ニュース
WordPress脆弱性5件、パスワード再設定を乗っ取られる CVE-2026-9273
開発セキュリティ
WordPressの拡張機能に脆弱性が5件公表されました。5件とも行き着く先はアカウントの乗っ取りです。会員制サイト向けのKadence Membershipsはログイン不要で管理者のパスワード再設定を横取りされ、通販のDokanは出品者として登録できる人なら管理者を奪えます。5件とも修正版が出ており、更新するだけで対処は終わります。
2026.08.0530 views
ニュース
Jettyに認証をすり抜ける脆弱性 CVE-2026-10050、日本語パスワードが対象
開発セキュリティ
Javaのウェブサーバー「Jetty」に、パスワードを照合せずログインを通してしまう脆弱性が見つかりました。日本語や中国語など英数字以外を含むパスワードが対象です。ただし成立するのは古い認証方式を使っている場合だけ。さらに旧バージョンの修正版は無料では手に入りません。対象の切り分けと対処をまとめます。
2026.08.0479 views
ニュース
baserCMSに脆弱性12件、追えるのは1件だけ CVE-2026-65875
開発セキュリティ
2026年7月30日、国産CMSのbaserCMSが脆弱性12件を一度に公表しました。うち3件は最高ランクの緊急で、ログインなしでデータベースを覗けるものも含まれます。ところが12件中11件は番号で調べても情報が出てきません。Dependabotの警告も飛ばず、日本語の報道もゼロ。対処は5.2.10か5.3.0への更新です。
2026.08.0380 views
ニュース
WordPress脆弱性27件、ログイン不要で管理者乗っ取り CVE-2026-15930
セキュリティ開発
2026年8月3日、WordPressの拡張機能の脆弱性27件が一度に公表されました。会員機能のSimple Membership（4万サイト）はログイン不要で管理者アカウントを奪われます。画像のSVG Supportは100万サイト超が対象。11件が無認証、7件は修正版がなく、6種は配布そのものが止まっています。
2026.08.0372 views
ニュース
WordPressプラグイン脆弱性27件、日本製の追従ボタンも対象 CVE-2026-15383
国内企業セキュリティ開発
WordPressの拡張機能27件に脆弱性。うち1件は日本の会社が作り約9000サイトが使う追従ボタンの拡張で、訪問者が細工した通信を1回送るだけで管理画面に不正なプログラムを仕込まれます。修正版は7月31日に出ているのに、開発元の公式サイトも脆弱性データベースも伝えていません。2026年8月3日公表。
2026.08.0323 views
ニュース
AI部品Transformersにファイルを書かれる脆弱性 CVE-2026-9856、5.10.1へ
開発AIセキュリティ
Hugging Faceで公開されているAIモデルを読み込んで保存すると、意図しない場所にファイルを作られる脆弱性が見つかりました。月1億7,700万回ダウンロードされる定番部品Transformersが対象です。国のデータベースは対象バージョンを誤記しており、実際は5.10.0未満が該当。修正版5.10.0は取り下げ済みのため5.10.1以降へ。
2026.08.0337 views
ニュース
AWS用PyAthenaに情報流出の脆弱性 CVE-2026-65321、3.35.4へ更新を
開発インフラセキュリティ
Amazon AthenaにPythonから接続する定番部品PyAthenaに、外部からの入力にSQLの命令を混ぜ込まれる脆弱性が見つかりました。対象はデータ削除と表作成の2種類の文で、別の表の中身を抜かれる恐れがあります。月2,352万回ダウンロードされる部品ですが、自動検知の仕組みにはまだ載っていません。修正版は3.35.4です。
2026.08.0340 views
ニュース
Better Authなど11件にCVE番号、修正は昨年から公開済み CVE-2025-71399
開発セキュリティ
8月2日、Better AuthやVikunjaなど5つのソフトに合計11個のCVE番号が一斉に登録されました。ただし穴は新発見ではなく、修正版は昨年11月から今年7月に公開済みです。最新版なら多くは対処不要。ただしFreeRDPだけは3.29.0では足りず、3.30.0への更新が必要です。
2026.08.0239 views
ニュース
WordPress脆弱性27件、6件は配布停止で修正版なし CVE-2026-16261
開発セキュリティ
2026年8月2日、WordPressの拡張機能27件に脆弱性が公表されました。うち6件は修正版が出ておらず、6件とも公式の配布が止められた古い拡張で、最も古いものは2018年に止まっています。管理画面に更新通知が出ないため気づけません。予約受付の拡張では、予約した人の氏名や連絡先が誰でも取り出せる状態でした。
2026.08.0292 views
ニュース
WordPress脆弱性3件、Apple連携ログイン偽装で管理者乗っ取り CVE-2026-8457
セキュリティ開発
2026年8月1日、WordPressの拡張機能（プラグイン）3件に脆弱性が公表されました。会員登録に使う『Appleでサインイン』の本人確認が甘く、パスワードなしで管理者になりすまされる恐れがあります。残る2件は会員限定ファイルが誰でも読み出せる不具合で、いずれも最新版への更新で直ります。
2026.08.0241 views
ラボ
Lighthouseで4項目すべて100点を取った — 画像40枚・広告つきの記事ページで何が効いたのか、他サイトと同条件で測り直した
開発インフラ
このブログの記事ページが Chrome の Lighthouse で4項目すべて100点になりました。コマンドラインから測り直し、「速い」と言われる9サイトも同じ条件で計測しています。ページ全体 2.1 MB のうち、自分のサイトが出しているのは 99 KB でした。
2026.08.0263 views
ニュース
FreeRDPは3.29.0でも危険、v3.30.0へ更新を CVE-2026-68579
開発Linuxセキュリティ
Linuxなどで広く使われるリモート接続ソフトの土台「FreeRDP」に、接続先になりすまして通信を盗み見たり乗っ取ったりできる脆弱性が22件見つかりました。深刻な緊急2件を含み、RemminaやGNOMEの遠隔操作アプリが対象です。開発元は最新版v3.29.0への更新を強く呼びかけています。CVE-2026-66402ほか。
2026.08.0133 views
