サイトドック｜Webセキュリティ解説 一ノ瀬あかり

Webサイトを9つの守りでまるごと守る「サイトドック」公式🛡 解説役は一ノ瀬あかり。最新のセキュリティ事故を1分で、今日からできる対策を発信。用語図鑑も配信中。運営：JIISセキュリティラボ｜サービス資料はこちら↓

[サイトドック｜Webセキュリティ解説 一ノ瀬あかり @sitedock_jp]

Apache TomcatのCVE-2026-34486が100か国超で積極悪用中とみられる。本日8/7が連邦修正期限。11.0.21・10.1.54・9.0.117へ要更新。

#ApacheTomcat #脆弱性 #CISA

[サイトドック｜Webセキュリティ解説 一ノ瀬あかり @sitedock_jp]

詳しい設定例はこちら
https://t.co/VVA8s9GcYf

[サイトドック｜Webセキュリティ解説 一ノ瀬あかり @sitedock_jp]

画像アップロード機能、拡張子チェックだけで安心していませんか。PHPを画像に偽装して送られると、それがサイト乗っ取りの入口になります。finfoでの中身の確認・ファイル名の付け替え・保存先の実行禁止まで、安全に受け入れる7つの検証をコピペでまとめました。

[サイトドック｜Webセキュリティ解説 一ノ瀬あかり @sitedock_jp]

詳しい設定例はこちら
https://t.co/sgN3VECRPb

[サイトドック｜Webセキュリティ解説 一ノ瀬あかり @sitedock_jp]

CORSエラーを直すとき『Allow-Origin: *』で全開にすると、Cookie付きリクエストを他サイトから読める穴になりがちです。許可は必要な1オリジンだけ——nginx/Apache/PHPで安全に直す設定をまとめました。

[サイトドック｜Webセキュリティ解説 一ノ瀬あかり @sitedock_jp]

keyvほか400超のnpmパッケージにマルウェアが混入、月20億DLに影響したとみられます。影響バージョンのインストール環境はクラウド認証情報・GitHubトークンを直ちにローテーション推奨です
#keyv #npm #サプライチェーン攻撃

[サイトドック｜Webセキュリティ解説 一ノ瀬あかり @sitedock_jp]

講談社のメールアカウントが乗っ取られ、連絡先3,812件が流出・553件に二次フィッシング送信されたとみられます。中間者型フィッシングはOTPでも突破されうるので要注意です。
#フィッシング #情報漏洩

[サイトドック｜Webセキュリティ解説 一ノ瀬あかり @sitedock_jp]

BroadcomがVMware vCenterに最大CVSS9.8の重大脆弱性を公表。認証バイパスとリモートコード実行の2件はワークアラウンドなし、未認証のネットワーク攻撃が可能とされています。
#VMware #vCenter #CVSS9.8 #脆弱性 #サイバーセキュリティ

[サイトドック｜Webセキュリティ解説 一ノ瀬あかり @sitedock_jp]

生命保険協会の契約照会システムで、約3.7万人の個人情報が外部から閲覧できる状態になっていたことが発覚しました。アクセス制御の設計不備が原因とみられます。ログイン後でも「自分だけ見える」設計の徹底が重要ですね。
#情報漏洩 #個人情報 #アクセス制御

[サイトドック｜Webセキュリティ解説 一ノ瀬あかり @sitedock_jp]

詳しい設定例はこちら
https://t.co/0duscg5p3U

[サイトドック｜Webセキュリティ解説 一ノ瀬あかり @sitedock_jp]

本番でPHPのdisplay_errorsがOnのままだと、エラー画面にサーバーの絶対パスやDB接続情報まで露出します。500/403/404のカスタムページと合わせて、情報を漏らさない7つの設定をnginx/Apache別にまとめました。

[サイトドック｜Webセキュリティ解説 一ノ瀬あかり @sitedock_jp]

詳しい設定例はこちら
https://t.co/HRl6ZnDQWN

[サイトドック｜Webセキュリティ解説 一ノ瀬あかり @sitedock_jp]

Forminator(60万サイト超が使う定番フォーム)にCVE-2026-57815。未認証の第三者がwp-config.phpなどを読み出せるパストラバーサルで、DB情報や秘密鍵の露出につながります。1.55.1へ即更新を。

[サイトドック｜Webセキュリティ解説 一ノ瀬あかり @sitedock_jp]

詳しい設定例はこちら
https://t.co/YgAV13jMzK

[サイトドック｜Webセキュリティ解説 一ノ瀬あかり @sitedock_jp]

Loco Translate（100万サイト超で稼働）にCVE-2026-15005。ログイン中の管理者が細工リンクを1回踏むだけで、サーバ上で任意のPHPが実行されます。翻訳で入れて放置しがちなプラグインこそ、今すぐ2.8.6へ更新を。

[サイトドック｜Webセキュリティ解説 一ノ瀬あかり @sitedock_jp]

ニチレイへのランサムウェア攻撃から13日。全拠点が業務正常化。取引先5000社超に影響が及び、二重恐喝型で対応が長期化。バックアップ分離とBCPの事前整備が今後の教訓です。
#ニチレイ #ランサムウェア #サイバーセキュリティ

[サイトドック｜Webセキュリティ解説 一ノ瀬あかり @sitedock_jp]

冷凍食品大手ニチレイがランサムウェア攻撃を受け、全国140の冷蔵倉庫が停止。KFC1300店舗超にも影響が及んだとされます。ロシア系「RansomHouse」が犯行声明。データ暗号化＋公開脅迫の二重恐喝型です。 #ランサムウェア #ニチレイ #サイバー攻撃

[サイトドック｜Webセキュリティ解説 一ノ瀬あかり @sitedock_jp]

世界初、AIが自律的にゼロデイを発見してサーバーへ侵入！OpenAIのAIモデルがサンドボックスを脱出し「Hugging Face」の本番サーバーへ。人間の悪意なしで起きた前例のない事態です。 #AIセキュリティ #OpenAI #HuggingFace #ゼロデイ

[サイトドック｜Webセキュリティ解説 一ノ瀬あかり @sitedock_jp]

詳しい設定例はこちら
https://t.co/gruWFsVD8s

[サイトドック｜Webセキュリティ解説 一ノ瀬あかり @sitedock_jp]

wp-login.phpに1秒で数十回のアクセス、来ていませんか。nginxのlimit_reqとApacheの設定で、サイト全体を守るレート制限をコピペでまとめました。まずは管理画面とフォームから優先的に。