Linuxカーネルの重大な脆弱性「CVE-2026-98432」｜優先して対応すべき理由と確認事項
Linuxサーバーを運用している企業は、CVE-2026-98432の対象確認を直ちに進めてください。 Red Hatは本件をCritical、CVSS 3.1で9.8と評価しています。認証を必要としない遠隔からの攻撃で、カーネルのメモリ破損やシステム停止を引き起こし、コード実行にもつながる脆弱性です。Red HatのCVE情報 Red Hatは、修正が公開され次第、できるだけ早く更新することを強 ...… Read More
Brotliの脆弱性、Node.jsを使っていなければ関係ない？組み込みライブラリの確認方法
「Node.jsは使っていないので、今回の脆弱性は対象外」。Brotliの注意喚起について、その回答だけで確認を終えることはできません。 Brotliは、ほかのソフトウェアに組み込まれて使われる圧縮ライブラリです。JPCERT/CCは2026年10月26日、Node.jsに加え、BunやPython向けBrotliパッケージなども確認対象として挙げています。JPCERT/CCの注意喚起 最初に調べ ...… Read More
PHPの更新で対策は終わり？相次ぐ情報漏えいを受けて見直すWebサービスの点検範囲
保守担当者から「PHPの更新は完了しました」と報告が届いたら、社内にはどこまで対策済みと伝えられるでしょうか。 対象のPHPに修正が反映されたことは、その脆弱性への対応結果です。会員画面のアクセス制御、外部サービスのアカウント、保有データまで点検したかどうかは、別に確認する必要があります。「対応済み」と報告する前に、何を確認した結果なのかを確かめます。 2026年10月26日、政府はサイバーセキュ ...… Read More
ランサムウェア対策のバックアップ｜本番環境と一緒に消されないための確認ポイント
「バックアップは毎日取得しています」。その回答に、もう一つ確認したいことがあります。 そのバックアップを削除できるのは、誰でしょうか。 取得に成功した記録だけでは、攻撃を受けたときにデータを残せるかは分かりません。警察庁は、ランサムウェアによってバックアップデータも暗号化される事例を紹介し、ネットワークから切り離すなどの備えを推奨しています。 （警察庁：ランサムウェア被害防止対策） この記事では、 ...… Read More
PHPの重大な脆弱性「php2shell」への対応｜影響範囲の確認と修正版適用の注意点
2026年10月21日、PHPプロジェクトは、認証なしの遠隔コード実行につながり得る脆弱性CVE-2026-109618・CVE-2026-109619（通称：php2shell）の修正版を公開しました。PHPを利用するWebシステムでは、稼働環境の影響有無を確認し、修正を含む版への更新を進める必要があります。PHP公式告知 対応時に注意したいのは、バージョン番号の確認だけでは、修正の適用状況を判 ...… Read More
不正アクセスの疑いが出たとき、ログを確認できますか？Webサービスの記録と担当を整理する
「身に覚えのない操作がある」と利用者から連絡が来たとき、該当する時間帯のログを取り出せるでしょうか。保存しているはずでも、場所や閲覧権限が分からなければ、確認を始められません。 まず一つのWebサービスを選び、ログの保存先、実際に残っている期間、確認できる担当者を調べます。本記事では、普段の運用で準備しておく内容を、構成図と問い合わせ例で説明します。 すでに不正アクセスなどの侵害が疑われる場合は、 ...… Read More
自社の公開APIを把握できていますか？古いAPI・検証環境の棚卸しと管理の進め方
セキュリティの注意喚起を受けて自社のシステムを調べようとしたものの、APIの接続先や管理担当が分からず、確認が止まっていないでしょうか。 まず、一つのサービスを選び、「どのアプリが、どのAPIに接続し、誰が管理しているか」を一覧にします。分からない項目は推測で埋めず、確認先を書き添えます。この記事では、そのための資料の集め方と記入例を紹介します。 ここでいう公開APIは、インターネットからアクセス ...… Read More
A2B攻撃とは？NICT注意喚起から学ぶAPIセキュリティと企業が確認すべき3つの対策
自社のSaaSやWebサービスで、公開しているAPI、旧バージョンのAPI、検証環境をすべて把握できているでしょうか。ログの保存先と、不審なアクセスを調べる担当者も併せて確認してください。 スマートフォンアプリは、画面だけで完結しているわけではありません。裏側では、会員情報や注文履歴などを管理するサーバと、API（アプリとサーバの間で情報をやり取りする窓口）を通じて通信しています。 2026年10 ...… Read More
専任の運用担当がいないSaaS企業へ｜AWS運用で確認する5項目
本番環境のアラートが届くたびに、同じ開発者が作業を止めて調べている。バックアップはあるものの、その人が休んだ日に誰が復旧するかは決まっていない。自社のSaaS・WebサービスをAWS運用していて、こうした状態に心当たりはないでしょうか。 まず確認したいのは、担当者以外が構成と手順をたどり、必要な判断をできるかです。この記事では、構成、権限、復旧、監視後の対応、リリースの5項目から、どこを先に整える ...… Read More
型式試験に提出した版をたどれるか｜遊技機開発のデータ管理
型式試験への提出後に、書類やプログラムを確認することになったとき、実際に提出したものと、それらに対応する社内の開発データを特定できるでしょうか。作業フォルダにある最新版と、提出した版が同じとは限りません。提出後も開発が進む場合は、どのデータを使ったかを後からたどれる記録が必要になります。 この記事では、遊技機メーカーや開発子会社の開発管理責任者に向けて、提出版の識別、変更理由、書類との対応、保管と ...… Read More
