赤坂タロウの日記

Jul 10, 2026

OPNsense バックアップ

--- 以下 CopilotとGeminiのコメントを合体・編集 --->

OPNsenseの原状復帰に関して、OPNsense自身のインストーラに「既存設定を自動検出して引き継ぐ」機能は、通常期待しない方がよいです。

その代わり、OPNsenseでは 設定バックアップ (config.xml) を保存し、再インストール後に復元する のが正式な運用です。 [docs.opnsense.org]

VPS上の個人利用なら、

更新前に設定バックアップ取得
OPNsense更新
問題発生時はVPSプロバイダのコンソール利用
最悪はOPNsense再インストール
保存しておいた config.xml を復元

という手順になります。

更新前に最低限やっておくと安心

GUIから

System
  → Configuration
      → Backups

で設定ファイルをダウンロード。

※　通常は以下の場所に保存されています。

/conf/config.xml

数MB程度の1ファイルに

Firewall Rules, NAT, OpenVPN, WireGuard, Unbound DNS, DHCP, VLAN, Gateway, Routing

などほぼ全ての設定が入っています。

過去世代は次のように保存されています。

　　/conf/backup/config-1748500000.xml

　　/conf/backup/config-1748600000.xml

貴方の現在の用途なら


①config.xml

バックアップ　　②VPSスナップショット
の2つを取ってから更新が実用的です。

1人利用のVPNサーバなら、これだけでかなり安心して OpenVPN のセキュリティアップデートを追いかけられると思います。

私が前回書いた

「カスタム証明書ファイルは config.xml に含まれない場合がある」

は、OPNsense標準機能だけを使っている場合には、やや慎重すぎる表現でした。

実は OPNsenseのCA・証明書・秘密鍵の多くは config.xml に格納されています。

OpenVPNの場合

例えば

System
 → Trust
   → Authorities
   → Certificates

で管理している

CA証明書
サーバ証明書
クライアント証明書
対応する秘密鍵

は、通常は config.xml に保存されます。

したがって、

<ca>

...

</ca>

<cert>

...

</cert>

といった形でバックアップされます。

このため、

config.xml保存　　
同じ版数のOPNsense再インストール　　
config.xml復元

でOpenVPNが再開するケースは非常に多いです。

WireGuardの場合

WireGuardの

サーバ秘密鍵　　
サーバ公開鍵　　
Peer設定

も通常は設定データとして保存されています。

したがって、

VPN
 → WireGuard

で作成した設定も、通常は config.xml 復元対象です。

私がより心配するもの

実は証明書よりも、

プラグイン

例えば

os-wireguard
os-ddclient
os-acme-client
os-crowdsec

などです。

config.xmlは復元されても、

プラグインが未インストールだと設定を活用できません。

ACME証明書

Let's Encryptを使う場合、

ACMEプラグイン設定
発行済み証明書

は復元できることが多いですが、

再発行した方が早いケースもあります。

手作業で配置したファイル

例えばSSHで

/usr/local/etc/

などに

独自スクリプト
独自証明書
独自鍵

を置いた場合、

config.xmlとは別管理です。

これは別途バックアップが必要です。

貴方の「漏れなく救出できるか」という観点

SSHで確認できます。

例えば

grep -i "<private>" /conf/config.xml
や

grep -i "<cert>" /conf/config.xml
を実行すると、

Base64文字列が大量に見えるはずです。

それが証明書や鍵です。

実務的なおすすめ

VPS更新前なら私は次の3点を取ります。

① config.xml

cp /conf/config.xml /root/config.xml.backup

② プラグイン一覧

pkg info > /root/pkg-info.txt

③ VPSスナップショット

VPS業者機能

この3つがあれば、

OpenVPN証明書　　
WireGuard鍵　　
Firewallルール　　
NAT　　
DNS　　
DHCP

まで含めて、かなり高い確率で元に戻せます。

むしろ貴方のシナリオで最大のリスクは、

「config.xmlを取らずに再インストールすること」ではなく、「新しいOPNsenseでプラグイン構成を忘れること」

だと思います。

ですので、今のうちに一度SSHで

pkg info

を実行し、結果を保存しておくと安心です。これは昔のSolarisでいう「インストール済みパッケージ一覧の退避」に相当します。

OPNsense バックアップ cronで自動化

--- 以下Copilotの解説 --->

OPNsenseの標準機能（Cron）を組み合わせることで、「手動バックアップ後に自動でマイナーアップデートを適用する」という運用が可能です。 [1, 2]

ただし、標準のCronジョブには「リリースから正確に1週間後」をシステム単体で自動判定するロジックはありません。そのため、実務上は「毎週特定の曜日（リリースから概ね1週間が経過するタイミング）に自動実行するスケジュールを組む」という方法でご要望のサイクルを実現します。 [1, 3]

