セキュリティ

Archer BE450またはBE7200を自宅のルーターとして使っているなら、今日確認することが一つあります。管理画面を開いて、ファームウェアの版数が 1.3.0 Build 20260416 になっているかどうかです。 JVNは2026年6月2日、この2機種のv1にOSコマンドインジェクションの脆弱性（CVE-2026-5509）があると公表しました。修正済みのJP版ファームウェアはすでに5月中旬から公開されています。対象外の機種や版数であれば、この先を読む必要はありません。 🔍 対象は2機種のv1のみ JVN（JVNVU95687008）の公表によると、今回の脆弱性はArcher BE450 v1とArcher BE7200 v1の2機種が対象です。他のTP-Link製品は含まれません。 影響を受けるのはファームウェアが 1.3.0 Build 20260416 未満の版数が入った機体です。修正済みJP版ファームウェアは、Archer BE450向けが2026年5月13日、Archer BE7200向けが2026年5月18日に公開されています。 確認項目 Archer BE450 Archer BE7200 対象ハードウェア v1 v1 影響を受ける版数 1.3.0 Build 20260416 未満 1.3.0 Build 20260416 未満 修正版（JP版） 1.3.0 Build 20260416 1.3.0 Build 20260416 修正版公開日 2026年5月13日 2026年5月18日 ハードウェアバージョンは本体底面のラベルか、管理画面のシステム情報から確認できます。「v1」「Ver.1.0」と書かれていたら対象です。 ⚠️ 攻撃が成立する前提条件 JVNの説明では、「管理インターフェースへの認証後に任意のOSコマンドを実行される可能性がある」とあります。攻撃者がまず管理画面にログインできることが前提となる攻撃です。 インターネットに接続しているだけで外部から自動的に悪用されるタイプではありません。ただし、管理パスワードが初期値のままだったり、家族と共有していたりする場合は別の話になります。管理パスワードが初期値のままだと攻撃者に認証を突破される可能性があるため、ファームウェア更新と合わせて強度確認まで済ませてください。 脆弱性の種別はOSコマンドインジェクション（CWE-78）で、CVE番号はCVE-2026-5509。CVSS v4.0基本値は8.5、v3.1基本値は6.8です。 📋 ファームウェアの確認と更新手順 ハードウェアバージョンがv1であることを確認したら、管理画面にログインしてファームウェア情報を開きます。版数が 1.3.0 Build 20260416 であれば修正済みです。 更新が必要な場合は、TP-Link日本サポートページのダウンロードセクションから「JP版」「V1用」のファイルを選択してください。US版やEU版を誤って適用すると、不具合や保証対象外につながる可能性があるとTP-Linkが案内しています。 更新中の電源断は故障リスクになります。ルーターが安定した電源につながっている状態で作業してください。詳細な手順はTP-Link公式FAQ「TP-Link Wi-Fiルーターのファームウェアアップグレードの方法」に掲載されています。 📌 公表の経緯 今回の脆弱性を発見・報告したのは株式会社ゼロゼロワンの早川宙也氏で、JVNはTP-Linkとの開発者調整を経て6月2日に公表しました。修正版の公開（5月中旬）から公表（6月2日）まで約2〜3週間のラグがあるのは、こうした調整期間があるためです。 個人的に興味深かったのは、修正版が5月に静かに公開されていた点です。自動アップデートが有効でなければ版数が上がっていないケースは珍しくないので、修正版公開からJVN公表まで3週間弱のラグがあり、自動アップデートが無効なら旧版のままの機体は少なくありません。家庭用ルーターの脆弱性対応がもう少し能動的に通知される仕組みになれば、こういうラグはもっと縮まるんですよね。 出典 JVN: TP-Link製ルーターArcher BE450およびBE7200におけるOSコマンドインジェクションの脆弱性（JVNVU95687008） TP-Link日本: Archer BE450 ファームウェアダウンロード TP-Link日本: Archer BE7200 ファームウェアダウンロード TP-Link日本: ハードウェアバージョンの確認方法 TP-Link日本: ファームウェアアップグレードの方法 ケータイ Watch: TP-Link製ルーター「Archer BE450／BE7200」に脆弱性

