metabase

WordPressからnpm・AIツールまで。直近1年の脆弱性と侵害12事例 修正版を入れたあと、何をすれば対応を終えたと言えるのだろう。 この問いは製品が変わると答えも変わる。SiteGuard Server Editionでは更新する前に攻撃の痕跡を保全するよう案内された。Metabaseでは更新に加えて、利用者のセッションや接続先データベースの認証情報まで確認するよう求められた。Trivyでは安全性を調べるために動かしたツール自体が侵害され、実行した環境の秘密情報を点検する事態になった。Axiosではアプリから使う前にも、依存の導入時に不正なコードが動く仕組みが仕込まれた。 どれも「更新が大事」という一文には収まる。でも、その一文だけでは作業の順番も、確認する範囲も分からない。 前回のPHP2Shellの記事では、WordPressの緊急点検を通じて、設定の意味や残すべき機能を見直した。今回はそこから範囲を広げ、2025年11月1日から2026年10月31日までに公表・悪用・対応が報告された脆弱性と供給網侵害を調べた。WordPressやWebサービスの開発・運用に近い12の事例群を、実際の対応と一緒に追っていく。 公表された悪用・対応の記録をもとに、どの構成が対象になり、更新後にどんな作業が残るのかをたどる。 解説図：サイトの運用では公開ページ以外にも、自動化、接続先、開発環境、作業する人の端末が関係する。 自分に関係する事例から読む 読みたい場所へ進めるよう、まず今回の12事例を並べた。CVEは脆弱性を識別する番号で、一つの製品に複数付くこともある。関連する問題をまとめ、AxiosやLiteLLMのような配布物の侵害も扱うため、12事例とCVEの数は一致しない。 使っているもの・担当する範囲 事例 特に確かめたいこと WordPress wp2shell 同じ系列で更新が実際に完了しているか Reactを使うサーバー React2Shell Server Componentsを処理しているか 自動化ワークフロー n8n 編集権限と公開フォームを別々に確認したか AIフローの公開 Langflow フローの実行と変更を区別できているか BI・分析基盤 Metabase 保存された認証情報まで調査したか 自分で管理するDB MongoBleed 認証より前の処理も修正されているか サーバー用WAF SiteGuard Server Edition 更新前に診断情報を保全したか 機器へのクラウドSSO FortiCloud SSO 追加告知と設定流出への対処を追ったか CI/CDの脆弱性検査 Trivy 実行した配布物と露出した秘密を確認したか PythonのAIゲートウェイ LiteLLM 3月と10月で異なる配布物と経路を確認したか npmの依存とビルド環境 Axios 導入時の実行と、端末・CIの秘密情報まで調べたか 普段使うブラウザー Chrome 更新の取得と適用を両方確認したか ! 情報の基準日は2026年10月31日。本文中の修正版は原則として「その問題への修正が最初に入ったバージョン」を示す。現在導入するバージョンは、後続の修正とサポート状況を含めて公式の現行情報で選んでほしい。図は説明用で、攻撃ログや被害画面を再現したものではない。 時系列も一度見ておきたい。告知が出た日、攻撃を観測した日、悪用を確認した一覧へ追加された日は、それぞれ意味が違う。後から出た調査報告を、攻撃の始まった日と読み替えると、対応に使える時間を見誤ってしまう。 解説図：選んだ事例の主な公表時期。すべての脆弱性を網羅した年表でも、被害件数の比較でもない。 WordPressのwp2shell PHP2Shellと名前が似ているが、こちらはWordPress本体の別の問題だ。2026年7月17日、WordPressは7.0.2のセキュリティリリースで二つの脆弱性を修正した。SQLインジェクションのCVE-2026-60137と、REST APIのバッチ処理におけるルートの取り違えに関するCVE-2026-63030だ。WordPressのリリース告知 二つがつながったときの影響 WordPress 6.9以降では、この二つを組み合わせると遠隔でのコード実行（RCE）につながり得る。管理画面に入るためのパスワードが先に盗まれていなくても問題になる、という点が重い。IPAは7月22日の注意喚起で、標準構成で管理者権限などを要さず成立する可能性と、CISAの悪用確認済み脆弱性カタログへの登録を伝えている。IPAの注意喚起 ここで、WordPressのバージョンをまとめて扱うと話がずれる。6.8系列ではSQLインジェクションの問題が対象になり、6.9系列以降で二つを組み合わせた影響が問題になる。同じ「WordPressに脆弱性」という見出しでも、中身は一段違う。 開発元のアドバイザリもSQLインジェクションと組み合わせによるコード実行を分けている。一つ目の深刻度だけを見て軽く扱ったり、逆にすべての旧バージョンが同じ条件でコード実行まで到達すると決めたりせず、系列と組み合わせを読む必要がある。SQLインジェクションの開発元情報、バッチ処理の開発元情報 解説図：単独の問題と攻撃チェーンの影響範囲を分ける。古い系列すべてを同じ条件として扱わない。 自動更新の案内と更新完了 この事例で注目したい対応は、WordPress.orgが影響するバージョンへ強制自動更新を有効化したことだ。利用者全員がニュースに気づき、手動で更新してくれることだけに頼らない対応だった。 ただし、提供側が更新を配信したことと、自分のサイトで更新が終わったことは別に確かめる。IPAも、設定や構成、更新失敗によって適用されない場合があるため、管理画面などで実際のバージョンを確認するよう案内している。管理を委託しているなら、「自動更新の対象です」という回答の先に、稼働しているバージョンと確認時点まで聞きたい。 当時の系列 この問題への修正境界 6.8 6.8.6。SQLインジェクションへの修正 6.9 6.9.5。二つの問題への修正 7.0 7.0.2。二つの問題への修正 この表のバージョンを、10月末に新しく導入するバージョンの指定にはしない。同じ系列にも後続リリースがある。公式のWordPressのバージョン一覧と現在の告知を合わせて確認する。 解説図：更新を配信する側の対応と、利用するサイトでの適用確認をつなぐ。 運用へ持ち帰るなら、WordPress本体のバージョンを記録し、使っている系列の修正状況を確認する。そのうえでログイン、記事の表示、フォーム、管理画面の更新など、通常の操作を通す。REST APIの名前を見て一括で閉じる前に、そのAPIを使う公開機能や編集機能が何かを確かめたい。入口を塞ぐ判断にも、止まる機能との対応が要る。 React2Shell 2025年12月3日に公表されたCVE-2025-55182は、React Server Components（RSC）の処理に関係する認証前のコード実行の脆弱性だ。名前を見て「Reactを使っているから全部同じ」と受け取ると、必要な点検を外してしまう。React公式の告知 ブラウザーとサーバーを分ける 今回問題になったのは、Server Componentsを処理するサーバー側のパッケージだ。ブラウザー内だけで動くReactアプリまで一律に対象になるわけではない。一方、自分でServer Functionを書いていなくても、サーバー側でRSCを扱う構成なら確認が必要になる。 「画面を作るライブラリ」と思っていたものが、サーバーへ届く入力を処理している。その構成を把握していないと、フロントエンド担当とサーバー担当の間で更新の担当が浮いてしまう。アプリの名前より、どこでどのパッケージが動くのかをたどる方が役に立つ。 当初はreact-server-dom-webpack、react-server-dom-parcel、react-server-dom-turbopackの19.0、19.1.0、19.1.1、19.2.0が影響し、このRCEへの修正は19.0.1、19.1.2、19.2.1に入った。ただし、その後のDoSや情報露出などの追加問題とは区別する。最初の修正版の数字だけを、今の推奨バージョンとしてコピーしない。 解説図：確認するのは、名前にReactがあるかだけでなく、サーバーで何を処理しているか。 公開から適用までの時間 AWSは12月4日の報告で、公表から数時間以内に攻撃試行を観測したと説明した。Google Threat Intelligence Groupは12月12日、侵害調査で確認したバックドアや暗号資産マイナーの配備などを報告している。攻撃試行の観測と、侵害後の調査結果は分けて読む。AWSの観測報告、Googleの調査報告 この短さを見ると、週末にまとめてニュースを読む運用だけでは間に合わない場合がある。とはいえ、焦って別のアプリを更新しても解決しない。まず影響する構成と外部からの到達可否を押さえ、更新が必要なアプリとデプロイ先を担当者に伝える。速さと対象の特定は両方必要になる。 Vercelの振り返りにはWAFへの対応だけでなく、影響するデプロイへの通知、更新を支援するCLI、修正PRの作成といった手段が出てくる。修正コードを公開したあと、利用者が自分の環境へ届けるまでに作業があることがよく分かる。Vercelの対応記録 解説図：依存ファイルを直した状態と、その修正を含むアプリが公開環境で動く状態を区別する。 自分の運用ではpackage.jsonの記載だけで判断せず、解決された依存のバージョンとデプロイ済みの成果物を確認する場面になる。更新のPRがマージされても、以前のコンテナーが動いたままなら、公開環境への適用確認は残っている。WAFで一部の通信を遮断できることも、脆弱な処理自体が修正された証拠にはならない。 n8nの編集権限と公開フォーム n8nのような自動化ツールには、APIキーや接続情報を預け、複数のサービスをまとめて動かすことがある。ワークフローを作れる人は、見た目以上に強い権限を持つ。その一方で、公開フォームはログインしていない人にも使わせたい。この二つを分けて考えさせられるのが、年末から翌年に続いた一連の問題だ。 三つの問題を条件と修正版で分ける CVE 開発元の公表日 主な条件と当該問題の修正境界 CVE-2025-68613 2025-12-19 認証済み利用者の式評価に関係。1.120.4、1.121.1で修正 CVE-2026-21858 2026-01-07 一部のフォーム系ワークフローを通じた未認証のファイルアクセス。1.121.0で修正 CVE-2026-25049 2026-02-04 編集権限を持つ認証済み利用者による式評価の追加の回避。1.123.17、2.5.2で修正 出典は開発元の告知と、開発元が登録したCVEの公開レコードだ。68613の修正バージョンはCVEレコードでも確認できる。CVE-2025-68613の告知、CVE-2026-21858、CVE-2026-25049 この三つを「n8nで未認証RCE」と一行にまとめると、個々の条件が消えてしまう。式を設定する利用者の権限が関係する問題と、公開されたフォームから届く問題では、確認する処理が違う。一つの問題の修正版が後から公表されたすべての問題まで直しているわけでもない。 解説図：ワークフローを編集する人と、フォームを使う人では、必要な権限と到達する処理が違う。 組み合わせた悪用も報告された VulnCheckは2026年3月27日、CVE-2026-21858とCVE-2025-68613を組み合わせた、未認証でのコード実行につながる攻撃試行を観測したと報告した。カナダ政府の告知でも、CVE-2025-68613のCISAカタログへの追加が伝えられている。VulnCheckの観測、カナダ政府の注意喚起 「認証済みの人しか使えない問題だから、外部の人には関係しない」と区切っていたところへ、別の入口がつながる。WordPressの事例と同様、脆弱性は一つずつの説明だけでなく、同じ環境で組み合わさる条件も見る必要がある。 更新までの対処としては、開発元が示す公開フォームやWebhookへの制限、編集できる利用者の制限、OS権限やネットワークの到達先の制限を検討する。ただし、これらは適用条件を確認して使う暫定的な対処であり、修正の適用と同じ状態にはならない。 解説図：ツールを更新する作業と、預けている権限・接続情報を確認する作業を合わせて考える。 自動化は便利になるほど、連携先が増えていく。だから、n8n自身の管理者パスワードだけを点検して終わらせたくない。影響を受けた可能性のあるワークフローが、どの認証情報を利用でき、どのサーバーへ接続できたかをたどる。秘密情報が露出したと判断した場合は、接続先側での失効や再発行も対応に含める。これは、このツールを使うときの権限設計にもそのまま返ってくる話だ。 Langflowの公開フロー AIのフローを公開するとき、外から使わせたいのは、用意した処理の実行だ。その処理の中身まで外部の人が差し替えてよいわけではない。LangflowのCVE-2026-33017は、この区別が崩れる問題だった。 実行する権限と変更する権限 開発元のアドバイザリでは公開フローを構築・実行する経路で、保存済みの定義だけでなく外部入力のフローデータを受け付け、サーバー側でPythonの処理へ渡してしまう問題が説明されている。影響欄は1.8.2以下、当該問題への修正境界は1.9.0だ。公開機能の使い方や認証設定などを含めて条件を確認する。Langflowの開発元情報 たとえば「このフォームから質問してよい」と「フォームの裏で動くプログラムを渡してよい」は、同じ許可ではない。公開した処理を利用させる機能に、処理の定義そのものを受け取る機能が混ざれば、許可した操作の範囲が変わってしまう。 点検したいのは、ログイン画面があるかだけではない。公開しているフロー、その識別子が使われる経路、外部から受け取るデータ、認証を通る場所を対応させる。管理画面が閉じていても、公開実行用のAPIは別に動いていることがある。 