APIセキュリティの強化方法を解説するウェビナーを開催します。最新の防御策や具体的な事例も紹介！

はじめに業務委託としてお手伝いをしている渡部です。Stena Expenseは、1つのソフトウェアを様々なお客様がご利用される、いわゆるマルチテナント型のSaaSです。マルチテナント型のSaaSでは、テナントごとにアプリケーションやデータベースをどのように分離するか、もしくは分離しないかが焦点になりますが、先日Stena Expenseではデータベースの分離方法の1つであるRow Level S

ヨドバシカメラは現在、お客様との接点をドメインとして設計する新たなAPIを開発中であることを、クリエーションラインが主催し10月27日に開催されたイベント「Actionable Insights Day 2023」で明らかにしました。 RE...

Rise in accessible AI tools lowered the barrier to entry for cyber attackers, enabling them to create and deploy malicious bots at scale.

Adobeは、CommerceおよびMagento Open Sourceプラットフォームに存在する重大な脆弱性（CVE-2025-54236）について警告しています。研究者はこの脆弱性をSessionReaperと呼び、製品史上「最も深刻な」脆弱性の一つであると説明しています。 本日、同社はこのセキュリティ問題に対するパッチをリリースしました。この問題は認証なしで悪用され、Commerce REST APIを通じて顧客アカウントを乗っ取られる可能性があります。 eコマースセキュリティ企業Sansecによると、Adobeは「選ばれたCommerce顧客」に対し、9月9日に予定されている緊急修正の事前通知を9月4日に行いました。 「Adobeは2025年9月9日（火）に、Adobe CommerceおよびMagento Open Source向けのセキュリティアップデートをリリースする予定です」と通知には記載されています。 「このアップデートは重大な脆弱性を修正します。悪用に成功した場合、セキュリティ機能の回避につながる可能性があります。」 Adobe Commerce on Cloudを利用している顧客は、Adobeによって中間措置として導入されたWebアプリケーションファイアウォール（WAF）ルールによってすでに保護されています。 Magento顧客向けのAdobeからの通知出典：Sansec Adobeはセキュリティ速報の中で、現時点で実際の悪用活動は確認されていないと述べています。Sansecのアドバイザリでも、研究者はSessionReaperの積極的な悪用を確認していないと記載しています。 しかしSansecによれば、CVE-2025-54236の初期ホットフィックスが先週流出しており、これにより脅威アクターがエクスプロイト作成で先行する可能性があるとしています。 研究者によると、悪用が成功するには「セッションデータがファイルシステムに保存されていること」が条件となるようで、これはほとんどのストアでデフォルト設定となっています。 管理者は、利用可能なパッチ（直接ダウンロード、ZIPアーカイブ）を直ちにテストし、適用することが強く推奨されます。研究者は、この修正によりMagento内部の機能が無効化され、カスタムコードや外部コードの一部が動作しなくなる可能性があると警告しています。 このため、Adobeはドキュメントを更新し、Adobe Commerce REST APIのコンストラクターパラメータインジェクションの変更点を説明しています。 「できるだけ早くホットフィックスを適用してください。適用しない場合、このセキュリティ問題に対して脆弱なままとなり、Adobeが支援できる範囲も限られます」 - Adobe Sansecの研究者は、CVE-2025-54236が自動化によって大規模に悪用されると予想しています。また、この脆弱性はプラットフォーム史上最も深刻なMagentoの脆弱性の一つであり、CosmicSting、TrojanOrder、Ambionics SQLi、Shopliftと並ぶものだと指摘しています。 過去にも同様の問題が、セッション偽造、権限昇格、内部サービスへのアクセス、コード実行などに悪用されてきました。 このセキュリティ企業はSessionReaperエクスプロイトの再現に成功しましたが、コードや技術的な詳細は公開せず、「この脆弱性は昨年のCosmicSting攻撃と似たパターンに従っている」とだけ述べています。 翻訳元:

A major security flaw has been discovered in Argo CD, a popular open-source tool used for Kubernetes GitOps deployments.

OpenAI GPT-4.5 システムカード 1 はじめに 私たちは、OpenAI GPT-4.5 のリサーチプレビューをリリースします。これは当社の最大かつ最も知識豊富なモデルです。GPT-4o をベースに構築された GPT-4.5 は、事前トレーニングをさらに拡張し、強力な STEM…

Despite advancements in API security, access control vulnerabilities, such as broken object-level authentication (BOLA) and broken function-level authentication (BFLA), remain almost impossible to…

“やじうまの杜”では、ニュース・レビューにこだわらない幅広い話題をお伝えします。

はじめに今年はチューターとして人生2回目のセキュリティキャンプに参加させていただきました！！私をチューターに選んでくださった方には大感謝です！このブログでは、各講義で学んだこと、LTイベントの様子、チューター業務などなど、今年のセキュキャンで経験したことを伝えていきます！今年のセキュキャン修了生の参加記もまとめているので、ぜひご覧ください！（随時更新します）今年のセキュキャン修了生の参加記セキュ

The U.S. Cybersecurity and Infrastructure Security Agency (CISA) has published an analysis of the malware deployed in attacks exploiting vulnerabilities affecting Ivanti Endpoint Manager Mobile (EPMM)...

HENNGE OneがJOINT iPaaSとAPI連携を開始。自動同期による業務効率化とコスト削減を実現し、セキュリティ強化にも寄与しています。

Bitwarden Secrets Manager enables developers, DevOps, and cybersecurity teams to centrally store, manage, and deploy secrets at scale. Start a free trial today!