毎朝3分！セキュリティRadio episodes:

• February 20, 2026【用語解説】ランサムウェアとは？仕組みと対策を3分で解説

  ■ 今日の用語解説

  今日は「ランサムウェア」について解説します。

  ▼ ランサムウェアとは？

  感染したPCやサーバーのデータを暗号化し、復旧の対価として身代金（ランサム）を要求するマルウェアです。

  近年はデータを盗み出した上で「公開するぞ」と脅す「二重脅迫」が主流です。

  ▼ エンジニアが知るべき攻撃ステップ

  (1) 初期侵入：VPNの脆弱性やフィッシングメール

  (2) 内部探索：Active Directory等の権限奪取

  (3) 横展開：重要サーバーへの感染拡大

  (4) データ窃取＆暗号化：情報を盗んでからロックする

  ▼ 重要な対策

  ・オフラインバックアップ（3-2-1ルール）

  ・VPN機器等の脆弱性パッチ適用

  ・多要素認証（MFA）の徹底

  ・EDRによる不審な挙動の検知

  #セキュリティ #用語解説 #学習 #エンジニア #ランサムウェア #サイバー攻撃

  ---

  stand.fmでは、この放送にいいね・コメント・レター送信ができます。

  https://stand.fm/channels/5ec48451f654bbcab4d3f793

  ...more

  

  ---

• February 20, 2026【用語解説】サプライチェーン攻撃とは？見えない裏口を防ぐ

  ■ 今日の用語解説

  今日は「サプライチェーン攻撃」について解説します。

  ▼ サプライチェーン攻撃とは？

  ターゲット企業を直接攻撃するのではなく、取引先や利用しているソフトウェア（ライブラリやツール）を足がかりにして侵入するサイバー攻撃の手法です。

  ▼ エンジニアにとっての重要ポイント

  特に「ソフトウェアサプライチェーン」のリスクが高まっています。

  (1) ライブラリへの混入

  npmやPyPIなどのパッケージ管理システムで、正規のライブラリに見せかけたマルウェアが配布されるケース。

  (2) CI/CDツールの侵害

  ビルドプロセスやデプロイツールが改ざんされ、開発段階で悪意あるコードが埋め込まれるリスク。

  (3) アップデート機能の悪用

  信頼している正規ソフトウェアのアップデートサーバーが乗っ取られ、公式の更新プログラムとしてウイルスが配布される事例。

  ▼ どう対策するか

  ・SBOM（エスボム／ソフトウェア部品表）による依存関係の管理

  ・外部ライブラリのバージョン固定とハッシュ検証

  ・開発環境における最小権限の原則の徹底

  外部のリソースを「無条件に信頼しない」姿勢が重要です。

  #セキュリティ #用語解説 #学習 #エンジニア #サプライチェーン攻撃

  ---

  stand.fmでは、この放送にいいね・コメント・レター送信ができます。

  https://stand.fm/channels/5ec48451f654bbcab4d3f793

  ...more

  

  ---

• February 19, 2026#20260220 JenkinsとOpenStackに緊急警告！AI脆弱性も

  ■ 今日のハイライト

  今週の締めくくりとして、インフラからAIまで幅広い分野のセキュリティニュースをお届けします。

  ▼ Jenkins：情報漏洩とXSSの脆弱性

  識別子：CVE-2026-27100, CVE-2026-27099

  CI/CDツールのデファクトスタンダードであるJenkinsに、ビルド情報の漏洩と格納型XSSの脆弱性が修正されました。ノードのオフライン理由などの入力値処理に不備がありました。

  ・対策：最新のLTS版などへの更新を推奨

  ▼ OpenStack Nova：qemu-img呼び出しの不備

  識別子：CVE-2026-24708

  クラウド基盤OpenStackのNovaにおいて、ディスクリサイズ時にフォーマット制限なしでqemu-imgが呼び出される問題が発覚。ホスト上のファイル読み取りやデータ破壊のリスクがあります。

  ▼ Keras：モデル読み込みによるファイル漏洩

  識別子：CVE-2026-1669

  TensorFlow/Kerasにおいて、悪意のあるHDF5重みファイルを読み込むことで、任意のローカルファイルが読み取られる脆弱性（LFD）があります。外部モデルの取り扱いに注意が必要です。

  ▼ その他の重要トピック

  ・【OpenClaw】CVE-2026-27002：Dockerコンテナ脱出の脆弱性など多数

  ・【LibreNMS】CVE-2026-26990：SQLインジェクションおよびXSS

  ・【Go Ethereum】CVE-2026-26315：P2Pハンドシェイク時のキー検証不備

  #セキュリティ #エンジニア #ITニュース #Jenkins #OpenStack #AI

  Data sources: GitHub Advisory Database (CC-BY 4.0)

