脆弱性・セキュリティ速報
主要な公的セキュリティ機関（IPA, JPCERT/CC, JVN, CISA等）の発表に基づいたWebセキュリティ速報一覧です。
ECサイト・決済フォームを狙うWebスキミング（Magecart）攻撃の活発化とSRI対策の緊急性
国内EC事業者や会員ポータルサイトにおいて、外部CDNやアクセス解析タグ、チャットボット等のサードパーティスクリプトが改ざんされ、ユーザーが入力したクレジットカード情報や個人情報が秘密裏に外部送信される『Webスキミング（Magecart）』インシデントが急増しています。国際セキュリティ基準『PCI DSS v4.0』でも外部スクリプトの改ざん保護が必須要件として義務付けられています。
OpenSSL 3.xにおけるリモートコード実行およびDoS脆弱性に関する注意喚起
OpenSSLの特定の暗号スイートネゴシエーション処理において、メモリ境界チェックの不備によるバッファオーバーフローの脆弱性が報告されました。悪意ある細工されたTLSハンドシェイクパケットを送信されることで、外部の攻撃者によりリモートから任意のコードが実行される恐れがあります。
解約済みクラウドへの孤立CNAME（Dangling DNS）を狙ったサブドメイン乗っ取り被害の多発
企業が過去にキャンペーンや開発検証で使用していたAWS S3バケット、GitHub Pages、Heroku等のクラウドテナントを解約した際、DNSのCNAMEレコードを消し忘れていた（Dangling DNS）隙を突き、悪意ある第三者が同名テナントを新規取得して企業の正規サブドメインを乗っ取る事例が多数観測されています。
WordPress人気プラグインにおける認証バイパスおよび特権昇格の脆弱性
国内のコーポレートサイトでも広く利用されているWordPress問い合わせフォームおよび会員プラグインにおいて、REST APIエンドポイントのアクセス制御の不備による認証バイパス脆弱性が確認されました。未認証の攻撃者が管理者権限のアカウントを不正作成できる状態になっていました。
Nginxのエイリアス設定不備（off-by-slash）を突いたソースコード・環境変数ファイル漏洩
Nginxの設定において、locationディレクティブとaliasディレクティブの末尾スラッシュの不整合（off-by-slash）が存在する場合、特殊なディレクトリトラバーサル構文を利用して親ディレクトリに格納された機密ファイル（.envやソースコード等）が外部から直接閲覧可能となるリスクが警告されています。
SPF/DMARC未設定ドメインを悪用したなりすましフィッシング攻撃の急増
企業の正規コーポレートドメインにおいて、メール送信元認証技術（SPFおよびDMARC）が宣言されていない不備を突き、実在する企業を完全に偽装した標的型フィッシングメールの送信事例が急増しています。GmailやYahoo!等の主要メールプロバイダによる送信者ガイドライン強化を受け、未対応ドメインからの配信到達率も低下しています。
Webサーバーにおける不要なHTTPメソッド（PUT/DELETE/TRACE）開放による改ざんリスク
開発時の設定や古いWebDAV設定が本番環境に残存し、PUTやDELETE、TRACEなどの不要なHTTPメソッドが認証なしで外部に開放されているケースが報告されています。攻撃者による任意のWebシェル（バックドア）配置や既存ページの改ざんリスクが存在します。
Apache HTTP Server のリバースプロキシ設定不備によるアクセス制御バイパス
Apache HTTP Serverを前段リバースプロキシとして配置している環境において、パス正規化（URI Normalization）の不整合を突くことで、社内限定公開であるはずのバックエンド管理コンソールや非公開APIへ外部から直接アクセス可能となる事象が報告されました。
SSL/TLS中間証明書のルート移行に伴うレガシー端末・外部API接続不整合に関する注意
大手パブリック認証局による旧ルート証明書のクロス署名期限切れを受け、中間証明書（Intermediate CA）のチェーンが不完全なWebサーバーにおいて、一部のスマートフォン端末や古い外部API連携クライアントからのHTTPS通信が信頼不可エラーで遮断される事象が発生しています。
米CISA、悪用が確認された脆弱性カタログ（KEV）にWeb脆弱性3件を追加
米国サイバーセキュリティ・インフラセキュリティ庁（CISA）は、実際に攻撃者による悪用（Active Exploitation）が観測された脆弱性カタログ（KEV）を更新し、インターネットに公開されているWebサーバー関連の脆弱性3件を緊急指定しました。
モダンSSRフレームワークにおけるServer Actionsおよび内部環境変数の意図しない公開リスク
Next.jsやNuxt等のモダンなサーバーサイドレンダリング（SSR）フレームワークを採用しているWebサイトにおいて、クライアントコンポーネントとサーバーコンポーネントの境界定義の誤りにより、内部APIキーやプライベート環境変数がフロントエンドのJavaScriptバンドル内に不用意に埋め込まれる事例が多数観測されています。
公衆回線におけるSSL Strip型ダウングレード攻撃とHSTSヘッダー設定の重要性
ホテルやカフェ等のフリーWi-Fi環境において、暗号化通信を強制するHSTS（HTTP Strict Transport Security）ヘッダーが設定されていないWebサイトに対して、通信を平文HTTPへダウングレードさせるSSL Strip攻撃のリスクが依然として報告されています。
DNSキャッシュポイズニング耐性とドメイン偽装防止に向けたDNSSEC署名の普及促進
インターネット上のオープンリゾルバを悪用したDNSキャッシュポイズニングの高度化に伴い、正当なドメイン名を入力した利用者が偽のIPアドレスへと誘導される中間者攻撃のリスクが高まっています。JPRSおよびJPCERT/CCは、DNSSEC（DNS Security Extensions）による電子署名対応の導入を推奨しています。