Last modified: Tue Nov 10 17:12:41 2026 +0900 (JST)
このページの情報を利用される前に、注意書きをお読みください。
スペイン高速鉄道、9か月で2度目の惨事。死者68人のウルダ衝突事故が問う「成功の代償」 (宮野宏樹 / note, 10/30)
Spain train crash: What happened in the 17 minutes before the collision? (euronews.com, 10/29)
After Crash, Spain Asks if Its Train System Is Too Old and Prone to Human Error (NYTimes, 10/29)
》 バイナンス、史上最大の暗号資産ハッキングで「1兆円」被害を公表 出金を一時停止 (Forbes, 10/30)
》 モンゴルのヌムルグ自然保護区において2026年10月8日に発生した草原火災についてのお詫び (KDDI, 10/23)
3. 本火災の経緯ヌムルグ自然保護区内は草丈が高く、路面状況も厳しい環境であることから、モビコムの社員の車両は、国境港湾局の車両による先導および後方支援のもと、安全に留意し、低速にて走行していました。枯草が車両下部に付着し火災が発生することを避けるため、安全管理上、車両は20～30分ごとに停車し、車両に付着した枯草を除去しながら移動していました。
2026年10月8日の移動中、枯草を除去するため停車していた際、モビコムの社員の乗車する車両下部からの発煙を確認しました。
その後、国境港湾局およびモビコムの社員は、当局の指示に基づき消火活動を行いましたが、火が周囲の草に燃え移り、延焼をくい止めることができませんでした。火災はその後、広範囲に拡大しました。なお、車両下部から発煙した具体的な原因や延焼が拡大した要因は関係当局が調査を行っています。
火災発生が懸念されていたのもかかわらず十分な消火設備を準備しなかった、 ということか。
》 VIVANT×サンリオキャラクターズ コラボレーション終了に関するお知らせ (サンリオ, 10/29)。なんでもかんでもコラボすりゃいいってもんじゃないことに、サンリオはそろそろ気づくべき。関連:
》 長射程 AAM 方面。中国の長射程 AAM に対抗するため。
AIM-260。試験中。
Pentagon Cuts New AIM-260 Air-To-Air Missile Production Deal, Testing Accelerating (The War Zone, 9/17)。 DeepL AI 訳:
最初のAIM-260がいつ米国軍の装備に導入され始めるかは不明である。2019年にこの計画が初めて公表された際、2022年にミサイルの配備を開始することが目標として掲げられていた。(中略) このミサイルが初めて公に公開されたのは今年5月になってからである。前述のサイズ要件や、新型ミサイルがAIM-120よりも大幅に長い射程を持つという点以外、詳細は依然として限られている。
Lockheed Martin and Department of War to Accelerate Air Dominance Missile Production Under New Agreement (Lockheed Martin, 9/17)。DeepL AI 訳:
グローバルな抑止力： オーストラリアは先ごろ、オーストラリア空軍にJATMを配備するため、約7億3600万ドルの投資を行うと発表した。この合意は、オーストラリアの制空力を強化し、相互運用性を高め、米国およびその同盟国の安全保障を支える確固たる抑止力をもたらすものである。
AIM-260 JATM Missile Spotted On Australian Super Hornet (The War Zone, 10/1)。オーストラリアの F/A-18 でテストしている様子が確認された。
AIM-174B Gunslinger (空中発射型 SM-6)。運用中。見るからに巨大。
AIM-424 Malice。試験中。
射程の点では、この兵器はAIM-260とAIM-174B「ガンスリンガー」の中間に位置し、後者に近いと考えられます。また、このミサイルはレイセオン社によって製造されていることも分かっています。
Air Force Long Range Weapon (AFLRW)。 構想段階? 射程 > 1000NM ?!
空中および地上の目標を、少なくとも1,000海里の距離から攻撃できる能力を備えたAFRLWは、その性能においてAIM-174Bを遥かに凌ぐものとなるでしょう。
太平洋地域には、こうした射程範囲が具体的にどのような意味を持つかをよりよく理解するための実例が数多く存在する。日本の沖縄にある米軍基地と台湾との距離は、およそ390海里である。グアムのアンダーセン空軍基地と台湾との距離は、約1,500海里である。東シナ海や南シナ海の北端上空を飛行するAFLRW搭載機は、適切な標的データさえ入手できれば、中国本土内の標的に対して数百発のミサイルを発射して攻撃することが理論上可能である。AFLRWの射程は、世界中の他の潜在的な紛争地域においても重要な意味を持つだろう。
射程が少なくとも1,000海里の実用的なAFLRWを開発するには何が必要か、また、そのような射程を持つミサイルを搭載できる機体にはどのようなものがあるのかについては、依然として疑問が残っている。ここで留意すべきは、空軍が将来的にB-21レイダー爆撃機が空対空戦闘においてより大きな役割を担う可能性について公に言及しており、その役割には対空ミサイルを満載した「武器運搬機」としての役割も含まれるかもしれないという点である。前述のASALMもまた、主に爆撃機からの運用を想定して開発されたものである。B-21のような爆撃機にとって、AFLRWは、目標地域に到達する数時間前から、空中および地上の脅威に対処するための貴重な自前の手段となるだろう。
中国軍は長射程 AAM 用の大型ステルス戦闘機を開発したっぽいが、 米軍は B-21 でそれをやろうとしている?!
