「XSS」関連の最新 ニュース・レビュー・解説 記事 まとめ

セキュリティニュースアラート：
Apache Tomcatに複数の深刻な脆弱性　CVSS 9.8のものも含まれており注意
Apache Tomcatに複数の脆弱性が存在することが分かった。CVSSスコア9.8の脆弱性も見つかっているため、急ぎ対処が求められる。（2024/11/21）

セキュリティニュースアラート：
攻撃者はどうやってEDRの検知を回避するのか？　Palo Alto Networks調査で判明
Palo Alto NetworksはCortex XDRを狙ったサイバー攻撃の詳細を発表した。脅威アクターがエンドポイントセキュリティ製品の検知をどのように回避しようとしているのかが詳細に解説されている。（2024/11/7）

セキュリティニュースアラート：
Pythonに潜むゼロデイ脆弱性を発見？　LLMを活用したツール「Vulnhuntr」とは
Protect AIはAI脅威インテリジェンスツール「Vulnhuntr」がGitHubのPythonプロジェクトから複数の重大なゼロデイ脆弱性を発見したと発表した。このツールはLLMを活用してコードを分析し、複雑な脆弱性を効率的に検出する。（2024/10/23）

セキュリティニュースアラート：
Palo Alto Networksの設定移行ツールExpeditionにCVSS 9.9の脆弱性
Palo Alto Networksは設定移行ツールExpeditionに複数の脆弱性が存在すると発表した。ユーザー名やクリアテキストパスワードなどが漏えいする恐れがある。最も深刻な脆弱性はCVSSスコア9.9と評価され、迅速な対応が推奨される。（2024/10/15）

カード情報1.2万件流出か、全漁連の通販サイト閉鎖　XSS脆弱性からペイメントアプリ改ざん
JF全漁連の「JFおさかなマルシェ ギョギョいち 本店」が不正アクセスを受けた問題で、同サイトの閉鎖が決まった。（2024/10/4）

セキュリティ採用面接での質問と回答例【第6回】
採用面接で「セキュリティの専門知識」を問われたら“あの用語”を語るべし
セキュリティ分野の採用面接ではさまざまな質問が投げ掛けられるが、結局は高い専門性が採用決定の重要な決め手になる。どうすれば、自分の専門性を伝えることができるのか。（2024/9/26）

「ホワイトハッカー」認定資格5選【前編】
ホワイトハッカーとして活躍できる「セキュリティ認定資格」はこれだ
セキュリティ専門家がキャリアパスについて悩んだとき、一つの選択肢になるのはホワイトハッカーになることだ。刺激的なこの仕事に就くために役立つ認定資格とは。（2024/9/23）

セキュリティニュースアラート：
Apache Tomcatにリモートコード実行などを可能にする複数の脆弱性　医療機関は特に注意
保健医療サイバーセキュリティ調整センターは、医療機関に対し、Apache Tomcatの脆弱性について警告した。リモートコード実行などを可能とする複数の脆弱性が見つかっている。（2024/9/11）

全漁連のECサイト「ギョギョいち」への不正アクセスでクレカ情報約1万2000件漏えいの可能性
全漁連は19日、通販サイト「JFおさかなマルシェ ギョギョいち」が不正アクセスを受け、利用者の個人情報2万1728件が漏えいした可能性があると発表した。これにはクレジットカード情報1万1844件が含まれる。（2024/8/20）

ITmedia Security Week 2024 春：
名和利男氏が83もの“多種多様な”アイデンティティー（ID）不正取得手法を紹介した理由
「ITmedia Security Week 2024 春」の「多要素認証から始めるID管理・統制」ゾーンで、サイバーディフェンス研究所などに所属する名和利男氏が「脅威アクターが関心を急激に高める『標的のアイデンティティー』」と題して講演した。本稿では、アイデンティティー（ID）が狙われる背景、83もの代表的な不正取得手法、取得したIDの用途、現状から得られる教訓などを紹介する。（2024/8/20）

