最新記事一覧
世界中の大手WebサイトやSNSをダウンさせた、CDN大手米Cloudflareの大規模障害。これに関連して、一部のWebサイトが防御が手薄になり、この間に不正侵入された恐れがある。専門家はログなどを確認するよう促している。
()
4年ぶりの「OWASP Top 10 2025」が公開された。できる限り「症状」ではなく「根本原因」に焦点を当てるように刷新したという。
()
OWASPはWebアプリケーションのセキュリティリスクのうち重大なものをリスト化した「OWASP Top 10 2025」を公開した。2025年版のリストでは、幾つかの新たな項目がランクインしている。
()
『攻撃者の目』は、ホワイトハッカーと共に、攻撃の一連の流れとセキュリティ対策の勘所を楽しく学ぶ番組です。今回はいよいよ攻撃段階。Webの脆弱性を突いたSQLインジェクションについて、そのリスクや目的、対処法などを詳細に解説します。
()
XSSは最新のフレームワークやクラウドネイティブアーキテクチャで構築されたアプリケーションでも発見されている。
()
セキュリティエンジニア必見のハッカーイベント「DEF CON 33」が開催されました。たくさんの講演がある中で筆者が注目したのは、守りの要である「パスワード管理ソフト」を標的にした“古くて新しい攻撃”でした。一体どんなものなのでしょうか。
()
Anthropicは2025年8月6日、コーディング支援ツール「Claude Code」にセキュリティレビューを自動化する機能を追加したと発表した。同社は、開発現場におけるコードレビューの負担を軽減し、安全なアプリケーション開発を支援するとしている。
()
システム基盤をクラウドに移行する企業が増加する中、そのDDoS攻撃対策は喫緊の課題だ。本稿では主要3大クラウドサービスであるAWS、Azure、GCPに焦点を当て、DDoS攻撃対策サービスを解説する。
()
研究者らは「Opossum攻撃」と呼ばれる新たな攻撃を発表した。この攻撃は暗黙的TLSと機会的TLSの同期のずれを突き、通信内容の改ざんを可能にする。PoC公開済みのため、脅威アクターが既存のインフラに対し同様の手法を悪用する可能性がある。
()
APIへの攻撃が増加しており、企業に深刻な情報漏えいのリスクをもたらしている。API攻撃の手口と、その対策としてのAPIセキュリティのベストプラクティスを紹介する。
()
クレジットカードの不正利用被害が深刻化する中、EC事業者側としてはどのような対策を取るべきなのでしょうか。改訂された「クレジットカード・セキュリティガイドライン6.0版」からそのポイントをまとめます。
()
VMware製品のサポート体制が激変し、永久ライセンスユーザーは重要なパッチを容易に入手できなくなる可能性に直面している。そのような状況下でも対策の糸口はあるのか。
()
クラウドサービスだけじゃない！ ローカルPCやサーバ、Kubernetesで生成AI（5）：「Visual Studio Code」と「Ollama」で簡単に始められる、安心・安全なローカルAI活用術
気軽に試せるラップトップ環境で、チャットbotを提供するオールインワンの生成AI環境構築から始め、Kubernetesを活用した本格的なGPUクラスタの構築やモデルのファインチューニングまで解説する本連載。今回は、「Visual Studio Code」と「Ollama」を活用し、Visual Studio Codeでローカルモデルに対してコードの生成や修正、レビューを指示したり、AIエージェントモードでコーディングさせたりする方法を解説します。
()
人気のパスワード管理製品BitwardenにPDFファイルを通じて悪意あるJavaScriptを実行できるXSSの脆弱性が見つかった。PoCが公開されており、サイバー攻撃者による悪用リスクが高まっているため注意が必要だ。
()
Webアプリケーションの利用が広がる中で、セキュリティ対策も重要となっている。Webを守るツールである「WAF」と「RASP」はどのような仕組みで動くのか。
()
