セキュリティ

セキュリティ 2026.09.13 7

KEVカタログで脆弱性対応の優先度を決める｜CVSSとの違い、期限の読み方、自社の一覧との突き合わせ方

KEVカタログは、実際に悪用が確認された脆弱性をCISAがまとめた一覧です。載る条件、CVSSやEPSSとの違い、2026年6月の指令BOD 26-04で決まる期限の読み方を一次情報で整理し、2026年9月11日版の1,709件を集計した数字と、自社の脆弱性の一覧と突き合わせるコマンドを紹介します。

# セキュリティ # 脆弱性対応 # 運用

セキュリティ 2026.09.12 4

ユーザーが入力したURLをサーバーで取得する機能の作り方｜文字列チェックでは防げない理由

リンクのプレビュー、Webhook の宛先登録、監視対象の追加。どれも読者が指定したURLをサーバーが取りに行きます。ホスト名の文字列を見るだけの検証は通り抜けられ、リダイレクトの自動追従は入口の検証を無効にします。両方を手元で再現し、解決したアドレスで判定する実装の順番をOWASPの指針と合わせてまとめます。

# DNS # Python # セキュリティ

セキュリティ サーバー 2026.09.11 5

脆弱性スキャナが緑でも本番は古いことがある｜lockと実体がずれる原因と確認方法

ロックファイルが新しく脆弱性スキャナも0件なのに、実際に動いているものだけが古いことがあります。スキャナが見ているのは宣言であって実体ではないためです。ロックは0.35.4、実体は0.35.1、audit は0件という状態を手元で再現し、確認方法とその盲点まで実測でまとめます。

# Docker # 脆弱性対応 # 運用

プログラミング セキュリティ 2026.09.11 7

npm installは通るのに依存のバージョンが上がらない｜overridesが上流の修正を打ち消す

フレームワークのセキュリティ修正版に上げたのに、修正の本体である下位の依存が古いまま残ることがあります。原因は自分で書いたoverridesで、上流が引き上げた下限を打ち消してしまうためです。npmとpnpmの両方で再現した結果と、どのコマンドなら気づけるかを実測でまとめます。

# 脆弱性対応 # Node.js # pnpm

ソフトウェア セキュリティ 2026.09.11 9

Antimalware Service Executableが重いまま下がらない原因を特定する方法｜ファンが鳴りやまないPCで実際に調べた手順

Antimalware Service Executable（Microsoft Defender）のCPU使用率がずっと下がらず、ファンが鳴りやまない。無効化や除外設定に手を出す前に、Microsoft公式のパフォーマンスアナライザーで「どのプロセスがスキャンを発生させているか」を特定する手順を、実際のノートPCで測った数値つきで解説します。筆者のPCでは、メーカー製のバックアップ機能が60秒間に1,824回のスキャンを発生させていました。

# CPU # Windows # トラブルシューティング

セキュリティ ソフトウェア 2026.08.02 111

スマホ機種変更の前に確認すべき認証まわり｜2FA・パスキーで詰まないチェックリスト

スマホの機種変更で本当に詰まるのは、写真やLINEではなく「認証」です。特にiPhoneからAndroidへ移る場合、認証アプリの同期がOFFだと全アカウントから締め出され、iCloudキーチェーンにしかログイン手段がないアプリは移行できません。パスキーの移行規格は整備が進んでいますが、古い端末はそのiOSに上げられず恩恵を受けられないという落とし穴もあります。機種を選ぶ前に確認すべきことを、認証アプリ・パスキー・バックアップコード・iMessage解除の順にチェックリスト形式で整理します。

# セキュリティ # パスキー # 2段階認証

セキュリティ ソフトウェア 2026.07.17 217

「パスワードが漏洩しました」の警告が出たら？意味と正しい対処

ブラウザに「データ侵害であなたのパスワードが検出されました」と警告が出たときの意味と、正しい対処を整理します。これはChrome（Googleパスワードマネージャー）の正規機能で、保存したパスワードが公開されている漏洩データの中に見つかった、という意味です。Googleが侵入されたわけでも、そのアカウントが乗っ取られたわけでもありません。ただし放置は危険で、本当の脅威は使い回しを突くパスワードリスト攻撃です。検出の仕組み、優先順位つきの対処、自動変更機能の是非、偽の漏洩警告（フィッシング）の見分け方まで解説します。

# セキュリティ # Chrome # パスワード

プログラミング ソフトウェア セキュリティ 2026.07.04 129

Better Authとは？自前で持つTypeScript認証フレームワークとAuth.jsとの関係

Better Authとは何かを、自前で持つTypeScript認証フレームワークという観点と、Auth.jsとの関係から整理します。Better Authは、認証を外部サービスに預けず、自分のコードとデータベースの中に実装するためのフレームワーク非依存なライブラリです。2要素認証・パスキー・組織・SSO・レート制限などが最初から揃い、MITライセンスで無料。長年定番だったAuth.js（旧NextAuth）がBetter Authチームの管理下に入り、新規はBetter Authが推奨される流れになりました。Clerkとの違いや向いている場面まで解説します。

# TypeScript # セキュリティ # 認証

プログラミング ソフトウェア セキュリティ 2026.07.04 99

Clerkとは？UIまで用意された認証サービスと、認証の選び方

Clerkとは何かを、UIまで用意された認証サービスという観点と、認証の選び方から整理します。Clerkは、サインイン画面やユーザー管理画面、ソーシャルログイン、多要素認証、組織機能などを、コンポーネントを置くだけで導入できるマネージド認証サービスです。自前で作ると重い認証まわりを一気に省けるため、MVPやSaaSの立ち上げで人気です。無料枠や料金の考え方、Auth.js（NextAuth）やBetter Auth、Supabase Authとの選び分け、データの持ち方やロックインの注意点まで、AIに認証を含む構成を渡された人にも役立つよう解説します。

# Next.js # 認証 # SaaS