和田竜一@AppTime株式会社 @apptime_wada - Twitter Profile

1 day ago

Next.jsでWebサービスを作っている会社へ。 Reactに、深刻度9.5の穴が見つかっています。ログインなしで、外からサーバーの中で好きなプログラムを動かされるタイプです。修正版は10月14日に出ています。それでも、関連する部品のダウンロードの約7割は、まだ直っていない版でした。エンジニアの話に見えますが、外注で作ったサービスほど更新が止まりがちです。発注し��側の人も確認してください👇 ━━━━━━━━━━ ■ 対象になる人 ✅ 対象・Next.js（App Router）でサービスを作っている・React Router、Wakuなど、サーバー側でReactを動かしている ❌ 対象外・ブラウザだけで動くReact ・React 18以前 Next.jsはReactの部品を中に持っているので、「Reactを最新にしたから大丈夫」ではありません。 ※2026年11月11日時点。React・Next.jsの公式アドバイザリで確認できたことだけ書いています。 ━━━━━━━━━━ ■ 何が起きているか・10/14 修正版が公開・11/10 CVE-2026-126187として番号が付く・11/11 攻撃の見本（PoC）をうたうコードが海外で拡散たとえるなら、「お店の注文用紙に細工した書き込みをすると、厨房がそのとおりに動いてしまう」状態です。注文用紙は、誰でも出せます。 ※実際に悪用されたという報告は、まだありません ━━━━━━━━━━ ■ 今日やること ① Next.jsのバージョンを確認 → 16系は16.4.5、15系は15.5.29に上げる ② Next.js以外は、Reactのサーバー部品を修正版へ → 19.0.9／19.1.10／19.2.9／19.3.1 ③ 更新したら、本番まで反映する → 手元で上げただけでは直っていません ④ 外注している会��は、開発会社に一言聞く →「ReactのCVE-2026-126187、うちは対象ですか？」 ⚠️ 設定で防ぐ方法はありません。更新するしかないです。 ━━━━━━━━━━ ■ 開発者として思うこと・10月：PHP（WordPressの土台）・11月：React（Next.jsの土台）どちらも「みんなが使っている部品」でした。 Reactの部品は、何重にも入れ子になっています。「最新にしたつもり」がいちばん危ない。開発会社への確認は1通で済みます。今日送っておきましょう。

1

196

34

209

44K

AppTime_wada retweeted

黒田@AppTime社長(技術×MBA×AI)

@kuro_man1122

8 days ago

▼ お申し込みはこちら https://t.co/UBQv7viUnd #SES #SES交流会 #大阪 #IT業界 #受託開発

0

4

1

0

213

AppTime_wada retweeted

黒田@AppTime社長(技術×MBA×AI)

@kuro_man1122

8 days ago

【11/16(月) 20名限定の関西SES交流会を開催】弊社主催のSESまったり交流会を開催します！ SES営業・経営者の皆さまと、案件や人材の情報交換、パートナー開拓など、気軽につながれる場にできればと思っています！もちろん私も参加しますので、ぜひ色々お話ししましょう！ 📅 11月16日(月) 16:00〜18:00 📍 大阪・キタホリエ・西長堀駅徒歩1分　 GREENCAB coffee 💰 参加費無料 👥 限定20名新しい出会いやビジネスのきっかけになれば嬉しいです！ご興味ある方はぜひご参加ください！ ▼ お申し込みはこちら

2

4

2

0

346

AppTime_wada retweeted

黒田@AppTime社長(技術×MBA×AI)

@kuro_man1122

13 days ago

対象になる人・ならない人の表と、Mac・Windowsの確認コマンド、見つかったときの手順を記事にまとめま��た👇 https://t.co/sgmH5NBURa うちの開発用のMacも実際に確認した結果を載せています。 ※2026年10月30日時点。Cursor公式の告知と、https://t.co/v7Au9IQMc2の調査記事で確認した内容です。

0

1

0

136

AppTime_wada retweeted

黒田@AppTime社長(技術×MBA×AI)

