TESUJI / NETWORK
選択したノードを中心に、つながりをたどります。
登録データのみ。所属やOAuth連携からつながりを推測しません。
選択中のノードから、Shift＋別のノードをクリックでつながりを作成できます。
このチャンネルの記事に登場する星を表示しています。 事例を書く
ゲームやインタラクティブなコンテンツを制作する開発プラットフォーム。Blenderなどで制作した3Dモデルを取り込んで利用できます。モデルの受け渡しにはFBX形式が推奨されています。公式資料: https://docs.unity3d.com/Manual/3D-formats.html
Gitリポジトリのホスティング、コードレビュー、Issue、Actionsなどを提供する開発プラットフォーム。AIコーディングツールやCI/CDと組み合わせて、変更履歴・レビュー・デプロイまでをつなぐ基盤として使えます。
PostgreSQLを中心に、認証、ストレージ、リアルタイム機能などを提供するバックエンド開発プラットフォーム。フロントエンドやAIエージェントから使うアプリ基盤を比較的少ない構成で立ち上げやすいサービスです。
オンライン決済・請求・サブスクリプション・決済関連APIを提供する決済プラットフォーム。Web/モバイルサービスへカード決済や継続課金を組み込みやすく、NexAの各種サービスでも決済基盤として利用・連携しやすい。API、Checkout、Billing、Webhookなどを組み合わせて、購入から課金状態の同期まで実装できる。
IPAが公開する重要なセキュリティ情報。脆弱性やセキュリティ上の問題の日本語の注意喚起、対策、公式情報への参照先を確認できる。
JPCERT/CCの注意喚起とWeekly Report。影響の大きな問題の概要・対策・参照先を日本語で確認するための情報源。
脆弱性の概要、影響を受ける製品、対策、開発者情報などを公開する日本語の脆弱性情報ポータル。
脆弱性対策情報を蓄積し、製品名やキーワードなどで検索できるデータベース。過去の情報と関連する告知の確認に使う。
Microsoft製品・サービスのセキュリティ更新情報を確認する公式ガイド。対象製品、影響、深刻度、更新プログラムなどを調べる。
JavaScriptランタイム。公式のVulnerabilitiesカテゴリーでセキュリティリリースの予告、影響するリリース系列、修正内容を確認できる。
Web開発などに使われるプログラミング言語。公式サイトのニュースでセキュリティリリースや配布パッケージの更新を確認できる。
AWSのサービス・ソフトウェア・製品などに関する公式セキュリティ告知。対応が必要な事項や周知事項を確認でき、RSSも案内されている。
公開された脆弱性を識別・定義・収録するプログラム。CVE番号は、異なる告知や調査報告の中で同じ脆弱性を追跡するための共通識別子となる。
CVEに関連する深刻度、弱点の分類、製品への適用情報や参照先などを拡充する米NISTの脆弱性データベース。
オープンソースパッケージに関する脆弱性・マルウェアのアドバイザリを扱うデータベース。GitHub-reviewedとunreviewedの区別がある。
OSV形式の脆弱性情報を集約し、パッケージのバージョンやコミットと対応づけて調べられるサービス。APIも公開している。
実際の悪用が確認された脆弱性を収録するCISAの公式カタログ。優先順位を検討するための材料になり、公式CSV・JSONも公開されている。
脆弱性の悪用活動が今後30日間に観測される可能性を推定するFIRSTの仕組み。日次で更新され、データやAPIが公開されている。
JPCERT/CC公式ブログ。インシデント分析、マルウェア、フォレンジック、観測情報などの調査・解説を公開している。
Google CloudのThreat Intelligenceカテゴリー。攻撃活動や手法などに関する調査報告・解説を読むための情報源。
ITmedia エンタープライズのセキュリティ情報ページ。事件、企業の対応、技術解説、海外動向などを知るためのニュースメディア。
情報セキュリティに関するニュースメディア。国内の事案、脆弱性、行政や企業の発表などの動向を知るための入口。
Googleが提供するウェブブラウザ。公式リリースブログで安定版などの更新内容とセキュリティ修正を確認できる。利用端末のOS・チャンネル・再起動後の版番号を対応づけて更新状況を確かめる。
Googleが公開するデータ圧縮ライブラリ。ランタイムやアプリケーションに組み込まれるため、デコーダーの脆弱性対応ではライブラリ単体に加え、製品の配布物と稼働環境を確認する。
Microsoftの開発プラットフォーム。ランタイムやSDK、ライブラリを用いてアプリケーションを開発・実行する。セキュリティ更新では、共有ランタイム、自己完結型、NativeAOTなど配布方式に応じた確認が必要になる。
Webサイトのデザイン・公開・運用を扱うサービス。フォームやCMSなどを提供し、利用者向けのセキュリティ案内や事案の対応状況を公式サイトで公開している。
パスワード・パスキーなどの認証情報を保存・生成・自動入力・共有するパスワードマネージャー。個人・家族・組織向けに提供され、ソースコードの公開やセルフホストの選択肢もある。日常のアカウント保護やチームの認証情報管理を考えるためのサービス。公式サイト：https://bitwarden.com/
