Web アプリのセキュリティ

入力を文字列連結で SQL に埋め込むと、入力の一部が SQL の構文として解釈され、データを盗まれたり書き換えられたりする。プリペアドステートメントで値を構文と分けて渡す。

利用者の入力をそのまま HTML に出すと、攻撃者のスクリプトが他の利用者のブラウザで動く。出力先に合わせたエスケープが基本で、CSP を重ねて被害を抑える。

入力を含む文字列をシェルに渡すと、; や | で別のコマンドをつなげられる。シェルを介さずに引数を配列で渡す API を使う。

入力をファイルパスに使うと、../ で公開ディレクトリの外のファイルを読まれる。パスを解決してから、許可したディレクトリの配下にあるかを確かめる。

利用者が指定した URL へサーバーにリクエストさせる機能を悪用され、外から届かない内部のネットワークやクラウドのメタデータに届いてしまう。宛先を許可リストで絞り、名前解決後の IP アドレスで判断する。

PHP の unserialize に信頼できない入力を渡すと、任意のクラスのオブジェクトが作られ、マジックメソッドを通じて意図しない処理が動く。外部とのデータ交換には JSON を使う。

Node.js でオブジェクトを再帰的にマージするとき、__proto__ のようなキーを通すと Object.prototype が書き換わり、アプリ全体のオブジェクトに影響する。危険なキーを弾くか、Map や Object.create(null) を使う。

ブラウザがリクエストに Cookie を自動で付けることを悪用し、ログイン中の利用者に意図しない操作をさせる。CSRF トークンや SameSite 属性で防ぐ。

攻撃者が用意したセッション ID を被害者に使わせ、被害者のログイン後にその ID で乗っ取る。ログインの成功時にセッション ID を作り直して防ぐ。

パスワードは平文でも高速なハッシュでもなく、ソルト付きの遅いハッシュ (bcrypt や Argon2) で保存する。PHP では password_hash と password_verify を使う。

C や C++ で書かれた処理系やライブラリの欠陥で、範囲外への書き込みや解放済みメモリの使用が起きると、攻撃者がコードを実行できる場合がある。アプリのコードが正しくても起きる。

サポート期間 (EOL) を過ぎた PHP や Node.js の版には、脆弱性が見つかっても公式の修正が出ない。サポート中の版へ計画的に移る。

アプリが依存するパッケージや、その公開の経路に悪意のあるコードを紛れ込ませる攻撃。自分のコードを確かめても防げない。

npm のパッケージは preinstall や postinstall などのフックで、入れた時点に任意のコマンドを動かせる。npm は既定で依存のスクリプトを動かすので、不要なら ignore-scripts で止める。pnpm は v10 から依存のスクリプトを既定で動かさず、許可したものだけを動かす。

依存関係の版と中身のハッシュを、推移的な依存まで固定するファイル。CI では lockfile どおりに入れ、更新時は差分を確かめる。

社内パッケージと同じ名前のパッケージを公開レジストリに置き、パッケージマネージャーにそちらを選ばせる攻撃。スコープを付け、社内のスコープは社内レジストリだけから引く。

ページが読み込んで実行してよいスクリプトの出どころを、レスポンスヘッダーでブラウザに伝える仕組み。XSS が起きたときの被害を抑える多層防御で、エスケープの代わりにはならない。

HttpOnly は JavaScript から Cookie を読めなくし、Secure は HTTPS のときだけ送らせ、SameSite は他サイトからのリクエストに Cookie を付けるかを決める。

公開されたばかりの版をすぐには入れず、一定時間待ってから入れる運用。悪意のある版は公開から数時間で見つかり取り下げられることが多く、待つだけで避けられる場合がある。

npm の公開トークンを盗まれると、そのアカウントが持つすべてのパッケージに悪意のある版を出される。長期のトークンを減らし、CI からは OIDC を使う Trusted Publishing で公開する。

2026 年 10 月 21 日に修正された PHP 本体の 2 つの欠陥。メモリ不足時の処理でのメモリ破壊と、リクエストをまたいで残る状態の use-after-free で、認証なしにリモートからコードを実行されうる。8.5.12・8.4.27・8.3.36・8.2.35 で修正された。

2026 年 10 月 21 日のリリースで 10 件の脆弱性を修正した (High 4 件)。node:zlib の Brotli 展開での範囲外書き込みや、TLS で IP アドレスへの接続を、その IP アドレス向けでない証明書で認証できてしまう欠陥を含む。修正は 22・24・26 系だけで、EOL の 20 系以前には出ない。

2026 年 3 月、乗っ取られた公開者アカウントから axios に悪意のある版 (1.14.1 と 0.30.4) が出され、追加された依存が postinstall フックで遠隔操作ツールを入れるスクリプトを動かすようにした。ChainDrop は盗んだ公開トークンで他のパッケージにも preinstall フックを仕込み、400 以上のパッケージへ自分を広げた。