ホーム›WordPress・PHPの移行とセキュリティ対応›脆弱性情報
ホームページとサーバーの
脆弱性情報
WordPress・PHPだけでなく、Laravel・EC-CUBE・Drupal・Node.js・Next.js・Apache・nginx・MySQL・OpenSSLなど、お店や会社のホームページとサーバーに関わる脆弱性を毎朝自動で収集。
「何が危ないか」「どうすればよいか」を、ITに詳しくない方にも分かる日本語で解説しています。
CMS・ECサイト
言語・フレームワーク
サーバー・データベース
Joomla — CVE-2026-66492
Joomla拡張のPhoca Commanderで、アップロード時のパス確認に問題があります。保存先を不正に指定されると、想定外の場所に書き込まれるおそれがあります。
Phoca Commander 1.0.0-6.1.3を使っているか確認してください。使っている場合は更新し、アップ...
Node.js — CVE-2026-71498
node-re2で、途中で切れた文字データを処理する際に問題があります。特定のデータを渡されると、配列の外側まで読み取ってしまうおそれがあります。
node-re2を1.26.1へ更新してください。外部入力を正規表現処理に渡す箇所があれば、あわせて点検...
Laravel — CVE-2026-71434
Statamicで、公開フォームのファイルアップロード制限が管理画面ほど厳しくない問題があります。認証なしの利用者が、管理者が禁止したはずの種類のファイルを送れるおそれがあります。
5.74.3または6.24.2へ更新してください。公開フォームでファイルを受け付けている場合は、許可拡...
Laravel — CVE-2026-71435
Statamicで、フォーム送信内容をメール通知にそのまま入れてしまう不具合があります。攻撃者が細工した内容を送ると、通知メールに勝手なHTMLを混ぜ込めるおそれがあります。
5.74.3または6.24.2以降へアップデートしてください。フォーム通知を使っている場合は、制作会社...
Node.js — CVE-2026-71430
Node.js向けのnode-re2に、特定の置換処理で大量の文字列が作られると、途中で止められずに異常終了する不具合があります。入力次第で、サービスが突然落ちるおそれがあります。
1.25.1へアップデートしてください。大量の文字列置換を行う機能がある場合は、保守担当に確認し...
Laravel — CVE-2026-64665
Statamicで、メール確認が保証されないOAuth連携を使っていると、メールアドレスだけを手がかりに別人としてログインされるおそれがあります。条件がそろうと、管理者として入られる可能性もあります。
5.74.1または6.24.0以降へアップデートしてください。OAuthログインを使っている場合は、信頼で...
Laravel — CVE-2026-64662
Statamicで、権限のない内容や未公開の投稿を見られてしまう不具合があります。編集権限のある利用者が、見てはいけない内容を読める可能性があります。
5.74.1または6.24.0以降へアップデートしてください。閲覧権限の設定を確認し、必要最小限の権限...
Laravel — CVE-2026-64663
Statamicで、利用者の入力をテンプレートにそのまま使うと、内容や画像などの資産が失われるおそれがあります。認証なしでも悪用できる可能性があります。
5.74.1または6.24.0以降へアップデートしてください。テンプレートで外部入力を使っている箇所が...
Laravel — CVE-2026-64664
Statamicで、権限のある利用者がメールアドレスの登録有無を確認できてしまう不具合があります。見られるのは存在確認だけですが、利用状況が知られるおそれがあります。
5.74.1または6.24.0以降へアップデートしてください。ユーザー情報の確認権限を見直し、不要なス...
Node.js — CVE-2026-70596
Ghostで、スタッフが作る投稿の内容を悪用されると、別のスタッフの管理画面セッションを乗っ取られるおそれがあります。権限のない操作に広がる可能性があります。
6.54.1へアップデートしてください。スタッフの投稿権限と入力内容を見直し、不審な投稿やセッシ...
Node.js — CVE-2026-70595
Ghostで、入力の確認が不十分なため、外部の人が社内ネットワーク向けの通信を少しだけ発生させられる不具合があります。外部から内部の機器を狙う足がかりになるおそれがあります。
6.54.1へアップデートしてください。Webmentionsなど外部からの入力を受ける機能がある場合は、...