》 【舞台裏】台湾F-16V、強力な機体に足りない「牙」 中国PL-15に対抗する長射程ミサイルが課題 (風傳媒, 10/20)。従来品より長射程化された AIM-120C-8 を 200 発しか保有していない件。
現在任務に就くF-16Vは主としてAIM-120C-5やC-7を搭載し、必要に応じてC-8を組み合わせる形になっているという。
人民解放軍によるグレーゾーンでの活動から偶発的な衝突が起きた場合には対応できるとしても、台湾海峡で高強度の空戦が発生すれば、仮に200発すべてが揃っていたとしても「1、2日で使い切る可能性がある」と、この関係者は懸念する。
日本はどうなんでしたっけ? と思って AI さんに「AIM-120C-8 / AIM-120D-3 export to japan total numbers since 2010」と聞いてみた。
| 承認年月 | ミサイル型式 | 数量（発） | 推定総額 |
|---|---|---|---|
| 2020年11月 | AIM-120C-8 | 32 | 6,300万ドル |
| 2022年7月 | AIM-120C-7 / AIM-120C-8 | 150 | 2億9,300万ドル |
| 2023年12月 | AIM-120C-8 | 120 | 2億2,400万ドル |
| 2025年1月 | AIM-120D-3 / AIM-120C-8 | 1,200 | 36億4,000万ドル |
| 合計（C-8 / D-3 含む） | — | 1,502 | 42億2,000万ドル |
このへん:
【海底のデジタル動脈①】国際通信の99％を支える海底ケーブル 復旧に2〜3週間、作業船の建造費は4倍超に (風傳媒, 10/25)
一方、三井社長は、事業の継続を脅かす構造的な危機についても訴えた。
約10年前に建造された「キズナ」の建造費は100億円弱だったが、現在、同規模の船舶を新たに建造する場合、400億円以上が必要となり、建造費は従来の約4倍に高騰している。
船舶の寿命が約30年とされる中、横浜に配備されている「スバル」は船齢20年を迎えている。今後の更新時期を見据え、巨額の投資資金をいかに確保するかが極めて重要な課題となっている。
船舶の更新費用に加え、深海から細い光ファイバーケーブルを引き揚げ、船上で接続する専門技術者の不足も深刻化している。
【海底のデジタル動脈②】生成AI時代の海底ケーブル 住友電工、伝送容量2倍の「2コア光ファイバ」量産・接続技術を公開 (風傳媒, 10/25)
【海底のデジタル動脈③】海底ケーブルの地政学リスクにどう備える？ NECが語る通信ルートの多様化と経済安全保障 (風傳媒, 10/25)
鹿島氏は「前提として、NECは敷設ルートを自ら決定できる立場ではなく、ケーブルオーナーである顧客が決めたルートの請負業者という役割である」と説明した。
その上で、「しかしながら、お客様の動向を俯瞰すると、これまでよりもさらに多様なルートを選択しようとする動きが明確に見られる」と述べた。
意図的なケーブル切断や、軍事・非軍事的手段を組み合わせた「ハイブリッド脅威」への備えについても、風傳媒記者が質問した。
これに対し、鹿島氏は「海洋調査の初期段階から海底地形や地震多発地帯、地政学的リスクの高いエリアを綿密に分析し、リスクの高い海域を事前に避けるルート提案を行っている」と説明した。
【海底のデジタル動脈④】日本の通信主権はいかに守られたか 海底ケーブルをめぐる外交交渉と150年の技術革新 (風傳媒, 10/26)
【海底のデジタル動脈⑤】2万キロ先の海底ケーブル断線を検知 アンリツが公開した「10メートル分解能」と次世代光ファイバ測定技術 (風傳媒, 10/26)
【海底のデジタル動脈⑥】台湾の生命線「海底ケーブル」に切断リスク 馬祖の教訓から進む衛星通信と罰則強化 (風傳媒, 10/26)
PHP2Shell: Two Unpatched Critical PHP RCE Flaws (CVSS 9.2) Trigger Emergency Security Alert (2026.10.21)
JPCERT/CC 注意喚起が 2026.10.29 付で更新されている。
PHPにおける複数の脆弱性（CVE-2026-109618、CVE-2026-109619）に関する注意喚起 (JPCERT/CC, 2026.10.29 更新)
2026年10月29日までに、本脆弱性を悪用した攻撃活動の調査で、あるファイアウォール製品の特定バージョンに対する侵害の成功を示唆する痕跡を確認したと報告されています。報告によると、攻撃者が対象製品を解析してバージョン別に本脆弱性とLinuxカーネルの権限昇格の脆弱性を組み合わせたエクスプロイトコードを開発していたとのことです。また、侵害した機器を足掛かりとして、内部ネットワークへの横展開が試みられたことを示唆する痕跡も確認されたとしています。
Dream
Chained PHP2Shell Exploit Roots 25 Servers, including US Government Servers
https://dreamgroup.com/blog/chained-php2shell-exploit-roots-25-serversまた、一部の製品ベンダーも、本脆弱性を悪用する攻撃を観測したとして、セキュリティアドバイザリを更新しています。今後も、PHPを組み込んださまざまな製品を標的とする実証コードの開発や、本脆弱性を悪用した攻撃が拡大する可能性があります。PHPを組み込んだ製品の管理者は、使用している製品が本脆弱性の影響を受けるか、当該製品を標的とする攻撃や侵害事例が報告されていないかを確認し、必要な対策および侵害調査を速やかに実施することを推奨します。
Chained PHP2Shell Exploit Roots 25 Servers, including US Government Servers (dreamgroup.com, 2026.10.29 更新)
Threat Brief: Critical Vulnerabilities in PHP: CVE-2026-109618, CVE-2026-109619 (Updated October 29) (Palo Alto Networks Unit42, 2026.10.29 更新)。DeepL AI 訳:
2026年10月29日更新当社のセキュリティアドバイザリで明らかにされたとおり、インターネットに公開されているPAN-OSの管理インターフェースに対して、PHP2Shellの脆弱性が積極的に悪用されています。Dream Researchは、攻撃者がPHP2ShellとLinuxカーネルの権限昇格の脆弱性を組み合わせてルート権限を取得する攻撃キャンペーンを報告しています。Unit 42は、同じ攻撃者が使用したツールを独自に検証し、報告された結果を裏付けました。
セキュリティのベストプラクティスに基づき、デフォルトでは管理インターフェースはインターネットに公開されていません。管理インターフェースへのパブリックインターネットアクセスが有効になっている場合は、直ちに無効にしてください。また、管理アクセスを信頼できる内部IPアドレスに制限し、PHP2Shellに対処する利用可能なPAN-OSの修正プログラムを適用してください。利用可能なパッチを適用済みの顧客には影響はありません。これらの修正プログラムにより、確認されているエクスプロイトチェーンが遮断されます。当社のセキュリティアドバイザリでは、影響を受けるバージョン、パッチの入手可能性、および緩和措置の要件について記載しています。また、セキュリティアドバイザリの「回避策および緩和措置」セクションでは、Advanced Threat Preventionのシグネチャがこの脆弱性に対してどのように対応しているかについても詳しく説明しています。
当社の全世界の導入ベースのうち、インターネットに公開された管理インターフェースが設定されており、影響を受けたのはごくわずかな割合（約0.02％）にすぎません。これらの顧客には、当社のチームから個別に連絡を差し上げています。引き続き調査を進め、新たな情報が入り次第、必要な最新情報をご提供いたします。
》 【政界地獄耳】首相のわがままを隠す作業の失敗 G7オンライン首脳会議欠席問題 (日刊スポーツ, 10/29)
》 So-net、会員データベースへの不正アクセスで会員情報約214万件などが漏えい。一部退会者も含む (Internet Watch, 10/27)
