ホームページとサーバーの
脆弱性情報

Joomla — CVE-2026-81568

購入済みダウンロードのファイル名の扱いに問題があり、細工された名前だと保存先の外のファイルを読める可能性があります。条件がそろうと、サーバー上の重要な設定ファイルが漏れるおそれがあります。

J2Storeを更新し、ファイル保存名の管理を見直してください。すでに不審なダウンロード設定があ...

Joomla — CVE-2026-82189

認証なしで注文を失敗扱いにできる問題です。攻撃者が大量に実行すると、注文処理を妨げたり、運用を混乱させたりします。

J2Storeの修正版を確認して更新してください。注文状況に不審な変更がないか監視し、必要なら保...

Joomla — CVE-2026-81567

商品一覧の表示処理に問題があり、外部からデータベースの中身を少しずつ読み取られる可能性があります。顧客情報や注文情報、保存された認証情報が狙われます。

J2Storeを修正版へ更新してください。公開中の商品の絞り込み機能を含め、関連ページを保守会社...

Joomla — CVE-2026-78081

ログイン中の利用者が細工されたページを開くと、住所などの情報を勝手に書き換えられる問題です。注文先情報が変えられ、配送先のすり替えにつながることがあります。

J2Storeを更新し、管理画面と利用者画面の操作を見直してください。怪しいリンクやメールからの...

nginx — CVE-2026-55149

Vouch Proxyで、細工したCookie名を受け取ると大量のメモリを確保しようとして止まる問題です。認証前に起きるため、ログインしていなくても攻撃できます。

Vouch Proxyを0.48.0へ更新してください。公開中の認証入口を保守会社に確認し、更新まで不審な...

MySQL — CVE-2026-75092

RHELのアップグレード処理で使われるMySQL確認機能に、権限が上がってしまう問題があります。管理者がアップグレードを実行したタイミングで、細工された内容が動く可能性があります。

Leappを使うRHEL 9→10のアップグレード前に、関連パッケージの修正状況を確認してください。MySQ...

Ruby on Rails — CVE-2026-70658

Ruby on Rails向けのPayに、Webhook署名の確認方法に問題があります。比較の仕方がよくないため、細工した通信で正しい署名のように見せかけられることがあります。

Payを11.6.2へ更新してください。Webhookの受信設定を見直し、更新までの間は署名検証に依存する...

Laravel — CVE-2026-54182

BackpackのCRUDに、HTTPヘッダーをきっかけにOSコマンドが実行される問題があります。特定の条件がそろうと、外部から細工した値がそのまま使われます。

backpack/crudを4.1.70、5.6.2、6.8.13、7.0.36のいずれか以降へ更新してください。あわせて、Ho...

Laravel — CVE-2026-54180

BackpackのCRUDに、更新や削除の対象を正しく絞り込めない問題があります。見えていないはずのレコードでも、IDが分かれば操作できてしまうことがあります。

backpack/crudを6.8.14または7.0.38へ更新してください。あわせて、一覧以外の更新処理でも同じ...

Laravel — CVE-2026-54178

Backpack CRUDの古い版では、更新できる利用者が「消すファイル名」を細工して送ると、本来その記録に属さない別ファイルまで削除できる問題があります。ファイルの中身を読むことはできませんが、共有ファイルや運用ファイルが消えるおそれがあります。

6.8.12以上または7.0.35以上へ更新してください。5.x系を使っている場合も、提供元の案内に従い...

Laravel — CVE-2026-54175

Backpack CRUDの古い版では、編集できる項目を十分に絞らずにユーザー情報へ反映してしまう問題があります。ログイン中の攻撃者が、パスワードやメールアドレスなどを書き換えられる可能性があります。

6.8.11以上または7.0.34以上へ更新してください。あわせて、管理画面の編集権限と更新できる項目...

Laravel — CVE-2026-61701

Laravel MagicLinkの古い版では、保存したデータの確認が不十分で、危険な形のデータを読み込んでしまうおそれがあります。別の侵入経路でDBを書き換えられると、リンクを開いただけで不正処理が走る可能性があります。

2.25.1へ更新してください。DBの改ざんや不審な管理者操作がないか確認し、必要なら認証情報も見...

Ruby on Rails — CVE-2026-57579

Alchemyの古い版では、公開していないページの一覧を誰でも取得できる問題があります。条件によっては、ページ本文の一部まで見えてしまうことがあります。

7.4.15、8.0.15、8.1.14、8.2.6以上へ更新してください。公開設定と権限設定も見直し、未更新な...

Node.js — CVE-2026-54156

node-opcuaの古い版では、使った非公開の識別情報をため続けるため、不要なデータが増え続けます。攻撃者が接続を繰り返すと、メモリ不足でサーバーが落ちることがあります。

2.166.0へ更新してください。外部からの接続制限も見直し、異常なセッション増加がないか監視し...

Node.js — CVE-2026-54155

node-opcuaの古い版では、ログイン用の暗号データの確認が不十分で、別の接続で使い回せる場合があります。条件次第で、空のパスワードとして通ってしまうおそれがあります。

2.166.0へ更新してください。認証方式の見直しと、不要なSecurityMode=Noneの利用停止もあわせて...

Joomla — CVE-2026-78375

SP Page Builderの古い版では、投稿内容の一部をそのままデータベース検索に使うため、細工した値で不正な問い合わせを実行できる問題があります。管理権限を持つ攻撃者が、DBの中身を探れるおそれがあります。

提供元の修正版へ更新してください。管理者権限の利用者を絞り、保守会社に更新と監査ログの確認...

Joomla — CVE-2026-81564

SP Page Builderで、メディアの名前変更時に保存先の範囲確認が不十分です。別の場所にあるファイルまで名前を変えられ、設定ファイルを書き換えられるおそれがあります。

SP Page Builder Free/Proを最新版へ更新してください。サーバー上の不審なファイル名変更がない...

Joomla — CVE-2026-88853

記事の中に入れたJavaScriptイベントが、十分な確認なしに実行されることがあります。低い権限の投稿者でも、あとから動く不正な処理を仕込めるおそれがあります。

Modals Proを17.0.0以上へ更新してください。低い権限の投稿者にこの記事機能を使わせている場合...