セキュリティニュースアラート：
GitHubが新機能「Copilot Autofix」の提供を開始　ソースコードの脆弱性検出を高速化
GitHubは開発者がセキュリティリスクを迅速かつ効率的に修正できるよう支援する「Copilot Autofix」を公開した。このAI機能は脆弱性を検出し、自動で修正案を提案する。（2024/8/19）

GPT-4oも活用：
GitHub、AIでコード脆弱性を自動修正する「Copilot Autofix」を正式リリース　修正時間をどれだけ短縮できる？
GitHubは、「GitHub Advanced Security」機能の一部として、AIを用いてコード内の脆弱性の迅速な修正を支援する「Copilot Autofix」の一般提供を開始した。（2024/8/19）

Cybersecurity Dive：
CISA「OSコマンドインジェクションの脆弱性は出荷前に排除を」　FBIと共同勧告
脅威グループは広く普及しているネットワークデバイスの脆弱性を標的にしている。CISAの最新勧告はソフトウェアメーカーに対し、これらの脆弱性をソースから排除するよう促した。（2024/7/26）

LLMの「10大リスク」と対策【前編】
「生成AIが攻撃を受ける」とはどういうこと？　LLMの脅威“10選”
大規模言語モデル（LLM）に基づいた生成AIツールの利用が広がっているが、十分にセキュリティ対策を講じずに使っている組織もあるだろう。LLMを巡る「10大脅威」と、安全利用のこつとは。（2024/7/17）

「iframeフォーム埋め込み機能」の提供を開始：
Webサイトへのフォーム埋め込みが1行のスクリプトコードで実現　「ヘルプドッグフォーム」に新機能
フォーム作成管理システム「ヘルプドッグフォーム」を提供するnocoは 「WordPress」などで作成したWebサイトに問い合わせフォームを簡単に設置できる 「iframeフォーム埋め込み機能」の提供を開始した。（2024/7/11）

「高齢者バンドにとって、令和の夏は暑すぎる」サザンが最後の夏フェス出演、デビュー記念日に発表
「ナウでヤングな若者だった我々サザンですが、気がつけばメンバー全員古希目前」。（2024/6/25）

2024年度末にはECサイト脆弱性診断の義務化もある：
サイバー攻撃手法のトレンドはどう変わった？　ITRが国内Webアプリケーション脆弱性管理市場を予測
ITRは、国内Webアプリケーション脆弱性管理市場規模の推移と予測を発表した。2022年度の売上金額は、対前年度比21.6％増の27億6000万円。2022〜2027年度の年平均成長率を15.0％と見込み、2027年度の売上金額は55億6000万円に達すると予測する。（2024/5/28）

求められる“緊急の脆弱性対策”
Fortinetユーザーが“無防備”に　「SQLインジェクション」の影響範囲は？
Fortinet製品に重大な脆弱性が見つかった。どのような脆弱性で、どの製品が影響を受けているのか。ユーザー企業に求められる対策は。（2024/5/14）

失敗、成功事例に学ぶクラウドネイティブセキュリティの勘所（4）：
何でもかんでも「クラウドサービスだから利用禁止」にしないためには？　クラウド時代のセキュリティ運用の在り方を考える
クラウドサービス利用が拡大したことで、企業には新たなセキュリティ運用における課題が生まれています。しかも、運用部門、セキュリティ管理責任者、企画部門など、それぞれの職務によって異なる問題と悩みを抱えています。こうした課題が積み重なった結果、「クラウドサービスは禁止」と決定する極端なケースもあります。本稿では、クラウド時代のセキュリティ運用を考えます。（2024/5/8）

セキュリティニュースアラート：
WordPressプラグイン「Forminator」にCVSS 9.8の脆弱性　急ぎ対処を
JPCERT/CCは、WordPress用プラグイン「Forminator」に複数の脆弱性が存在すると伝えた。これらの中にはCVSS 9.8に分類されるものも含まれるため注意が必要だ。（2024/4/23）