》 VPNがあるのは外から分かるので狙われる。パッチ当てはもう自動化するしかない――日本ハッカー協会・杉浦隆幸代表理事が語る、AI時代のランサムウェア対処策 (Internet Watch, 10/29)
》 MicrosoftがEdgeからの移行を妨げるために用いている10のダークパターンが暴露される (やじうま Watch, 10/29)
》 （時時刻刻）３１減案へ、多数派工作 自民、国民民主取り込みに照準 (朝日, 10/29)
■人気取りの議員定数削減、本末転倒 同志社大・武蔵勝宏教授（議会制度論）
(中略)
与党の自民党と日本維新の会は両党とも小選挙区で議席を稼いでいる党で、小選挙区を削減せずに比例区のみを削れば野党にとっては不利となる。党利党略と見られても仕方ない。予算を伴う法案を提出するには衆院で５１議席が必要だが、野党がその議席数に届くことは難しくなる。与党が行政監視機能を果たすことは考えにくく、結果として国会の監視機能は低下する可能性がある。
議員削減 = 小さな声を消す、なのでねえ。 大政翼賛会実現へまた一歩前進。 実際、大阪では既に大政翼賛会が実現してしまっているからなあ。
》 オレシュキ局地停戦 (10/27 03:00〜11/1 22:59)
ロシア占領下のウクライナ南部で局地的な停戦発効、メラニア米大統領夫人の発表から4日 (BBC, 10/27)
ウクライナ南部の局地的な停戦、ヘルソン州全域に拡大と当局者 (BBC, 10/28)
この停戦下ではオレシュキへの人道支援物資の搬入が行われ、その後、退去を希望する人々を対象とした避難が30日に予定されている。
オレシュキ自体には推定1700～200人が残っており、周辺地域にはさらに数千人が避難しているという。
多くの住民は生き延びるため、庭の雑草などを調理して食べているという。BBCに対し、極度の飢餓に苦しんでおり、この地を離れたいと話した。
今回の停戦は、29日にも市内に物資を搬入できるよう道路から地雷を除去すること、そして30日に予定されている避難において住民が安全に脱出できるようにすることを目的としている。
》 ２４式対空電子戦装置の開発 (三菱電機)。メーサー砲ではありません。
》 航空自衛隊の新ミサイルが狙うのは“電波”!? これまでにない新装備を導入するワケ (乗りものニュース, 10/19)。 AGM-88G AARGM-ER。発射母機は、現状では F-35 ですか。
》 戦闘機のミサイルを地上から撃つ!? 空自の防空システムが異例の「二刀流」化 その改修の狙いは (乗りものニュース, 10/6)。基地防空用SAM。 AAM-5B を塔載可能にするそうで。
防衛力の変革に向けた予算 令和９年度概算要求の概要 (防衛省)。p.18 ですね。
基地防空用ＳＡＭのＡＡＭ－５Ｂ発射に係る改修(事項要求)
空対空ミサイルを空自基地防空用ＳＡＭから発射可能とする改修を実施
対ドローン用迎撃車両も開発するそうで。
ドローン・スウォーム攻撃等対処能力の強化
○ 近距離対空システム（ＣＲＡＤＳ）の開発(事項要求)
誘導弾、機関砲、レーザーを組み合わせ、低コストかつ大量投入可能な無人航空機を含む
各種経空脅威に効率的に対処可能な陸自近距離対空システムを開発
※ＣＲＡＤＳ：Close Range Air Defense System
ポンチ絵としては2台の装輪車両が描かれている。 1台に「誘導弾、機関砲、レーザー」全部載せするわけではなさそう。
装甲車両に APS を追加するとか、 歩兵用の対ドローン装備とか、そういうものはないっぽい。
》 戦闘機用ミサイル、日本に生産拠点新設へ 日米防衛相が合意 (日経, 10/28)。AIM-120 AMRAAM の件。 F-35 には既存の国産 AAM (AAM-4, AAM-5) は積めないので、 AMRAAM を国産化するのはとても重要。
関連: 空対空ミサイルAIM-120（AMRAAM）の日米共同生産への参画について (三菱電機, 4/28)
》 「IDCFクラウド」が不正アクセスの調査結果公開、データ流出は「ありませんでした」 (Internet Watch, 10/29)
外部のセキュリティ専門企業と連携し、影響範囲や侵入経路などについて調査を行った結果、原因は同サービスで採用しているオープンソースソフトウェア（利用者が仮想サーバーの起動や請求情報の確認などに利用する「IDCFクラウドポータル」の認証システムで使用していたもの）の脆弱性を悪用されたことだとしている。
関連:
クラウドの「中枢」を奪われたら何が起きる？ 495社の仮想サーバを止めたIDCFランサムウェア攻撃の全容 (@IT, 10/29)
なお、脆弱性を悪用されたOSSについて、IDCフロンティア側から具体的な言及はないものの、SNSでは、IaaS（Infrastructure as a Service）環境の構築や管理に利用されるOSS「Apache CloudStack」だったのではないかという見方もあった。
これについてホワイトハッカーとして活動するレオンテクノロジーの守井浩司氏（代表取締役社長）に聞いたところ、「ソフトウェア名や脆弱性は公表されていないので推測になるが、類似のものとしては、OSSの認証・認可・ID管理を実施する『Keycloak』というOSSが存在し、2026年8月にCVE-2026-18963と呼ばれる脆弱性が公開されていた。これは攻撃者がパスワード回復プロセスの電子メール検証ステップをバイパスして、あらゆるユーザーアカウントに完全にアクセスできるようになる脆弱性だ。IDCフロンティアへの攻撃では攻撃者がIDCFクラウドポータルの認証システムに侵入後、管理コンソールを経由して仮想化基盤の管理者権限を不正に取得したと記載されている。そのため、当該脆弱性のように管理者のアカウントを窃取するような脆弱性を悪用したケースが考えられる」とコメントがあった。
Keycloak および Red Hat Build of Keycloak 製品におけるパスワードリセット処理の脆弱性(CVE-2026-18963)について (NEC, 2026.09.01)
パスワードリセット機能が有効になっているレルムについては、該当脆弱性の影響を受けます。
悪用された場合、パスワードリセットメールによる確認プロセスを経ずに対象ユーザーのパスワードを変更され、アカウントを不正に乗っ取られる可能性があります。
CVE-2026-18963 (Red Hat, 2026.08.20)。DeepL AI 訳:
軽減策直ちにアップグレードできない場合は、すべてのレルムで「パスワードを忘れた場合」の機能を無効にすることで、一時的な対策とすることができます。
RHBK 管理コンソールで、次の場所に移動します：
「レルム設定」→「ログイン」→「パスワードを忘れた場合」→「オフ」
この設定をすべてのレルムに適用します。
できるだけ早く修正版にアップグレードしてください。
軽減策も実施しなかったという話なのか、実施したけど駄目だったのか。 それとも、そもそも Keycloak ではなかったのか。
Keycloak 26.7.2 released (Keycloak, 2026.08.19)
「Sophos UTM」に深刻なRCE脆弱性 - EOLで手動パッチ必要 (Security NEXT, 2026.10.29)。 Sophos UTM に無認証 RCE 可能な欠陥。 サポート終了済だが patch が提供されている。 Sophos Firewall への移行が推奨されている。
Sophos UTM: RPM patch for SMTP vulnerability (CVE-2026-118633) (Sophos, 2026.10.29)。 Sophos UTM を最終版 (9.724) に更新し、その後、文書に示されている patch を適用。 適用後にサービスを再起動する。
Retirement calendar for Sophos SG UTM, Sophos Firewall, Sophos Wireless, Sophos RED, and other network products (Sophos, 2026.09.24)
PHPのRCE脆弱性(Critical: CVE-2026-115560) (SIOS, 2026.10.24)。patch はまだない。 session.upload_progress.enabled=0 を設定することで回避できる。
すっかり忘れてた。
CVE-2026-99999（PwnEscape）の対応状況まとめ (k2_naka / quiita, 2026.10.24更新)。対応カーネル未提供のディストリもあるのですね。