解説図：用意した処理を呼び出す許可と、サーバーで動く処理を差し替える許可を分けて考える。 約20時間という観測 Sysdigは3月19日の報告で、脆弱なLangflowを置いた観測環境に、アドバイザリ公開から約20時間後には攻撃試行が届いたと説明した。3月17日20:05 UTCのアドバイザリ公開に対し、最初の観測は3月18日16:04 UTCごろだ。Sysdigの観測報告、公開日時を示すAdvisory API ここで「約20時間」の起点はCVEレコードの公開ではない。CVEレコードは3月20日で、アドバイザリや観測報告と日が違う。また、この報告が示すのはハニーポットで観測した攻撃試行であり、実在する利用企業が何社侵害されたかという件数ではない。 この短い間隔を、単に「攻撃が速くて怖い」で終わらせたくない。公開フローが外から使えること、そこに秘密情報が置かれること、利用者自身がインスタンスに更新を適用することが重なっている。ニュースの購読先と、影響を受けるインスタンスを見つける手段がつながっているかを考える材料になる。 解説図：約20時間はアドバイザリ公開からの間隔。報告日と出来事の日を分けると、経緯を取り違えにくい。 当面の露出を減らすための公開経路の制限や前段での認証と、ソフトウェアを修正する作業は分けて扱う。Sysdigは保持していたシークレットの点検・交換や、不審な外向き通信の確認も挙げている。Langflowを修正版に更新しただけで、既に利用できた接続情報まで無効になったとは判断できない。 なお、LangflowにはCVE-2025-3248という別の認証不足の問題もある。初回公表は今回の期間より前だが、2026年7月にも悪用の観測が報告された。新しい問題の修正に追われるなかで、以前から動く別インスタンスが残っていないかも見たい。新しいニュースだけを読むことと、手元の古い環境を把握することは、別の作業になる。以前の問題の開発元情報、7月の観測報告 Metabaseと接続先データベース BIツールを一台更新する話だと思って読むと、対応範囲の広さに目が止まる。MetabaseのCVE-2026-72898では、BIツール自身への侵入から、そのツールが接続しているデータベースへ影響が広がり得る。 二つのデータベースを分ける Metabaseは2026年8月6日、認証なしで届くAPIのSQLインジェクションを公表した。攻撃者がMetabaseのアプリケーションデータベースに不正なSQLを実行し、Metabaseの管理者権限を得る可能性がある問題だ。ここでいうアプリケーションデータベースは、Metabase自身の利用者や設定などを持つ側を指す。開発元アドバイザリ その管理権限を取られると、アプリに保存された接続情報や設定へ手が届く可能性がある。そこから、分析用に接続している別のデータベースの情報が問題になる。「BIの画面を見られた」で止めず、アプリ自身のDBと、アプリが接続する先のDBを分けてたどりたい。 開発元はMetabase Cloudが未知の脆弱性を使った攻撃を受け、対象エンドポイントを遮断したうえで修正したと説明した。公表時点でCloud利用者の環境は修正済みと案内し、自己管理している利用者には更新と追加の点検を求めている。Metabaseの対応告知 解説図：アプリの設定を持つDBと、業務データを読む接続先DBを分ける。侵害調査では両方が関係する。 更新後に残った作業 OSS版の当時の修正境界は、0.58.24、0.59.21、0.60.17、0.61.11、0.62.9、0.63.5だった。利用するバージョンの種類と系列を、開発元の対応表に照らして確認する。そのうえで、対象の/api/session/reset_passwordが公開されていた場合、開発元は次の点検も案内した。JPCERT/CCの注意喚起 有効な利用者セッションを失効させる。 APIキーと管理者アカウントに見覚えのない変更がないか調べる。 接続先データベースの認証情報を交換する。 Metabaseと接続先DBのログや操作履歴を調べる。 「更新後にパスワードを変えましょう」という一般論より、対象がずっと具体的だ。アプリを更新する担当と、データベースの認証情報を管理する担当が別なら、後半の仕事を誰が持つかも決める必要がある。クラウドの修正完了の案内を読んだだけでは、接続先側の確認まで終えたことにはならない。 解説図：公開APIの修正と、利用できた権限や認証情報への対処を別の項目として進める。 ログの読み方も具体的だった。開発元が示したパターンには、パスワード再設定のAPIへのPOSTがHTTP 400となり、続く利用者情報の取得がHTTP 200になる組み合わせがある。一つ目がエラーだからといって、そこで攻撃も失敗したとは決められない。エンドポイント、順番、その後の操作を合わせて調べるための手がかりだ。 もちろん、その通信を一度見つけたことだけで、影響の全範囲まで判明するわけではない。管理者の追加、接続設定の変更、DBの読み出しなど、次の調査へつなげる。JPCERT/CCもインターネットから届く状態だった環境では、更新だけで完了せず侵害有無を確認するよう促している。 MongoBleedと認証前の処理 DBには強いパスワードを付け、利用者ごとの権限も絞る。その対策は必要だが、通信が認証にたどり着く前の処理にも不備は起こる。MongoDB ServerのCVE-2025-14847、通称MongoBleedはその点を確かめる事例になる。 認証より手前で読むデータ 問題はzlib圧縮を扱う通信処理にあり、認証前のクライアントから、未初期化のヒープメモリーを読み出される可能性があった。MongoDBに到達できることが関係し、認証を有効にしただけでこの処理が修正されるわけではない。一方、この問題をそのまま「任意のコードを実行できる」「DBの全件を確実に持ち出せる」と書き換えるのも違う。MongoDBのセキュリティ情報、公式の修正チケット ここで確認するのは、DBのネットワーク処理と認証の順番だ。DBへ接続できる送信元を絞ること、通信処理の修正を適用すること、利用者の認証を設けることは、それぞれ担当する場所が違う。どれか一つを済ませたことで、ほかの対処まで不要になったとは考えない。 解説図：認証があることと、認証前の通信処理が修正されていることを区別する。 Atlasと自己管理版の対応 MongoDBの振り返りでは、社内で問題を発見したのは12月12日。Atlas全体には12月18日までに修正を適用し、12月19日にCVEを公表したと説明されている。管理サービスでは提供側が先に修正を進められるが、自己管理のサーバーでは利用者が更新する範囲が残る。MongoDBの対応時系列 当該問題への修正境界には8.2.3、8.0.17、7.0.28、6.0.27、5.0.32、4.4.30が挙げられた。更新がすぐできない場合の暫定策としては、サーバーの圧縮設定からzlibを明示的に外す方法も案内された。利用中の構成と公式手順を確かめ、設定変更をソフトウェアの修正と取り違えないようにする。 ここで「マネージドだから確認しなくてよい」とまでは言えない。提供元の修正対象に、自分が使っているサービスや構成が含まれているかは見る必要がある。逆にAtlasについての修正完了の説明を、自分で立てたMongoDBサーバーにも適用済みだと読んではいけない。製品名が同じでも、更新を実施する担当は変わる。 解説図：管理を誰に任せているかで確認先が変わる。悪用確認済み一覧への追加日は攻撃開始日を示さない。 当初のMongoDBの説明には、悪用や顧客データ侵害の証拠はないという記述があった。その後、CISAは12月29日に悪用確認済みカタログへ追加した。この二つを並べたとき、初期の説明を現在も続く「悪用はない」という断定として読むと誤る。情報が更新された順番を残すことが大切だ。当時のMongoDBの案内、CISAの公式カタログデータ 運用へ置き換えると、DBを置いている場所、管理サービスか自己管理か、公開範囲、圧縮設定、適用されたバージョンを確認する作業になる。「DBには認証がある」という回答の先を、通信が届く位置から見直せる事例だ。 SiteGuard Server Editionと痕跡の保全 守るために置いたWAFも、更新や侵害調査の対象になる。これはWAFが役に立たないという話ではない。防御製品にもソフトウェアと権限があり、その製品が何を処理するかまで管理する話だ。 統計機能の脆弱性 EGセキュアソリューションズは2026年10月14日、SiteGuard Server Editionの統計機能にあるCVE-2026-106931を公表した。OSコマンドインジェクションの問題で、製品が動くサーバー上でrootまたはSYSTEM権限のコマンド実行につながり得る。同社は悪用を確認しているとも説明した。開発元の告知 対象バージョンはVer2.20以降で、統計機能が有効な構成が影響する。同機能は初期値でも有効とされている。製品名、バージョン、機能を合わせて照合する必要がある。WordPress用のSiteGuard WP Pluginなど、名前にSiteGuardが付くすべての製品へ、この影響を広げてはいけない。 また、公式に示された評価にはローカルの攻撃経路と低い権限の前提がある。この説明を、WAFの公開URLへ誰でも一回アクセスすれば侵入できる話に置き換えない。影響が大きいことと、成立条件を省いてよいことは別だ。JVNの情報 解説図：製品名だけで判断せず、バージョンと機能を照合する。別製品や異なる攻撃条件へ一般化しない。 更新より先に残すもの この事例で特に覚えておきたいのは、更新やパッチの適用前に「診断情報」を取得して保管するという案内だ。更新によって攻撃の痕跡が消える可能性があるため、調査に使う情報を先に残す必要があった。JPCERT/CCもこの順序を注意事項として取り上げている。JPCERT/CCの注意喚起 「一刻も早く更新する」と「調査の材料を残す」は、どちらかを無視すればよい関係ではない。この製品では公式に案内された診断情報の取得を先に行い、そのあとに更新・パッチへ進むという、具体的な順番が示されている。 当該修正はApache版・Nginx版・IIS版では8.00 Update5、FreeBSDのApache版・Nginx版では7.00 Update6に入った。IIS版の3.10から4.00 Update4は影響対象から除かれる。更新が難しい利用者向けには対象ファイルを差し替えるパッチ、回避策としては統計機能の無効化も案内された。バージョンの文字列をざっと読まず、OSと製品版を組み合わせて選ぶ部分だ。 解説図：この製品では更新によって失われ得る診断情報を先に残すよう公式に案内された。 開発元はサポート契約がある利用者には9月29日に個別通知したとも説明している。一般向けの公表日と、契約先へ通知した日は同じではない。運用側ではニュースだけでなく、契約先に届く保守通知が誰へ届き、誰が判断するのかも点検したい。 レンタルサーバーに付属するWAFを使っている場合も、「自分が製品を直接契約していないから関係がない」とは判断せず、提供元の告知で対象と対応状況を確認する。利用者が変更できる設定と、提供側が更新する製品本体を分けて聞くと、問い合わせも具体的になる。 FortiCloud SSOの連続した告知 「先月、言われたバージョンへ更新した」。その記録は大事だが、翌月に別の入口の問題が公表されれば、もう一度確認することになる。FortiCloud SSOの事例は、更新履歴を残すことと、追加告知を追うことの両方を考えさせる。 12月と翌1月の問題 2025年12月9日に公表されたCVE-2025-59718とCVE-2025-59719は、FortiCloud SSOが有効な対象装置への認証回避に関係する。続く2026年1月、Fortinetは当時の最新リリースに更新済みの装置にも類似の不正ログインがあったと報告し、別の攻撃経路を調査した。Fortinetの調査と更新履歴 1月27日に公表されたのがCVE-2026-24858だ。Fortinetが登録したCVEの公開レコードには、攻撃者自身がFortiCloudアカウントと登録済みデバイスを持つ条件が記載されている。標的の装置へ正規にログインできる資格が先に必要、という意味ではない。ただし、12月の問題と同じ「未認証の攻撃者」という一文で、条件をまとめて落とすのも正確ではない。Fortinetが登録したCVEレコード また、対象は訂正後のFortiCloud SSOの範囲で読む。Fortinetは1月28日、第三者のSAML IdPとFortiAuthenticatorはこの問題の対象ではないと明示した。「SSOを使っているから全部同じ」でも、「SSOなら認証があるから心配ない」でも判断できない。 解説図：前の修正の有無と、あとから判明した別の経路を分ける。告知の訂正まで時系列に残す。 提供側の停止と利用側の点検 Fortinetの更新履歴では1月23日に悪用されたアカウントを無効化し、1月26日にFortiCloud SSOを停止した。1月27日には脆弱な装置からのアクセスをサポートしない条件でSSOを再開したと説明されている。これは提供側が実際に行った対応だ。 一方、利用者側には対象装置のファームウェア更新、想定外の管理者アカウントや設定変更の点検が求められる。侵害の兆候がある場合は、装置と設定を侵害済みとして扱い、正常な設定への復旧や変更の監査、認証情報の交換へ進むよう勧められている。提供側でSSOが再開したことだけで、個々の装置の設定まで元に戻ったわけではない。Fortinet公式の復旧案内を含む調査報告 認証情報の交換には装置の管理者パスワード以外も関係する。LDAPやADとの連携、VPNなど、設定に含まれる秘密情報を確認する。外部へ持ち出された可能性のある設定が、別のシステムへ入る材料を含んでいないか、という見方だ。 解説図：サービス提供側の対応後も、利用側では装置の設定とそれに含まれる認証情報を確認する。 