@kuro_man1122

13 days ago

Cursorで「Claude Code」の拡張機能を使っている人へ。昨日の夕方〜今朝までの約11時間に入れた・更新された人は、PCに"勝手口"を付けられているかもしれません。拡張機能を消すだけでは直りません「Claude Codeにバックドア」と流れてきて、ドキッとした人も多いと思います。うちも毎日Claude Codeで開発している会社なので、Cursorの公式発表と、最初に報告したセキュリティ調査サイトの記事で確認できたことだけをまとめました。 ※2026年10月30日時点。攻撃の手順には触れません。 ━━━━━━━━━━ ■ 先に結論・対象は「Cursorの拡張機能マーケット」から入った Claude Code拡張の 2.1.313 だけ・VS Code（Microsoftのマーケット）版、ターミナルで使うClaude Code本体、https://t.co/A9AZJRxJTHのチャットは、今のところ対象外とされています・Anthropicが作ったものではなく、誰かが改変したものが配られていました・Cursorによると、影響は最大5,000人「VS Codeで入れた人は注意」という投稿もかなり回っていますが、両方の発表とも、配られたのはCursorのマーケットだとしています。 ━━━━━━━━━━ ■ 何が起きたのか家電量販店の公式の棚に、純正品そっくりのパッケージが約11時間並んでいた、という話です。中身は、家の合鍵を勝手に作って、外から出入りできる勝手口を付ける装置でした。 Cursorの発表では、改変版はこういう動きをします。・PCの名前、ユーザー名、Gitのメールアドレス、IPアドレスなどを外に送る・攻撃者の「鍵」をPCに登録して、外からSSHで入れるようにする・再起動しても動き続け、約60秒ごとに外とつなぎ直す仕掛けを置く Claudeと会話しなくても、拡張機能が読み込まれた時点で動きます。 ━━━━━━━━━━ ■ 消すだけではダメな理由拡張機能を消しても、PCに登録された「合鍵」と「勝手口」は残ります。外からの接続を本当に開くには管理者権限が必要なので、MacやWindowsではたいてい失敗する、とCursorは書いています。ただ、合鍵の登録、再起動後も動く仕掛け、PC情報の送信は成功しうる。だから全員に確認を求めています。 ━━━━━━━━━━ ■ 確認し��ほしい人・Cursorに Claude Code の拡張機能を入れている・10/29(木)18:27〜10/30(金)5:35（日本時間）にCursorを開いていた、または拡張を入れた・更新した拡張機能は自動で更新されることが多いので、「何もしていない」人ほど確認してください。 ━━━━━━━━━━ ■ 今日やること（確認は1分） ① 合鍵が登録されていないか調べる ▼ Mac（ターミナルに貼り付け） grep svc-telemetry ~/.ssh/authorized_keys ▼ Windows（PowerShellに貼り付け） Select-String svc-telemetry "$HOME\.ssh\authorized_keys","C:\ProgramData\ssh\administrators_authorized_keys" -ErrorAction SilentlyContinue 何も表示されなければ、ひとまず大丈夫です。 ② 何か出てきた人は・まずPCをネットから切り離す・別の安全なPCから、GitHub、AWS、各種APIキーなど、そのPCで使っていたパスワードやキーを変更・Cursorが配っている専用の削除スクリプトを実行（拡張機能の削除だけでは不十分です） ━━━━━━━━━━ ■ AIで開発している人が覚えておきたいこと今回は「公式マーケッ��」に「公式の名前」で並んでいました。怪しいサイトから落としたわけではないのに、です。先週のPHP、Brotliに��いて、「AIのために入れた道具」が入口になる話が今月は続いています。会社で使っているなら、誰のPCにどの拡張機能が入っているか、一度棚卸しをしておくのがおすすめです。

1

4

1

477

AppTime_wada retweeted

Qasica公式 @AT260331

about 2 months ago

Qasicaの販売代行をしてくれるSES企業様募集しております。詳しくはDMください。

0

5

1

261

和田竜一@AppTime株式会社

@AppTime_wada

Last Seen Users on Sotwe

Trends for you

Most Popular Users