OpenSSL — CVE-2026-54876
OpenSSLで、証明書確認の設定によっては、悪意あるTLSサーバーから少しずつメモリが漏れる不具合があります。長く接続し続けると、動作が不安定になるおそれがあります。
OpenSSLの修正版へアップデートしてください。OCSP応答の確認を使っている環境は、利用中の設定...
Django — CVE-2026-71239
DjangoCRMのメール送信機能で、利用者入力をそのままテンプレートとして扱う不具合があります。細工した内容で、意図しない処理や情報表示を起こされるおそれがあります。
該当モジュールを修正し、利用者入力をそのままテンプレートに入れないでください。保守会社に確...
Django — CVE-2026-71240
DjangoCRMで、ログイン不要の画面が外部ではなく同じサイト内の別ページへ勝手に飛ばせる不具合があります。意図しないページへ誘導されるおそれがあります。
該当画面の公開範囲を見直し、必要なら認証を追加してください。next_urlを使う導線がある場合は...
Django — CVE-2026-71238
DjangoCRMで、秘密鍵が設定ファイルに直接書かれているため、公開リポジトリを読める人が悪用できる状態です。ログイン状態や再発行用の情報を偽造されるおそれがあります。
秘密鍵をただちに公開しない形に変更し、漏えい済みの鍵は再発行してください。リポジトリ公開の...
Laravel — CVE-2026-71233
InvoiceNinjaの請求書や見積書の「terms」欄が、そのまま画面に出力されます。入力された内容のチェックが足りず、HTMLが混ざるおそれがあります。
InvoiceNinjaを提供元の修正版に更新してください。入力欄や表示部分に不審なHTMLが入っていない...
PostgreSQL — CVE-2026-49004
PostgreSQLのモバイル端末向けサービスに、設定ミスとコマンド注入の問題があります。弱い認証のままroot権限で動作し、細工した操作で本来より強い権限を取られるおそれがあります。
該当サービスを使っている場合は、すぐに提供元の対策版や設定見直しを確認してください。不要な...
Django — CVE-2026-18818
django-sspanel のサポートチケット機能に、権限の確認をすり抜ける問題があります。遠隔から操作でき、対応が止まっている製品に影響します。
この製品は保守終了のため、継続利用を見直してください。使い続ける場合は代替製品への移行や、...
Node.js — CVE-2026-70594
Ghost Adminでログイン時に、古いログイン状態を無効にしていない問題があります。他の脆弱性と組み合わさると、乗っ取りにつながるおそれがあります。
Ghostを6.54.1へ更新してください。管理画面のログイン後に不審なセッションが残っていないか確...
Node.js — CVE-2026-70592
Ghostのデータベースバックアップ名の扱いに不備があり、管理者権限で任意のファイルを上書きできる可能性があります。保存名のチェックが足りません。
Ghostを6.54.1へ更新してください。バックアップ名に不審な文字が使われていないか確認し、管理...
自分のサイトが該当するか分からない方へ
URLを送っていただくだけで、お使いのCMS・PHP・サーバーのバージョンと危険なプラグインを無料で診断します。月額契約なら、該当する脆弱性が出るたびにリアルタイムでお知らせし、更新・応急対応まで当社が行います。
NVD（米国NIST運営の脆弱性データベース）、WordPress.org、PHP.net の公式発表を毎朝6時30分に自動で取り込み、AIが日本語の解説を作成しています。月額契約（20,000円税別〜）のお客さまには、お使いの製品に該当するものをリアルタイム（公表当日）にお知らせし、更新・対応まで行っています。
CVSSは0〜10で危険度を表す国際的な指標です。9.0以上は「緊急」、7.0〜8.9は「重要」。緊急・重要のものは、公表から数日以内に攻撃が始まることが珍しくありません。
お使いのCMS・プラグイン・PHPのバージョンが分からない場合は、制作会社・保守会社に「この脆弱性の影響はありますか」と聞くのが最短です。分からなければ当社の無料診断をご利用ください。
※ 本ページの情報は NVD（NIST）、WordPress.org、PHP.net から自動収集し、解説はAIが生成しています。正確な内容・対象バージョンは必ず各リンク先の原文をご確認ください。掲載は網羅性を保証するものではありません。