タグ
#security
銀行・フィンテック向けDORAコンプライアンスチェックリスト：監査に対応できるオペレーショナル・レジリエンスの検証
DORAコンプライアンスチェックリストは、銀行・フィンテック組織がICTリスク、インシデント対応、レジリエンステスト、サードパーティのガバナンス、監督といった主要領域にわたってオペレーショナル・レジリエンスを評価し、実装の進捗を追跡して監査への対応準備を支えるのに役立ちます。
2026年4月29日
ヘルスケアアプリケーションのセキュリティテストガイド
患者ポータル、医療アプリ、API、SaMDのセキュリティテスト方法を解説します。ePHIのリスク、HIPAAとGDPRの義務、SDLCでのテスト、継続的な監視、インシデント対応まで。
2026年4月16日
モバイルバンキングアプリのセキュリティテストガイド
モバイルバンキングアプリを守るには、クライアントを保護するだけでは不十分です。本ガイドでは、端末、ネットワーク、バックエンドシステムにまたがるリスクを整理し、金融データと取引を守るために継続的な...
2026年4月16日
Twenty CRMのサーバーレス関数がクリティカルなRCEと恒久的な未認証バックドアのリスクを露呈（CVE-2026-26720）- PoCとエクスプロイト
CVE-2026-26720の技術的解説です。これはTwenty CRM（≤ v1.15.0）に存在するCVSS 9.8のクリティカルな認証済みリモートコード実行の脆弱性です。任意のワークスペー...
2026年4月15日
#securityのタグが付いたその他の記事
RoundcubeのIMAPコマンドインジェクションとSSRFの脆弱性
ソースコードレビューの過程でRoundcube Webmail（< 1.6.14、1.5.14、1.7 RC4）に見つかった2件のクリティカルな脆弱性を詳しく解説します。OVE-2026-8は、CRLFのサニタイズ漏れにより、認証済みの攻撃者が_filterパラメーター経由で任意のIMAPコマンドを注入できるものです。OVE-2026-9は、CSSプロキシの仕組みを悪用してサーバーサイドリクエストフォージェリ（SSRF）を可能にし、内部ネットワークのリソースやクラウドメタデータへのアクセスを許すものです。
2026年4月8日
CVE-2026-27971：Qwik server$ の認証不要なリモートコード実行
Qwik（< 1.19.1）に存在するCVSS 9.2のクリティカルな認証不要リモートコード実行脆弱性、CVE-2026-27971の技術的解説です。server$ RPCフローにおける安全でないデシリアライゼーションにより、攻撃者が制御するQRLオブジェクトがapplication/qwik-jsonリクエストから再構築され、任意のモジュールパスとシンボルの解決が可能になります。require()が利用できる環境では、細工されたサーバーサイド関数の呼び出しを通じてリモートコード実行に至ります。
2026年4月1日
CVE-2026-2599：WordPressのPHPオブジェクトインジェクションからRCEへ
WordPressプラグイン「Contact Form Entries」（≤ 1.4.7）に存在する、CVSS 9.8（クリティカル）の未認証PHPオブジェクトインジェクションの脆弱性「CVE-2026-2599」に関する技術的解説。download_csv関数がallowed_classesの制限なしに信頼できないユーザー入力をデシリアライズします。WordPress 6.4.0〜6.4.1と組み合わせることで、組み込みのWP_HTML_Tokenクラスがすべてパブリックな完全なPOPチェーンを提供し、2つの未認証HTTPリクエストを介した完全なリモートコード実行（RCE）につながります。
2026年3月25日
CVE-2025-68461：RoundcubeにおけるSVG animateによるXSSサニタイザーバイパス
CVE-2025-68461（CVSS 7.2）は、名前空間プレフィックスを用いることでSVGのanimateタグをRoundcubeのサニタイザーに通してしまう脆弱性です。PoC、パッチ解析、Nucleiによる検出、緩和策を解説します。
2026年3月17日
GHSA-cr3w-cw5w-h3fj：Saltcornにおける1クリックRCE
GHSA-cr3w-cw5w-h3fj（Saltcorn ≤ 1.5.0-beta.19に存在するCVSS 9.7のクリティカルなXSSからRCEへの脆弱性）の分析。ルートパラメーターの反射型XSSとバックアップ生成時のコマンドインジェクションという連鎖した2つの不備により、管理者へのフィッシングを介したリモートコード実行が可能になります。
2026年3月11日
CVE-2026-26019：LangChain RecursiveUrlLoaderのサーバーサイドリクエストフォージェリ脆弱性
LangChain CommunityのJavaScriptパッケージ（< 1.1.14）に存在する、CVSS 4.1（中）のサーバーサイドリクエストフォージェリ脆弱性CVE-2026-26019の技術的解説です。RecursiveUrlLoaderクラスはクロールするURLの検証に単純な文字列プレフィックスチェックを用いており、攻撃者はサフィックス付きのドメインでデフォルトのpreventOutside制限をバイパスし、クローラーを内部ネットワークのアセットへリダイレクトして、機微な認証情報やメタデータエンドポイントを露出させる可能性があります。
2026年3月4日
モバイルチームのためのDORAコンプライアンス：スコープと実際にやるべきことを理解する
BFSIチーム向けに、DORA規制とDORAコンプライアンスをモバイルファーストで解説するガイドです。スコープの定め方、リリースプロセスの簡素化、不要なコンプライアンス作業を生む落とし穴の避け方を学べます。
2026年3月3日
CVE-2025-64712：UnstructuredライブラリのMSG処理におけるパストラバーサルRCE
Unstructured Pythonライブラリ（< 0.18.18）に存在する、CVSS 9.8（クリティカル）のパストラバーサルによるリモートコード実行脆弱性CVE-2025-64712の技術的解説です。Outlook MSG処理における添付ファイル名のサニタイズ不備によりパストラバーサルが可能となり、攻撃者は細工したMSGファイルを介して任意のファイルを上書きし、コード実行を実現できます。
2026年2月23日
CVE-2026-1357：WPvividバックアッププラグインにおける認証不要のRCE
CVSS 9.8のクリティカルな認証不要のリモートコード実行脆弱性であるCVE-2026-1357の技術解説です。WPvivid Backup & Migrationプラグイン（≤ 0.9.123）に存在し、暗号処理のフェイルオープンとサニタイズされていないパストラバーサルという2つの連鎖する不備により、認証情報なしで任意のファイル書き込みとシェルのアップロードが可能になります。
2026年2月20日
オープンソースのAIペンテストツール9選を比較（2026年）
PentestGPT、PentAGI、HexStrike AI、Strix、CAI、Nebula、NeuroSploit、Deadend CLI、RedAmonを比較し、各AIペンテストエージェントの主な機能、GitHubのスター数、ライセンスを紹介します。
2026年1月30日