FortiOSの7.4系列を例にすると、12月のCVE-2025-59718への修正指定は7.4.9以上、1月のCVE-2026-24858への修正指定は7.4.11以上になる。これはそれぞれの問題に対する修正境界で、今から選ぶ全製品共通の最新バージョン一覧ではない。12月のCVEレコード、1月のCVEレコード このような対応では「更新済み」という一語だけを記録すると、どの問題まで対応したかが後で分からなくなる。対象CVE、製品と系列、適用したバージョン、追加告知の確認時点を一緒に残すと、次の知らせが来たときに確認しやすい。 Trivyと検査ツールの配布経路 脆弱性を調べるためにCIで動かしたスキャナーが秘密情報を持ち出す側になっていた。安全を確かめるための道具まで、どこから届き、何の権限で動くかをたどる必要がある。 バージョン番号だけでは対象が決まらない Trivyでは2026年3月19日、悪意あるコードを含むv0.69.4が配布された。Actionの既存タグも書き換えられ、その後にはDocker Hubの配布物への影響も公表された。CVE-2026-33634が割り当てられているが、通常の機能の不備にパッチを当てるだけで整理できる事例ではない。Trivy公式アドバイザリ 利用側が確認するのは、Trivyの数字だけではない。本体をどこから取得したか、どのActionを参照したか、タグかコミットSHAか、いつ実行したか。さらに、その処理にどんな秘密情報が渡されていたかを調べる。 同じタグを使っていても、取得した時点で中身が違うことがある。また、参照しているActionをSHAで固定していても、そのActionが内部で別の可変タグを呼ぶ構成なら、そこで参照先が変わり得る。固定した一行だけを見て安心せず、実際に呼ばれる配布物をたどる必要がある。 解説図：信用して実行する道具も取得元・参照先・実行時刻と渡している権限を確認する対象になる。 トークンを変える順番 3月30日の当事者の振り返りでは既存のGitHub・レジストリーのトークンを失効させてから、新しいアクセスを発行する対応が説明されている。初期の認証情報の更新が複雑で、別アカウントを通じたアクセスが残った経緯も報告された。危険なワークフローの実行条件の除去、SHA固定、リリースの不変化なども対策に含まれている。Trivyの事後報告、Aquaの調査・対応の更新 ここは利用側でも順序を考えたい。侵害された可能性のあるジョブが動いたまま、新しいキーだけを渡せば、それも読める状態にしてしまう。危険な実行を止め、影響する成果物と実行履歴を調べ、露出した秘密を失効・再発行し、安全な状態を確認した環境で再開する。この順序は今回の事例から運用へ引きつけた考察だ。 利用者側の判断も公表されている。Apache Software Foundationは3月20日の初報で、調査の間、それまで利用を許可していた関連Actionを無効化し、ビルドが失敗する可能性も明示した。調査中の段階で利用を止める範囲と、その業務への影響を伝えた例として読める。これは同組織の秘密情報流出がすべて確認された、という意味ではない。Apacheの初報 解説図：悪意ある配布物を除くだけでは、実行中に利用できた秘密情報までは失効しない。 当時の退避先として示された本体v0.69.2やv0.69.3と、情報基準日時点の公式最新リリースv0.76.1も区別する。古い対応記事から安全な退避先を見つけても、そのバージョンを使い続ける指示と読み替えない。Trivyのリリース一覧 検査ツールを入れたこと自体が、検査の完了を保証するわけではない。どこから入手し、何の権限で動かし、その結果を誰が読むのかまでが、CIで検査を運用する仕事になる。 LiteLLMで二度起きた配布物の侵害 Trivyの影響はそのツールを直接動かした組織だけにとどまらなかった。複数のLLMへの接続をまとめるLiteLLMは、3月のPyPI侵害とTrivyの関係を10月30日の振り返りで説明している。さらに10月には、別の経路から正規のリリース工程を使われた。同じ製品の事件でも、前回の「対象外」という説明を使い回せない。 3月と10月では、影響する配布物が違う 出来事 公式に示された主な対象と境界 2026-03-24 PyPIのlitellm==1.82.7、1.82.8。当時の公式Proxy Dockerイメージは非対象 2026-10-21 PyPIのlitellm==1.107.0と、公式が列挙したDocker Hub・GHCRのコンテナ。非公開のEnterprise配布は非対象 3月の公式初報はCIのセキュリティ検査に使ったTrivyの依存を侵害の起点とみていた。悪性版には認証情報を集めて外部へ送るコードが含まれた。公式Proxy Dockerが影響しなかったのは、その配布経路が当該PyPIパッケージに依存していなかったためだ。「LiteLLM全体が同じ状態」だったのではない。3月の公式報告 10月はコンテナも対象になった。v1.107.0だけでなく、latest、main-latest、main-stableも悪性イメージを指した時間帯がある。今のタグが正常な参照先へ戻っていても、以前に取得したイメージまで変わらない。取得・実行時刻とイメージの内容を識別するdigestを、10月の公式な対象一覧へ照らす必要がある。 解説図：3月の「公式Dockerは非対象」を、別事件である10月へ広げない。タグ名だけでなく、取得した内容を確かめる。 正規の工程を通っていても、入力と権限を調べる 10月23日の原因分析では、5月に公開リポジトリーへ誤って入った内部サービスの管理キーが、削除後も失効されずに残ったと説明された。攻撃者はそのキーからGitHub組織の所有者のトークンを取得し、リリース工程が読むソースを別のリポジトリーへ変更した。さらに別の盗難トークンで承認し、正規の工程から悪性版をビルド・配布させた。10月の公式の原因分析 ファイルから秘密を消すことと、その秘密を無効にすることは違う。10月30日の説明でも、悪性版に有効な署名とTrusted Publishingの来歴があったと報告された。署名や公開元の確認に加え、リリースに使うソースと承認権限まで調べる理由が見える。再発防止の説明 影響する環境で、確認のためのpipを動かさない 10月の公式案内は、影響環境でPythonを起動するとcook.pthやsitecustomize.pyが再実行され、pipも例外ではないと警告した。慌ててpip installから始めない。まず疑わしい実行を止めて記録を保全し、正常な別環境から対象の配布物と実行履歴を調べる。痕跡のファイルが見つからないことも、未侵害の証明にはならない。利用者向けの復旧案内 侵害が疑われる環境では、LLM提供元のAPIキーだけでなく、DBのパスワード、クラウドの実行権限、そのホストから利用できた秘密情報まで確認する。正常な別端末から失効・交換し、既知の正常な状態から実行環境を再構築する。古い配布物を削除する作業だけでは、既に利用できた認証情報を無効にできない。 解説図：確認コマンド自体が不正コードを再実行する場合がある。対象の特定、秘密情報の処置、環境の復旧を順序立てて進める。 Axiosとnpmの配布経路 アプリからHTTPリクエストを送る前に、ライブラリの導入だけで端末の侵害につながり得る。Axiosのサプライチェーン攻撃で押さえたいのは、攻撃が始まる場所だ。公開したWebアプリだけを点検しても、開発端末やCIで起きたことを見落としてしまう。 2026年3月31日、乗っ取られたメンテナーのnpmアカウントから、悪意ある依存を含むAxiosが公開された。Aikidoが整理した対象はaxios@1.14.1とaxios@0.30.4。普段使っているパッケージの正規の名前で配られ、二つの系列が影響を受けた。Aikidoの調査記事 importしていない依存が、導入時に動く 追加されたのはplain-crypto-js@4.2.1という依存パッケージだった。解析では、Axios本体のソースからこのパッケージをimportするコードは見つからなかった。攻撃者が使ったのは、インストール時に実行されるpostinstallスクリプトだ。そこから、端末を遠隔操作するための不正プログラムであるRATを、macOS、Windows、Linuxへ配備する仕組みになっていた。StepSecurityの解析 つまり、アプリのHTTP通信に不審な処理がないかを探すだけでは足りない。導入時スクリプトを許す環境では、自分のアプリを起動する前にも、依存パッケージのコードが実行される。テストを始めるより前に、ビルド用の認証情報へ届く可能性がある。調べる対象にはインストールを実行した端末とCIランナーも入る。 npmで配られたもの 今回確認された役割 axios@1.14.1 1.x系列に悪意ある依存を追加したバージョン axios@0.30.4 0.x系列に同じ依存を追加したバージョン plain-crypto-js@4.2.1 導入時のスクリプトでRATを配備するための依存 StepSecurityの時系列では、悪性のAxiosが出たのは3月31日00:21 UTCと01:00 UTC。二つの系列への公開は39分の間に続いた。解析では、対応するコミットやタグはAxiosのGitHubリポジトリーに存在しなかったとも報告された。GitHubでソースを読んだことと、npmから取得した配布物を確かめたことは、同じ確認にならない。 解説図：Axiosのソースからimportされない依存でも、導入時スクリプトを許すとコードが動く。取得した事実と実行結果は分けて調べる。 消えているファイルを、安全の根拠にしない この事件では、実行後にドロッパーが自分のファイルを削除し、package.jsonを無害に見える内容へ差し替える動きも解析されている。あとからnode_modulesを見て不審なスクリプトがなかったとしても、それだけで過去の実行を否定できない。Aikidoが示した痕跡と対応 反対に、plain-crypto-jsのフォルダーを見つけただけで、RATの配備まで成功したと断定するのも早い。パッケージを取得・展開したこと、導入時スクリプトが実行されたこと、その後の不正プログラムが動いたことには段階がある。スクリプトを無効にしていた構成も含めて調べる必要がある。 確認するのは現在の依存ツリーとlockfileに加え、該当時期のインストール・ビルドの履歴、ネットワーク通信、使ったキャッシュだ。悪性バージョンを解決していたジョブが、どの環境で、どの秘密情報を使えたかを対応させる。npmから削除された後でも、以前に取得した配布物やキャッシュを調査から外さない。 当事者は端末と認証情報まで対応した メンテナーは4月2日に公開した事後報告で、端末を狙ったソーシャルエンジニアリングとRATによってnpmアカウントの認証情報へアクセスされたと説明した。実施した対応として挙げたのは、メンテナーの端末の初期化と、認証情報のリセットだった。また、OIDCを使う公開手順や、公開後に変更できないリリースの整備などを、進行中の改善として挙げた。メンテナーの事後報告 Vercelも3月31日、自社のビルド基盤から攻撃者の通信先への接続を遮断したと公表した。同社は自社システムへの影響はなかったと説明する一方、悪性バージョンをビルド環境で使った利用者には、クリーンな依存での再デプロイと、その環境に置かれていたAPIキー、DB認証情報、トークンなどの交換を案内した。Vercelの対応と利用者向けの案内 ここでAxiosだけを前のバージョンへ戻しても、既に読まれた可能性のある秘密情報は元に戻らない。利用者側でも、影響する実行を止めて記録を保全する。侵害が疑われる場合は、その環境から利用できた認証情報を、正常な別の端末から早急に失効・更新する。端末やランナーは既知の正常な状態から再構築し、新しい秘密は安全を確かめた復旧先だけへ渡す。GitHubのマルウェア情報も別の端末から秘密情報を更新し、パッケージ削除だけで関連する不正プログラムを除去できたとは考えないよう案内している。Axiosのマルウェア情報 依存の入れ直し、環境の復旧、秘密情報の処置を、それぞれの完了として確認したい。 解説図：悪性バージョンを除去する作業と、実行した環境・そこで利用できた秘密情報への対処を分ける。 lockfileとnpm auditにも、担当する範囲がある 当時の退避先は1.xが1.14.0、0.xが0.30.3だった。これは今回の悪性バージョンを避けるために案内された番号で、今後もそのまま固定し続ける推奨ではない。現在のサポートと後続の修正を確認して選ぶ。 再発を考えるとき、lockfileは必要な記録になる。ただし、悪性バージョンを含むlockfileを固定すれば、その内容を再現することにもなる。npm ciがlockfileどおりに導入することと、そこにある配布物が安全であることは別だ。依存名、解決されたバージョン、取得元と時点も確かめたい。npm ciの公式仕様 導入時スクリプトを抑える--ignore-scriptsも対策の一つになるが、既に実行されたコードを取り消す機能ではない。使っているnpmのバージョンと設定、必要な生成処理やビルドへの影響を確認して採用し、通常のアプリ実行時に動くコードへの対策まで済んだとは考えない。npm auditも既知の脆弱性情報との照合が中心で、「結果がゼロだから未知の改ざんもない」という保証にはならない。何を実行させるかという設定と、何を検知したかという結果を分けて使う。npm CLI v11のスクリプト抑止設定、npm auditの公式仕様 この事件で問われたのは、HTTPクライアントをどのバージョンへ直すかだけではなかった。いつもの依存を導入する作業で、どのコードが、どの端末の、どの権限を使うのか。Webサービスの公開前にも守る場所があることを、具体的に突きつける事例だった。 Chromeと運用者の端末 公開サーバーやCIを点検していると、作業に使うブラウザーは背景に回りやすい。