ホームページとサーバーの 脆弱性情報

Node.jsのリダイレクトで認証情報が漏れる不具合

Node.js — CVE-2026-55553

Node.js向けの urllib で、別の場所へ転送されるときに、前の通信で使った認証情報をそのまま引き継いでしまう問題があります。転送先が別のサイトでも、ヘッダーやログイン情報が送られることがあります。

2.44.1 または 4.9.1 へ更新してください。自社で使っていない場合でも、依存しているアプリや基...

Node.js くわしく読む →

緊急 CVSS 10.0 2026.08.25

Joomlaの認証を回避できる脆弱性

Joomla — CVE-2026-77998

Joomla の一部拡張機能で、SAMLResponse の処理に問題があり、署名の確認が正しく失敗扱いにならないことがあります。その結果、正規の利用者としてログインできてしまう場合があります。

miniOrange の該当拡張機能を 11.0.2 以上、または 6.4 以上へ更新してください。使っていない認...

Joomla くわしく読む →

緊急 CVSS 9.1 2026.08.25

OpenSSLの空データ検証漏れの脆弱性

OpenSSL — CVE-2026-75803

OpenSSL で、暗号化されたデータが空のときに、正しい確認をせず成功と扱ってしまうことがあります。見た目は正常でも、実際には改ざんされたデータを通してしまう可能性があります。

OpenSSL を修正版へ更新してください。AEAD 系の暗号を使うアプリは、利用しているライブラリや...

OpenSSLのCMP処理でクラッシュする脆弱性

緊急 CVSS 9.8 2026.08.25

OpenSSL — CVE-2026-63073

OpenSSL の CMP という仕組みで、相手から送られた名前の情報をそのまま文字列として扱ってしまう問題があります。細工された応答を受けると、処理が落ちることがあります。

OpenSSL を修正版へ更新してください。CMP を使っている環境は少ないため、使っているかをまず確...

OpenSSLのCMP検証でクラッシュする脆弱性

OpenSSL — CVE-2026-63076

OpenSSL の CMP で、受け取ったパラメータの種類を十分に確認しないまま扱ってしまう問題があります。細工したメッセージで、アプリが落ちることがあります。

OpenSSL を修正版へ更新してください。CMP を使う環境では、外部からのメッセージを受ける前提で...

OpenSSLのCMS復号でメモリ破壊が起きる脆弱性

OpenSSL — CVE-2026-63072

OpenSSL の CMS 復号で、必要な領域の見積もりがずれる問題があります。細工したデータを処理すると、メモリの外を書き換えてしまうことがあります。

OpenSSL を修正版へ更新してください。CMS を使っている製品は、受信データの検証を強め、外部か...

OpenSSLのQUIC通信でメモリが増える脆弱性

OpenSSL — CVE-2026-63075

OpenSSL の QUIC 通信で、相手が ACK を返さない状況が続くと、接続に必要な情報をため込み続けることがあります。通信量は少なくても、メモリ使用量が増える場合があります。

OpenSSL を修正版へ更新してください。QUIC を使うサービスは、長時間接続や大量接続の設定を見...

OpenSSLのDTLSでメモリを使いすぎる脆弱性

OpenSSL — CVE-2026-54874

OpenSSL の DTLS 通信で、まだ処理途中のときに来たデータを必要以上に大きくため込んでしまうことがあります。少ない通信でも、メモリを多く消費する場合があります。

OpenSSL を修正版へ更新してください。DTLS を使う機器は、不要なら無効化し、使う場合も接続数...

OpenSSLのQUICサーバーで二重解放の脆弱性

OpenSSL — CVE-2026-18798

OpenSSL の QUIC サーバーで、最初のパケット処理に失敗したときに同じ情報を二重に解放してしまうことがあります。メモリの破損につながる問題です。

OpenSSL を修正版へ更新してください。QUIC を使うサーバーは、パケット処理の失敗時に落ちない...