セキュリティニュースアラート：
シスコの中小企業向けルーターにXSSの脆弱性　アップデート提供はなし
Ciscoはスモールビジネス向けルーターにクロスサイトスクリプティングの脆弱性が見つかったと報告した。この問題はWeb管理インタフェースの不十分な入力検証に起因しており、攻撃者による不正利用の可能性がある。（2024/4/9）

2023年に発生したWeb攻撃のうち、3割が「APIを標的にした攻撃」：
「認可されたAPIアクセスで、ゆっくりとデータを盗む攻撃」に注意　Akamaiが脅威レポートを公開
Akamaiは、脅威レポート「インターネットの現状（SOTI）｜影に潜む脅威：攻撃トレンドでAPIの脅威を解き明かす」を公開した。それによるとWebに関する全攻撃の29％が「APIを標的とした攻撃」だという。（2024/4/9）

「生成AIを使ったシステムには特有の脆弱性がある」：
「プロンプトインジェクション」「ジェイルブレイク」など5項目を診断　生成AI診断サービスをラックが提供開始
ラックは、生成AIシステムのセキュリティを強化するサービス「生成AI活用システム リスク診断」の提供を開始した。生成AIを使ったシステムに特有の脆弱性が含まれていないかどうかを評価し、改善点をレポートする。（2024/2/22）

“典型的やられサイト”で学ぶセキュリティのワナ：
対策できてる？　Webアプリの「アップロード機能」に潜む、見落としがちなワナの数々
ネット上で商売するのが当たり前な時代。インシデントが発生すれば失うものは計り知れない。本連載では脆弱性診断実習用のWebアプリ「BadTodo」を題材に、ストーリー形式でWebアプリ制作に潜む“ワナ”について学んでいく。（2024/2/13）

半径300メートルのIT：
「セキュリティ人材が足りない……」と嘆く前に　企業に必要なのは“懐の深さ”だ
セキュリティ人材の不足が世の中で叫ばれていますが、人材不足を嘆く前に自社が従業員の才能を伸ばせる環境かどうかを再考してみるといいかもしれません。（2024/2/6）

IoTセキュリティ：
静的テストだけではなくならない脆弱性、多層的テスト手法が大きな効果
日本シノプシスが、同社が行ったソフトウェア脆弱性に関する調査レポートについて説明。ソフトウェアやアプリケーションから脆弱性が検出される割合が2020年の97％から2022年には83％となり、減少傾向にあることが分かった。（2024/2/5）

Webアプリ実装で学ぶ、現場で役立つRust入門（4）：
RustとActix Webで投稿アプリにテンプレートエンジンを導入しよう
第4回は、第3回の続きとして、投稿アプリにWebアプリケーションテンプレートエンジンの「Tera」を導入し、見た目を整えていきます。（2024/1/19）

セキュリティニュースアラート：
QNAP製品に複数の脆弱性　深刻度は「重要」（High）に分類
QNAP SystemsはQTS 5.1.x、QuTS hero h5.1.x、QuMagie 2.2.x、Video Station 5.7.xなどの自社製品について脆弱性を発表した。修正版がリリースされており、適用が推奨される。（2024/1/10）

GitHub、コードの脆弱性を発見後に修正コードまで自動生成してくれる「Code scanning autofix」発表
米GitHubの年次イベント「GitHub Universe 2023」が米サンフランシスコで開幕。1日目の基調講演で、GitHub Copilotが脆弱性のあるコードを自動的に修正してくれる「Code scanning autofix 」を発表し、発表と同時にプレビューが公開された。（2023/11/10）

AWS活用で「PCI DSS 4.0」に準拠　6つの観点でクラウドセキュリティを解説：
決済サービスだからこそクラウドをフル活用――PAY.JPがクラウドネイティブを推進する理由
オンライン決済サービス「PAY.JP」では、システム基盤の見直しやPCI DSS準拠といった取り組みを継続的に進め、高いセキュリティ水準の維持に取り組んできた。PAYで代表取締役CEOの高野兼一氏が、クラウドネイティブな取り組みをどう進めているのか、解説した。（2023/11/2）