OPNsenseのマイナーパッチは、通常「木曜日」にリリースされることが多いため、ここでは「翌週の木曜日」に自動更新をかける設定手順を解説します。

設定手順：毎週自動マイナーアップデートの構築

OPNsenseの管理画面（WebUI）から設定を行います。 [4]

◆ 自動更新タスク（Cron）の登録

管理画面の [System] > [Settings] > [Cron] に移動します。
画面右下の 「＋」（追加）ボタン をクリックします。
以下の通りパラメータを入力します。 [2, 3]

設定項目 [1, 3, 5, 6]	入力値	意味
Minutes	`0`	0分に実行
Hours	`4`	深夜 4:00 に実行（影響の少ない時間帯）
Days	`*`	毎月すべての日にち
Months	`*`	毎月
Days of week	`4`	毎週木曜日（0=日, 1=月... 4=木）
Command	`Automatic firmware update`	自動ファームウェアアップデートを実行
Description	`Weekly Auto Minor Update`	任意の識別用メモ

「Save」 をクリックして保存します。
保存後、Cronページ下部にある 「Apply」 ボタンを必ずクリックして設定を反映させます。 [2]

重要仕様：メジャーバージョンアップはスキップされます
OPNsenseの標準コマンド Automatic firmware update は、マイナーパッチ（例: 25.7.1 → 25.7.2）のみを自動適用し、再起動までを行います。ベースOSの変更を伴う「メジャーアップデート（例: 25.7 → 26.1）」はこのタスクでは実行されず、必ず手動でのトリガーが必要になるため、意図せずシステムが致命的に大破するリスクは最小限に抑えられます。 [5, 7, 8]

運用ルール（手動バックアップのタイミング）

「放置による侵害リスク」を防ぐための現実的な運用フローです。

バックアップのタイミング:
自動更新が「毎週木曜日の深夜4時」に走るため、週に1回、水曜日の夜などに管理画面（[System] > [Firmware] > [Status]）を開き、パッチが来ているか確認しつつ、[System] > [Configuration] > [Backups] から設定のXMLファイルをダウンロードしておきます。
もしバックアップを忘れて自動更新されたら:
「自動停止リスクは受容する」とのことですので、そのまま木曜朝を迎えます。万が一不具合で通信が止まっていた場合は、コンソール接続等から前回の手動バックアップをインポートして復旧させます。

この設定を進めるにあたり、以下の点についてサポートが必要であればお知らせください。

毎週木曜日以外の特定の曜日や時間帯にスケジュールを変更したいですか？
万が一、自動更新後にネットワークが不通になった場合のコンソールからの復旧手順を確認しておきますか？

[1] https://forum.opnsense.org

[2] https://www.reddit.com

[3] https://docs.opnsense.org

[4] https://ansible-opnsense.oxl.app

[5] https://forum.opnsense.org

[6] https://techlabs.blog

[7] https://www.reddit.com

[8] https://docs.opnsense.org

Squid CVE-2026-47729 and CVE-2026-50012 (06/12)

https://www.openwall.com/lists/oss-security/2026/06/12/1

--- 以下、Copilotの解説 --->

この記事は Squid 7.6で修正された2件の脆弱性 に関するものです。 [openwall.com]

1. CVE-2026-47729

概要

FTP Gateway の入力検証不備による Out-of-Bounds Read（境界外読取り）
信頼されたクライアントが、異常応答を返すFTPサーバ経由で他トランザクションの情報を読み取れる可能性があります。 [openwall.com], [app.opencve.io]

CVSS

CVSS v3.1: 6.5 (Medium)
Vector: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N [app.opencve.io]

KEV Catalog

掲載されていません（KEV: No）。 [app.opencve.io], [cisa.gov]

2. CVE-2026-50012

概要

cache_digest処理の Heap-based Buffer Overflow
細工された cache_digest 応答により DoS、条件によってはより深刻な影響につながる可能性があります。
--enable-cache-digests オプション付きでビルドされた Squid に限定されます。 [openwall.com], [app.opencve.io]

CVSS

評価機関により差があります。

OpenCVE

CVSS v3.1: 5.5 (Medium)
Vector: AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:L/A:H [app.opencve.io]

Amazon Linux / SUSE

CVSS v3.1: 8.1 (High)
Vector: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H [explore.al...amazon.com], [suse.com]

つまり、

保守的に見れば 5.5 Medium
ベンダ評価では 8.1 High

と評価が割れている状況です。 [app.opencve.io], [explore.al...amazon.com], [suse.com]