  ---

  stand.fmでは、この放送にいいね・コメント・レター送信ができます。

  https://stand.fm/channels/5ec48451f654bbcab4d3f793

  ...more

  

  ---

• February 19, 2026【3分解説】DNSポイズニングとは？偽サイト誘導の罠

  ■ 今日の用語解説

  今日は「DNSポイズニング」について解説します。

  ▼ DNSポイズニングとは？

  インターネット上の住所案内システムであるDNS（Domain Name System）のキャッシュサーバーに、嘘のIPアドレス情報を注入する攻撃手法です。

  ▼ なぜ重要なのか？（リスク）

  (1) ユーザーが正しいURLを入力しても偽サイトへ飛ばされる

  (2) フィッシング詐欺やマルウェア配布に悪用される

  (3) 利用者側での検知が非常に難しい

  ▼ 技術的なポイント

  ・DNSキャッシュサーバーへの「なりすまし応答」が基本原理

  ・「カミンスキー攻撃」によって脅威レベルが跳ね上がった

  ・対策の切り札はデジタル署名技術を使った「DNSSEC」

  #セキュリティ #用語解説 #学習 #エンジニア #DNSポイズニング

  ---

  stand.fmでは、この放送にいいね・コメント・レター送信ができます。

  https://stand.fm/channels/5ec48451f654bbcab4d3f793

  ...more

  

  ---

• February 19, 2026【基礎解説】バッファオーバーフローの仕組みと対策

  ■ 今日の用語解説

  今日は、セキュリティの歴史において最も有名かつ危険な脆弱性の一つ、「バッファオーバーフロー」について解説します。

  ▼ バッファオーバーフローとは？

  プログラムが用意したメモリ領域（バッファ）の容量を超えてデータが入力され、あふれたデータが隣接するメモリを書き換えてしまう現象です。

  ▼ 発生するとどうなる？

  ・プログラムの異常終了（クラッシュ）

  ・悪意あるコードの実行（乗っ取り）

  ・管理者権限の奪取

  ▼ なぜ危険なのか

  C言語やC++のように、メモリ管理をプログラマ自身が行う言語で発生しやすい脆弱性です。攻撃者はこれを悪用して、システムの制御を奪うことができます。

  ▼ 主な対策

  (1) 安全な関数の使用（strcpyではなくstrncpyなど）

  (2) メモリ安全な言語の採用（Rust, Go, Javaなど）

  (3) OSの保護機能（ASLR, DEPなど）の有効化

  原理を知ることは、安全なコードを書くための第一歩です。

  #セキュリティ #用語解説 #学習 #エンジニア #バッファオーバーフロー

  ---

  stand.fmでは、この放送にいいね・コメント・レター送信ができます。

  https://stand.fm/channels/5ec48451f654bbcab4d3f793

  ...more

  

  ---

• February 18, 2026#20260219 OpenClawとNode.js tarに致命的脆弱性

  ■ 今日のハイライト

  今日は開発者・インフラエンジニア必須の重要セキュリティニュースをお届けします。特にAIエージェント基盤とNode.jsエコシステムに大きな動きがあります。

  ▼ OpenClawにおける複数の深刻な脆弱性

  AIエージェント「OpenClaw」で、RCE、SSRF、認証バイパスなど多数の脆弱性が報告されました。

  ・CVE-2026-24764：プロンプトインジェクションによるRCE

  ・CVE-2026-25474：Telegram Webhookの認証バイパス

  ・その他、パストラバーサルやSSRFなど多数

  ▼ Node.js「tar」パッケージの脆弱性

  ・CVE-2026-26960：ハードリンク処理の不備による任意のファイル読み書き

  多くのプロジェクトが依存しているため、npm updateが必須です。

  ▼ その他の重要トピック

  ・【Gogs】CVE-2026-25232他：Gitサービスでの権限昇格・不正操作

  ・【横河電機】CVE-2025-1924：Vnet/IPインターフェースでの整数アンダーフロー

  ・【CASL Ability】CVE-2026-1774：プロトタイプ汚染

  #セキュリティ #エンジニア #ITニュース #脆弱性対応

  Data sources: GitHub Advisory Database (CC-BY 4.0), JVN iPedia

  ---

  stand.fmでは、この放送にいいね・コメント・レター送信ができます。

  https://stand.fm/channels/5ec48451f654bbcab4d3f793

  ...more

  

  ---

• February 18, 2026【用語解説】SQLインジェクションとは？基本と対策

  ■ 今日の用語解説

  今日は「SQLインジェクション」について解説します。

  ▼ SQLインジェクションとは？

  Webアプリケーションの入力フォームなどを通じて、不正なデータベース操作命令（SQL）を送り込む攻撃手法です。Webセキュリティにおいて最も有名で危険な脆弱性の一つです。

