ホーム›WordPress・PHPの移行とセキュリティ対応›脆弱性情報
言語・フレームワークの脆弱性情報
WordPress・PHPだけでなく、Laravel・EC-CUBE・Drupal・Node.js・Next.js・Apache・nginx・MySQL・OpenSSLなど、お店や会社のホームページとサーバーに関わる脆弱性を毎朝自動で収集。
「何が危ないか」「どうすればよいか」を、ITに詳しくない方にも分かる日本語で解説しています。
CMS・ECサイト
言語・フレームワーク
サーバー・データベース
Node.js — CVE-2026-71430
Node.js向けのnode-re2に、特定の置換処理で大量の文字列が作られると、途中で止められずに異常終了する不具合があります。入力次第で、サービスが突然落ちるおそれがあります。
1.25.1へアップデートしてください。大量の文字列置換を行う機能がある場合は、保守担当に確認し...
Laravel — CVE-2026-64665
Statamicで、メール確認が保証されないOAuth連携を使っていると、メールアドレスだけを手がかりに別人としてログインされるおそれがあります。条件がそろうと、管理者として入られる可能性もあります。
5.74.1または6.24.0以降へアップデートしてください。OAuthログインを使っている場合は、信頼で...
Laravel — CVE-2026-64662
Statamicで、権限のない内容や未公開の投稿を見られてしまう不具合があります。編集権限のある利用者が、見てはいけない内容を読める可能性があります。
5.74.1または6.24.0以降へアップデートしてください。閲覧権限の設定を確認し、必要最小限の権限...
Laravel — CVE-2026-64663
Statamicで、利用者の入力をテンプレートにそのまま使うと、内容や画像などの資産が失われるおそれがあります。認証なしでも悪用できる可能性があります。
5.74.1または6.24.0以降へアップデートしてください。テンプレートで外部入力を使っている箇所が...
Laravel — CVE-2026-64664
Statamicで、権限のある利用者がメールアドレスの登録有無を確認できてしまう不具合があります。見られるのは存在確認だけですが、利用状況が知られるおそれがあります。
5.74.1または6.24.0以降へアップデートしてください。ユーザー情報の確認権限を見直し、不要なス...
Node.js — CVE-2026-70596
Ghostで、スタッフが作る投稿の内容を悪用されると、別のスタッフの管理画面セッションを乗っ取られるおそれがあります。権限のない操作に広がる可能性があります。
6.54.1へアップデートしてください。スタッフの投稿権限と入力内容を見直し、不審な投稿やセッシ...
Node.js — CVE-2026-70595
Ghostで、入力の確認が不十分なため、外部の人が社内ネットワーク向けの通信を少しだけ発生させられる不具合があります。外部から内部の機器を狙う足がかりになるおそれがあります。
6.54.1へアップデートしてください。Webmentionsなど外部からの入力を受ける機能がある場合は、...
Django — CVE-2026-71238
DjangoCRMで、秘密鍵が設定ファイルに直接書かれているため、公開リポジトリを読める人が悪用できる状態です。ログイン状態や再発行用の情報を偽造されるおそれがあります。
秘密鍵をただちに公開しない形に変更し、漏えい済みの鍵は再発行してください。リポジトリ公開の...
Django — CVE-2026-71240
DjangoCRMで、ログイン不要の画面が外部ではなく同じサイト内の別ページへ勝手に飛ばせる不具合があります。意図しないページへ誘導されるおそれがあります。
該当画面の公開範囲を見直し、必要なら認証を追加してください。next_urlを使う導線がある場合は...
Django — CVE-2026-71239
DjangoCRMのメール送信機能で、利用者入力をそのままテンプレートとして扱う不具合があります。細工した内容で、意図しない処理や情報表示を起こされるおそれがあります。
該当モジュールを修正し、利用者入力をそのままテンプレートに入れないでください。保守会社に確...
Laravel — CVE-2026-71233
InvoiceNinjaの請求書や見積書の「terms」欄が、そのまま画面に出力されます。入力された内容のチェックが足りず、HTMLが混ざるおそれがあります。
InvoiceNinjaを提供元の修正版に更新してください。入力欄や表示部分に不審なHTMLが入っていない...
