ホーム›WordPress・PHPの移行とセキュリティ対応›脆弱性情報
ホームページとサーバーの
脆弱性情報
WordPress・PHPだけでなく、Laravel・EC-CUBE・Drupal・Node.js・Next.js・Apache・nginx・MySQL・OpenSSLなど、お店や会社のホームページとサーバーに関わる脆弱性を毎朝自動で収集。
「何が危ないか」「どうすればよいか」を、ITに詳しくない方にも分かる日本語で解説しています。
CMS・ECサイト
言語・フレームワーク
サーバー・データベース
Joomla — CVE-2026-71571
管理画面の入力値を安全に扱っておらず、細工した文字でデータベースを操作できることがあります。権限を持つ管理者でも、想定外のデータ読み取りや改変が起こるおそれがあります。
iCagenda 2.0.0-4.0.11 より新しい版への更新を確認してください。管理画面のアクセス権限を最小...
Joomla — CVE-2026-67365
ログイン不要で呼び出せる機能に、データベースへの命令を混ぜ込めてしまいます。外部の人でも、データベースの中身を抜き取れるおそれがあります。
iCagenda の修正版への更新を急いでください。外部公開している機能の入力チェックを見直し、必...
Next.js — CVE-2026-73420
メールログインや「魔法リンク」機能で、メールアドレスの判定より前に文字の正規化が行われないため、見た目は同じでも別の文字を使ったアドレスが通ってしまうことがあります。その結果、リンクが攻撃者側に届き、本人確認なしでログインされるおそれがあります。
@auth/core 0.41.3、next-auth 4.24.15、5.0.0-beta.32 以降へ更新してください。メール認証を使...
Next.js — CVE-2026-73421
認証が正しく設定されていないときに、ログインしていない人でも通ってしまうことがあります。認証結果の確認が甘く、アクセス制限が効かない状態になる場合があります。
next-auth 5.0.0-beta.32 へ更新してください。認証設定エラーがないか本番環境を確認し、公開前...
MySQL — CVE-2026-73408
BudibaseのMySQL連携で、表名をそのまま使ってSQLを作る不具合があります。細工した表名を使われると、管理者がスキーマ確認した際に別の命令まで実行されるおそれがあります。
3.39.18へ更新してください。MySQLのスキーマ確認機能を使っている場合は、管理者権限の運用も見...
Django — CVE-2026-73531
公開チケット投稿から送られたHTMLメールやHTMLファイル添付に、悪意あるJavaScriptを仕込める問題です。スタッフが添付を開くと、ブラウザ上で不正な処理が動くおそれがあります。
2.3.3へ更新してください。公開受付を使っている場合は、HTML添付の受け取り可否も見直してくだ...
Node.js — CVE-2026-73650
SVGをきれいにする処理で、名前空間付きのscript要素などが取り除かれないことがあります。細工されたSVGをそのまま公開すると、閲覧時にスクリプトが動くおそれがあります。
2.8.3、3.3.4、4.0.2のいずれか以降へ更新してください。外部から受け取ったSVGは、公開前に再確...
Node.js — CVE-2026-73651
TypeORMのマイグレーション生成で、DBの情報をJavaScriptのひな形に埋め込む際に一部の記号の扱いが不十分です。DB側に細工された文字列があると、生成した移行ファイルを読み込んだときに不正なコードが実行されるおそれがあります。
0.3.31または1.1.0へ更新してください。自動生成したマイグレーションを取り込む前に、内容を確...
Node.js — CVE-2026-73566
特定の圧縮ファイルを読ませると、深すぎるパスをたどってしまい、エラーで処理が止まることがあります。ストリーミング処理中のNode.jsが落ちる可能性があります。
7.5.21へ更新してください。アップロードや展開にtarファイルを使う場合は、外部入力をむやみに...
Node.js — CVE-2026-73565
WebSocket接続の開始時に必要なヘッダーが不正だと、後片付けがされず、未処理の情報がたまり続けます。攻撃者がこれを繰り返すと、メモリが増え続けるおそれがあります。
2.0.10へ更新してください。公開WebSocketルートがある場合は、不正な接続を制限する設定も確認...
Node.js — CVE-2026-73561
未認証のWebSocket接続が来るたびに、返信待ちのタイマーや要求情報が残りやすい問題があります。接続を繰り返されると、処理資源が増え続けます。
0.2.16へ更新してください。公開WebSocketサーバーなら、接続数制限や監視もあわせて行ってくだ...