「パスキーを作成」と出た瞬間、顔認証で全部安全になると思うと少し危ないです。 顔や指紋はログイン情報そのものではありません。サービスへ渡す秘密でもありません。 パスキーの中心にあるのは、端末の中だけで使う秘密鍵です。ここを分けると、何が守られて何が残るのかが一気に見えます。 🗺️ パスキーで分けるべき三層 パスキーは三層で見ると輪郭がはっきりします。 公開鍵と秘密鍵: サービス側と端末側で持つ鍵が違う 端末ロック: 顔認証、指紋、PIN は秘密鍵を使う前の扉 同期と復旧: iCloud Keychain や Google Password Manager などの保存先で条件が変わる この三層を分けると、パスワードレスという言葉が指す範囲がはっきりします。パスワード入力を減らす話と、アカウント復旧が不要になる話は別です。共有端末、組織設定、復旧手段の管理は最後まで残る確認条件です。 🔐 サービスに渡るのは秘密鍵ではない パスキーは、公開鍵暗号をログインに使います。 登録時に端末側で鍵のペアを作り、サービス側には公開鍵だけを保存します。秘密鍵は端末や資格情報マネージャー側に残り、サービスへ送信されません。 ログイン時はサービスが出した課題に対し、端末側の秘密鍵で署名します。サービスは保存済みの公開鍵で署名を確認し、正しい組み合わせだと判断します。 この仕組み、最初に読んだ時は「顔認証で入るだけの機能」だと思っていた自分がちょっと恥ずかしくなりました。実際には、顔認証は鍵を使う許可を端末内で出す係なんです。 📱 顔認証や指紋はサービスへ送られない Face ID、Touch ID、Windows Hello、Android の画面ロックは、本人確認の入口です。 Apple は、パスキーの秘密鍵がサーバーに保存されず、生体情報も端末外へ出ないと説明しています。FIDO Alliance も、FIDO2 が公開鍵暗号を使い、サービスごとに鍵を結びつける仕組みだと示しています。 ここで効くのは、端末ロックの強さです。共有端末でパスキーを作ると、その端末を使える人がログイン入口に近づきます。 個人所有のスマホなら自然に見える操作でも、家族共用タブレットや会社の共有 PC では意味が変わります。パスキー作成画面が出た時は、持ち主とロック管理が揃った端末で作る判断になります。 🌐 フィッシングに強い理由はドメインとの結びつき パスキーがフィッシングに強い理由は、作成元のアプリやサイトに鍵が結びつく点です。 偽サイトが本物そっくりの画面を出しても、そのドメイン用の秘密鍵は使えません。人間が URL を見落としても、鍵の対応関係が合わないわけです。 パスワードだと、文字列を入力した時点で相手へ渡ります。パスキーでは秘密鍵を外へ出さず、署名の結果だけを渡します。 この設計、ガチで美しいんですよね。人間の注意力に頼る場所を、暗号の対応関係へ移しているからです。 🔄 同期型か物理キーかで復旧が変わる パスキーは作成先で復旧の流れが変わります。 Apple は iCloud Keychain でパスキーを同期し、復旧時に Apple Account、信頼できる電話番号、端末パスコードなどを使うと説明しています。Google は対応 OS、ブラウザ、Bluetooth、iCloud Keychain などの条件をヘルプで分けています。 Microsoft は保存先として、同期型の資格情報マネージャー、スマホやタブレット、セキュリティキー、Windows Hello を挙げています。名前は同じパスキーでも、手元で何を失うと困るかは保存先で変わります。 ...