でも、そのブラウザーから管理画面を開き、クラウドへログインし、リポジトリーの設定も変えている。サーバーの更新と並べて、普段使う端末側にも確認項目を持っておきたい。 悪用確認と分かっていない範囲 Googleは2026年6月8日のChrome Stable更新で、V8の範囲外メモリーアクセスに関するCVE-2026-11645を修正した。同じ告知の中で、実環境にexploitが存在することを認識していると説明している。修正前から悪用の情報がある問題として、手元の適用状況も確認したい事例だ。Googleの6月8日の告知 ただ、この告知だけでは、誰がどのページへ誘導され、どこまで侵害されたかという攻撃全体の詳細は分からない。V8の一つの不備を、そのまま端末のOS全体の権限取得と説明したり、利用者全員の被害へ広げたりはできない。ブラウザーの処理、ほかの防御、攻撃の組み合わせは区別する。 解説図：管理対象には公開サーバーへアクセスする人のブラウザーも含まれる。特定の攻撃連鎖を再現した図ではない。 ダウンロードと適用を確かめる このとき案内されたバージョンはWindows・Mac向け149.0.7827.102／.103、Linux向け149.0.7827.102だった。これは6月の修正境界で、10月末に149を導入する推奨ではない。10月29日の公式告知では、Stable／Extended Stableの配布バージョンは既に別の156系列になっている。番号だけを抜き出すと、古い安全情報を新しい推奨として伝えてしまう。10月29日の公式告知 Chromeの公式ヘルプでは、通常はバックグラウンドで更新が進み、適用には再起動が必要になると説明されている。「自動更新だから大丈夫」と記憶していても、ブラウザーを長く開きっぱなしにしていれば、再起動待ちの更新が残る場合がある。Google Chromeを更新する WindowsのChromeなら、メニューの「ヘルプ」から「Google Chromeについて」を開き、更新状況を確認する。再起動が案内されていれば作業中の内容を確認して再起動し、もう一度その画面で稼働しているバージョンを見る。企業の管理下にある端末では、配信設定や利用チャネルを管理する担当とも確認する。 解説図：更新が提供されたこと、取得されたこと、手元で適用されたことを分けて確認する。 サーバー担当だけで対応表を閉じると、この作業の持ち主が抜けることがある。開発端末、運用用端末、共有端末を誰が更新するのか。ブラウザーの更新履歴を、製品ニュースと自分の端末をつなぐ小さな確認として扱いたい。 関連事例を同じ箱に入れない 本文の12事例以外にも候補を比較した。ここでは対応の違いを読み取れる例を短く挙げる。同じ期間の話でも、CVEのあるソフトウェアの不備と、アカウントや配布物そのものの侵害は区別しておく。 公開する機能によって変わる条件 Cisco AsyncOSのCVE-2025-20393では、脆弱なバージョンに加えて、Spam Quarantineが有効で、インターネットから到達できることが攻撃キャンペーンの対象条件だった。初報の2025年12月17日と、2026年1月15日の修正版追加も区別する。初報の「修正なし」を、いつまでも現在の状態として読むと対応を誤る。Ciscoの公式告知 FortiWebのCVE-2025-64446では、防御製品自身の管理画面が問題になり、CISAは更新後にも不正管理者や設定変更を確認するよう案内した。Ivanti EPMMでは当初のRPMによる暫定修正について、製品を更新したあとに再適用が必要となる条件が示された。対策を入れた瞬間だけでなく、その後の変更で何が残るかも確認する話だ。CISAのFortiWeb告知、CERT-EUのIvanti EPMM勧告 期間の終わりに近い例では、Ivanti Connect Secureに関する10月30日の政府機関の追報がある。CVE-2026-104935、CVE-2026-111357、CVE-2026-118527の連鎖による悪用を伝え、対応先を更新している。10月13日の最初の告知だけを読んで作った表では、後から説明された連鎖全体を扱えない。単独の権限昇格の問題と、組み合わせた侵入の話も分けて読む必要がある。NHS Englandの追報、カナダ政府の更新 依存パッケージの侵害 2025年11月のShai-Hulud 2.0では、Postmanが依存パッケージから自動ビルドと公開権限へ影響が広がった経緯を公表している。トークンの失効、公開権限の絞り込み、認証方法の見直しなど、当事者が何を変えたかを読むと、依存の更新とビルドの権限がつながって見える。Postmanの原因分析 同社の説明では17の公開npmパッケージに波及した一方、PostmanのWeb・クライアントアプリや本番システムは感染しなかった。公開パッケージの侵害を、そのままPostman本体の侵害と読み替えない。 Shai-HuludやAxios、LiteLLMをCVE件数へ足して「脆弱性が何件起きた」と数えると、何を比較したか分からなくなる。共通して考えられるのは、信頼して実行したものが何へ届くかと、そこで利用できた秘密情報をどう扱うかだ。事件の分類は残したまま、運用上の問いを共有する方が理解しやすい。 npmの依存とは別に、Node.js本体も更新する 10月21日のNode.jsの修正には、Brotli展開処理のCVE-2026-111497もあった。攻撃者が渡した圧縮データをアプリがnode:zlibで展開する場合、メモリー破壊からクラッシュ、情報露出、コード実行につながる可能性がある。影響は22・24・26系列で、当該修正は22.23.4、24.22.1、26.12.1に入った。Node.jsを使うすべてのアプリが、この経路から攻撃を受けるという意味ではない。Node.jsの公式リリース Notionは同日、コア製品の修正と本番への展開を完了したと公表した。npmパッケージの更新だけで対応を閉じず、コンテナや実行基盤に含まれるNode.jsも確認する理由になる。これらの資料から実悪用までは確認できない。Notionの対応記録 優先順位を決めるための確認 12事例を並べると、深刻度の数字だけでは作業順を決められないことが見えてくる。認証前に届く処理なのか、特定の機能を有効にしたときなのか、編集権限が必要なのか。どこから届き、どの権限まで使えるかで、自分の環境への影響は変わる。 最初の確認では製品とバージョンを見つける。次に、該当する機能と設定、インターネットからの到達性を確かめる。そこへ実際の悪用の情報と、届く先のデータや認証情報を合わせると、先に扱う環境を絞りやすくなる。 解説図：同じCVEでも、自分の環境の機能・公開範囲・権限によって、対応を急ぐ理由が変わる。 まず担当と対象をつなぐ たとえば、外部公開したAIフローと、閉じた検証環境の同じ製品を一つの行にまとめると、どちらを先に直すかが見えにくい。公開していないから一切のリスクがない、という意味ではない。前提を分けて記録し、正規の利用者や、既に内部へ届いている相手からの経路も検討する。 確認結果を残すなら、「更新済み」だけで終わらせず、次のような項目を一緒に持ちたい。 残す内容 後で判断しやすくなること 製品名、系列、稼働しているバージョン 別系列や別製品の告知を取り違えない 該当機能、設定、公開範囲 成立条件と実環境を対応させる 対象CVE・事件名と参照した告知の更新日 追加修正や訂正が来たときに追い直せる 担当者と管理サービスの範囲 提供側と利用側の残作業を分ける 取得したログと保存先 更新や再構築のあとも調査へ戻れる 認証情報の交換範囲と完了確認 アプリの更新だけで作業を閉じない この一覧を作るために、最初から大きな専用システムが必要なわけではない。手元の運用記録へ、何を見て判断したかを残すところから始められる。次の担当者が同じ環境を見つけ、追加告知を照合できる記録にする。 修正版の数字を読む この記事でも、複数のバージョン番号が並んだ。数字には「初回の修正が入ったバージョン」「当時の一時的な退避先」「今、保守されている系列のバージョン」という違いがある。Trivyのような配布物の侵害では、配布元や取得時刻も加わる。数字が一つ一致しただけで、同じ状態とは判断しにくい。 たとえば、古い対応記事のバージョンへ更新して、その問題の修正境界を越えたとしても、あとで公表された別の問題が残っていることがある。逆に、メジャーバージョンを無条件に上げると、アプリや連携先との互換性の確認が必要になる。利用中の系列、サポート期間、後続の告知、推奨されるアップグレード経路を見て選ぶ部分だ。 だから運用記録には数字だけでなく参照した告知を残す。次に見直す人が「このバージョンにしたのは、この問題に対応するためだった」と読めれば、後続の修正との関係を調べ直せる。次の担当者にも更新の理由と残った確認を伝えられる。 止める機能と残す機能を決める 暫定策として「公開フォームを止める」「統計機能を無効にする」「SSOを止める」といった選択が出てくる。ただ、同じ停止でも影響は違う。問い合わせが受け付けられなくなるのか、分析を見られなくなるのか、管理者が装置へ入れなくなるのか。脆弱性の条件だけでなく、使っている機能から考えたい。 前回のWordPress対応で連絡窓口を残すことを優先したのも、止めるだけでは利用者の用事が消えないからだった。今回の事例でも、一時的に閉じるなら、代わりの連絡方法や管理経路、復旧後の確認方法までつなげて考えられる。 委託先やサービス提供元へ問い合わせる場合も、「影響はありますか」から一歩具体的にできる。対象の製品・バージョン・機能を示し、修正は提供側で適用するのか、利用者が更新するのかを聞く。侵害の可能性があるなら、ログをどこまで取得でき、どの認証情報が確認対象になるかも合わせて確かめる。 対応を終えるための確認 パッチを入れたことは、対応の中で確かに大きな結果だ。ただ、ここまでの事例では、パッチが直すものと、別に処置するものが具体的に分かれていた。既に作られた管理者、使える状態のセッション、持ち出された可能性のある認証情報は、アプリのバージョンが変わっただけでは消えない。 解説図：何を確認して対応を終えたのかを分けて残す。一つの成功を、すべての作業の完了へ広げない。 修正したことと動いていること Axiosのように導入時のコードが問題になった環境では、クリーンな依存へ戻したことに加え、実行した端末・CIと秘密情報への対処を確認する。Reactのようなデプロイを伴う環境なら、依存の変更が稼働中の成果物へ反映されたかを確認する。WordPressの自動更新なら、配信対象になっただけでなく、実際にバージョンが上がったかを見る。Chromeなら、取得した更新を再起動で適用し、表示されたバージョンを確かめる。 更新後に通常の機能が動くことも、利用者のために必要な確認だ。ログイン画面が開くだけでなく、公開フォームの送信、管理画面での更新、必要なバッチや連携まで、対策のために止めた機能と、その影響を受ける範囲が動くかを確かめる。変更した場所と使い続ける機能を結びつけておくと、確認する理由も説明しやすい。 侵害が疑われるときの扱い 悪用が確認された脆弱性を使っていたからといって、すべての環境が侵害されたと決めつけることはできない。同時に、不審なログをすぐ見つけられなかっただけで、未侵害と断定することもできない。保存期間やログの種類によって、調べられる範囲は変わる。 SiteGuardのように更新で痕跡が失われる可能性が示される場合は、その案内に沿って先に保存する。FortiCloud SSOで侵害の兆候があるなら、装置の設定と関連する秘密情報まで扱う。Metabaseなら接続先DBにも調査が続く。対象の環境に合わせ、製品ごとの公式な調査・復旧案内に沿って進める。 バックアップも取得した事実と復旧に使えることを分けて扱う。戻す時点が既に侵害後だったり、ファイルとDBの世代が合っていなかったりすれば、戻したあとに別の問題が残る。必要なデータが戻り、修正も適用され、正常な利用へ戻れる状態を確認して初めて、復旧について具体的に話せる。 読み続けるための小さな運用 一次資料は初報で終わらない。Metabaseのように侵害後の点検が案内されることもあれば、FortiCloud SSOのように対象範囲が訂正されることもある。Reactのように、当初のRCEとは別の追加修正が続くこともある。初報の数字を一度転記して終わると、こうした変更を拾いにくい。 使っている製品の公式セキュリティ情報を決めておき、緊急の連絡先と通常の見直しの機会を持つ。告知を読む人、稼働バージョンを調べる人、業務への影響を判断する人が別なら、誰が誰へ結果を伝えるかを決める。ひとりで運用していても、どの知らせを見たら何を確認するかを残しておくと、次のニュースから作業へ入りやすくなる。 PHP2Shellのときに感じた、設定を一つずつ調べ直すことで理解と意識が深まる感覚は、今回の12事例にもつながっている。製品名を増やして読むと、同じ「更新」という言葉の後ろに、違う仕事があることが見えてきた。 次に脆弱性のニュースを見たときは、自分が使っているかを調べ、その構成で問題が成立する条件を読み、修正を適用したあとに残る確認へ進む。すべてを暗記するより、この順で資料を読めるようになりたい。定期的に見直しながら、何を守り、何を使い続けるための設定なのかを、もう少し具体的に説明できるようにしていく。

metabase/metabase Metabase est une solution open source de Business Intelligence. Elle transforme les données d’une entreprise en tableaux de bord, graphiques et rapports faciles à comprendre. Opportunité business : aider les PME à suivre leurs ventes...

