ホーム›WordPress・PHPの移行とセキュリティ対応›脆弱性情報
言語・フレームワークの脆弱性情報
WordPress・PHPだけでなく、Laravel・EC-CUBE・Drupal・Node.js・Next.js・Apache・nginx・MySQL・OpenSSLなど、お店や会社のホームページとサーバーに関わる脆弱性を毎朝自動で収集。
「何が危ないか」「どうすればよいか」を、ITに詳しくない方にも分かる日本語で解説しています。
CMS・ECサイト
言語・フレームワーク
サーバー・データベース
Node.js — CVE-2026-76172
Node.jsのfast-uriに、URLの一部を誤って解釈してしまう問題があります。入力の書き方によって、別の場所へ飛ばされたり、想定外の宛先へ接続されるおそれがあります。
2.4.5、3.1.6、4.1.3へ更新してください。URLの正規化や接続先チェックをしている場合は、更新後...
Node.js — CVE-2026-75975
Node.jsのfast-uriに、IPv6アドレスの書式チェックが不十分な問題があります。変な文字が混ざった入力でも、別の有効な接続先として扱われるおそれがあります。
2.4.5、3.1.6、4.1.3へ更新してください。URLの正規化や接続先制限を使っている場合は、更新後に...
Node.js — CVE-2026-75931
Node.jsのfast-uriに、同じURLでも書き方で別の宛先として扱われる問題があります。確認した宛先と、実際に接続される宛先がずれるおそれがあります。
2.4.5、3.1.6、4.1.3へ更新してください。URLの許可リストを使っている場合は、更新後に判定のズ...
Node.js — CVE-2026-75899
Node.jsのfast-uriに、%記号の扱いを二重に処理してしまう問題があります。入力したURLと、実際に使われる接続先が変わるおそれがあります。
2.4.5、3.1.6、4.1.3へ更新してください。URLの正規化やリダイレクト確認をしている場合は、あわ...
Laravel — CVE-2026-49849
Laravel で動く xShop 3.0.3 に、実行できるファイルをアップロードできる問題があります。管理者権限を持つ人が悪用されると、サーバーを自由に操作されるおそれがあります。
xShop を 3.0.4 以上へ更新してください。管理者アカウントの権限を見直し、制作会社・保守会社...
Node.js — CVE-2026-63421
Node.js の Keystone に、取得件数の制限をすり抜けて多くのデータを返せる問題があります。認証なしで大量の情報を取られたり、負荷が増えたりするおそれがあります。
Keystone を 6.5.3 以上へ更新してください。公開APIの制限を確認し、必要なら制作会社・保守会...
Django — CVE-2026-54623
部品の移動時に、親子関係がおかしい状態を作れてしまいます。その結果、内部の処理がくり返し続いて、画面表示や操作に支障が出ることがあります。
Django CMSを5.0.8へ更新してください。編集権限を持つ担当者がいる環境では、操作権限の見直し...
Node.js — CVE-2026-75926
Hugoの一部の版で、TailwindCSSを使うと本来より広い権限でコマンドが動く問題がありました。設定ファイルに書かれた処理が実行されると、想定外の操作につながることがあります。
0.165.0以降へ更新してください。テーマやテンプレートにTailwind設定がある場合は内容を確認し...
Node.js — CVE-2026-47686
Node.js向けのvm2で、例外の扱いが不十分なため、サンドボックス内のコードが本体側の強い権限を持つオブジェクトに触れられる問題があります。結果として、外部コードが想定外の操作を実行できるおそれがあります。
3.11.6へ更新してください。vm2を使っているサービスやアプリがあれば、すぐに保守担当へ確認し...
Node.js — CVE-2026-47698
Node.js向けのvm2で、危険な処理へのつながりを十分に遮断できず、サンドボックスの外へ抜け出せる問題があります。悪用されると、外側の環境で任意のコマンドを実行されるおそれがあります。
3.11.6へ更新してください。vm2を利用している場合は、早急にアップデート計画を立てましょう。
Node.js — CVE-2026-47683
Node.js向けのvm2で、メモリ使用量の制限が一部の処理で効かず、大きなメモリを消費させられる問題があります。攻撃者が負荷の高い処理を行うと、サーバーに大きな負担がかかります。
3.11.6へ更新してください。制限設定をしていても油断せず、利用箇所を確認して早めに対応しまし...