友人とのDiscord通話、ゲーム中のボイスチャンネル、グループDM。これらの音声と映像の内容は、2026年3月上旬からDiscord側にも確認できない設計に切り替わっていた。 Discordが5月18日付の公式ブログで、音声・ビデオ通話のエンドツーエンド暗号化（E2EE）への移行完了を正式に発表した。設定を変える手順はなく、対象の通話では今すぐ有効になっている。 ただ、対象外になる種類と守られない情報がある。 🎙️ 音声と映像の内容は守られる ゲーム中にフレンドと話しているボイスチャンネル、あれはE2EE対象に入っている。DM音声通話、グループDM通話、サーバーのボイスチャンネル、Go Live配信が対象だ。Discordで友人と話す日常的な場面の大半はこのいずれかに当たる。 グループ通話では、参加者が増減するたびに鍵が更新される。退出した相手が後から通話内容を取り出せない構造になっている。PC、スマホ、ゲーム機をまたいで使われるサービスで、この範囲を標準化したのはけっこう大きい。DAVEの仕様書とライブラリを公開し、外部監査まで通しているのは、正直DiscordがE2EEを本気で実装した証拠に見える。 会話の種類 E2EE対応 DM音声/ビデオ通話 ✅ 対象 グループDM通話 ✅ 対象 サーバーのボイスチャンネル ✅ 対象 Go Live配信 ✅ 対象 ステージチャンネル ❌ 対象外 テキストメッセージ ❌ 対象外（計画なし） 実装はDiscordが開発したDAVEプロトコルを使用している。仕様書とライブラリはGitHubで公開されており、Trail of Bitsによる外部監査も実施済みだ。5月の発表まで知らないまま使っていた2ヶ月があった計算になるが、発表では「移行は2026年3月上旬に完了した」と説明されている。 ⚠️ ステージチャンネルとテキストは対象外 ステージチャンネルはE2EEの対象外だ。数十人から数百人規模のAMAやタウンホール形式の配信に使われる機能で、発言者（スピーカー）と聴衆が分かれる構造になっている。アーキテクチャが通常のボイスチャンネルと異なるため対象外とされており、大人数配信やイベント用途では従来と変わらない扱いだ。 テキストメッセージもE2EE化されていない。Discordは「現時点でE2EE化の計画はない」と明記しており、DM履歴やサーバーのチャットログの扱いはこれまでと変わらない。 Discordで日常的に使われるのは音声とテキストの組み合わせだ。ゲーム中にボイスチャンネルで話しながらテキストチャンネルで情報を共有するパターンが多い。音声の内容は守られるが、テキストで送った情報はE2EEの外側に残る。 📡 暗号化しても残る情報 暗号化の外側に残るのが、メタデータの扱いだ。 DAVEプロトコルのホワイトペーパーには、通話の存在、参加者、時間、使用パターンはサービス提供上観測され得ると明記されている。誰がいつ誰と通話したか、どのサーバーで何分話したかは、暗号化の範囲から外れている。 これは学校、職場、公開サーバーで使う場合に意味を持つ。会話の中身が守られても、参加履歴や時間帯の情報だけで活動の輪郭が見えることはある。プライバシー機能としては前進だけど、「完全に匿名になる」と受け取るのは違う。 通話内容の中身は守られるが、「この人とこの時間に通話した」という事実はDiscordが把握できる状態が続く。端末が侵害されていたり、通話相手が録音して共有したりする場合もE2EEでは防げない。Discordで通話している人は今すぐ何かをオンにする必要はない。ただ、テキストで送った内容とメタデータがE2EEの外にあることは、頭の隅に置いておきたい。 出典 Discord公式ブログ: Every Voice and Video Call on Discord Is Now End-to-End Encrypted Discord公式ブログ: Meet DAVE: Discord’s New End-to-End Encryption for Audio & Video Discord公式ブログ: Bringing DAVE to All Discord Platforms DAVE Protocol Whitepaper GitHub: discord/libdave Engadget: Discord now has end-to-end encryption on all calls