8 free github repos that make f*ck you money Get the full business plan for each repo (including prompts, outreach scripts, and step-by-step details for each offer) FREE here: skool.com Join AI Operator Academy to close your first (or next) AI services client within 90 days or get 100% of your money back: skool.com Links mentioned in this episode: Treg: treg.to Voice Studio: debpalash/VoiceStudio Cloudflare Security Audit: cloudflare/security-audit-skill Claude Knowledge Work plugin: anthropics/knowledge-work-plugins Agent Reach: Panniantong/Agent-Reach Metabase: metabase/metabase Paperless-ngx: paperless-ngx/paperless-ngx Invoice Ninja: invoiceninja/invoiceninja Dub: dubinc/dub.link Timestamps: 00:00 Introduction 00:24 Voice Studio 03:16 Security Audit Skill 06:08 Anthropic Plugins 09:50 Agent Reach 12:29 Metabase 14:55 Paperless NGX 17:27 Invoice Ninja 19:55 Dub 22:38 Conclusion FIND ME ON SOCIAL: X/Twitter: x.com Instagram: instagram.com LinkedIn: linkedin.com YouTube: youtube.com coreyganim.com [ar] 8 مستودعات GitHub مجانية ستجعلك ثرياً جداً احصل على خطة العمل الكاملة لكل مستودع (بما في ذلك التوجيهات، ونصوص التواصل، وتفاصيل كل عرض خطوة بخطوة) مجانًا هنا: skool.com انضم إلى أكاديمية مشغل الذكاء الاصطناعي لإتمام أول (أو ثاني) صفقة لك مع عميل في مجال خدمات الذكاء الاصطناعي خلال 90 يومًا أو استرد أموالك كاملةً: skool.com الروابط المذكورة في هذه الحلقة: Treg: treg.to Voice Studio: debpalash/VoiceStudio Cloudflare Security Audit: cloudflare/security-audit-skill Claude Knowledge Work plugin: anthropics/knowledge-work-plugins Agent Reach: Panniantong/Agent-Reach Metabase: metabase/metabase Paperless-ngx: paperless-ngx/paperless-ngx Invoice Ninja: invoiceninja/invoiceninja Dub: dubinc/dub.link الفهرس الزمني: 00:00 مقدمة 00:24 Voice Studio 03:16 Security Audit Skill 06:08 Anthropic Plugins 09:50 Agent Reach 12:29 Metabase 14:55 Paperless NGX 17:27 Invoice Ninja 19:55 Dub 22:38 خاتمة تابعني على مواقع التواصل الاجتماعي: تويتر: x.com إنستغرام: instagram.com لينكد إن: linkedin.com يوتيوب: youtube.com coreyganim.com [bn] ৮টি ফ্রি গিটহাব রেপো যা আপনাকে প্রচুর টাকা আয় করতে সাহায্য করবে প্রতিটি রিপোর সম্পূর্ণ ব্যবসায়িক পরিকল্পনা (প্রম্পট, আউটরিচ স্ক্রিপ্ট এবং প্রতিটি অফারের জন্য ধাপে ধাপে বিস্তারিত বিবরণ সহ) এখানে বিনামূল্যে পান: skool.com ৯০ দিনের মধ্যে আপনার প্রথম (বা পরবর্তী) এআই পরিষেবা ক্লায়েন্ট পেতে অথবা আপনার ১০০% টাকা ফেরত পেতে এআই অপারেটর একাডেমিতে যোগ দিন: skool.com এই পর্বে উল্লেখিত লিঙ্কসমূহ: Treg: treg.to Voice Studio: debpalash/VoiceStudio Cloudflare Security Audit: cloudflare/security-audit-skill Claude Knowledge Work plugin: anthropics/knowledge-work-plugins Agent Reach: Panniantong/Agent-Reach Metabase: metabase/metabase Paperless-ngx: paperless-ngx/paperless-ngx ইনভয়েস নিনজা: invoiceninja/invoiceninja ডাব: dubinc/dub.link টাইমস্ট্যাম্প: ০০:০০ ভূমিকা ০০:২৪ ভয়েস স্টুডিও ০৩:১৬ সিকিউরিটি অডিট স্কিল ০৬:০৮ অ্যানথ্রোপিক প্লাগইনস ০৯:৫০ এজেন্ট রিচ ১২:২৯ মেটাবেস ১৪:৫৫ পেপারলেস এনজিএক্স ১৭:২৭ ইনভয়েস নিনজা ১৯:৫৫ ডাব ২২:৩৮ উপসংহার সোশ্যাল মিডিয়ায় আমাকে খুঁজুন: এক্স/টুইটার: x.com ইনস্টাগ্রাম: instagram.com লিঙ্কডইন: linkedin.com ইউটিউব: youtube.com coreyganim.com [de-DE] 8 kostenlose GitHub-Repos, mit denen du finanziell unabhängig wirst Den vollständigen Businessplan für jedes Repository (inklusive Anregungen, Outreach-Skripten und detaillierten Schritt-für-Schritt-Anleitungen für jedes Angebot) erhalten Sie hier KOSTENLOS: skool.com Werden Sie Mitglied der AI Operator Academy und gewinnen Sie Ihren ersten (oder nächsten) KI-Servicekunden innerhalb von 90 Tagen – oder Sie erhalten 100 % Ihres Geldes zurück: skool.com Links aus dieser Folge: Treg: treg.to Voice Studio: debpalash/VoiceStudio Cloudflare Security Audit: cloudflare/security-audit-skill Claude Knowledge Work Plugin: anthropics/knowledge-work-plugins Agent Reach: Panniantong/Agent-Reach Metabase: metabase/metabase Paperless-ngx: paperless-ngx/paperless-ngx Invoice Ninja: invoiceninja/invoiceninja Dub: dubinc/dub.link Zeitstempel: 00:00 Einleitung 00:24 Voice Studio 03:16 Sicherheitsaudit-Skill 06:08 Anthropic Plugins 09:50 Agent Reach 12:29 Metabase 14:55 Paperless NGX 17:27 Invoice Ninja 19:55 Dub 22:38 Fazit Folge mir in den sozialen Medien: Twitter: x.com Instagram: instagram.com LinkedIn: linkedin.com YouTube: youtube.com coreyganim.com [es-US] 8 repos de GitHub gratuitos que te harán ganar muchísimo dinero Obtén el plan de negocios completo para cada repositorio (incluyendo sugerencias, guiones de contacto y detalles paso a paso para cada oferta) GRATIS aquí: skool.com Únete a AI Operator Academy para conseguir tu primer (o próximo) cliente de servicios de IA en 90 días o recupera el 100% de tu inversión: skool.com Enlaces mencionados en este episodio: Treg: treg.to Voice Studio: debpalash/VoiceStudio Auditoría de seguridad de Cloudflare: cloudflare/security-audit-skill Plugin Claude Knowledge Work: anthropics/knowledge-work-plugins Agent Reach: Panniantong/Agent-Reach Metabase: metabase/metabase Paperless-ngx: paperless-ngx/paperless-ngx Invoice Ninja: invoiceninja/invoiceninja Dub: dubinc/dub.link Marcadores de tiempo: 00:00 Introducción 00:24 Voice Studio 03:16 Habilidad de auditoría de seguridad 06:08 Plugins de Anthropic 09:50 Alcance del agente 12:29 Metabase 14:55 Paperless NGX 17:27 Invoice Ninja 19:55 Dub 22:38 Conclusión ENCUÉNTRAME EN REDES SOCIALES: X/Twitter: x.com Instagram: instagram.com LinkedIn: linkedin.com YouTube: youtube.com coreyganim.com [fr-FR] 8 dépôts GitHub gratuits pour gagner énormément d'argent Obtenez gratuitement le plan d'affaires complet pour chaque dépôt (incluant des exemples de messages, des scripts de prise de contact et des descriptions détaillées de chaque offre) ici : skool.com Rejoignez l'AI Operator Academy pour conclure votre premier (ou prochain) contrat de services d'IA sous 90 jours ou soyez intégralement remboursé : skool.com Liens mentionnés dans cet épisode : Treg : treg.to Voice Studio : debpalash/VoiceStudio Cloudflare Security Audit : cloudflare/security-audit-skill Plugin Claude Knowledge Work : anthropics/knowledge-work-plugins Agent Reach : Panniantong/Agent-Reach Metabase : metabase/metabase Paperless-ngx : paperless-ngx/paperless-ngx Invoice Ninja : invoiceninja/invoiceninja Dub : dubinc/dub.link Horodatage : 00:00 Introduction 00:24 Voice Studio 03:16 Security Audit Skill 06:08 Anthropic Plugins 09:50 Agent Reach 12:29 Metabase 14:55 Paperless NGX 17:27 Invoice Ninja 19:55 Dub 22:38 Conclusion Retrouvez-moi sur les réseaux sociaux : X/Twitter : x.com Instagram : instagram.com LinkedIn : linkedin.com YouTube : youtube.com coreyganim.com [hi] 8 मुफ्त GitHub रिपॉजिटरी जो आपको मालामाल बना देंगी प्रत्येक रिपॉजिटरी के लिए संपूर्ण व्यवसाय योजना (प्रॉम्प्ट, आउटरीच स्क्रिप्ट और प्रत्येक ऑफ़र के लिए चरण-दर-चरण विवरण सहित) यहाँ मुफ़्त में प्राप्त करें: skool.com 90 दिनों के भीतर अपना पहला (या अगला) एआई सेवा ग्राहक प्राप्त करने के लिए एआई ऑपरेटर