ホームページとサーバーの 脆弱性情報

Node.jsのvm2にメモリ枯渇の脆弱性

Node.js — CVE-2026-47683

Node.js向けのvm2で、メモリ使用量の制限が一部の処理で効かず、大きなメモリを消費させられる問題があります。攻撃者が負荷の高い処理を行うと、サーバーに大きな負担がかかります。

3.11.6へ更新してください。制限設定をしていても油断せず、利用箇所を確認して早めに対応しまし...

Node.js 修正版 3.11.6. くわしく読む →

緊急 CVSS 9.8 2026.08.17

Node.jsのvm2に任意コマンド実行の脆弱性

Node.js — CVE-2026-47698

Node.js向けのvm2で、危険な処理へのつながりを十分に遮断できず、サンドボックスの外へ抜け出せる問題があります。悪用されると、外側の環境で任意のコマンドを実行されるおそれがあります。

3.11.6へ更新してください。vm2を利用している場合は、早急にアップデート計画を立てましょう。

Node.js 修正版 3.11.6. くわしく読む →

緊急 CVSS 9.9 2026.08.17

Node.jsのvm2にホスト権限取得の脆弱性

Node.js — CVE-2026-47686

Node.js向けのvm2で、例外の扱いが不十分なため、サンドボックス内のコードが本体側の強い権限を持つオブジェクトに触れられる問題があります。結果として、外部コードが想定外の操作を実行できるおそれがあります。

3.11.6へ更新してください。vm2を使っているサービスやアプリがあれば、すぐに保守担当へ確認し...

Node.js 修正版 3.11.6. くわしく読む →

重要 CVSS 7.1 2026.08.17

ApostropheCMSに権限昇格の脆弱性

Node.js — CVE-2026-71553

ApostropheCMSで、記事更新の処理に不備があり、編集者が本来触れない共通設定を書き換えられる問題があります。これにより、同じサーバー上の動作全体に悪影響が出るおそれがあります。

修正版の有無を確認し、速やかに更新してください。編集権限の見直しも合わせて行いましょう。

Node.js くわしく読む →

Page Builder CKにSQLインジェクションの脆弱性

Joomla — CVE-2026-74254

Joomla拡張機能のPage Builder CKで、スタイル管理の処理に不備があり、SQLインジェクションが起きる問題があります。前面表示側は3.6.4で、管理画面側は3.6.5で修正されています。

フロントエンドは3.6.4以上、バックエンドは3.6.5以上へ更新してください。両方使う場合は両方確...

Joomla くわしく読む →

緊急 CVSS 10.0 2026.08.17

JoomlaのSourcererにRCEの脆弱性

Joomla — CVE-2026-74253

Joomla拡張機能のSourcererで、表示された入力の扱いが不十分なため、認証なしで任意のコードを実行されるおそれがあります。Joomlaの最終表示HTML内の{source}ブロックが原因になります。

16.0.0へ更新してください。Sourcererを使っているサイトは、最優先で対応しましょう。

Joomla 修正版 16.0.0 くわしく読む →

OpenSSLに共有鍵漏えいの脆弱性

OpenSSL — CVE-2026-74900

暗号化の処理で失敗したときに、本来は止めるべきところを別の動きに切り替えてしまいます。その結果、攻撃者が一部の鍵情報を入手すると、暗号文を復号できるおそれがあります。

1.4.0 へ更新してください。更新できない場合は、該当機能の利用を止め、制作会社や保守会社に影...