セキュリティ研究者がAI駆動型WAFの回避手法とその脆弱性を解説した。悪意のある命令文をAIに入力することで、WAFを誤認識させられるという。
()
EGセキュアソリューションズは「SiteGuard セキュリティレポート（2025.1Q）」を発表した。それによると、特定の攻撃手法が突出して増加傾向にあり、特に教育機関で被害が出ていることが分かった。
()
Googleは2024年のゼロデイ脆弱性の悪用状況を分析した年次レポートを公開した。同年では75件のゼロデイ脆弱性の悪用が確認されたが、この流れは今後、拡大するとみられている。
()
スポットワークや暗号資産など、事業の幅を急速に広げるメルカリ。こうした機動的な事業展開を支えるのは、包括的で強固なプロダクトセキュリティだ。ゲーミフィケーションも取り入れた同社の取り組みにつき、責任者が語った。
()
セキュリティ研究者はWindowsのFile Explorerに存在する脆弱性のPoCエクスプロイトを公開した。この脆弱性（CVE-2025-24071）はNTLMハッシュの漏えいを引き起こす。
()
Webサーバを運用していて、HTTPレスポンスヘッダをデフォルトの値から変更したいと思ったことはないだろうか？ Front Doorなど有料のクラウドサービスを追加することなく、Azure App Service on Linuxでレスポンスヘッダの改変を実現する方法を紹介する。
()
TechTargetは2024年12月12日、「『Django』と『Flask』の比較」に関する記事を公開した。さまざまな機能を盛り込むDjangoのアプローチは小さなプロジェクトには過剰かもしれない。一方、Flaskは軽量だが、組み込みツールが不足しており、開発時間が長くなる可能性がある。
()
Akamaiは「Defenders’ Guide 2025: Fortify the Future of Your Defense」を発表した。新しいリスクスコアリングモデルやVPNの不正利用、高度なマルウェア技術を含む最新の脅威と防御手法に焦点が当てられている。
()
Zscalerは暗号化攻撃の最新動向をまとめたレポートを公開し、AIの進化が暗号化攻撃を促進させていると警鐘を鳴らした。暗号化されたチャネルを悪用する攻撃は前年比で10％増加している。最も狙われている業界はどこだろうか。
()
サイリーグホールディングスが開催した記者説明会で、セキュリティ業界のご意見番である徳丸 浩氏が個人的に気になった2024年のセキュリティ事件を振り返り、2025年の脅威予測を発表した。
()
Apache Tomcatに複数の脆弱性が存在することが分かった。CVSSスコア9.8の脆弱性も見つかっているため、急ぎ対処が求められる。
()
Palo Alto NetworksはCortex XDRを狙ったサイバー攻撃の詳細を発表した。脅威アクターがエンドポイントセキュリティ製品の検知をどのように回避しようとしているのかが詳細に解説されている。
()
Protect AIはAI脅威インテリジェンスツール「Vulnhuntr」がGitHubのPythonプロジェクトから複数の重大なゼロデイ脆弱性を発見したと発表した。このツールはLLMを活用してコードを分析し、複雑な脆弱性を効率的に検出する。
()
Palo Alto Networksは設定移行ツールExpeditionに複数の脆弱性が存在すると発表した。ユーザー名やクリアテキストパスワードなどが漏えいする恐れがある。最も深刻な脆弱性はCVSSスコア9.9と評価され、迅速な対応が推奨される。
()
JF全漁連の「JFおさかなマルシェ ギョギョいち 本店」が不正アクセスを受けた問題で、同サイトの閉鎖が決まった。
()
セキュリティ分野の採用面接ではさまざまな質問が投げ掛けられるが、結局は高い専門性が採用決定の重要な決め手になる。どうすれば、自分の専門性を伝えることができるのか。
()
セキュリティ専門家がキャリアパスについて悩んだとき、一つの選択肢になるのはホワイトハッカーになることだ。刺激的なこの仕事に就くために役立つ認定資格とは。
()
保健医療サイバーセキュリティ調整センターは、医療機関に対し、Apache Tomcatの脆弱性について警告した。リモートコード実行などを可能とする複数の脆弱性が見つかっている。