अकादमी में शामिल हों या अपना पूरा पैसा वापस पाएं: skool.com इस एपिसोड में उल्लिखित लिंक: Treg: treg.to Voice Studio: debpalash/VoiceStudio Cloudflare Security Audit: cloudflare/security-audit-skill Claude Knowledge Work plugin: anthropics/knowledge-work-plugins Agent Reach: Panniantong/Agent-Reach Metabase: metabase/metabase Paperless-ngx: paperless-ngx/paperless-ngx Invoice Ninja: invoiceninja/invoiceninja Dub: dubinc/dub.link टाइमस्टैम्प: 00:00 परिचय 00:24 वॉइस स्टूडियो 03:16 सुरक्षा ऑडिट स्किल 06:08 एंथ्रोपिक प्लगइन्स 09:50 एजेंट रीच 12:29 मेटाबेस 14:55 Paperless NGX 17:27 इनवॉइस निंजा 19:55 डब 22:38 निष्कर्ष मुझे सोशल मीडिया पर फॉलो करें: X/ट्विटर: x.com इंस्टाग्राम: instagram.com लिंक्डइन: linkedin.com यूट्यूब: youtube.com coreyganim.com [id] 8 Repo GitHub Gratis yang Bisa Bikin Kamu Kaya Raya Dapatkan rencana bisnis lengkap untuk setiap repositori (termasuk petunjuk, skrip jangkauan, dan detail langkah demi langkah untuk setiap penawaran) GRATIS di sini: skool.com Gabung dengan AI Operator Academy untuk mendapatkan klien layanan AI pertama (atau berikutnya) Anda dalam 90 hari atau dapatkan 100% uang Anda kembali: skool.com Tautan yang disebutkan dalam episode ini: Treg: treg.to Voice Studio: debpalash/VoiceStudio Audit Keamanan Cloudflare: cloudflare/security-audit-skill Plugin Claude Knowledge Work: anthropics/knowledge-work-plugins Agent Reach: Panniantong/Agent-Reach Metabase: metabase/metabase Paperless-ngx: paperless-ngx/paperless-ngx Invoice Ninja: invoiceninja/invoiceninja Dub: dubinc/dub.link Cap waktu: 00:00 Pendahuluan 00:24 Studio Suara 03:16 Keterampilan Audit Keamanan 06:08 Plugin Anthropic 09:50 Agent Reach 12:29 Metabase 14:55 Paperless NGX 17:27 Invoice Ninja 19:55 Dub 22:38 Kesimpulan TEMUKAN SAYA DI MEDIA SOSIAL: X/Twitter: x.com Instagram: instagram.com LinkedIn: linkedin.com YouTube: youtube.com coreyganim.com [it] 8 repository GitHub gratuiti per fare un sacco di soldi Ottieni il piano aziendale completo per ogni repository (inclusi prompt, script di contatto e dettagli passo passo per ogni offerta) GRATUITAMENTE qui: skool.com Unisciti all'AI Operator Academy per acquisire il tuo primo (o prossimo) cliente di servizi AI entro 90 giorni o ricevi il 100% di rimborso: skool.com Link menzionati in questo episodio: Treg: treg.to Voice Studio: debpalash/VoiceStudio Cloudflare Security Audit: cloudflare/security-audit-skill Plugin Claude Knowledge Work: anthropics/knowledge-work-plugins Agent Reach: Panniantong/Agent-Reach Metabase: Italiano: metabase/metabase Paperless-ngx: paperless-ngx/paperless-ngx Invoice Ninja: invoiceninja/invoiceninja Dub: dubinc/dub.link Timestamp: 00:00 Introduzione 00:24 Voice Studio 03:16 Abilità di audit di sicurezza 06:08 Plugin Anthropic 09:50 Agent Reach 12:29 Metabase 14:55 Paperless NGX 17:27 Invoice Ninja 19:55 Dub 22:38 Conclusione TROVAMI SUI SOCIAL: X/Twitter: x.com Instagram: instagram.com LinkedIn: linkedin.com YouTube: youtube.com coreyganim.com [iw] 8 מאגרי GitHub חינמיים שיעשו אותך עשיר בטירוף קבלו את תוכנית העסק המלאה עבור כל מאגר (כולל הנחיות, תסריטי הסברה ופרטים שלב אחר שלב עבור כל הצעה) בחינם כאן: skool.com הצטרפו לאקדמיה למפעילי בינה מלאכותית כדי לסגור את לקוח שירותי הבינה המלאכותית הראשון (או הבא) שלכם תוך 90 יום או לקבל 100% מכספכם בחזרה: skool.com קישורים שהוזכרו בפרק זה: Treg: treg.to Voice Studio: debpalash/VoiceStudio Cloudflare Security Audit: cloudflare/security-audit-skill תוסף Claude Knowledge Work: anthropics/knowledge-work-plugins Agent Reach: Panniantong/Agent-Reach Metabase: metabase/metabase Paperless-ngx: paperless-ngx/paperless-ngx נינג'ת חשבוניות: invoiceninja/invoiceninja דיבוב: dubinc/dub.link חותמות זמן: 00:00 מבוא 00:24 סטודיו קולי 03:16 מיומנות ביקורת אבטחה 06:08 תוספים אנתרופיים 09:50 טווח הגעה לסוכנים 12:29 מטאבייס 14:55 NGX ללא נייר 17:27 נינג'ת חשבוניות 19:55 דיבוב 22:38 סיכום מצאו אותי ברשתות החברתיות: X/טוויטר: x.com אינסטגרם: instagram.com לינקדאין: linkedin.com יוטיוב: youtube.com coreyganim.com [ja] 大金が稼げる無料GitHubリポジトリ8選 各リポジトリのビジネスプラン（プロンプト、アウトリーチスクリプト、各オファーのステップバイステップの詳細を含む）を無料で入手するには、こちらをクリックしてください：skool.com AI Operator Academyに参加して、90日以内に最初の（または次の）AIサービスクライアントを獲得しましょう。もし獲得できなかった場合は、全額返金いたします：skool.com このエピソードで紹介したリンク： Treg：treg.to Voice Studio：debpalash/VoiceStudio Cloudflare Security Audit：cloudflare/security-audit-skill Claude Knowledge Workプラグイン：anthropics/knowledge-work-plugins Agent Reach：Panniantong/Agent-Reach Metabase： metabase/metabase Paperless-ngx: paperless-ngx/paperless-ngx Invoice Ninja: invoiceninja/invoiceninja Dub: dubinc/dub.link タイムスタンプ: 00:00 はじめに 00:24 Voice Studio 03:16 セキュリティ監査スキル 06:08 Anthropicプ​​ラグイン 09:50 Agent Reach 12:29 Metabase 14:55 Paperless NGX 17:27 Invoice Ninja 19:55 Dub 22:38 まとめ ソーシャルメディア: X/Twitter: x.com Instagram: instagram.com LinkedIn: linkedin.com YouTube: youtube.com coreyganim.com [ko] 떼돈 벌게 해줄 무료 깃허브 저장소 8곳 각 저장소에 대한 전체 비즈니스 플랜(프롬프트, 아웃리치 스크립트, 각 오퍼에 대한 단계별 세부 정보 포함)을 여기에서 무료로 받으세요: skool.com AI Operator Academy에 가입하여 90일 이내에 첫 번째(또는 다음) AI 서비스 고객을 확보하거나 100% 환불받으세요: skool.com 이 에피소드에서 언급된 링크: Treg: treg.to Voice Studio: debpalash/VoiceStudio Cloudflare Security Audit: cloudflare/security-audit-skill Claude Knowledge Work 플러그인: anthropics/knowledge-work-plugins Agent Reach: Panniantong/Agent-Reach Metabase: metabase/metabase Paperless-ngx: paperless-ngx/paperless-ngx Invoice Ninja: invoiceninja/invoiceninja Dub: dubinc/dub.link 타임스탬프: 00:00 소개 00:24 Voice Studio 03:16 보안 감사 스킬 06:08 Anthropic 플러그인 09:50 에이전트 도달 범위 12:29 Metabase 14:55 Paperless NGX 17:27 Invoice Ninja 19:55 Dub 22:38 결론 소셜 미디어에서 저를 찾아보세요: X/Twitter: x.com Instagram: instagram.com LinkedIn: 링크드인: linkedin.com 유튜브: youtube.com 웹사이트: coreyganim.com [ml] വൻതോതിൽ പണം സമ്പാദിക്കാൻ സഹായിക്കുന്ന 8 സൗജന്യ ഗിറ്റ്‌ഹബ് റിപോസിറ്ററികൾ ഓരോ റിപ്പോയ്ക്കുമുള്ള പൂർണ്ണ ബിസിനസ് പ്ലാൻ (പ്രോംപ്റ്റുകൾ, ഔട്ട്റീച്ച് സ്ക്രിപ്റ്റുകൾ, ഓരോ ഓഫറിനുമുള്ള ഘട്ടം ഘട്ടമായുള്ള വിശദാംശങ്ങൾ എന്നിവ ഉൾപ്പെടെ) ഇവിടെ സൗജന്യമായി നേടുക: skool.com നിങ്ങളുടെ ആദ്യത്തെ (അല്ലെങ്കിൽ അടുത്ത) AI സേവന ക്ലയന്റിനെ 90 ദിവസത്തിനുള്ളിൽ അടയ്ക്കുന്നതിന് അല്ലെങ്കിൽ നിങ്ങളുടെ പണത്തിന്റെ 100% തിരികെ ലഭിക്കുന്നതിന് AI ഓപ്പറേറ്റർ അക്കാദമിയിൽ ചേരുക: skool.com ഈ എപ്പിസോഡിൽ പരാമർശിച്ചിരിക്കുന്ന ലിങ്കുകൾ: ട്രെഗ്: treg.to വോയ്‌സ് സ്റ്റുഡിയോ: debpalash/VoiceStudio Cloudflare സുരക്ഷാ ഓഡിറ്റ്: cloudflare/security-audit-skill Claude Knowledge Work പ്ലഗിൻ: anthropics/knowledge-work-plugins ഏജന്റ് റീച്ച്: Panniantong/Agent-Reach Metabase: metabase/metabase Paperless-ngx: paperless-ngx/paperless-ngx ഇൻവോയ്സ് നിൻജ: invoiceninja/invoiceninja ഡബ്: dubinc/dub.link ടൈംസ്റ്റാമ്പുകൾ: 00:00 ആമുഖം 00:24 വോയ്‌സ് സ്റ്റുഡിയോ 03:16 സുരക്ഷാ ഓഡിറ്റ് സ്കിൽ 06:08 ആന്ത്രോപിക് പ്ലഗിനുകൾ 09:50 ഏജന്റ് റീച്ച് 12:29 മെറ്റാബേസ് 14:55 പേപ്പർലെസ് NGX 17:27 ഇൻവോയ്സ് നിൻജ 19:55 ഡബ് 22:38 ഉപസംഹാരം എന്നെ സോഷ്യൽ മീഡിയയിൽ കണ്ടെത്തുക: X/Twitter: x.com Instagram: instagram.com ലിങ്ക്ഡ്ഇൻ: linkedin.com യൂട്യൂബ്: youtube.com coreyganim.com [nl-NL] 8 gratis