OpenSSLのRPK設定でクラッシュする脆弱性

OpenSSL — CVE-2026-14457

OpenSSL で、証明書なしの鍵だけの設定を使うと、相手からの特定の通信で不具合が起きることがあります。条件がそろうと、アプリが停止する場合があります。

OpenSSL を修正版へ更新してください。鍵だけの設定を使っている場合は、証明書も合わせて設定す...

JoomlaのYOOtheme ProにXSSの脆弱性

Joomla — CVE-2026-77996

Joomlaの拡張機能「YOOtheme Pro」に、保存型のXSS（悪意ある画面表示）につながる問題があります。入力内容の処理が不十分なため、管理画面に不正な表示が残るおそれがあります。

YOOtheme Proの更新版が出ていないか確認し、あれば早急に適用してください。あわせて、管理画面...

Joomla くわしく読む →

重要 CVSS 8.1 2026.08.24

Laravel向けFilamentに多要素認証回避の脆弱性

Laravel — CVE-2026-77567

Laravel向けのFilamentに、多要素認証をすり抜けられる問題があります。復旧コードを使う設定で、認証の確認が正しく働かない場合があります。

4.12.0または5.7.0へすぐ更新してください。アプリ型の多要素認証を使っている場合は特に確認が...

Laravel くわしく読む →

緊急 CVSS 10.0 2026.08.24

JoomlaのminiOrange系拡張にアカウント乗っ取りの脆弱性

Joomla — CVE-2026-77995

JoomlaのminiOrange系拡張機能に、クッキーの値を悪用して別人としてログインできる問題があります。管理者を含む任意のアカウントになりすませるおそれがあります。

該当する拡張機能のバージョンを確認し、3.2.0未満、1.2.2未満のものはすぐ更新してください。使...

Joomla くわしく読む →

重要 CVSS 8.8 2026.08.24

Node.jsのMercado Pago SDKにリクエスト改ざんの弱点

Node.js — CVE-2026-76842

Node.js向けのMercado Pago SDKで、外部から渡されたIDの扱いが不十分な問題があります。IDに特別な文字を入れると、意図しないAPI先へ通信が向くおそれがあります。

Mercado Pago SDKを使う箇所で、外部入力のIDをそのまま渡していないか確認してください。提供元...

Node.js くわしく読む →

Node.jsのfast-uriにURL解釈不備の脆弱性

Node.js — CVE-2026-76172

Node.jsのfast-uriに、URLの一部を誤って解釈してしまう問題があります。入力の書き方によって、別の場所へ飛ばされたり、想定外の宛先へ接続されるおそれがあります。

2.4.5、3.1.6、4.1.3へ更新してください。URLの正規化や接続先チェックをしている場合は、更新後...

Node.jsのfast-uriにIPv6解釈不備の脆弱性

Node.js — CVE-2026-75975

Node.jsのfast-uriに、IPv6アドレスの書式チェックが不十分な問題があります。変な文字が混ざった入力でも、別の有効な接続先として扱われるおそれがあります。

2.4.5、3.1.6、4.1.3へ更新してください。URLの正規化や接続先制限を使っている場合は、更新後に...

Node.jsのfast-uriにホスト判定不整合の脆弱性

Node.js — CVE-2026-75931

Node.jsのfast-uriに、同じURLでも書き方で別の宛先として扱われる問題があります。確認した宛先と、実際に接続される宛先がずれるおそれがあります。

2.4.5、3.1.6、4.1.3へ更新してください。URLの許可リストを使っている場合は、更新後に判定のズ...

Node.jsのfast-uriに二重デコードの脆弱性

Node.js — CVE-2026-75899

Node.jsのfast-uriに、%記号の扱いを二重に処理してしまう問題があります。入力したURLと、実際に使われる接続先が変わるおそれがあります。

2.4.5、3.1.6、4.1.3へ更新してください。URLの正規化やリダイレクト確認をしている場合は、あわ...