ESETのリサーチャーがレビュー：
セキュリティ担当者がよく使う5つのプログラミング言語、何が役立つのか？
セキュリティ企業のESETが、サイバーセキュリティ分野で最も使用されている5つのプログラミング言語をレビューした。それぞれの主な利点とは。何のためにどう使われているのか。（2023/10/14）

セキュリティニュースアラート：
ランサムウェアHelloKittyのソースコードがハッキングフォーラムに漏えい
ランサムウェアHelloKittyのソースコードがロシア語圏で人気のハッキングフォーラムで公開されていると報じられた。（2023/10/11）

セキュリティインシデントの原因となる「安全ではないAPI」をどう減らすか：
アプリケーション開発で「APIセキュリティ」を考慮すべき理由
ビジネスニーズを満たすために、APIを活用する機会は増している。だが、セキュリティのツール、プロセス、スキルセットはAPIの活用に追い付いていない。企業のAPIセキュリティについて調査したEnterprise Strategy Groupでシニアアナリストのメリンダ・マークス氏に話を聞いた。（2023/9/26）

2023年第2四半期Cloudflareアプリケーションセキュリティレポート：
「Log4j」などの古い脆弱性は依然、大量に悪用されている
Cloudflareが2023年第2四半期（4〜6月）におけるインターネット全体のアプリケーションセキュリティの傾向に関するレポートを発表した。毎日平均1120億件ブロックしたサイバー脅威データを基に分析した結果分かった傾向とは。（2023/9/2）

前年比では大きく減少：
Googleが報告「ゼロデイ脆弱性は過去2番目に多かった」　2022年に41件が悪用される
Googleの年次報告書によると、2022年に悪用されたことが検出、公開されたゼロデイ脆弱性は41件。2021年の69件からは減少したが、2014年に同社が追跡を開始して以来、2番目に多かった。（2023/8/2）

「CWE Top 25」2023年版、MITREが発表：
ソフトウェア開発で気を付けたい脆弱性トップ25　3位は「SQLインジェクション」　2位は「XSS」　1位は？
MITREは、ソフトウェアにおいて危険な脆弱性タイプの1位〜25位をまとめた「CWE Top 25」を発表した。（2023/7/13）

志布志市ふるさと納税サイトでクレカ情報漏えいか　脆弱性突かれ不正プログラムを設置される
鹿児島県志布志市の「志布志市ふるさと納税特設サイト」でクレジットカード情報910件が漏えいした可能性がある。クロスサイトスクリプティングの脆弱性を悪用され、クレジットカード決済実行時にカード情報を盗み出すよう改造されていた。（2023/6/22）

Cybersecurity Dive：
「セキュア・バイ・デザイン」と「セキュア・バイ・デフォルト」の“戦術”とは？　全20項目を紹介
今、米国のサイバーセキュリティ当局を中心に、製品の開発段階でセキュリティを確保しようとする取り組み「セキュア・バイ・デザイン」と「セキュア・バイ・デフォルト」が進んでいる。製品から脆弱性を取り除くための“戦術”の内容を見てみよう。（2023/5/27）

200万に影響　WordPressで人気のカスタムフィールドプラグインに重要な脆弱性
WordPressのプラグインで人気の高いカスタムフィールドプラグインに重大なセキュリティ脆弱性が見つかった。これは200万以上のインストールがあるため大きな影響が予想される。該当する場合は迅速に更新することが望まれる。（2023/5/10）

Microsoft、BingとOffice 365を攻撃できる可能性のあるAzure ADの脆弱性を修正
Microsoftは、BingやOffice 365を攻撃できる可能性のあるAzure ADの脆弱性を修正した。この問題を発見し、報告したWizのアナリストは、悪用すればXSS攻撃も可能だったと解説した。（2023/3/31）

