セキュリティ サーバー ソフトウェア 2026.10.30 53 2026年のセキュリティ更新の記録：修正からKEV追加までの日数と、ツール別の解説一覧 2026年に取り上げたセキュリティの更新を、時系列の表とツール別の入口にまとめた記録ページです。毎月、追記していきます。2026年10月の PHP2Shell・HTTP2Shell・GitLab・Linux カーネル（Fragnesia）・Laravel・VS Code・eMudhra の件を整理し、修正の公開から CISA の悪用確認済みの一覧（KEV）に載るまでの日数が5日から5か月以上まで幅があること、期限が3日の項目と14日の項目があることを、公式のデータで比べています。 # Laravel # PHP # Linux
セキュリティ プログラミング 2026.10.28 26 VS Codeでリポジトリを開くと勝手に実行される？tasks.jsonとワークスペースの信頼 採用の課題を装って悪意のあるリポジトリを開かせ、VS Code の tasks.json に仕込んだ自動タスクで攻撃コードを動かす手口を、Jamf・Microsoft の報告と VS Code の公式ドキュメントで整理しました。いまの VS Code が既定で止めてくれること（制限モードと自動タスクの確認）、npm のインストール時のスクリプトなどタスク以外の入口、知らないリポジトリを開く前の確認手順、設定の見直し、実行してしまったときの対応までまとめています。 # VS Code # セキュリティ # マルウェア
セキュリティ ネットワーク 2026.10.26 41 能動的サイバー防御とは？3つの柱と施行の段階、企業に関係すること（サイバー対処能力強化法） 能動的サイバー防御とは何かを、サイバー対処能力強化法の3つの柱（官民連携の強化・通信情報の利用・アクセス・無害化措置）、2026年10月1日の一部施行と今後の段階、基幹インフラ事業者とそれ以外の企業に関係すること、誤解されやすい点まで、国家サイバー統括室の発表と衆議院の調査局の解説をもとに整理します。 # セキュリティ # 能動的サイバー防御 # サイバー攻撃
ネットワーク 2026.09.13 44 ネットワーク機器のACLとは？上から順の照合・暗黙の拒否・戻りの通信を実際に動かして確かめる ネットワーク機器のACLは、通信を許可・拒否するルールの一覧です。上から順に照合して最初に一致したルールで決まること、どれにも一致しない通信は拒否されること、戻りの通信を別に許可する必要がある場合があることを、Linuxのパケットフィルタで実際に再現し、CiscoとAWSの公式ドキュメントとあわせて解説します。 # ファイアウォール # AWS # セキュリティ
セキュリティ 2026.09.13 57 KEVカタログで脆弱性対応の優先度を決める｜CVSSとの違い、期限の読み方、自社の一覧との突き合わせ方 KEVカタログは、実際に悪用が確認された脆弱性をCISAがまとめた一覧です。載る条件、CVSSやEPSSとの違い、2026年6月の指令BOD 26-04で決まる期限の読み方を一次情報で整理し、2026年9月11日版の1,709件を集計した数字と、自社の脆弱性の一覧と突き合わせるコマンドを紹介します。 # セキュリティ # 脆弱性対応 # 運用
プログラミング 2026.09.12 21 静的解析は何を見つけられて何を見つけられないのか｜緑になっても安全とは言えない理由 静的解析はコードを動かさずに形から問題を探す手法です。同じ検査を何度でも回せて行番号まで示せる一方、認証や権限の不備は自動では追えず、設定ファイル側の問題はコードに現れないため見えません。OWASPの整理で得意と不得意を確認し、誤検知への向き合い方と何と組み合わせれば穴が埋まるかを整理します。 # コードレビュー # 静的解析 # セキュリティ
ネットワーク 2026.09.12 24 エンドポイントという言葉は3つの別のものを指す｜APIの窓口・守る端末・クラウドの接続口 エンドポイントを調べるとURLの説明が出る記事と、ノートPCを守る話が出る記事があります。どちらも正しく、同じ語が別のものを指しているだけです。APIの個々の窓口、セキュリティで守る対象の端末、クラウドのサービス接続口の3つを切り分け、その語に付く述語と数え方の単位から判別する方法を整理します。 # API # セキュリティ # エンドポイント
セキュリティ 2026.09.12 36 ユーザーが入力したURLをサーバーで取得する機能の作り方｜文字列チェックでは防げない理由 リンクのプレビュー、Webhook の宛先登録、監視対象の追加。どれも読者が指定したURLをサーバーが取りに行きます。ホスト名の文字列を見るだけの検証は通り抜けられ、リダイレクトの自動追従は入口の検証を無効にします。両方を手元で再現し、解決したアドレスで判定する実装の順番をOWASPの指針と合わせてまとめます。 # DNS # Python # セキュリティ
セキュリティ ソフトウェア 2026.08.02 341 スマホ機種変更の前に確認すべき認証まわり｜2FA・パスキーで詰まないチェックリスト スマホの機種変更で本当に詰まるのは、写真やLINEではなく「認証」です。特にiPhoneからAndroidへ移る場合、認証アプリの同期がOFFだと全アカウントから締め出され、iCloudキーチェーンにしかログイン手段がないアプリは移行できません。パスキーの移行規格は整備が進んでいますが、古い端末はそのiOSに上げられず恩恵を受けられないという落とし穴もあります。機種を選ぶ前に確認すべきことを、認証アプリ・パスキー・バックアップコード・iMessage解除の順にチェックリスト形式で整理します。 # セキュリティ # パスキー # 2段階認証