Linuxカーネルの深刻な脆弱性「PwnEscape」（CVE-2026-99999）、ゲストの仮想マシンからホスト側Linux OSに不正なコードを実行できる可能性 (publickey, 2026.10.18)
【重要】Linuxカーネルの脆弱性（CVE-2026-99999）に関する当社サービスへの影響について（2026年10月23日18:00追記） (さくらインターネット, 2026.10.16)。2026.10.23 現在でも「一部機能については引き続き停止しています」。
Linuxカーネル脆弱性「CVE-2026-99999」発見の背景が明らかに ―きっかけは賞金総額100万ドルの“サンドボックス脱出チャレンジ” (gihyo.jp, 2026.10.20)
なお、この脆弱性に「CVE-2026-99999」という印象的な識別番号が割り当てられたのは偶然ではなく、その影響の大きさとKVM脱出のための新しい攻撃対象領域を発見したことで、Linuxメンテナーから特別な番号をつけることを提案された、とpwn.aiのエンジニアであるPaulos Yibelo氏が明かしている。
PwnEscape: Guest-to-Host KVM Escape (CVE-2026-99999) (pwn.ai)
KEV で CVE-2026-99999 を検索 (CISA)。まだ登録されてないっぽい。
》 「1Password for Agents」が発表、AIエージェントにパスワードを見せずにサインインさせられる (窓の杜, 10/23)
》 Windows 11、IPv6専用ネットワークでもIPv4アプリが使える「CLAT」に対応へ (窓の杜, 10/23)。というか、まだ対応してなかったんですね。
》 OpenAI、フロンティアモデルの学習中はインターネットに接続させない方針 学習中のAIが隔離環境を抜け出した件も公表 (ITmedia, 10/26)
》 安全性懸念したオープンAIの研究者、解雇の内幕 (Wall Street Journal, 10/23)。
3人は、自分たちの解雇が、独立した第三者による監視の経路をオープンAIが閉ざす口実として利用されることを懸念していると述べた。
》 CyberStrikeAI Uses 44 AI Agents to Automate Hacking Operations Against Japan Targets (The Hacker News, 10/27)
》 Keystone to Destroy 18,835 Hardware Wallets After Hackers Steal Device Verification Key (The Hacker News, 10/27)
》 U.S. Warns Gulf of Possible Short, Intense Renewal of Iran War After Midterms (Wall Street Journal, 10/27)。ほんとにやる気なんですかねえ。
関連: Iran in ‘Advanced Stages’ of Planning Attacks Against Americans, Officials Say (NYTimes, 10/23)
》 マイクロソフト、6万人に退職パッケージ提示－AI対応の再編 (Bloomberg / TBS, 10/27)。「6月末時点のマイクロソフト従業員数は22万3000人だった」。約 1/4 を削りたいと。
中国政治の「起き上がりこぼし」失脚 習氏の切迫感の表れか (Wall Street Journal, 10/22)。「習近平氏は1年後、指導部を再び大幅に入れ替える見通しだ」。えぇっまたなの?! 感。
中国「失われた世代」経済低迷で燃え尽き (Wall Street Journal, 10/21)
中国公式統計に疑問の声高まる 政府は経済好調と主張 より深刻な現実を覆い隠しているとのエコノミストの指摘増える (Wall Street Journal, 10/28)
》 エムバペが「毛沢東は独裁者」発言を謝罪、中国企業の契約解除相次ぐ (Forbes, 10/28)。これはさすがに、中国企業スポンサーを持つ人がやっては駄目な奴。
発端となったのは、フランスのサッカー系ポッドキャスト番組『The Bridge』が公開した動画だ。そのなかでエムバペは、自分を題材にしたネットミームで最もおもしろいと思うものについて聞かれた際、自身の顔が合成された画像に触れ、「誰だったかな、確か中国の独裁者だったと思う」と発言した。
エムバペは毛沢東の名前を直接口にはしなかったものの、動画ではその直後にかつての中国の指導者である毛沢東の画像にエムバペの顔を合成した映像が映し出された。
こちらの件:
Why has Mbappe been dropped by two major brands in China? 🤔 In this interview with French show The Bridge, he said the meme of himself that made him laugh most was one of his face on a “Chinese dictator.” This comment has deeply offended Chinese netizens, who have taken issue with the language used and its clear reference to Mao Zedong. Now, Energy drink giant Dongpeng and dairy producer Mengniu have terminated their partnerships with the footballer. #China #FranceFootball #mbappe
— PixelPizzazz (@pixelpizzazzCN) October 27, 2026
セキュリティ修正を含みます。0-day はなさそう。
About the security content of iOS 27.2 and iPadOS 27.2 (Apple, 2026.10.26)
About the security content of iOS 26.7.2 and iPadOS 26.7.2 (Apple, 2026.10.26)
Tailworm - we have zero-trust in our infrastructure (2026.10.27)
修正版が出ました。
Tailscale SSH: Findings and fixes (Tailscale, 2026.10.28)。Tailscale v1.104.4 で対応。
The eMudhra CA Keys Anyone Could Calculate (2026.10.21)
関連:
Protecting Chrome and Android Users from Compromised eMudhra Intermediate CA Certificates (Google, 2026.10.20)。DeepL AI 訳:
CRLSetの更新を利用していないChromeルートストアの他の利用者に対応するため、ChromeルートストアからemSign ECC Root CA - G3（侵害されたCA証明書に署名したルート証明書）も削除しました。その結果、このルートにチェーンされている一部の正当な証明書は Chrome で機能しなくなりますが、eMudhra は影響を受ける加入者と協力し、顧客が影響を受けるルートから移行できるよう取り組むことを約束しています。このルートの削除は、Chrome ルートストアに依存しているすべてのデバイスに対して、2026年10月27日（火）午前（PDT）にリリースされる予定であり、Chrome Canary や Chrome Beta などのプレリリースチャネルではそれより早く適用される見込みです。機能障害を回避するため、「emSign ECC Root CA - G3」にチェーンする証明書を使用しているウェブサイト運営者は、直ちに Chromeルートストアに含まれる別のPKI階層から新しいTLS証明書を取得し、インストールする必要があります。
PHPの影に隠れたもう一つの重大インシデント「eMudhra」の証明書問題、どう対処すれば？ (やじうま Watch, 2026.10.22)
eMudhraの中間CA証明書の秘密鍵の危殆化についてまとめてみた (piyolog, 2026.10.23)