通知を消した後、その内容がまだ端末のどこかに残っているとしたら、気になりますよね。 4月22日、AppleはiPhoneとiPad向けに2本のアップデートを同じ日に出しました。どちらも見た目は地味な小数点更新ですが、通知に関わる問題の修正が含まれています。 毎日のようにメッセージや認証コードの通知が届く人は、ひと通り読んでおくと損はないです。 2本のiOSが同日配信、修正対象は共通の1件 今回配信されたのは「iOS 26.4.2 / iPadOS 26.4.2」と「iOS 18.7.8 / iPadOS 18.7.8」の2系統で、同じ日に届きました。 どちらも修正しているのは同じ問題です。脆弱性の管理番号でいうと「CVE-2026-28950」という1件だけが対象で、Appleの公式説明には「削除対象として扱われた通知が、予期せず端末上に保持される可能性があった」と記されています。 iOS 18系はすでに「過去のメジャーバージョン」に当たります。それでも同日に同じ修正を届けてきた点は、今回の問題が旧OSも含む話だったことを示しています。 「消えたはずの通知が残る」とは何が起きていたのか Appleの発表には「logging issue（ログ処理の問題）」と「data redaction（データの削除処理）」という2つの表現が出てきます。どちらもユーザーが普段目にしない、端末内部の処理に関する言葉です。 つまりこういうことです。通知を消しても、端末内部のログに内容が残り続けることがあった。見た目には消えているのに、より深い処理レイヤーで情報が保持されていた。それが今回修正された問題の実態です。 修正後は「そもそも残らなくなる」状態になります。見た目の変化はなく、更新を入れれば対処は完了です。 Appleは今回、問題の深刻度や「すでに悪用が確認されている」という情報は公開していません。緊急対応という性格の更新ではなく、問題を確認して塞いだという印象の修正です。それでも、通知に流れるデータの扱いが改善されることは確かです。 海外報道では、削除済みSignal通知の取得事例との関連も指摘されています。ただしApple公式は悪用有無を明言していません。 認証コードや配送通知を受け取る人ほど関係する この修正が最も関係する場面を考えると、通知に個人的な情報が含まれるケースです。 銀行の入出金通知、ネットショッピングの配送状況、ワンタイムパスワードの認証コード。どれも通知センターに表示されて、消去できるものです。消えた後も端末内に記録が残り続けていた可能性があったとなると、スマホを誰かに渡す場面や、修理に出す前、端末を売却する前の確認が少し重要になります。 修理店に端末を持ち込む際、内部を操作されることは珍しくありません。売却前に初期化していれば問題ないですが、ログが通常の削除操作で消えていなかったとしたら、という話です。 認証コードをよく受け取る人、銀行や配送関係の通知をONにしている人は、後回しにせず更新を入れておく価値があります。通知をほとんどオフにしている人や、通知センターをあまり使っていない人は、同じ温度感で急ぐ必要はないかもしれません。 ただ、セキュリティ修正は入れておいて損はない。それが基本です。 対象機種と確認の手順 iPhone 15系ならiOS 26.4.2を確認。XR/XSなど旧めの機種はiOS 18.7.8が出ているか確認。 iOS 26.4.2 / iPadOS 26.4.2 の対象は iPhone 11以降と、比較的新しいiPadです。 iOS 18.7.8 / iPadOS 18.7.8 は iPhone XR / XS 系から iPhone 16 系までの旧系統を広くカバーしています。古い機種を使い続けている人も、今回はきちんと対象に含まれています。 確認と更新は、設定アプリから「一般」→「ソフトウェアアップデート」で行います。更新が届いている場合は画面に表示されます。夜間の自動更新が設定されていれば、すでに適用済みの機種もあるはずです。 端末の設定によっては、Wi-Fi接続時に自動でダウンロードだけ済んでいる場合があります。その状態なら「今すぐインストール」を押すだけで完了します。更新データのサイズは小さく、通常は数分で終わります。 大型の新機能追加はありません。今回加わるのはセキュリティ修正の1件だけです。派手な変化はないまま、通知まわりの扱いが静かに改善されます。 iOS 26系を使っている人も、18系を使い続けている人も、それぞれ対応するアップデートが出ているので確認してみてください。