  ▼ なぜ重要なのか？（リスク）

  (1) 情報漏洩：顧客リストやパスワードが盗まれる

  (2) 認証回避：パスワードなしで管理者としてログインされる

  (3) データ破壊：データベースの中身を消去・改ざんされる

  ▼ どうやって防ぐ？

  【最重要】プリペアドステートメント（静的プレースホルダ）を使用すること。

  SQLの「命令文」と「入力データ」を明確に分けることで、入力値をコマンドとして実行させないようにします。

  ▼ その他の対策

  ・WAF（ワフ）の導入

  ・入力値の検証（バリデーション）

  ・データベース接続ユーザーの権限を最小限にする

  エンジニアであれば必ず知っておくべき必須知識です。

  #セキュリティ #用語解説 #学習 #エンジニア #SQLインジェクション

  ---

  stand.fmでは、この放送にいいね・コメント・レター送信ができます。

  https://stand.fm/channels/5ec48451f654bbcab4d3f793

  ...more

  

  ---

• February 18, 2026【用語解説】SOC（ソック）とは？組織を守る24時間のサイバー監視塔

  ■ 今日の用語解説

  今日は「Security Operation Center (SOC)」について解説します。

  ▼ SOC（ソック）とは？

  組織の情報システムへの脅威を監視・検知・分析するための専門組織または施設のことです。サイバー攻撃の兆候を24時間体制で見守る、いわば「デジタル空間の監視カメラセンター」です。

  ▼ なぜ重要なのか？

  (1) 侵入を前提とした対策へのシフト（早期発見の重要性）

  (2) 膨大なログデータの統合的な分析

  (3) 専門家による高度な判断と誤検知の排除

  ▼ 関連用語

  ・SIEM（シーム）：ログを一元管理・分析する仕組み

  ・CSIRT（シーサート）：インシデント発生後の対応部隊

  #セキュリティ #用語解説 #学習 #エンジニア #SecurityOperationCenter(SOC)

  ---

  stand.fmでは、この放送にいいね・コメント・レター送信ができます。

  https://stand.fm/channels/5ec48451f654bbcab4d3f793

  ...more

  

  ---

• February 18, 2026【用語解説】SBOMとは？ソフトウェアの部品表で守る

  ■ 今日の用語解説

  今日は「SBOM (Software Bill of Materials)」について解説します。

  ▼ SBOMとは？

  「エスボム」と読みます。ソフトウェアを構成するコンポーネントやライブラリ、モジュールのバージョン情報をリスト化した「ソフトウェアの部品表」のことです。

  ▼ なぜ重要なのか？

  現代の開発ではオープンソース(OSS)の利用が不可欠ですが、これには「サプライチェーンリスク」が伴います。

  (1) 脆弱性対応の迅速化

  特定のライブラリに脆弱性が見つかった際（例：Log4j問題）、自社システムのどこに使われているかを即座に特定できます。

  (2) ライセンス管理

  意図しないライセンス違反（GPL混入など）を防ぐために利用されます。

  ▼ 代表的なフォーマット

  ・SPDX (エスピーディーエックス)

  ・CycloneDX (サイクロンディーエックス)

  #セキュリティ #用語解説 #学習 #エンジニア #SBOM #サプライチェーンセキュリティ

  ---

  stand.fmでは、この放送にいいね・コメント・レター送信ができます。

  https://stand.fm/channels/5ec48451f654bbcab4d3f793

  ...more

  

  ---

• February 18, 2026【用語解説】ゼロデイ攻撃って何？パッチがない脅威への対抗策

  ■ 今日の用語解説

  今日は「ゼロデイ攻撃」について解説します。

  ▼ ゼロデイ攻撃とは？

  ソフトウェアの脆弱性が発見され、修正プログラム（パッチ）が配布される「前」に行われるサイバー攻撃のことです。

  防御側の対策準備期間が「ゼロ日」であることから名付けられました。

  ▼ なぜ危険なのか？

  (1) 従来のウイルス対策ソフト（パターンマッチング）ですり抜けやすい

  (2) ベンダーが気づいていない「未知の脆弱性」を突かれる

  (3) 完全な防御が難しく、被害が拡大しやすい

  ▼ エンジニアができる対策

  決定打となる防御策は存在しませんが、被害を最小化することは可能です。

  ・多層防御（サンドボックス、EDRなど）の導入

  ・不要な機能やポートを閉じる（アタックサーフェスの縮小）

  ・パッチが公開されたら即座に適用する運用体制の構築

  ■ 次回予告

  明日もセキュリティの基礎知識を深掘りしていきます。お楽しみに！

  #セキュリティ #用語解説 #学習 #エンジニア #ゼロデイ攻撃

  ---

  stand.fmでは、この放送にいいね・コメント・レター送信ができます。

  https://stand.fm/channels/5ec48451f654bbcab4d3f793

  ...more

  

  ---