Django — CVE-2026-18818
django-sspanel のサポートチケット機能に、権限の確認をすり抜ける問題があります。遠隔から操作でき、対応が止まっている製品に影響します。
この製品は保守終了のため、継続利用を見直してください。使い続ける場合は代替製品への移行や、...
Node.js — CVE-2026-70594
Ghost Adminでログイン時に、古いログイン状態を無効にしていない問題があります。他の脆弱性と組み合わさると、乗っ取りにつながるおそれがあります。
Ghostを6.54.1へ更新してください。管理画面のログイン後に不審なセッションが残っていないか確...
Node.js — CVE-2026-70593
Ghostのカスタムテーマ機能で、アップロード先の外にファイルを書けてしまう問題があります。投稿者より強い権限を持つスタッフ操作で、想定外の場所に保存されます。
Ghostを6.54.1へ更新してください。カスタムテーマのアップロード機能を使っている場合は、権限...
Node.js — CVE-2026-70592
Ghostのデータベースバックアップ名の扱いに不備があり、管理者権限で任意のファイルを上書きできる可能性があります。保存名のチェックが足りません。
Ghostを6.54.1へ更新してください。バックアップ名に不審な文字が使われていないか確認し、管理...
Node.js — CVE-2026-70590
Ghost Admin APIから、ほかのスタッフのパスワードの暗号化データが漏れる問題があります。すぐに見破られなくても、推測攻撃の手がかりになります。
Ghostを6.54.1へ更新してください。全スタッフのパスワード変更と、二要素認証や端末認証の設定...
Node.js — CVE-2026-70589
終了したサブスク特典でも、使えてしまう問題があります。利用条件の確認が足りず、本来は無効な特典を受け取れてしまいます。
Ghostを6.54.1へ更新してください。終了済みの特典が使われていないか確認し、会員や決済の運用...
Node.js — CVE-2026-70591
Ghost Adminの画像取得機能に、社内向けの機器へ問い合わせできてしまう問題があります。外には結果が出なくても、内部の状況を探られるおそれがあります。
Ghostを6.54.1へ更新してください。管理画面から外部URLを取り込む機能の利用を見直し、内部ネッ...
Node.js — CVE-2026-70588
Ghost Adminの一括取り込み機能で、読み込んだ内容の安全確認が不十分です。投稿本文に不正なコードが混ざり、画面上で実行されるおそれがあります。
Ghostを6.54.1へ更新してください。取り込む記事データの元を確認し、不要なインポートは使わな...
Node.js — CVE-2026-56848
Node.jsのHTTP/2処理に、メモリの扱いを誤る問題があります。特定の通信で、使い終わった領域を再び参照してしまいます。
Node.js 26.x、24.x、22.xを使っている場合は、提供元の修正版の公開を確認して速やかに更新して...
自分のサイトが該当するか分からない方へ
URLを送っていただくだけで、お使いのCMS・PHP・サーバーのバージョンと危険なプラグインを無料で診断します。月額契約なら、該当する脆弱性が出るたびにリアルタイムでお知らせし、更新・応急対応まで当社が行います。
NVD（米国NIST運営の脆弱性データベース）、WordPress.org、PHP.net の公式発表を毎朝6時30分に自動で取り込み、AIが日本語の解説を作成しています。月額契約（20,000円税別〜）のお客さまには、お使いの製品に該当するものをリアルタイム（公表当日）にお知らせし、更新・対応まで行っています。
CVSSは0〜10で危険度を表す国際的な指標です。9.0以上は「緊急」、7.0〜8.9は「重要」。緊急・重要のものは、公表から数日以内に攻撃が始まることが珍しくありません。
お使いのCMS・プラグイン・PHPのバージョンが分からない場合は、制作会社・保守会社に「この脆弱性の影響はありますか」と聞くのが最短です。分からなければ当社の無料診断をご利用ください。
※ 本ページの情報は NVD（NIST）、WordPress.org、PHP.net から自動収集し、解説はAIが生成しています。正確な内容・対象バージョンは必ず各リンク先の原文をご確認ください。掲載は網羅性を保証するものではありません。