Microsoft、Windows 10/11に定例外パッチ ～「eMudhra」の証明書問題に対処か 証明書信頼リスト（CTL）を自動で更新できない環境が対象 (窓の杜, 2026.10.27)。「「Microsoft Update カタログ」から入手できる」。
CTLの自動更新は、既定で有効。そのため、最新のCTLを通常どおり取得できている一般的な環境であれば、 今回のOOB更新を追加で適用する必要はない 。
適用の必要がある具体例として、同社は以下のようなデバイスを挙げている。
- ネットワークから切り離された環境にあるデバイス
- Microsoftの証明書更新サービスにアクセスできないデバイス
- CTLの自動更新が無効化されているデバイス
「Oracle Java SE」にまた緊急のセキュリティアラート ～「eMudhra」問題への対策 (窓の杜, 2026.10.27)
Oracle Java SE
・8u511-b32（→ 8u511-b33）
・8u511-perf-b32
・11.0.33.0.2（→ 11.0.33.0.3）
・17.0.21.0.2（→ 17.0.21.0.3）
・21.0.13.0.2（→ 21.0.13.0.3）
・25.0.5.0.2（→ 25.0.5.0.3）
・27.0.1.0.2（→ 27.0.1.0.3）
Oracle GraalVM for JDK
・17.0.21.0.2
・21.0.13.0.2
Oracle GraalVM Enterprise Edition
・21.3.20.0.2
iOS / iPadOS 26.7.1、macOS 26.7.1 / 15.8.1 公開 (0-day) (2026.09.28)
iOS / iPadOS 18.7 系列用の更新が出ました。 約 1 か月遅れ。
About the security content of iOS 18.7.11 and iPadOS 18.7.11 (Apple, 2026.10.26)。 CoreGraphics CVE-2026-86950 の他に、 Audio CVE-2026-65339 と CoreMedia CVE-2026-86990 を修正。
Googleの圧縮形式「Brotli」に深刻な脆弱性「HTTP2Shell」、Web関連に幅広く影響【16時40分追記】 (窓の杜, 2026.10.26)。Content-Encoding: br で使われている Brotli の C 言語実装に欠陥があったそうで。
この問題は、10月21日にリリースされた「Brotli」v1.0.10、v1.1.1、v1.2.1で対策済み。以下のプログラムにも対策版が組み込まれているとのこと。
また、同じC言語のソースコードからビルドされている「Python」のパッケージ「Brotli」と「brotlicffi」も影響を受けるとして、それぞれ対策版のv1.2.1、v1.2.1.0がリリースされている。
- Node.js：v22.23.4、v24.22.1、v26.12.1
- Git for Windows：v2.56.0.windows.4
- Bun：v1.4.4
- Envoy Proxy：v1.40.0、v1.39.3、v1.38.6、v1.37.8
- Istio：v1.29.9、v1.30.6、v1.31.2（1.29系列はサポート終了済みのため、1.30以降への移行を推奨）
(中略)
［2026年10月26日16時40分編集部追記］ 「Git for Windows」にも「CVE-2026-111497」の対策を施したv2.56.0.windows.4がリリースされたため、追記しました。
BrotliのC言語実装における境界外書き込みの脆弱性（CVE-2026-111497）に関する注意喚起 (JPCERT/CC, 2026.10.26)
Updated PHP Windows builds for Brotli security fix (PHP, 2026.10.26)。 PHP 8.5.12-1 / 8.4.27-1 / 8.3.36-1 / 8.2.35-1 公開。 DeepL AI 訳:
Windows 版 PHP では、HTTP レスポンスの自動解凍が有効になっている場合、 cURL 拡張機能を通じて、この脆弱性のあるデコーダにアクセスされる可能性があります。 cURL ではデフォルトでこの機能は無効になっていますが、アプリケーションや HTTP クライアント ライブラリによって有効化される可能性があります。
Google: CVE-2026-111497 Buffer overflow vulnerability in the Brotli decoder CVE-2026-111497 (Microsoft, 2026.11.02 更新)。Microsoft 方面でも、いろいろ影響があるのですね。
「PHP2Shell」「Brotli」「eMudhra」の3問題、Microsoftが“今すぐパッチを” (窓の杜, 2026.11.02)
Apple 方面:
「Apache Tomcat」に最大深刻度“CRITICAL”の脆弱性 ～v9 / v10 / v11系統に修正版 (窓の杜, 2026.10.22)。Tomcat 9.0.123 / 10.1.61 / 11.0.27 。
Microsoft Authenticator Flaw Let Permissionless Android Apps Steal Work Account Tokens (The Hacker News, 2026.10.27)。DeepL AI 訳:
マイクロソフトはこの脆弱性をCVE-2026-80097として追跡しており、Android版「Authenticator」バージョン6.2606.4246で修正済みです。そのため、このアプリをご利用の方は、アップデートを行う必要があります。
Microsoft Authenticator Elevation of Privilege Vulnerability CVE-2026-80097 (Microsoft, 2026.09.15 更新)
AuthMask: We Made Microsoft Authenticator Hand Over Tokens to an App With Zero Permissions (enclave, 2026.10.23)
》 NSD 4.15.4 released (NLnetLabs, 10/21)。 https://nlnetlabs.nl/projects/nsd/security-advisories/ に記述は無いので、 セキュリティ修正は無いようです。
》 イラン「影のタンカー」船団、米封鎖の数カ月で原油枯渇 (Wall Street Journal, 10/22)
洋上備蓄は、米国の制裁にもかかわらず、主要な顧客である中国に石油を届けるためにイランが長年にわたって構築してきた精巧なシステムの一部だった。
イランに関連するタンカーは、中国の製油所に石油を直接送る代わりに、マレーシアやシンガポールの沖合に原油を運んだ。その後、別のタンカーに石油を移し替え、それが中国の製油所に輸送された。
現在、その洋上備蓄は消失している。データ分析会社ケプラーのアナリストによると、米海軍による封鎖でイランが通常中国の製油所に販売している原油を補充できなくなったため、10月中旬までに備蓄は完全に底をついた。
》 ウクライナ地下で激戦、ソ連時代のパイプライン内部 (Wall Street Journal, 10/23)
Tailscale に欠陥があり、設定次第では「1台ヤラれると自動的に全台ヤラれる」ような事態になりかねない、という指摘のようです。 DeepL AI 訳:
初期侵入がどのように起こり得るか。 クラス1では、攻撃者がすでに1台のデバイス上で足場を築いていることを前提としています。(中略) 今回の調査結果によると、メッシュは、 1つの通常の足場を、マシン速度でフリート全体にわたる特権アクセスへと変換してしまうことが判明しました。これは、デバイス間のパスが、エンドポイントを信頼していると仮定したポリシーによって許可される一方で、エージェントの特権操作には、特権のないセッションからもアクセス可能であるためです。