GitHub-repo's waarmee je schathemeltje rijk wordt Download hier GRATIS het volledige businessplan voor elke repository (inclusief prompts, outreach-scripts en stapsgewijze instructies voor elk aanbod): skool.com Word lid van de AI Operator Academy en sluit binnen 90 dagen je eerste (of volgende) AI-serviceklant af, of krijg 100% van je geld terug: skool.com Links genoemd in deze aflevering: Treg: treg.to Voice Studio: debpalash/VoiceStudio Cloudflare Security Audit: cloudflare/security-audit-skill Claude Knowledge Work plugin: anthropics/knowledge-work-plugins Agent Reach: Panniantong/Agent-Reach Metabase: metabase/metabase Paperless-ngx: paperless-ngx/paperless-ngx Invoice Ninja: invoiceninja/invoiceninja Dub: dubinc/dub.link Tijdstempels: 00:00 Introductie 00:24 Voice Studio 03:16 Beveiligingsauditvaardigheid 06:08 Anthropic Plugins 09:50 Agent Reach 12:29 Metabase 14:55 Paperless NGX 17:27 Invoice Ninja 19:55 Dub 22:38 Conclusie VIND ME OP SOCIAL MEDIA: X/Twitter: x.com Instagram: instagram.com LinkedIn: linkedin.com YouTube: youtube.com coreyganim.com [pa] 8 ਮੁਫਤ GitHub ਰਿਪੋਜ਼ਟਰੀਆਂ ਜਿਨ੍ਹਾਂ ਤੋਂ ਤੁਸੀਂ ਮੋਟੀ ਕਮਾਈ ਕਰ ਸਕਦੇ ਹੋ ਹਰੇਕ ਰੈਪੋ ਲਈ ਪੂਰੀ ਕਾਰੋਬਾਰੀ ਯੋਜਨਾ (ਪ੍ਰੋਂਪਟ, ਆਊਟਰੀਚ ਸਕ੍ਰਿਪਟਾਂ, ਅਤੇ ਹਰੇਕ ਪੇਸ਼ਕਸ਼ ਲਈ ਕਦਮ-ਦਰ-ਕਦਮ ਵੇਰਵੇ ਸਮੇਤ) ਇੱਥੇ ਮੁਫ਼ਤ ਪ੍ਰਾਪਤ ਕਰੋ: skool.com 90 ਦਿਨਾਂ ਦੇ ਅੰਦਰ ਆਪਣੇ ਪਹਿਲੇ (ਜਾਂ ਅਗਲੇ) AI ਸੇਵਾਵਾਂ ਕਲਾਇੰਟ ਨੂੰ ਬੰਦ ਕਰਨ ਲਈ AI ਓਪਰੇਟਰ ਅਕੈਡਮੀ ਵਿੱਚ ਸ਼ਾਮਲ ਹੋਵੋ ਜਾਂ ਆਪਣੇ ਪੈਸੇ ਦਾ 100% ਵਾਪਸ ਪ੍ਰਾਪਤ ਕਰੋ: skool.com ਇਸ ਐਪੀਸੋਡ ਵਿੱਚ ਦੱਸੇ ਗਏ ਲਿੰਕ: Treg: treg.to ਵੌਇਸ ਸਟੂਡੀਓ: debpalash/VoiceStudio Cloudflare ਸੁਰੱਖਿਆ ਆਡਿਟ: cloudflare/security-audit-skill Claude Knowledge Work ਪਲੱਗਇਨ: anthropics/knowledge-work-plugins ਏਜੰਟ ਪਹੁੰਚ: Panniantong/Agent-Reach Metabase: metabase/metabase Paperless-ngx: paperless-ngx/paperless-ngx ਇਨਵੌਇਸ ਨਿੰਜਾ: invoiceninja/invoiceninja ਡਬ: dubinc/dub.link ਟਾਈਮਸਟੈਂਪ: 00:00 ਜਾਣ-ਪਛਾਣ 00:24 ਵੌਇਸ ਸਟੂਡੀਓ 03:16 ਸੁਰੱਖਿਆ ਆਡਿਟ ਹੁਨਰ 06:08 ਐਂਥ੍ਰੋਪਿਕ ਪਲੱਗਇਨ 09:50 ਏਜੰਟ ਪਹੁੰਚ 12:29 ਮੈਟਾਬੇਸ 14:55 ਪੇਪਰਲੈੱਸ ਐਨਜੀਐਕਸ 17:27 ਇਨਵੌਇਸ ਨਿੰਜਾ 19:55 ਡਬ 22:38 ਸਿੱਟਾ ਮੈਨੂੰ ਸੋਸ਼ਲ 'ਤੇ ਲੱਭੋ: ਐਕਸ/ਟਵਿੱਟਰ: x.com ਇੰਸਟਾਗ੍ਰਾਮ: instagram.com ਲਿੰਕਡਇਨ: linkedin.com ਯੂਟਿਊਬ: youtube.com coreyganim.com [pl] 8 darmowych repozytoriów na GitHubie, dzięki którym zarobisz fortunę Pełny biznesplan dla każdego repozytorium (w tym podpowiedzi, skrypty informacyjne i szczegółowe instrukcje krok po kroku dla każdej oferty) znajdziesz ZA DARMO tutaj: skool.com Dołącz do Akademii Operatorów AI, aby pozyskać pierwszego (lub kolejnego) klienta na usługi AI w ciągu 90 dni lub uzyskać 100% zwrotu pieniędzy: skool.com Linki wspomniane w tym odcinku: Treg: treg.to Voice Studio: debpalash/VoiceStudio Cloudflare Security Audit: cloudflare/security-audit-skill Wtyczka Claude Knowledge Work: anthropics/knowledge-work-plugins Agent Reach: Panniantong/Agent-Reach Metabase: metabase/metabase Paperless-ngx: paperless-ngx/paperless-ngx Invoice Ninja: invoiceninja/invoiceninja Dub: dubinc/dub.link Znaczniki czasu: 00:00 Wprowadzenie 00:24 Voice Studio 03:16 Umiejętność audytu bezpieczeństwa 06:08 Wtyczki Anthropic 09:50 Agent Reach 12:29 Metabase 14:55 Paperless NGX 17:27 Invoice Ninja 19:55 Dubbing 22:38 Podsumowanie ZNAJDŹ MNIE W MEDIACH SPOŁECZNOŚCIOWYCH: X/Twitter: x.com Instagram: instagram.com LinkedIn: linkedin.com YouTube: youtube.com coreyganim.com [pt-BR] 8 repositórios gratuitos do GitHub que te fazem ganhar dinheiro fácil Obtenha o plano de negócios completo para cada repositório (incluindo instruções, roteiros de prospecção e detalhes passo a passo para cada oferta) GRATUITAMENTE aqui: skool.com Participe da AI Operator Academy para fechar seu primeiro (ou próximo) cliente de serviços de IA em até 90 dias ou receba 100% do seu dinheiro de volta: skool.com Links mencionados neste episódio: Treg: treg.to Voice Studio: debpalash/VoiceStudio Cloudflare Security Audit: cloudflare/security-audit-skill Plugin Claude Knowledge Work: anthropics/knowledge-work-plugins Agent Reach: Panniantong/Agent-Reach Metabase: metabase/metabase Paperless-ngx: paperless-ngx/paperless-ngx Invoice Ninja: invoiceninja/invoiceninja Dub: dubinc/dub.link Marcadores de tempo: 00:00 Introdução 00:24 Voice Studio 03:16 Habilidade de Auditoria de Segurança 06:08 Plugins Antrópicos 09:50 Agent Reach 12:29 Metabase 14:55 Paperless NGX 17:27 Invoice Ninja 19:55 Dub 22:38 Conclusão ME ENCONTRE NAS REDES SOCIAIS: X/Twitter: x.com Instagram: instagram.com LinkedIn: linkedin.com YouTube: youtube.com coreyganim.com [ru] 8 бесплатных GitHub-репозиториев, которые приносят огромные деньги Получите полный бизнес-план для каждого репозитория (включая подсказки, сценарии взаимодействия и пошаговые инструкции для каждого предложения) БЕСПЛАТНО здесь: skool.com Присоединяйтесь к AI Operator Academy, чтобы заключить свой первый (или следующий) контракт на услуги ИИ в течение 90 дней или получить 100% возврата денег: skool.com Ссылки, упомянутые в этом эпизоде: Treg: treg.to Voice Studio: debpalash/VoiceStudio Cloudflare Security Audit: cloudflare/security-audit-skill Плагин Claude Knowledge Work: anthropics/knowledge-work-plugins Agent Reach: Panniantong/Agent-Reach Metabase: metabase/metabase Paperless-ngx: paperless-ngx/paperless-ngx Invoice Ninja: invoiceninja/invoiceninja Dub: dubinc/dub.link Временные метки: 00:00 Введение 00:24 Voice Studio 03:16 Навык аудита безопасности 06:08 Антропогенные плагины 09:50 Agent Reach 12:29 Metabase 14:55 Paperless NGX 17:27 Invoice Ninja 19:55 Dub 22:38 Заключение НАЙДИТЕ МЕНЯ В СОЦИАЛЬНЫХ СЕТЯХ: X/Twitter: x.com Instagram: instagram.com LinkedIn: linkedin.com YouTube: youtube.com coreyganim.com [ta] கோடிக்கணக்கில் சம்பாதிக்க உதவும் 8 இலவச கிட்ஹப் (GitHub) களஞ்சியங்கள் ஒவ்வொரு ரெப்போவிற்கான முழுமையான வணிகத் திட்டத்தை (தூண்டுதல்கள், அவுட்ரீச் ஸ்கிரிப்டுகள் மற்றும் ஒவ்வொரு சலுகைக்கான படிப்படியான விவரங்கள் உட்பட) இங்கே இலவசமாகப் பெறுங்கள்: skool.com 90 நாட்களுக்குள் உங்கள் முதல் (அல்லது அடுத்த) AI சேவைகள் வாடிக்கையாளரைப் பெற அல்லது உங்கள் பணத்தை 100% திரும்பப் பெற AI ஆபரேட்டர் அகாடமியில் சேருங்கள்: skool.com இந்த அத்தியாயத்தில் குறிப்பிடப்பட்டுள்ள இணைப்புகள்: Treg: treg.to Voice Studio: debpalash/VoiceStudio Cloudflare Security Audit: cloudflare/security-audit-skill Claude Knowledge Work plugin: anthropics/knowledge-work-plugins Agent Reach: Panniantong/Agent-Reach Metabase: metabase/metabase Paperless-ngx: paperless-ngx/paperless-ngx இன்வாய்ஸ் நிஞ்ஜா: invoiceninja/invoiceninja டப்: dubinc/dub.link நேரக்குறிப்புகள்: 00:00 அறிமுகம் 00:24 வாய்ஸ் ஸ்டுடியோ 03:16 பாதுகாப்பு தணிக்கை திறன் 06:08 ஆந்த்ரோபிக் செருகுநிரல்கள் 09:50 ஏஜென்ட் ரீச் 12:29 மெட்டாபேஸ் 14:55 பேப்பர்லெஸ் NGX 17:27 இன்வாய்ஸ் நிஞ்ஜா 19:55 டப் 22:38 முடிவுரை சமூக வலைத்தளங்களில் என்னைக் காணுங்கள்: X/ட்விட்டர்: x.com இன்ஸ்டாகிராம்: instagram.com லிங்க்ட்இன்: linkedin.com யூடியூப்: youtube.com coreyganim.com [te] అపరిమితంగా డబ్బు సంపాదించిపెట్టే 8 ఉచిత గిట్‌హబ్ (GitHub) రిపోలు ప్రతి రెపో కోసం పూర్తి బిజినెస్ ప్లాన్‌ను (ప్రాంప్ట్‌లు, అవుట్‌రీచ్ స్క్రిప్ట్‌లు మరియు