パスワード・パスキーなどを暗号化された保管庫で管理し、生成・自動入力・共有を行うサービス。個人・家族・企業向けに提供され、Watchtowerで保存項目に関連するセキュリティ上の問題を確認できる。日常のアカウント保護やチームのアクセス管理を考えるためのサービス。公式サイト：https://1password.com/
GitHubが提供する依存関係の保守機能。既知の脆弱性を知らせるDependabot alerts、修正候補のPRを作るsecurity updates、定期的な更新PRを作るversion updatesを備える。GitHubの全プランで使える基本機能があり、PRで実行する通常のCIとは料金の扱いを分けて確認する。公式ガイド：https://docs.github.com/en/code-security/tutorials/secure-your-dependencies/dependabot-quickstart
Webサイトやブログを構築・運用するオープンソースのCMS。PHPとデータベースを使い、プラグインやテーマで機能・表示を拡張する。保守では本体、プラグイン、テーマ、PHP・ホスティング環境の更新をそれぞれ確認する。 [公式リリース情報](https://wordpress.org/news/) · [更新手順](https://wordpress.org/documentation/article/updating-wordpress/) · [動作要件](https://wordpress.org/about/requirements/)
WordPressをコマンドラインで管理するツール。プラグイン・テーマの一覧や更新、本体の確認などをスクリプトや運用手順に組み込める。更新操作と、脆弱性情報の照合・動作確認は役割を分けて扱う。 [公式サイト](https://wordpress.org/cli/) · [コマンド一覧](https://developer.wordpress.org/cli/commands/) · [ソースコード](https://github.com/wp-cli/wp-cli)
WordPress.orgのプラグイン・テーマディレクトリをComposerリポジトリとして提供するサービス。wpackagist-plugin、wpackagist-themeのパッケージ名を使い、Composerでバージョンを管理できる。脆弱性判定やWordPress本体の配布とは役割が異なる。 [公式の使い方と制約](https://wpackagist.org/) · [Composerの基本](https://getcomposer.org/doc/01-basic-usage.md)
WordPressのプラグイン・テーマなどの脆弱性を調べられる公開データベースを提供するセキュリティサービス。利用ソフトウェアの名前・版とアドバイザリを照合し、修正版・影響条件や開発元の案内を確認する入口になる。 [脆弱性データベース](https://patchstack.com/database/)
WordPress本体・プラグイン・テーマの脆弱性情報を提供するWordfenceの情報基盤。公開データベースはCVE、ソフトウェア名やslugなどで検索できる。サイトに導入するWordfenceプラグインと、情報を調べるデータベースの用途を区別して使う。 [公開データベース](https://www.wordfence.com/threat-intel/vulnerabilities/) · [サービスの説明](https://www.wordfence.com/products/wordfence-intelligence/)
WordPress本体・プラグイン・テーマの脆弱性データベースやCLIスキャナー、APIを提供するセキュリティサービス。アドバイザリの照合に加え、自分が管理するサイトの確認に使う。スキャン・APIの利用範囲、ライセンスやプラン条件は公式情報で確認する。 [公式サイトと脆弱性情報](https://wpscan.com/)
MySQL・MariaDBをWebブラウザから管理するためのオープンソースのツール。PHPで書かれていて、データベースやテーブルの作成・編集、SQLの実行などができる。
Ciscoのファイアウォールソフトウェア。リモートアクセスSSL VPNなどを提供する。セキュリティ対応では、利用中のソフトウェア系列と有効な機能・設定を公式告知の条件に照合する。 [互換性の公式ガイド](https://www.cisco.com/c/en/us/td/docs/security/asa/compatibility/asamatrx.html) · [CVE-2026-76418の公式告知](https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-asaftd-tunnel-dos-s6mgkb75)
Cisco Secure Firewall Threat Defenseのソフトウェア。リモートアクセスVPNなどの利用機能に応じ、公式アドバイザリと修正済みリリース、管理製品との互換性を確認する。 [互換性の公式ガイド](https://www.cisco.com/c/en/us/td/docs/security/secure-firewall/compatibility/threat-defense-compatibility.html) · [CVE-2026-76418の公式告知](https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-asaftd-tunnel-dos-s6mgkb75)
