TAOLISTAOLIS

#脆弱性管理

9件の記事

React Server Components第三波脆弱性の教訓 ── CVE-2026-23864が暴露したRSCシリアライゼーション層の構造的欠陥
セキュリティ

React Server Components第三波脆弱性の教訓 ── CVE-2026-23864が暴露したRSCシリアライゼーション層の構造的欠陥

2025年12月から2026年1月にかけて、React Server Components（RSC）で3波にわたる脆弱性が公表された。CVE-2026-23864（CVSS 7.5）は認証不要でメモリ枯渇やCPU過負荷を誘発し得るDoSであり、前回修正の不完全さが追加対応を招いた。本稿はRSCのシリアライゼーション設計に内在するリスクを技術的に分析し、運用側の防御策を整理する。

8分伊東雄歩
SmarterMail RCE攻撃の全貌 ── CVE-2026-24423がランサムウェアの新たなイニシャルアクセス経路となった構造的要因
セキュリティ

SmarterMail RCE攻撃の全貌 ── CVE-2026-24423がランサムウェアの新たなイニシャルアクセス経路となった構造的要因

SmarterMailの認証不要RCE（CVE-2026-24423）は、ConnectToHub APIの認証欠如と外部接続フローが直結していたことが原因である。KEV入りしたこの欠陥を技術解析し、オンプレメールサーバーがランサムウェア初期侵入点になり続ける構造要因と実務対策を整理する。

伊東雄歩
Microsoft Patch Tuesday 2026年2月の6件同時ゼロデイ脆弱性攻撃を表す抽象的なイラスト。青いデジタルシールドが赤い脆弱性インジケータによって破壊されている様子を描写。
セキュリティ

Microsoft Patch Tuesday 2026年2月版の衝撃 ── 6件同時ゼロデイ攻撃（CVE-2026-21510/21533/21519）が示すWindows防御の構造的課題

2026年2月のPatch Tuesdayで同時修正された6件のゼロデイ脆弱性（Windows Shell、RDS、DWM、Word、MSHTML）を技術的に解析。CVE-2026-21510のセキュリティ機能バイパスとCVE-2026-21533のRDS特権昇格を中心に、攻撃チェーン構築手法とエンタープライズ防御の限界を論じる。

11分伊東雄歩
CVE-2026-21510連鎖攻撃の全貌 ── SmartScreenバイパス×RDS特権昇格で実現した米加標的攻撃の技術解析
セキュリティ

CVE-2026-21510連鎖攻撃の全貌 ── SmartScreenバイパス×RDS特権昇格で実現した米加標的攻撃の技術解析

2026年2月Patch Tuesdayで修正された6つのゼロデイのうち、CVE-2026-21510（SmartScreenバイパス）とCVE-2026-21533（RDS特権昇格）の連鎖攻撃を技術解析。ワンクリック侵入からSYSTEM権限取得まで、完全環境掌握を可能にする攻撃チェーンの詳細と多層的防御設計を解説する。

伊東雄歩