デフォルト設定における実用上のリスク。 Tailscale SSHが有効になっている場合（ノードごとのオプトイン、多くの場合フリート全体で適用）：1つのアカウントが侵害されると、他のサーバーのroot権限に到達し（クラス1）、デフォルトの（Tailnet-Lockが無効な）設定では、攻撃者のマシンに正当なタグ付きサーバーとして参加し、ルートが自動的に承認されてしまいます。アプリコネクタが設定されている場合：ポリシーを迂回してクラウドの認証情報やKubernetesサービスにアクセスされる（クラス2）。セルフホスト型でインターネットからアクセス可能な Headscaleを使用している場合：認証不要のクラッシュループおよびオンボーディングのロックアウト（クラス3）。敵対的なリレーを指し示しているクライアント：エージェントの枯渇（クラス4）。「serve forward」が設定されたノード：リモート管理APIの露出（クラス5）。
ワーム化の可能性。 実験室での測定結果：ポリシーによって許可されたTailscale SSHとクラス1の脆弱性を組み合わせることで、ポリシーが許可するすべてのデバイスへの自動的な拡散が可能となる――パスワードも、盗まれた鍵も、ユーザーの操作も不要で、1ホップあたり1秒未満で完了する。2つの構造的な制限が機能した：ペアごとのアクセス許可が拡散を制限し（これを阻止した唯一の制御手段）、ハードウェアに紐づくデバイス認証情報（TPM/Secure Enclave）が、侵害の持続を招くID盗用を防止した。その他の制御手段は、拡散そのものではなく、可視化の速度に影響を与えたに過ぎない。
修正版はまだ準備中。Tailscale は「テストが順調に完了すれば、10月27日（火）の終わりまでにリリースする予定」と言っている (タイムゾーン不明)。
緩和策として、発見者が示しているのは:
影響の大きい順に並べた緩和策。 (1) ペアごとのSSH許可 — 識別子全体やタグ全体を対象とする許可ルールは絶対に設定しない。(2) SSH フォワーディングを無効化：SaaS では、ルールごとのフォワーディングフィールドを false に設定する。headscale v0.29.5 ではフォワーディングを無効化できない (後略、(7)まである)
アクセス制御を細かく (ペア毎に) やれ、SSH フォワーディングを無効化しろと。 アクセス制御がザルだと全台ヤラれると。
Tailscale オフィシャルな緩和策は、Tailscale SSH: Investigation and remediation update (Tailscale, 2026.10.26 更新) によると:
SSHアクセスポリシーを見直してください。 アクセスは、それを必要とするユーザーおよびデバイスに限定されていることを確認してください。
必要がない場合は、SSHフォワーディングを無効にしてください。 tailscaled サービスの環境変数で TS_SSH_DISABLE_FORWARDING=1 を設定し、サービスを再起動してください。これにより、Tailscale SSH を完全に無効にすることなく SSH フォワーディングを無効にでき、より深刻な問題点のいくつかを軽減できます。
(後略)
TS_SSH_DISABLE_FORWARDING=1 は隠しオプションなんですかね? とりあえず、修正版が出るまでは、これを設定しておいた方がよさげ。
修正版が出ました。
Tailscale SSH: Findings and fixes (Tailscale, 2026.10.28)。Tailscale v1.104.4 で対応。
なんかいろいろ出てたんですね。
Changelog: BIND 9.20.30 (ISC / readthedocs.io)。セキュリティ修正 4 件を含む。
Unboundの脆弱性情報が公開されました（CVE-2026-97206、他4件） (JPRS, 2026.10.23)。Unbound 1.26.2 で修正。
Knot DNSの脆弱性情報が公開されました (JPRS, 2026.10.22)。 Knot DNS 3.6.2 / 3.5.10 で修正。 「These are security bug fix versions」とされているのだが、 ChangeLog (3.6.2 / 3.5.10) には security という分類が無いんだよなあ。
Knot Resolverの脆弱性情報が公開されました (JPRS, 2026.10.27)。 2026.10.22 公開の Knot Resolver 6.5.1 で修正。
- fix crash when forwarding - DoS via NULL deref Reporters: Yuqi Qiu and Xiang Li, Nankai University (AOSP Lab). - fix crash or loop - DoS Reporters: Joshua from AISLE - exhaustion of ports for outgoing TCP - DoS The attack only worked if /network/out-interface-* was configured. Reporters: Jonathan Horovitz, Yehuda Afek, and Anat Bremler-Barr from Tel Aviv University.
PowerDNS Recursorの脆弱性情報が公開されました（CVE-2026-73206、他6件） (JPRS, 2026.10.23)。PowerDNS Recursor 5.3.12 / 5.4.8 で修正。
PowerDNS Authoritative Serverの脆弱性情報が公開されました（CVE-2026-73206） (JPRS, 2026.10.23)。 PowerDNS Authoritative Server 4.9.18 / 5.0.8 / 5.1.5 で修正。
》 AIバブル崩壊寸前、流動性の「枯渇」を警告する7つのサイン (Forbes, 10/24)
》 ドローン護衛とハリネズミ装甲 ウクライナ軍が新戦術で戦車を再び最前線に (Forbes, 10/24)。 ハリネズミ装甲 = 対ドローンの空間装甲。
移動中の戦車とブラッドレーには複数のドローンが随伴し、防護している。小型のFPV（一人称視点）ドローンが周囲を飛び、敵ドローンの迎撃にあたっている。(中略)
ドローンによる護衛とハリネズミ装甲を組み合わせることで、さまざまな種類のドローンの脅威に対する多層防御が可能になる。FPVドローンは比較的小型の爆弾しか搭載できないため、装甲車両の最も脆弱な部分、とりわけ無限軌道（キャタピラ）を狙うことが多い。そこに直撃を受けると車両は走行不能になることがあり、そうなれば後続の攻撃で仕留めやすくなる。無限軌道は追加装甲で防護することが難しいため、ウクライナ軍はFPVドローンを用いて、敵ドローンの直撃を受ける前に迎撃しようとしているのかもしれない。
ここまで行くと、旋回砲塔も外して、駆逐戦車スタイルにした方がいいんじゃないのか? という気がしてくる。
》 「Androidのマイナンバーカード」スタート、スマホだけで本人確認が可能に (ケータイ Watch, 10/20)
対応するスマートフォンは、Android 12以降を搭載する機種。独立したハードウェアセキュリティチップ「StrongBox」を搭載している必要があり、StrongBoxを搭載していない機種では、Android 12以降を搭載していても利用できない。従来の電子証明書機能のみに対応する機種ではGoogle ウォレットの券面に「機能限定」と表示される。なお、「機能限定」と表示された端末であっても、マイナポータルへのログインやコンビニ発行といった従来の電子証明書機能は引き続き利用できる。
StrongBox、低価格端末には塔載されていないことが多い模様。
》 【ガザ戦争】イスラエル軍関係者が明かした「民間人虐殺」のシステム…『NAZA』の衝撃度 (ニューズウィーク日本版, 10/23)。うぉっ、無料公開だと?!
関心と反発が高まるなか、アブラハームとショールは『NAZA』を11月に英ガーディアン紙のウェブで無料公開すると発表した（日本では10月24日から劇場公開）。
PHP2Shell: Two Unpatched Critical PHP RCE Flaws (CVSS 9.2) Trigger Emergency Security Alert (2026.10.21)
関連:
CVE-2026-109618 / CVE-2026-109619 patches for end-of-life PHP (7.3 on EL7, 5.4 / 5.3 on Amazon Linux) (GitHub leonlai-tw / php-eol-cve-2026-109618-109619)
Which file do I need?
