nginxのlocation選択ルールと4つの設定ミスの罠(認証バイパス・aliasパストラバーサル対策)
nginxの location は、多くの人が思っているような「設定ファイルの上から順に最初に一致したもの」ではありません。この誤解のせいで、認証をかけたはずのパスがすり抜ける、公開ディレクトリ...
0
0
Comment0
57 search resultsShowing 1~20 results
Stocked
You need to log-in
サポート切れPHP(7.4/8.0/8.1)の実害と、止めずに安全に上げる手順
「動いているから」とPHPのバージョンを何年も上げていないサイトは、攻撃者にとって格好の標的です。本記事は 自社サイトやWordPressをサポート切れ(EOL)PHPで動かしている運営者・制作...
1
1
Comment0
WordPress自動更新を全部ONにしない運用──コア/プラグイン/テーマ別の正しい設定(wp-cli)
WordPress の自動更新を「とりあえず全部ON」にして、ある朝サイトが真っ白に──制作会社や Web 担当者なら一度はヒヤッとした経験があるはずです。かといって更新を放置すれば、既知の脆弱...
0
0
Comment0
BookingPress(CVE-2026-11823)未認証SQLインジェクションでDB露出──確認と対策
WordPress の予約プラグイン BookingPress Appointment Booking Pro に、ログイン不要(未認証)で悪用できる SQL インジェクション CVE-2026...
0
0
Comment0
WordPressの改ざんを防ぐファイル権限とPHP実行制限(uploads対策・nginx/Apache対応)
WordPress サイトが改ざんされる典型的な流れは、プラグインの穴などから書き込み可能なフォルダに小さな PHP ファイルを 1 個置かれ、それが「バックドア(裏口)」として何度も悪用される...
0
0
Comment0
WordPressログイン総当たり対策5選(wp-login.php保護・xmlrpc無効化・コピペOK)
WordPressサイトのアクセスログを見ると、/wp-login.php や /xmlrpc.php への見覚えのないアクセスが毎日大量に記録されている——これはほぼ全サイト共通の状態です。W...
0
0
Comment0
Elementor Pro CVE-2026-32475──未認証でPHP実行(RCE)、確認と4.2.2更新手順
WordPress の人気ページビルダー Elementor Pro に、未認証の攻撃者が任意の PHP ファイルを設置してサーバー上でコードを実行できる深刻な脆弱性 CVE-2026-3247...
0
0
Comment0
XSSを防ぐPHP・WordPressの出力エスケープ実装(esc_html/esc_attr・コピペOK)
自作のPHPやWordPressテーマ・プラグインで、ユーザーが入力した値やDBの値を画面に出しているすべての開発者・Web担当者向けです。XSS(クロスサイトスクリプティング=攻撃者の用意した...
0
0
Comment0
5つの検証でPHPの任意ファイル読み込みを防ぐ(ディレクトリトラバーサル対策・WordPress対応・コピペOK)
自作の PHP で「ファイルをダウンロードさせる」「ページを切り替えて include する」処理を書いたことがある方向けです。ここにユーザー入力をそのまま渡すと、公開するつもりのないファイル(...
0
0
Comment0
その.bakやディレクトリ一覧、外部から丸見えかも──露出を防ぐ設定(nginx/Apache・コピペOK)
公開した覚えのないファイルが、URLを直接叩くだけで誰でも見られる状態になっていることがあります。原因の代表が ディレクトリリスティング(ディレクトリ一覧表示) と バックアップ・一時ファイルの...
0
1
Comment0
改ざんされても30分で戻せるWordPressバックアップ&復元手順(wp-cli/cron・コピペOK)
WordPress を運用していて「バックアップは取っているはず」と思っていても、いざ改ざん・障害が起きたときに 本当に戻せるか を試したことがある人は多くありません。 この記事は、自分（または...
1
2
Comment0
WooCommerce Social Login（CVE-2026-8457）偽Appleトークンで管理者乗っ取り
「Sign in with Apple(Appleでログイン)」ボタンを置いているだけで、パスワードを一切知らない攻撃者に管理者アカウントを乗っ取られる——そんな脆弱性が公表されました。対象は ...
0
0
Comment0
SSL証明書切れを防ぐ5つの対策──certbot自動更新の確認と期限監視(nginx/Apache対応)
ある朝サイトを開くと「この接続ではプライバシーが保護されません」。原因は SSL 証明書の期限切れ──攻撃ではありませんが、フォームも EC も一斉に止まる、防げたはずの事故です。 この記事は、...
0
0
Comment1
放置CNAMEでサブドメイン乗っ取り──防ぐ5つのDNS棚卸し(Cloudflare/Route 53・コピペOK)
対象: 自社ドメインの DNS を管理している Web 担当者・サイト運営者・制作会社の方 解決すること: 使い終わったサービスを指したままの「放置 CNAME」を見つけて消し、二度と生まれない...
4
4
Comment0
WordPress 4.7〜7.1.1に未認証の不正読込 CVE-2026-87902──7.1.2更新と攻撃痕跡の確認
WordPressで企業サイト・ブログを運用しているWeb担当者、制作会社の保守担当者向けの記事です。 2026年9月22日、WordPress本体(コア)の脆弱性 CVE-2026-87902...
2
1
Comment0
SSHの不正ログインを防ぐ7つの設定(sshd_config・fail2ban・Ubuntu/Debian・コピペOK)
この記事は、VPS や EC2 で Web サイトを運用していて、サーバに SSH で入る Web 担当者・制作会社向けです。 Web サーバの設定は固めたのに、SSH は「インストールしたとき...
0
0
Comment0
Ubuntu/Debianのセキュリティ更新を自動化する7つの設定(unattended-upgrades・コピペOK)
この記事は、VPS や EC2 の Ubuntu / Debian で Web サイトを動かしている Web 担当者・制作会社向けです。 「自動更新は入っているはず」のサーバで、実際には更新が止...
0
0
Comment0
MySQL/MariaDBを外部に晒さない7つの設定(Docker・phpMyAdmin対応・コピペOK)
VPS・クラウドで WordPress や自社アプリを動かし、MySQL / MariaDB も同じサーバ(または隣のサーバ)で管理している Web 担当者・制作会社向けの記事です。 「DB は...
1
1
Comment0
Loco Translate(翻訳プラグイン)CVE-2026-15005──1クリックでPHP実行、確認と更新手順
WordPress の翻訳プラグイン Loco Translate に、深刻度の高い脆弱性 CVE-2026-15005 が公表されました。翻訳作業でとりあえず入れて、そのまま放置している──と...
0
0
Comment0
Forminator脆弱性CVE-2026-57815──未認証パストラバーサルでwp-config.php流出を防ぐ
問い合わせフォームや決済フォームで広く使われる WordPress プラグイン Forminator(WPMU DEV 製・有効インストール 60 万件超)に、未認証で任意のファイルを読み出せる...
0
0
Comment0
57 search resultsShowing 1~20 results
Qiita is a knowledge sharing service for engineers.
- You can follow users and tags
- You can stock useful information
- You can make edit suggestions for articles