Security
- 2026-11-02
-
VIVANT #23で気になったこと
TBS日曜劇場『VIVANT』シーズン2の第23話で、凄腕ハッカーのBlue@walkerが「このハッシュ値を復号化して」と口にします。パスワードを守るハッシュ値は、本当に復号できるのでしょうか。スーパーコンピュータがあれば割り出せるのかを、パスワードが保存される仕組みから解説します。
- 2026-10-27
-
GMOデスクトップクラウド不正アクセス、攻撃者による個人情報の公開が始まった
約663万件が漏えいしたタイムズカーの不正アクセスに、多くのWebサイトを揺るがしたPHP2Shellと、深刻な事案が続いたこの秋、それらがかすんで見えるほどの事案が起きました。FX自動売買向けの「お名前.com デスクトップクラウド」への不正アクセスで、被害は取引口座や手元のPCにまで及び、個人情報の公開も始まっています。ホワイトハッカー組織を抱えるGMOで何が起きたのかを整理します。
- 2026-10-25
-
PHP2Shell収束後に検討すべき「情報発信サイトの脱CMS」
2026年10月のPHP2Shellは、WordPressなどのCMSを通じて多くのWebサイトに影響しました。パッチを当てても、PHPが動き続ける限り次の脆弱性は防げません。企業や自治体の情報発信サイトをCMSに頼らない構成に移す選択肢を紹介します。
- 2026-10-22
-
高市首相が「大至急」と呼びかけるPHPの脆弱性PHP2Shellとは
10月21日夜、PHPに認証なしで遠隔からコードを実行される脆弱性が2件公開されました。修正版が出る前から攻撃は始まっています。どの環境が危ないのか、すぐに更新できないときに何ができるのかを整理しました。
- 2026-10-16
-
警察による匿流スマホ遠隔解析は技術的に可能か
匿流が使うスマートフォンの中の情報を、警察が遠隔で解析できるようにする警職法改正案が閣議決定されました。秘匿性の高い通信アプリのやりとりを、警察は本当に読めるのでしょうか。その仕組みを技術の面から解説します。
- 2026-10-14
-
タイムズカーへの問い合わせ結果
タイムズカーの個人情報漏えいを受けて、退会者専用フォームから自分の情報が漏れていないかを問い合わせました。当時の会員番号まで伝えたうえで届いた回答は、予想もしない内容でした。
- 2026-10-08
-
相次ぐ情報漏えいは異常事態か
タイムズカーや焼肉きんぐなど、ここ数日は情報漏えいのニュースを見ない日がありません。本当に異常な事態が起きているのか、10月に公表された事案と統計から考えてみました。
- 2026-10-02
-
タイムズカー個人情報漏えいに個人でできる対策
タイムズカーの会員情報約660万件が流出し、約160万件には免許証などの画像も含まれていました。退会済みでも対象になり得るうえ、通知がいつ届くかもわかりません。自分の名義を悪用されないために、通知を待たずに個人でできることはあるのでしょうか。
- 2026-07-01
-
メッセージングアプリの匿名性考察
Threema公式ブログに「システムレベルの匿名性」についての記事が公開されました。 日本ではLINEが主流で匿名性についての関心は薄いと思うので、その仕組みと重要性を解説してみました。
- 2026-06-08
-
三菱UFJ銀行のPPAP廃止は、半歩前進で半歩後退
日本を代表する銀行がPPAPの廃止を発表しました。マルウェア対策としては正しい一歩ですが、新しい受け渡し方法には見過ごせない落とし穴が残っています。
- 2026-03-23
-
無料で始める Cloudflare セキュリティ対策
個人ブログにAI Chat機能を追加した翌日、スキャンボットの集中アクセスを確認しました。Cloudflareの無料プランだけで実施できるBot Fight Mode、WAFカスタムルール、Rate Limitingの3つの対策を紹介します。
- 2026-03-03
-
SPFのDNSルックアップ上限10回、あなたの組織は大丈夫？
SPFにはDNSルックアップ上限10回の制約があり、外部メール配信サービスのincludeが入れ子で膨らむと意図せず超過するリスクがあります。上限超過の仕組みと確認方法、対策を解説します。
- 2026-02-20
-
Cloudflare無料プランだけで個人サイトのセキュリティが完結した話
Cloudflareの無料プランで利用できるWAF・ボット対策・AIクローラー対策などのセキュリティ機能を、AWS AmplifyやGitHub Pagesと比較しながら紹介します。
GitHub Pagesのセキュリティヘッダー警告、無視していいの？
このブログはZola+GitHub Pagesで実現していますが、 GitHub Pagesはセキュリティヘッダの設定ができません。 いないとは思いますが、セキュリティスキャナーなどで未設定を見つけて文句をつけてくるセキュリティ厨がいないとも限りません。 対応すべきか放置すべきかの判断基準を解説しておきます。
React Server Components RCE脆弱性（CVE-2025-55182）への対応記録
2025年12月3日、React Server Components（RSC）とNext.jsにおいて、認証不要でリモートコード実行（RCE）が可能となる重大な脆弱性が公表されました。この記事では、この脆弱性の深刻度、CVE番号の統合経緯、そして当ブログでの対応状況について記録します。
Anthropic MCP Inspectorに重大な脆弱性
開発者向けツールとはいえ、CVSS スコア 9.4 という深刻度の高さに、セキュリティ対策の重要性を改めて認識させられました。
Webサイト脆弱性スキャン入門：NucleiとKatanaで始めるセキュリティチェック
ebサイトのセキュリティが気になるけど、専門的な知識がなくて何から始めればいいか分からない...そんなIT技術者の方に向けて、オープンソースのツールを使った脆弱性スキャンの方法をご紹介します。今回は「Nuclei」と「Katana」という2つのツールを組み合わせて、効率的にWebサイトの脆弱性をチェックする方法を解説していきます。
Authorization Bypass in Next.js Middleware
Next.js 15.2.3未満で認証をバイパスできる脆弱性の通知がGitHubから飛んできたので、一応このブログもアップデートしました。
The Ultimate Showdown: A Deep Dive into Modern Messaging Apps
市川強盗傷害事件で犯人たちがSignalを使っていたということで、「SIgnalは危険アプリ」とか言い出すバカがいそうなのでまとめてみました。