Your system PHP package source What to use CentOS 7 / RHEL 7 Remi php73 (e.g. php-7.3.33-14.el7.remi) patches/php-7.3.33-remi22-el7-… + build/el7-php73/build.sh Amazon Linux 2 Amazon php-5.4.16-46.amzn2.* patches/php-5.4.16-amzn2-… + build/amazon-linux/build.sh amzn2 Amazon Linux 1 (AMI 2017.03 / 2018.03) Amazon php-5.3.29-1.8.amzn1 patches/php-5.3.29-amzn1-… + build/amazon-linux/build.sh amzn1 Ubuntu / Debian with the Sury PPA, PHP 7.3 / 7.4 / 8.0 / 8.1 deb.sury.org Nothing from here. Upgrade to Sury 7.3.33-35, 7.4.33-31, 8.0.30-25 or 8.1.34-9 (or later). They already contain the fix (debian/patches/*-Avoid-state-corruption-via-bailout.patch), even though their changelogs do not mention the CVEs. Ubuntu 24.04 distro php8.3 Ubuntu archive Upgrade to 8.3.6-0ubuntu0.24.04.13 or later. PHP 8.2 or newer from any source — Upgrade to 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12 or later.
The eMudhra CA Keys Anyone Could Calculate (2026.10.21)
関連:
LibreSSL 4.2.3 / 4.3.4 / 4.4.0 が公開されました。 emSign ECC Root CA - G3 の件が対応されています。 iida さん情報ありがとうございます。
Java 方面:
(Open|Oracle)JDK 27.0.1.0.2 等で修正されているそうです。また更新できない場合は:
- Manually block the impacted certificates. First, download the blocked.certs file for your operating system. There is a version for Windows and a version for other operating systems. Find your local [JDK_HOME]/lib/security/blocked.certs file. If you have already added entries to this file, we recommend creating a backup and re-adding those entries to the new file. Replace the blocked.certs file with the downloaded version. For Java 8, rename "blocked.certs" to "blacklisted.certs"; the file location is the same.
- Enable revocation checking for your application. For applications using TLS, add: -Dcom.sun.net.ssl.checkRevocation=true -Dcom.sun.security.enableCRLDP=true to your command line. To validate signed JARs with JDK 17 and later use jarsigner -verify -revcheck -strict [SIGNED_JAR]
「Node.js」にセキュリティ更新 ～10件の脆弱性を修正、「eMudhra」の侵害にも対応 v22.23.4、v24.22.1、v26.12.1が公開 (窓の杜, 2026.10.22)
「Python 3.15.1」などが前倒しで公開、認証局「eMudhra」の侵害に対処 「Python 3.14.9」「Python 3.13.17」も同時リリース (窓の杜, 2026.10.22)
あとこちら:
eMudhra to Exit global SSL/TLS Certificate Business (eMudhra, 2026.10.22)。証明書事業から撤退すると。 DeepL AI 訳:
取締役会は綿密な審議を経て、グローバルなSSL/TLS事業からの撤退がeMudhraおよびその株主にとって正しい決断であると結論づけました。多くの認証機関にとって、SSL/TLSは事業のすべてです。一方、eMudhraにとっては、はるかに広範なデジタルソリューション・ポートフォリオの一部に過ぎません。
お客様にとってスムーズな移行
G1 RSAのルート証明書は、この移行が完了するまで引き続きお客様にサービスを提供します。当社は、ブラウザプログラムおよびお客様と連携し、この移行を実現するために取り組んでまいります。eMudhraは、影響を受けるお客様に対し、移行期間中、パートナーを通じて証明書を無償で交換するようご連絡いたします。失効処理および証明書ステータス確認サービスは、発行済みのすべての証明書が有効期限切れになるか、交換されるまで継続して提供されます。eMudhraは、根本原因に関する詳細な報告書の提出を含め、ブラウザのルートプログラムに対する残りの義務をすべて履行いたします。
PHP2Shell: Two Unpatched Critical PHP RCE Flaws (CVSS 9.2) Trigger Emergency Security Alert (2026.10.21)
関連:
Security advisory: Critical remote code execution vulnerabilities, update now (php.net, 2026.10.21)。 PHP 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35 公開。 2 件の欠陥 CVE-2026-109618 CVE-2026-109619 を修正。回避策は無くはないが効果は限定的な模様。
Today's PHP Security Release, and How We're Strengthening PHP Security (PHP Foundation, 2026.10.21)。興味深い。 DeepL AI 訳:
PHP財団は、PHPプロジェクトをPatch the Planetプログラムに参加させました。その一環として、セキュリティ企業Califが2026年7月30日にPHPの監査を開始しました。8月11日、Califの研究者Ryan A氏は、2024年に私たちが発見したOOM問題と同じ根本原因による無条件のリモートコード実行の脆弱性を報告しました。OpenAIも同日、独立して同じ根本原因を報告し、続いて9月18日にはOpenAIから、8月24日にはWizから、さらなる攻撃ベクトルが報告されました。さらに最近では、Trail of BitsもPHPの監査を行っています。Calif、OpenAI、およびWizからの報告により、OOM問題の全容が明らかとなり、8月11日以降、この問題の修正は、PHP財団のセキュリティ担当チーム全員にとって最優先事項となりました。財団からの資金援助がなければ、複数の人員がこの問題にフルタイムで取り組み、最終的には週末や24時間体制で他の関係者と調整や連絡を行うことは不可能だったでしょう。
で、こうなったと:
PHP2Shell (php2shell.com)
PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet (wiz.io)
Patch the Planet：エージェントによる重大な脆弱性の発見と世界規模の対応連携 (OpenAI, 2026.10.21)
PHPにおける複数の脆弱性（CVE-2026-109618、CVE-2026-109619）に関する注意喚起 (JPCERT/CC, 2026.10.22)
ツイート
さくらインターネットでは、コントロールパネルで選べる過去のPHPについても独自にバックポートし、EOL(サポート終了)を迎えたバージョンにおいても対策を行いました。 その為、お客様で行なって頂くことは特にありませんが、これを機に最新バージョンへのシステムの移行をお願いします。 https://t.co/ZXPXYHGAX1
— 田中邦裕社長＠さくらインターネット (@kunihirotanaka) October 22, 2026
》 太陽光発電がついに全世界の発電量で原子力発電を上回る (gigazine, 10/19)
》 アメリカ国土安全保障省が連邦文民機関に対しDeepSeekの技術を排除するよう命令 (gigazine, 10/20)
》 2026年のデータセンター債は半分近くがジャンク級、3年以内に破綻が相次ぐとの警告も (Forbes, 10/21)
》 ConnectWise Resets Credentials as Cloud Backup Remains Offline After Security Incident (The Hacker News, 10/20)
