セキュリティプロ・フリーランス編集部– Author –
-
Movable Typeに権限チェック欠如の脆弱性（CVE-2026-44392）、CMS導入企業に意図せぬ更新リスク
「自社サイトで使っているMovable Typeに脆弱性が出たらしいけれど、何が危ないんでしゅか？」「アップデートは急いだほうがよいんでしゅか？」 ボス、JVNでまた新しい脆弱性情報が出てましゅよ。Movable Typeって日本でめちゃくちゃ使われてるやつ... -
Grafana Labs、GitHub侵害でコードベース流出を公表、CoinbaseCartelが恐喝を試みるも支払い拒否
「GitHubトークンが盗まれただけでコードベース全体が抜かれるって、どういうこと？」「Pwn Requestって脆弱性、自社のGitHub Actionsにもありそうで心配…」 ボス、Grafana Labsがコードベースをまるごと盗まれたって本当でしゅか？ 大きな話でしゅ… うむ... -
BitLocker回避ゼロデイ「YellowKey」CVE-2026-45585、物理アクセスで暗号化突破が可能
「BitLockerで暗号化していれば、ノートPCをなくしても安心じゃなかったの？」「YellowKeyって名前の脆弱性、社用ノートも危ない？」 ボス、BitLockerをすり抜けるゼロデイが出たって本当でしゅか？ ノートPCを暗号化すれば安心だと思ってましたでしゅ。 ... -
Microsoft、マルウェア署名サービス「Fox Tempest」を制圧、1000超の不正コード署名証明書を失効
「正規のコード署名がついているマルウェアって、どうやって検知すればいいの？」「Microsoftが制圧したって聞いたけど、もう安全になったの？」 ボス、Microsoft Artifact Signingを悪用したマルウェア署名サービスって、それ自体が驚きでしゅ… うむ、Mic... -
Apache FlinkにSQLコードインジェクション脆弱性CVE-2026-35194、TaskManagerでRCEのリスク
「Apache Flinkでデータ処理基盤を組んでいるけど、認証済みユーザーがコード実行できるって本当？」「SQLのエスケープ処理に不備って、自社のクエリを見直せば大丈夫なの？」 ボス、Flinkにクリティカル脆弱性って出てましゅけど、ストリーム処理基盤って... -
MongoDBに深刻な脆弱性CVE-2026-8053（CVSS 8.8）、time-series処理欠陥で任意コード実行のおそれ
「MongoDBの脆弱性って認証済みユーザー前提だから安心していいの？」「time-series機能を使っていなくても影響はあるの？」 ボス、MongoDBに深刻な脆弱性が出たって聞きました。CVE-2026-8053ってどんな内容でしゅか？ うむ、CVSS 8.8の高深刻度だ。time... -
LLMアプリ開発基盤Difyに複数のクリティカル脆弱性、CVE-2026-41948/41947でテナント越境のリスク
「社内でDifyを使ってLLMアプリを作っているけど、安全に運用できているの？」「テナント越境って、他社の会話が見えちゃうってこと？」 ボス、DifyってLLMアプリの開発基盤でしゅよね？ そこにクリティカルな脆弱性が出たって本当でしゅか？ うむ、5月19... -
Drupalコアに高クリティカル脆弱性、5月20日に緊急更新リリースで悪用に警戒
「Drupalで動いている自社サイト、急ぎパッチを当てなきゃいけないの？」「Highly Criticalって言われても、まだCVEも公表されていないけど何が危険なの？」 ボス、Drupalが緊急で更新するって言ってましゅけど、まだ詳細が出ていないんでしゅか？ うむ、5... -
情報処理安全確保支援士は意味ない？5つの批判理由と現場で得した7つのメリット
「情報処理安全確保支援士を取っても意味がない」、こんな声を聞いて、受験や登録をためらっていませんか。 独占業務がないのに維持費が高いのでは？ 周囲に資格の価値が伝わらず、評価されないのでは？ 合格しても登録しない人が多いと聞くけど、本当に必... -
Linuxカーネル脆弱性ssh-keysign-pwn（CVE-2026-46333）でSSH秘密鍵漏洩リスク、Movable Typeも緊急対応
「LinuxサーバでSSH鍵が一般ユーザーから盗まれるって、本当に起こるの？」「Movable Typeまで緊急対応するほど、何が深刻なの？」 ボス、Linuxのssh-keysign-pwnって脆弱性、SSH鍵まで盗まれちゃうって本当でしゅか？ うむ、5月14日にQualys Threat Resea...