サイバー攻撃は「不運」「仕方がない」わけではない：
ラックCTO倉持氏が語った、開発スピードを向上させたい組織が知っておくべきセキュリティ対策のコンセプト
クラウドネイティブを推進する上では、どのようなセキュリティリスクが潜むのか。そしてどのようなアプローチが有効なのか。「ITmedia Cloud Native Week 2022 冬」に登壇したラックの倉持浩明氏が紹介した。（2023/2/22）

LEGO売買サイトの脆弱性から得られる教訓【後編】
犯罪者に狙われ始めた「API」　その笑えない理由
LEGOの中古品売買サイト「BrickLink」に見つかった脆弱性は、「API」の脆弱性だった。専門家はAPIセキュリティの重要性を呼び掛けている。その背景は。（2023/2/10）

LEGO売買サイトの脆弱性から得られる教訓【前編】
LEGO売買サイト「BrickLink」に潜んでいた“危険な脆弱性”とは何だったのか
セキュリティ専門家が、LEGOの中古品売買サイト「BrickLink」に脆弱性を発見した。見つかったのは2つの脆弱性だ。どのような脆弱性だったのか。発見に至ったいきさつとは。（2023/2/2）

VMware Workspace ONE AssistにCVSSv3スコア9.8の脆弱性　直ちに対策を
VMwareのリモートサポートソリューション「VMware Workspace ONE Assist」にCVSSv3スコア9.8に該当する複数の脆弱性が見つかった。これらを悪用されると影響を受けたシステムの制御権を乗っ取られる可能性があるため注意してほしい。（2022/11/14）

ITワード365：
【クイズITワード365】「Dockerなどのコンテナの運用管理と自動化を実現するためのオープンソースソフトウェア」という意味のIT用語は？
最新IT動向のキャッチアップはキーワードから。専門用語で煙に巻かれないIT人材になるための、毎日ひとことキーワード解説。用語の意味から隠されたIT用語が何なのか当ててみよう。（2022/11/10）

WordPressに複数の脆弱性　クロスサイトスクリプティングで閲覧者・投稿者が影響受ける恐れ
JPCERT/CCが、WordPressに複数の脆弱性が見つかったとして最新版へのアップデートを呼び掛けた。悪用されるとWebサイトの閲覧者に悪影響が出る可能性がある。（2022/11/8）

セキュリティのWhy（2）：
“産業化”するサイバー攻撃をどう防ぐ？　サイバーセキュリティの基礎から解説
セキュリティの素朴な疑問を、話題のトピックスを交えて解説する本連載。第2回は、「サイバー攻撃のHow」をテーマに、セキュリティの基礎を紹介する。（2022/10/11）

PR：「WAFを入れれば安心」に黄色信号！　誤検知や精度の低さに苦労するかも？　今知りたい“本当に使えるWAF”の選び方
（2022/9/8）

「見えないWeb攻撃」──情報漏えい対策の盲点：
変わり始めるWeb攻撃　背景に潜むウクライナ侵攻と”ハイブリッド戦”の影
ハイブリッド戦の影響が世界に波及する中で、サイバー空間でいま何が起きているのか。緊張の高まる台湾およびアジアの情勢を前に、民間企業はどう備えるべきか。変わりつつあるWeb攻撃の傾向などを基に、浮かび上がったハイブリッド戦の影について考察する。（2022/8/30）

古い脆弱性に対応するだけでも被害は激減：
ソフトウェア脆弱性を正しく怖がるための「28の真実」
Comparitech.comはサイバーセキュリティに関わる脆弱性について、最新の状況を示す28の重要な統計と事実を取り上げて紹介した。2021年第4四半期にはゼロデイマルウェアが全脅威の3分の2を占めた。だが、同時に84％の企業のネットワーク境界に高リスクの脆弱性が残っていた。企業や個人はまず古い脆弱性に対応するとよいだろう。（2022/8/5）