OpenSSLに認証回避の脆弱性

OpenSSL — CVE-2026-74901

openssl_encryptの1.4.0より前で、暗号の失敗時に保護の弱い方式へ切り替わる問題があります。通信内容を書き換えられても気づきにくくなり、改ざんが通るおそれがあります。

1.4.0へ更新してください。暗号化を使うアプリやライブラリがあれば、まとめて確認しましょう。

OpenSSLに固定の秘密鍵設定の問題

OpenSSL — CVE-2026-74892

テレメトリ用の設定に、予測できる固定の秘密値が入っています。その値を知っていると、APIキーの確認を偽装されるおそれがあります。

1.4.0 へ更新してください。固定値を使っている設定は変更し、APIキーも再発行してください。

OpenSSLにサンドボックス回避の脆弱性

OpenSSL — CVE-2026-74896

危険な書き方を見つける検査が一部を見逃します。そのため、制限を抜けてシステムの関数に触れられ、外部コマンドを実行される可能性があります。

1.4.0 へ更新してください。プラグイン由来のコードを使う場合は、できるだけ無効化し、制作会社...

OpenSSLにプラグイン実行制限の不備

OpenSSL — CVE-2026-74895

プラグインを動かすときの制限が、既定の設定で正しく効いていません。悪意のあるプラグインに、ファイルやネットワークへの広い権限を与えてしまうおそれがあります。

1.4.0 へ更新してください。プラグインを使っている場合は、信頼できるものだけに限定し、不要な...

OpenSSLにサンドボックス回避の脆弱性

OpenSSL — CVE-2026-74899

制限された実行環境の中から、Pythonの仕組みをたどって外に出られてしまう問題です。攻撃者が不正なコードを実行し、サーバーを操作できるおそれがあります。

1.4.0 へ更新してください。プラグイン実行機能を使う場合は、公開範囲や権限を見直し、保守会社...

OpenSSLに認証回避の脆弱性

OpenSSL — CVE-2026-74894

認証チェックが甘く、空でない Bearer token なら通ってしまいます。正しい確認なしに、鍵の登録や削除などの操作ができるおそれがあります。

1.4.0 へ更新してください。認証まわりの設定を見直し、外部公開している場合は特に早めに確認し...

OpenSSLにJWT秘密情報の固定値問題

OpenSSL — CVE-2026-74893

JWT（認証用の票）に使う秘密の値が固定で入っており、設定の検査も通ってしまいます。ソースコードを見られると、正規の利用者になりすませるおそれがあります。

1.4.0 へ更新し、秘密情報をすべて新しい値に入れ替えてください。ソースコード管理や公開場所に...

OpenSSLにDB認証情報の固定値問題

OpenSSL — CVE-2026-74891

サーバー設定ファイルに、データベース用のIDとパスワードが固定で入っています。同じネットワーク上の相手に知られると、DBへ入られるおそれがあります。

1.4.0 へ更新してください。DBのIDとパスワードは必ず変更し、設定ファイルに残っていないか確認...

OpenSSLに監査記録の不具合

OpenSSL — CVE-2026-74885

OpenSSL の 1.4.0 より前の版では、モジュールの記録まわりに不具合があります。監査ログが正しく残らず、あとから確認しても実態が分かりにくくなります。

1.4.0 以上へ更新してください。複数人・複数プロセスで動く環境なら、保守会社や制作会社に影響...

OpenSSLにプラグイン制限回避の脆弱性

OpenSSL — CVE-2026-74886

危険なモジュールを止める仕組みと、別の検査の対象がそろっていません。文字を工夫して読み込ませると、制限を回避して不正なコードを動かせるおそれがあります。

1.4.0 へ更新してください。不要なプラグイン機能は止め、危険なモジュールを使っていないか点検...

OpenSSLにパスワード導出の弱さの脆弱性

OpenSSL — CVE-2026-74888

パスワードから鍵を作る方法が標準的ではなく、強さの検証も十分ではありません。古い暗号ファイルのパスワードを、より簡単に推測されるおそれがあります。

1.4.0 へ更新してください。古い暗号ファイルを使っている場合は、より強い方式で再暗号化するこ...

OpenSSLに認証回避の脆弱性

OpenSSL — CVE-2026-74890

OpenSSL の 1.4.0 より前の版では、特定の環境条件がそろうと、暗号の保護確認が外れてしまいます。正しい確認をせずにデータを扱える状態になるおそれがあります。

1.4.0 以上へ更新してください。暗号処理を使っているシステムは、更新後に動作確認も行ってくだ...