独立行政法人 情報処理推進機構（IPA）および一般社団法人 JPCERT コーディネーションセンター（JPCERT/CC）は9月25日、Cookieを用いてHTTPセッションの状態管理を行う場合、さまざまなセキュリティ上の問題が発生する可能性があると「Japan Vulnerability Notes（JVN）」で発表した。CVSSによる最大Base Scoreは6.3。RFC 6265（旧 RFC 2965）では、いわゆるCookieによるHTTPセッションの状態管理の仕組みを規定している。しかし、RFC 6265を実装しているほとんどのWebブラウザでは、HTTPリクエストを通じて設定されるCookieによって、HTTPS接続がバイパスされたり、セッション情報が取得される問題が存在する。JVNでは、この問題の対策には、Cookieに対する新たな同一生成元ポリシーのもとでより安全なCookieの取扱いを規定するために、RFC 6265やRFC 6454の更新が必要としており、また、ワークアラウンドの検討も呼びかけている。