OpenSSL — CVE-2026-14456
QUIC通信で、まだ知らない相手からの初期パケットを受けるたびに、接続待ちの情報を上限なくため込むことがあります。アプリが受け付けきれないと、メモリが増え続けます。
OpenSSLの修正版へ更新してください。QUICを使うサービスでは、接続受付の処理能力と監視も確認...
PostgreSQL — CVE-2026-6470
一部のDDL操作で、型に依存関係を作るだけで変更や削除を妨げられることがあります。権限確認が不十分なため、正当な変更作業が止まるおそれがあります。
18.6、17.11、16.15、15.19、14.24以降へ更新してください。型を多用する設計では、更新前に影響...
PostgreSQL — CVE-2026-6464
psqlでCOPY中にエラーが起きると、続くデータ行をpsqlの命令として扱ってしまうことがあります。通常のファイル読み込みは対象外ですが、特定の使い方で問題になります。
18.6、17.11、16.15、15.19、14.24以降へ更新してください。COPYを使う運用では、エラー時の手順...
PostgreSQL — CVE-2026-6471
PostgreSQLの一部機能で、権限の確認が足りず、特別な権限を持つ利用者がサーバー上のファイルを悪用できる問題です。選んだプラグイン次第で、サーバー権限で不正なコードが動くおそれがあります。
PostgreSQLを修正版に更新してください。18.6、17.11、16.15、15.19、14.24以降へのアップデート...
PostgreSQL — CVE-2026-6469
ALTER TABLE ALTER TYPEの処理で、関連する統計情報の所有者が誤って書き換わることがあります。その結果、本来できないはずの操作ができてしまう場合があります。
18.6、17.11、16.15、15.19、14.24以降へ更新してください。権限を細かく分けている環境では、影...
PostgreSQL — CVE-2026-19385
バックアップ作成ツールpg_dumpに不備があり、細工された内容を読み込むと、処理中の端末権限で不正なコードが動くおそれがあります。長い関数の変換一覧の扱いで、メモリの範囲外を書き込んでしまう問題です。
PostgreSQLを修正版へ更新し、pg_dumpを使う運用があるか確認してください。バックアップ手順を...
PostgreSQL — CVE-2026-18408
pg_dumpで作ったバックアップの内容に、復元時に実行される命令が混ざるおそれがある問題です。悪意ある管理者が作ったデータを復元すると、利用者側の端末で不正なコードが動く可能性があります。
PostgreSQLを修正版に更新してください。復元用のバックアップが外部由来なら、復元前に内容を確...
PostgreSQL — CVE-2026-18024
PostgreSQLのascii()関数で、文字列の終わりを少し超えて読み取ってしまう問題です。特定の文字データを使うと、周辺のメモリ内容が一部見えてしまうおそれがあります。
PostgreSQLを修正版へ更新してください。影響範囲は比較的限定的ですが、業務で該当関数を使う場...
PostgreSQL — CVE-2026-16238
pg_restore_attribute_stats()の処理で、データの種類の扱いを間違える問題があります。細工したデータを使うと、サーバー上で不正なコードが動くおそれがあります。
PostgreSQL 18系を使っている場合は18.6へ更新してください。18より前の系統は対象外とされるた...
自分のサイトが該当するか分からない方へ
URLを送っていただくだけで、お使いのCMS・PHP・サーバーのバージョンと危険なプラグインを無料で診断します。月額契約なら、該当する脆弱性が出るたびにリアルタイムでお知らせし、更新・応急対応まで当社が行います。
NVD（米国NIST運営の脆弱性データベース）、WordPress.org、PHP.net の公式発表を毎朝6時30分に自動で取り込み、AIが日本語の解説を作成しています。月額契約（20,000円税別〜）のお客さまには、お使いの製品に該当するものをリアルタイム（公表当日）にお知らせし、更新・対応まで行っています。
CVSSは0〜10で危険度を表す国際的な指標です。9.0以上は「緊急」、7.0〜8.9は「重要」。緊急・重要のものは、公表から数日以内に攻撃が始まることが珍しくありません。
お使いのCMS・プラグイン・PHPのバージョンが分からない場合は、制作会社・保守会社に「この脆弱性の影響はありますか」と聞くのが最短です。分からなければ当社の無料診断をご利用ください。
※ 本ページの情報は NVD（NIST）、WordPress.org、PHP.net から自動収集し、解説はAIが生成しています。正確な内容・対象バージョンは必ず各リンク先の原文をご確認ください。掲載は網羅性を保証するものではありません。