドロップレット上での実証により、ドロップレットID、ホスト名、SSH公開鍵、完全なメタデータバンドルを含むクラウドメタデータのインバンド窃取が確認されました。v4.13.0で修正済み。

セキュリティ

DORAコンプライアンスチェックリストは、銀行・フィンテック組織がICTリスク、インシデント対応、レジリエンステスト、サードパーティのガバナンス、監督といった主要領域にわたってオペレーショナル・レジリエンスを評価し、実装の進捗を追跡して監査への対応準備を支えるのに役立ちます。

セキュリティ

患者ポータル、医療アプリ、API、SaMDのセキュリティテスト方法を解説します。ePHIのリスク、HIPAAとGDPRの義務、SDLCでのテスト、継続的な監視、インシデント対応まで。