KEV Catalog

掲載されていません（KEV: No）。 [app.opencve.io], [cisa.gov]

まとめ

CVE	内容	CVSS	KEV
CVE-2026-47729	FTP Gateway OOB Read	6.5 Medium	なし
CVE-2026-50012	cache_digest Heap Buffer Overflow	5.5 Medium ～ 8.1 High	なし

[app.opencve.io], [app.opencve.io], [explore.al...amazon.com], [suse.com]

システム管理者向けの実務的コメント

この2件は KEV未掲載 かつ 「trusted client」「trusted server」など攻撃成立条件が比較的限定的 です。 [openwall.com], [app.opencve.io], [app.opencve.io]

企業内で Squid を利用している場合、

インターネット公開RCE級の緊急事象ではない
ただし Squid を利用しているならアップデート推奨
特に --enable-cache-digests を有効化している環境は優先度を上げる

という判断になると思います。 [openwall.com], [app.opencve.io], [suse.com]

OPNsense利用者の観点では、このSquidの2件より、先ほどのOpenVPNの use-after-free（CVSS 9.8）の方が優先度は高いと考えてよいでしょう。 [tenable.com], [tenable.com], [app.opencve.io], [app.opencve.io]

CISA、SharePoint Serverの脆弱性 CVE-2026-45659をサイバー攻撃への悪用実績ありとしてKEVに追加

https://rocket-boys.co.jp/security-measures-lab/cisa-kev-sharepoint-server-vulnerability-cve-2026-45659/ (07/07)

『この脆弱性はすでに2026年5月にパッチが提供済みでしたが、Microsoft自身は当初、悪用される可能性は低いという評価を下していました。

...

連邦文民行政機関(FCEB)に対する対応期限は7月4日と、KEV追加からわずか3日という異例の短さに設定されています。』

CVE-2026-45659 (KEV Catalog, 07/04)

Gemini解説抜粋　↓

『脆弱性の仕組みと危険性

仕組み: SharePointのデータ処理における欠陥（デシリアライズ処理の不具合）を突いて、悪意のあるプログラムをサーバー上で実行させます。
条件: 管理者権限は不要です。一般的なサイトメンバー権限（読み書き権限）を持つアカウントが1つでも乗っ取られると悪用が成立します。 [1, 2, 3]

』

Jul 8, 2026

企業のIT部門・SOC・CSIRTが優先的に注目すべきサイバーセキュリティニュース上位3件 (7/8付)

プロンプトで「その日のビッグニュース三選」を纏めてもらっている。
以下、サイバーセキュリティ編、Copilot解説　↓

1. Microsoft SharePointのRCE脆弱性が実際に悪用開始（最重要）

概要

Microsoft SharePoint Serverの脆弱性 CVE-2026-45659
CVSS 8.8
認証済みユーザー（Site Member権限）からサーバ上で任意コード実行可能
CISAがKEV（Known Exploited Vulnerabilities）に追加
実際の攻撃が確認済み [cisa.gov], [thehackernews.com], [securityweek.com]

なぜ重要か

SharePointは大企業・官公庁・製造業で広く利用されています。

攻撃者は

低権限アカウント取得
SharePoint侵害ち
Active Directoryへの横展開
ランサムウェア展開

という典型パターンを狙うため、影響範囲が極めて大きいと考えられています。 [dailysecur...review.com], [bleepingcomputer.com]

管理者向け一言

「SharePointパッチ管理状況」は要確認。 [securityweek.com], [bleepingcomputer.com]

2. AIエージェントによる自律型ランサムウェア「JadePuffer」

概要

Sysdigが報告
世界初級とされる「完全自律型AIランサムウェア」
LLMが人間のオペレータなしに

偵察
認証情報収集
横展開
データ破壊
暗号化を実施したと報告 [infosecuri...gazine.com], [dailysecur...review.com]

なぜ重要か

従来は攻撃ツールをAIで作る段階でしたが、

今回はAI自身が攻撃を遂行した点が大きな違いです。 [infosecuri...gazine.com]

「AIを監督する」、「AIエージェントの行動を監視する」というテーマが、既に攻撃側で現実になり始めています。 [infosecuri...gazine.com]

3. CISA・Five EyesがAI高速化攻撃への警戒を強化

概要

Five Eyes各国が警告
AIによって

脆弱性解析
フィッシング作成
攻撃コード生成
侵入手順作成の速度が大幅向上していると指摘 [esecurityplanet.com]

具体例

Prompt Injection悪用
AIブラウザ攻撃
AIを騙すマルウェア
AI生成コンテンツ汚染（GEO Poisoning）

など新しい攻撃手法が急増しています。 [esecurityplanet.com]