()
全漁連は19日、通販サイト「JFおさかなマルシェ ギョギョいち」が不正アクセスを受け、利用者の個人情報2万1728件が漏えいした可能性があると発表した。これにはクレジットカード情報1万1844件が含まれる。
()
「ITmedia Security Week 2024 春」の「多要素認証から始めるID管理・統制」ゾーンで、サイバーディフェンス研究所などに所属する名和利男氏が「脅威アクターが関心を急激に高める『標的のアイデンティティー』」と題して講演した。本稿では、アイデンティティー（ID）が狙われる背景、83もの代表的な不正取得手法、取得したIDの用途、現状から得られる教訓などを紹介する。
()
GitHubは開発者がセキュリティリスクを迅速かつ効率的に修正できるよう支援する「Copilot Autofix」を公開した。このAI機能は脆弱性を検出し、自動で修正案を提案する。
()
GitHubは、「GitHub Advanced Security」機能の一部として、AIを用いてコード内の脆弱性の迅速な修正を支援する「Copilot Autofix」の一般提供を開始した。
()
脅威グループは広く普及しているネットワークデバイスの脆弱性を標的にしている。CISAの最新勧告はソフトウェアメーカーに対し、これらの脆弱性をソースから排除するよう促した。
()
大規模言語モデル（LLM）に基づいた生成AIツールの利用が広がっているが、十分にセキュリティ対策を講じずに使っている組織もあるだろう。LLMを巡る「10大脅威」と、安全利用のこつとは。
()
フォーム作成管理システム「ヘルプドッグフォーム」を提供するnocoは 「WordPress」などで作成したWebサイトに問い合わせフォームを簡単に設置できる 「iframeフォーム埋め込み機能」の提供を開始した。
()
「ナウでヤングな若者だった我々サザンですが、気がつけばメンバー全員古希目前」。
()
ITRは、国内Webアプリケーション脆弱性管理市場規模の推移と予測を発表した。2022年度の売上金額は、対前年度比21.6％増の27億6000万円。2022〜2027年度の年平均成長率を15.0％と見込み、2027年度の売上金額は55億6000万円に達すると予測する。
()
Fortinet製品に重大な脆弱性が見つかった。どのような脆弱性で、どの製品が影響を受けているのか。ユーザー企業に求められる対策は。
()
クラウドサービス利用が拡大したことで、企業には新たなセキュリティ運用における課題が生まれています。しかも、運用部門、セキュリティ管理責任者、企画部門など、それぞれの職務によって異なる問題と悩みを抱えています。こうした課題が積み重なった結果、「クラウドサービスは禁止」と決定する極端なケースもあります。本稿では、クラウド時代のセキュリティ運用を考えます。
()
JPCERT/CCは、WordPress用プラグイン「Forminator」に複数の脆弱性が存在すると伝えた。これらの中にはCVSS 9.8に分類されるものも含まれるため注意が必要だ。
()
Ciscoはスモールビジネス向けルーターにクロスサイトスクリプティングの脆弱性が見つかったと報告した。この問題はWeb管理インタフェースの不十分な入力検証に起因しており、攻撃者による不正利用の可能性がある。
()
Akamaiは、脅威レポート「インターネットの現状（SOTI）｜影に潜む脅威：攻撃トレンドでAPIの脅威を解き明かす」を公開した。それによるとWebに関する全攻撃の29％が「APIを標的とした攻撃」だという。
()
ラックは、生成AIシステムのセキュリティを強化するサービス「生成AI活用システム リスク診断」の提供を開始した。生成AIを使ったシステムに特有の脆弱性が含まれていないかどうかを評価し、改善点をレポートする。
()
ネット上で商売するのが当たり前な時代。インシデントが発生すれば失うものは計り知れない。本連載では脆弱性診断実習用のWebアプリ「BadTodo」を題材に、ストーリー形式でWebアプリ制作に潜む“ワナ”について学んでいく。
()