SophosのUTM製品。公式告知ではサポート終了済みとされ、CVE-2026-118633への修正は手動適用が必要と案内されている。継続利用中の機器は対象機能と修正状況、移行方針を確認する。 [セキュリティ告知](https://www.sophos.com/en-us/security-advisories/sophos-sa-20261028-utm-rce) · [手動修正の公式手順](https://support.sophos.com/support/s/article/KBA-000049692?language=en_US)
Sophosの公式セキュリティアドバイザリ。製品ごとの脆弱性、影響する構成、修正や回避策の有無を確認する情報源。個別の告知にある公開日・更新日と、参照先の適用手順を合わせて確認する。 [公式アドバイザリ一覧](https://www.sophos.com/en-us/security-advisories)
PKIや電子署名・デジタルアイデンティティ関連の事業を提供する企業。2026年10月の中間CA証明書の鍵生成問題について、公式声明と移行状況を公開している。ブラウザー・OS・アプリに組み込まれた証明書ストアなど、利用側の対応をそれぞれ確認する。 [公式声明と更新履歴](https://emudhra.com/en/post/certificate-security-incident/)
Dartを使い、複数のプラットフォーム向けのアプリを開発するフレームワーク。セキュリティ更新では開発用SDKだけでなく、ビルドしたアプリや利用プラグインまで修正の反映を確認する。 [公式サイト](https://flutter.dev/) · [Dart・FlutterのeMudhra関連アドバイザリ](https://github.com/dart-lang/sdk/security/advisories/GHSA-frr6-h895-5pxp)
アプリ開発などに使われるプログラミング言語とSDK。Flutterでも利用される。TLS接続の検証方法は実行環境により異なり、セキュリティ告知では対象OS・SDK版・配布済みバイナリを対応づけて確認する。 [公式サイト](https://dart.dev/) · [eMudhra関連アドバイザリ](https://github.com/dart-lang/sdk/security/advisories/GHSA-frr6-h895-5pxp)
Googleのアプリ開発・運用向けプラットフォーム。Cloud FirestoreやApp Distributionなどを提供する。セキュリティ対応は、サービス側とアプリに同梱するSDK・プラグインの更新を分けて確認する。 [公式サイト](https://firebase.google.com/) · [eMudhra関連の対象と対応](https://firebase.google.com/support/guides/compromised-emudhra-intermediate-ca)
仮想専用サーバー（Virtual Private Server）。1台の物理サーバーを仮想的に分け、利用者ごとに専用のサーバー環境として貸し出す形態のサービス。OSや設定の管理を利用者が担うことが多い。
Canonicalが提供する、Linuxコンテナと仮想マシンの管理ソフトウェア。HTTPS APIやCLIでインスタンスとクラスタを管理できる。
Canonicalが提供する、軽量で自動化されたプライベートクラウドを構築するためのソフトウェア。LXDと連携し、コンテナや仮想マシンを扱う基盤を構成する。
TESUJI / STORIES
公開記事を、作成日時の新しい順に紹介します。
PHP2Shell（CVE-2026-109618・CVE-2026-109619）について、自分の環境のどこでPHPが動いているかを数え、更新し、すぐ直せないものは止めるまでの今日の対応手順がわかる。
CVE-2026-112816の影響条件と修正版を確認し、管理APIの到達範囲・更新・稼働確認を一つの対応記録にまとめる。
クラウドやVPSの事業者側で不正アクセスが起きたとき、利用者が自分の手元でできる対策（パスワードの変更、使い回しの見直し、取引履歴の確認、便乗詐欺への備え）を、公式に分かっている事実とあわせて整理できる。
「PHPは穴が多い」という印象の背景を、利用の広さ・古い書き方の写し替え・共有サーバーでの放置という観点から整理し、言語選びより先に「保守する人と仕組み」を考える視点を持てる。
OSとアプリ内SDKの証明書検証を分け、対象プラットフォーム・依存関係・再配布の必要性を確認する。
CVE-2026-118633の対象機能、手動修正の確認点、サポート終了機器の移行方針を整理する。
CVE-2026-76418の対象となるSSL VPN構成を照合し、修正版の適用と業務への影響を確認する。
phpMyAdminのような管理ツールを公開したまま・古いまま残すリスクを理解し、公開範囲の制限・不要なコピーの削除・公式情報の確認といった基本の対応を整理できる。
Tesuji