Node.js — CVE-2026-71553
ApostropheCMSで、記事更新の処理に不備があり、編集者が本来触れない共通設定を書き換えられる問題があります。これにより、同じサーバー上の動作全体に悪影響が出るおそれがあります。
修正版の有無を確認し、速やかに更新してください。編集権限の見直しも合わせて行いましょう。
Laravel — CVE-2026-73683
Facebook連携の認証で、本人確認の追加チェックが不足しています。正しいログイン情報に見えても、別の人の情報を使って不正に入れる場合があります。
next-auth 5.0.0-beta.32 以降へ更新してください。認証まわりの設定を見直し、異常なログインが...
Next.js — CVE-2026-73420
メールログインや「魔法リンク」機能で、メールアドレスの判定より前に文字の正規化が行われないため、見た目は同じでも別の文字を使ったアドレスが通ってしまうことがあります。その結果、リンクが攻撃者側に届き、本人確認なしでログインされるおそれがあります。
@auth/core 0.41.3、next-auth 4.24.15、5.0.0-beta.32 以降へ更新してください。メール認証を使...
Next.js — CVE-2026-73421
認証が正しく設定されていないときに、ログインしていない人でも通ってしまうことがあります。認証結果の確認が甘く、アクセス制限が効かない状態になる場合があります。
next-auth 5.0.0-beta.32 へ更新してください。認証設定エラーがないか本番環境を確認し、公開前...
Node.js — CVE-2026-73650
SVGをきれいにする処理で、名前空間付きのscript要素などが取り除かれないことがあります。細工されたSVGをそのまま公開すると、閲覧時にスクリプトが動くおそれがあります。
2.8.3、3.3.4、4.0.2のいずれか以降へ更新してください。外部から受け取ったSVGは、公開前に再確...
Node.js — CVE-2026-73566
特定の圧縮ファイルを読ませると、深すぎるパスをたどってしまい、エラーで処理が止まることがあります。ストリーミング処理中のNode.jsが落ちる可能性があります。
7.5.21へ更新してください。アップロードや展開にtarファイルを使う場合は、外部入力をむやみに...
Node.js — CVE-2026-73561
未認証のWebSocket接続が来るたびに、返信待ちのタイマーや要求情報が残りやすい問題があります。接続を繰り返されると、処理資源が増え続けます。
0.2.16へ更新してください。公開WebSocketサーバーなら、接続数制限や監視もあわせて行ってくだ...
Next.js — CVE-2026-73418
不正な形式のBearerヘッダーを受け取ると、認証用の関数が例外で止まる問題です。正しいかどうかを確認する前に落ちるため、1回のリクエストで処理が失敗することがあります。
@auth/core 0.41.3、next-auth 4.24.15、5.0.0-beta.32 以降へ更新してください。APIルートやミ...
Node.js — CVE-2026-73231
Fakerの偽データ作成機能に、細工した内容でJavaScriptを動かせる問題がありました。ブラウザーやNode.jsで使うと、意図しないコードを実行されるおそれがあります。
Fakerを10.5.0以降へ更新してください。開発用のライブラリでも、使っているプロジェクト全体で...
自分のサイトが該当するか分からない方へ
URLを送っていただくだけで、お使いのCMS・PHP・サーバーのバージョンと危険なプラグインを無料で診断します。月額契約なら、該当する脆弱性が出るたびにリアルタイムでお知らせし、更新・応急対応まで当社が行います。
NVD（米国NIST運営の脆弱性データベース）、WordPress.org、PHP.net の公式発表を毎朝6時30分に自動で取り込み、AIが日本語の解説を作成しています。月額契約（20,000円税別〜）のお客さまには、お使いの製品に該当するものをリアルタイム（公表当日）にお知らせし、更新・対応まで行っています。
CVSSは0〜10で危険度を表す国際的な指標です。9.0以上は「緊急」、7.0〜8.9は「重要」。緊急・重要のものは、公表から数日以内に攻撃が始まることが珍しくありません。
お使いのCMS・プラグイン・PHPのバージョンが分からない場合は、制作会社・保守会社に「この脆弱性の影響はありますか」と聞くのが最短です。分からなければ当社の無料診断をご利用ください。
※ 本ページの情報は NVD（NIST）、WordPress.org、PHP.net から自動収集し、解説はAIが生成しています。正確な内容・対象バージョンは必ず各リンク先の原文をご確認ください。掲載は網羅性を保証するものではありません。