ప్రతి ఆఫర్ కోసం దశలవారీ వివరాలతో సహా) ఇక్కడ ఉచితంగా పొందండి: skool.com 90 రోజులలోపు మీ మొదటి (లేదా తదుపరి) AI సేవల క్లయింట్‌ను పొందడానికి లేదా మీ డబ్బులో 100% తిరిగి పొందడానికి AI ఆపరేటర్ అకాడమీలో చేరండి: skool.com ఈ ఎపిసోడ్‌లో ప్రస్తావించిన లింక్‌లు: ట్రెగ్: treg.to వాయిస్ స్టూడియో: debpalash/VoiceStudio క్లౌడ్‌ఫ్లేర్ సెక్యూరిటీ ఆడిట్: cloudflare/security-audit-skill క్లాడ్ నాలెడ్జ్ వర్క్ ప్లగిన్: anthropics/knowledge-work-plugins ఏజెంట్ రీచ్: Panniantong/Agent-Reach మెటాబేస్: metabase/metabase పేపర్‌లెస్-ngx: paperless-ngx/paperless-ngx ఇన్‌వాయిస్ నింజా: invoiceninja/invoiceninja డబ్: dubinc/dub.link టైమ్‌స్టాంప్‌లు: 00:00 పరిచయం 00:24 వాయిస్ స్టూడియో 03:16 సెక్యూరిటీ ఆడిట్ స్కిల్ 06:08 ఆంత్రోపిక్ ప్లగిన్‌లు 09:50 ఏజెంట్ రీచ్ 12:29 మెటాబేస్ 14:55 పేపర్‌లెస్ NGX 17:27 ఇన్‌వాయిస్ నింజా 19:55 డబ్ 22:38 ముగింపు సోషల్ మీడియాలో నన్ను కనుగొనండి: X/ట్విట్టర్: x.com ఇన్‌స్టాగ్రామ్: instagram.com లింక్డ్‌ఇన్: linkedin.com యూట్యూబ్: youtube.com coreyganim.com [uk] 8 безкоштовних репозиторіїв GitHub, які принесуть вам шалені гроші Отримайте повний бізнес-план для кожного репозиторію (включаючи підказки, сценарії інформаційно-просвітницької роботи та покрокову інформацію про кожну пропозицію) БЕЗКОШТОВНО тут: skool.com Приєднуйтесь до Академії операторів штучного інтелекту, щоб закрити свого першого (або наступного) клієнта послуг штучного інтелекту протягом 90 днів або отримати 100% своїх грошей назад: skool.com Посилання, згадані в цьому епізоді: Treg: treg.to Voice Studio: debpalash/VoiceStudio Cloudflare Security Audit: cloudflare/security-audit-skill Плагін Claude Knowledge Work: anthropics/knowledge-work-plugins Agent Reach: Panniantong/Agent-Reach Метабаза: metabase/metabase Paperless-ngx: paperless-ngx/paperless-ngx Invoice Ninja: invoiceninja/invoiceninja Дубляж: dubinc/dub.link Позначки часу: 00:00 Вступ 00:24 Голосова студія 03:16 Навички аудиту безпеки 06:08 Антропні плагіни 09:50 Зв'язок з агентом 12:29 Метабаза 14:55 Безпаперовий NGX 17:27 Invoice Ninja 19:55 Дубляж 22:38 Висновок ЗНАЙДІТЬ МЕНЕ В СОЦІАЛЬНИХ МЕРЕЖАХ: X/Twitter: x.com Instagram: instagram.com LinkedIn: linkedin.com YouTube: youtube.com coreyganim.com

BI ツールを替えれば、同じ事故は防げるのか — Metabase の件をデータ基盤の側から考える はじめに こんにちは。 この頃の仕事はデータ基盤の比重が高い者です。 セキュリティ関連の動きで気になったことがあります。 2026年の夏から秋にかけて、BI ツール Metabase の脆弱性を突かれたというニュースが国内で続きました。 再発防止策に「Metabase の利用を終了する」と書いた例も複数あります。 ツールを替えれば、同じ事故は防げるのでしょうか。データ基盤を作る側から、セキュリティの目線で考えてみます。 :::note info この記事について セキュリティの専門家ではありません。 データ基盤を作る側の目線で書いています。誤りや足りない点があれば、ご指摘を歓迎します。 生成 AI の利用について 調べものと下書きには生成 AI をかなり使っています。 事実と日付は、一次情報を自分で開いて確かめました。 ::: --- ざっくり言うと - 脆弱性の中身と対処の手順は、すでに詳しい記事がある。この記事では繰り返さない - 気になったのは、再発防止策が「Metabase の利用終了」で締めくくられていること - セルフホストなら、修正版の適用は利用者側の役目。その役目は、次のツールでも必要になる - それ以前に、アクセス元を絞っていたかを確かめたい - 公開直後の版を数日待つ運用は、今回のような修正版では裏目に出る 何が起きたか 要点だけ並べます。 - 2026-08-06、Metabase が SQL インジェクションの脆弱性を公表した（CVE-2026-72898、CVSS 10.0）。未認証で管理者権限を奪取でき、公表の前から悪用されていた（ゼロデイ） - 開発元は同じ日の報告で、修正版と回避策を示した。Metabase Cloud は対策済みで、セルフホストの環境は利用者が修正版に更新する必要があった - JPCERT/CC によると、攻撃元の IP アドレスは8月上旬から9月上旬まで悪用されていた 一次情報は、Metabase の報告と、JPCERT/CC の注意喚起（8月・10月）です。以下では、それぞれ「報告」「8月の注意喚起」「10月の注意喚起」と書きます。 経緯と対処の手順は、次の記事が詳しいです。公開範囲の見直し、最小権限、侵害の確認、認証情報のローテーションまで書かれています。 - 社内ダッシュボードは本当に社内だけ？Metabaseの事案から考えるBIツールの公開範囲 - Metabaseに緊急脆弱性、認証不要で管理者奪取 :::note info 個別の会社を評価する記事ではありません。確認できている範囲では、公表文に、いつ侵入されたかや、修正版を適用していたかが書かれていないものもあります。修正版が出る前に侵入されていた場合、パッチでは防げませんでした。 ::: 「利用終了」は、再発防止になっているのか 事実関係を整理しておきます。 Metabase には、開発元が運用する Metabase Cloud と、セルフホスト版があります。Metabase Cloud は、公表の時点で対策済みでした。セルフホスト版は、公式ドキュメントの比較表で、アップグレードは利用者側の作業（Manual）とされています。 セルフホスト版にも2種類あります。オープンソース版のライセンスは AGPL v3 で、無保証です。有償版は別の商用ライセンスで、契約の内容が違います。公表した各社がどちらを使っていたかは、公表文からは分かりません。ただ、どちらであっても、修正版を自分の環境に適用する作業は利用者側に残ります。 こう並べると、再発防止策が「利用の終了」で終わるのは、少し不思議に思えます。修正がいちばん早く入ったのは Metabase Cloud でした。パッチ適用の速さが課題だったのなら、Metabase Cloud へ移る道もあったはずです。 Metabase Cloud なら無傷だった、とは言えません。Metabase Cloud 自身も、修正の前にゼロデイ攻撃を受けています。それでも、「修正版が出たあとも1か月ほど攻撃が続いた」という部分は、Metabase Cloud では起きません。 各社には、外からは見えない事情があるのだと思います。 そこを責めるつもりはありません。 ただ、ツールをやめても、パッチを適用する役目は次のツールでも必要です。 それ以前に、アクセス元を絞っていましたか 私は、ここ15年ほど主にウェブサービスを作る側です。 そこでは、認証前のエンドポイントをインターネットに晒さないことと、アクセス元を絞ることは、最初に考えることです。ところが BI ツールは「社内ツール」として、その外に置かれがちに見えます。 確かめたいことが2つあります。 セキュリティの専門家から見れば、基本的すぎる話かもしれませんが。 - アクセス元を全世界（0.0.0.0/0）に開けていませんか。社内向けのツールなら、オフィスや VPN の IP アドレスだけを許可リストに入れれば済むはずです - どうしても公開するなら、匿名 VPN やホスティング事業者のアドレス帯からのアクセスを弾いていますか ただ、私がこれまで見てきた現場では、これができているほうが少数でした。 10月の注意喚起には、攻撃元の IP アドレスが3つ載っています。登録情報を調べると、海外のクラウド事業者のものが1つ、海外の通信事業者のものが2つでした。公表された分に限って言えば、どちらかの対策をしていれば通らなかったアクセスです。 アドレス帯で弾くほうは、決定的な対策ではありません。国内の回線や住宅用のプロキシを経由されれば、すり抜けられます。それでも、攻撃する側のコストは上がります。公開された攻撃コードで無差別に探して回る型の攻撃には、効くはずです。 ツールを替えても、残るもの アクセス元のほかに、ツールを替えても残るものが2つあります。 - 修正版を何日で適用できるか。セルフホストなら、脆弱性情報を誰が毎日見るのかまで決めておく必要がある - BI に、どの権限で何をつないでいたか。管理者権限を奪取されると、保存してある接続先データベースの認証情報で読める範囲が、そのまま漏えいの範囲になる ちなみに、私には品質保証（QA）のエンジニアという顔もあります。直近のネイティブアプリの現場では、脆弱性情報の確認は週に1回でした。毎日見るというのは、多くの部品を外のエコシステムに頼っている、ウェブの世界ならではの義務とも言えます。 修正版の適用には、落とし穴があります。最近は、公開されたばかりの版をすぐには入れず、数日置いてから取り込む運用が広まっています（依存関係のクールダウン。pnpm の minimumReleaseAge や Dependabot の cooldown など）。乗っ取られたパッケージをつかまないための、サプライチェーン攻撃への防御です。 今回は、これが裏目に出ます。修正版そのものが「公開されたばかりの版」だからです。しかも、公表の時点ですでに悪用されていて、8月の注意喚起（公表の8日後）の時点では、攻撃コードとみられる情報も確認されていました。待っている数日が、そのまま攻撃を受けられる期間になります。 「新しい版は少し待つ」と「セキュリティ修正はすぐ適用する」は、別の規則として必要です。 ツールの側にも、セキュリティ修正を待機の対象から外しているものがあります。たとえば Dependabot の cooldown は、通常のバージョン更新だけを遅らせる設定で、セキュリティ更新には効きません。 # .github/dependabot.yml version: 2 updates: - package-ecosystem: "npm" directory: "/" schedule: interval: "daily" cooldown: default-days: 7 # 公開から7日たった版だけ、更新の PR を出す semver-major-days: 14 # メジャー更新はさらに長く待つ この設定でも、セキュリティ更新の PR は待たずに出ます。セキュリティ更新は、GitHub のアドバイザリに載った脆弱性に対して出るものです。 BI につないでいた権限のほうは、データ基盤の設計で小さくできます。BI に見せるのを集計済みか仮名化済みのデータだけにしておけば、漏えいの範囲は先に狭まります。ここは、データ基盤を作る側の持ち場だと考えています。 --- おわりに ツールを替えれば、同じ事故は防げるのか。 替えるだけでは、防げないのかもしれません。 今回の欠陥は重いものでした。 ただ、アクセス元の絞り込み、パッチ適用の速さ、つないでいた権限の3つは、どのツールでも問われます。Metabase をやめても、次のツールで同じ問いに答えることになります。逆に、この3つに答えられるなら、Metabase を使い続ける道もあると私は思います。 ※ちなみに私は Metabase 関係者ではありません。ロジカルに読み解きたいだけです。 セルフホストで Metabase を運用している方は、まず8月の注意喚起にある侵害有無の確認手順を見てみてください。アップグレードを済ませていても、確かめる価値があります。 --- <details><summary>参考資料</summary> :::note info - 報告: Metabase GHSA-vwf4-m7j8-wcjf（2026-08-06） github.com/metabase/metabase/security/advisories/… - 8月の注意喚起: JPCERT-AT-2026-0023（2026-08-14） jpcert.or.jp - 10月の注意喚起: JPCERT-AT-2026-0030（2026-10-08、10-09 更新） jpcert.or.jp - Metabase Cloud とセルフホストの比較表（公式ドキュメント） metabase.com - Metabase の LICENSE github.com/metabase/metabase/blob/master/LICENSE.… - Dependabot の cooldown（公式リファレンス） docs.github.com ::: </details>

想看业务数据，不想先学复杂报表工具？ Metabase 可连接数据库，用可视化方式提问、制作图表和仪表盘。适合小团队跟踪订单、运营指标和项目数据。 metabase/metabase #数据分析 #开源工具

2️⃣ Metabase 📊 (Business Intelligence) Companies waste tens of thousands on tools like Tableau. Metabase plugs into any database and lets business analysts spin up complex interactive dashboards instantly, without writing SQL. 🔗 metabase/metabase