》 Russian APT28 Breaches NATO Naval Shipbuilder in NATO Country, Deploys New Reflective Loader (The Hacker News, 10/20)
Firefox 158.0 / ESR 153.5.0 / ESR 115.43.0、Thunderbird 158.0 / 153.5.0esr 公開 (2026.10.19)
Firefox 158.0.1 公開。eMudhra の件 対応など。
Firefox 158.0.1、Firefox for Android 158.0.1 がリリースされた (mozillaZine, 2026.10.21)
PHP にヤバい欠陥が 2 件あり、 10月21日14:00（UTC）(= 10/21 23:00 JST。今日の夜中じゃん……) に PHP 8.2〜8.5 について更新版が提供されるそうで。ただし欠陥があるのは PHP 5 以降。 回避方法は示されていない。
日本語でもいろい出てますね。
【事前準備のお願い】PHPのセキュリティリリース公開予定について (IPA, 2026.10.21)
PHPの重大な脆弱性「php2shell」（CVE-2026-109618、CVE-2026-109619）の概要と対応指針 (GMO Flatt Security Blog, 2026.10.21)
関連:
Security advisory: Critical remote code execution vulnerabilities, update now (php.net, 2026.10.21)。 PHP 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35 公開。 2 件の欠陥 CVE-2026-109618 CVE-2026-109619 を修正。回避策は無くはないが効果は限定的な模様。
Today's PHP Security Release, and How We're Strengthening PHP Security (PHP Foundation, 2026.10.21)。興味深い。 DeepL AI 訳:
PHP財団は、PHPプロジェクトをPatch the Planetプログラムに参加させました。その一環として、セキュリティ企業Califが2026年7月30日にPHPの監査を開始しました。8月11日、Califの研究者Ryan A氏は、2024年に私たちが発見したOOM問題と同じ根本原因による無条件のリモートコード実行の脆弱性を報告しました。OpenAIも同日、独立して同じ根本原因を報告し、続いて9月18日にはOpenAIから、8月24日にはWizから、さらなる攻撃ベクトルが報告されました。さらに最近では、Trail of BitsもPHPの監査を行っています。Calif、OpenAI、およびWizからの報告により、OOM問題の全容が明らかとなり、8月11日以降、この問題の修正は、PHP財団のセキュリティ担当チーム全員にとって最優先事項となりました。財団からの資金援助がなければ、複数の人員がこの問題にフルタイムで取り組み、最終的には週末や24時間体制で他の関係者と調整や連絡を行うことは不可能だったでしょう。
で、こうなったと:
PHP2Shell (php2shell.com)
PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet (wiz.io)
Patch the Planet：エージェントによる重大な脆弱性の発見と世界規模の対応連携 (OpenAI, 2026.10.21)
PHPにおける複数の脆弱性（CVE-2026-109618、CVE-2026-109619）に関する注意喚起 (JPCERT/CC, 2026.10.22)
ツイート
さくらインターネットでは、コントロールパネルで選べる過去のPHPについても独自にバックポートし、EOL(サポート終了)を迎えたバージョンにおいても対策を行いました。 その為、お客様で行なって頂くことは特にありませんが、これを機に最新バージョンへのシステムの移行をお願いします。 https://t.co/ZXPXYHGAX1
— 田中邦裕社長＠さくらインターネット (@kunihirotanaka) October 22, 2026
関連:
CVE-2026-109618 / CVE-2026-109619 patches for end-of-life PHP (7.3 on EL7, 5.4 / 5.3 on Amazon Linux) (GitHub leonlai-tw / php-eol-cve-2026-109618-109619)
Which file do I need?
Your system PHP package source What to use CentOS 7 / RHEL 7 Remi php73 (e.g. php-7.3.33-14.el7.remi) patches/php-7.3.33-remi22-el7-… + build/el7-php73/build.sh Amazon Linux 2 Amazon php-5.4.16-46.amzn2.* patches/php-5.4.16-amzn2-… + build/amazon-linux/build.sh amzn2 Amazon Linux 1 (AMI 2017.03 / 2018.03) Amazon php-5.3.29-1.8.amzn1 patches/php-5.3.29-amzn1-… + build/amazon-linux/build.sh amzn1 Ubuntu / Debian with the Sury PPA, PHP 7.3 / 7.4 / 8.0 / 8.1 deb.sury.org Nothing from here. Upgrade to Sury 7.3.33-35, 7.4.33-31, 8.0.30-25 or 8.1.34-9 (or later). They already contain the fix (debian/patches/*-Avoid-state-corruption-via-bailout.patch), even though their changelogs do not mention the CVEs. Ubuntu 24.04 distro php8.3 Ubuntu archive Upgrade to 8.3.6-0ubuntu0.24.04.13 or later. PHP 8.2 or newer from any source — Upgrade to 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12 or later.
JPCERT/CC 注意喚起が 2026.10.29 付で更新されている。
PHPにおける複数の脆弱性（CVE-2026-109618、CVE-2026-109619）に関する注意喚起 (JPCERT/CC, 2026.10.29 更新)
2026年10月29日までに、本脆弱性を悪用した攻撃活動の調査で、あるファイアウォール製品の特定バージョンに対する侵害の成功を示唆する痕跡を確認したと報告されています。報告によると、攻撃者が対象製品を解析してバージョン別に本脆弱性とLinuxカーネルの権限昇格の脆弱性を組み合わせたエクスプロイトコードを開発していたとのことです。また、侵害した機器を足掛かりとして、内部ネットワークへの横展開が試みられたことを示唆する痕跡も確認されたとしています。
Dream
Chained PHP2Shell Exploit Roots 25 Servers, including US Government Servers
https://dreamgroup.com/blog/chained-php2shell-exploit-roots-25-serversまた、一部の製品ベンダーも、本脆弱性を悪用する攻撃を観測したとして、セキュリティアドバイザリを更新しています。今後も、PHPを組み込んださまざまな製品を標的とする実証コードの開発や、本脆弱性を悪用した攻撃が拡大する可能性があります。PHPを組み込んだ製品の管理者は、使用している製品が本脆弱性の影響を受けるか、当該製品を標的とする攻撃や侵害事例が報告されていないかを確認し、必要な対策および侵害調査を速やかに実施することを推奨します。
Chained PHP2Shell Exploit Roots 25 Servers, including US Government Servers (dreamgroup.com, 2026.10.29 更新)
Threat Brief: Critical Vulnerabilities in PHP: CVE-2026-109618, CVE-2026-109619 (Updated October 29) (Palo Alto Networks Unit42, 2026.10.29 更新)。DeepL AI 訳:
2026年10月29日更新当社のセキュリティアドバイザリで明らかにされたとおり、インターネットに公開されているPAN-OSの管理インターフェースに対して、PHP2Shellの脆弱性が積極的に悪用されています。Dream Researchは、攻撃者がPHP2ShellとLinuxカーネルの権限昇格の脆弱性を組み合わせてルート権限を取得する攻撃キャンペーンを報告しています。Unit 42は、同じ攻撃者が使用したツールを独自に検証し、報告された結果を裏付けました。
セキュリティのベストプラクティスに基づき、デフォルトでは管理インターフェースはインターネットに公開されていません。管理インターフェースへのパブリックインターネットアクセスが有効になっている場合は、直ちに無効にしてください。また、管理アクセスを信頼できる内部IPアドレスに制限し、PHP2Shellに対処する利用可能なPAN-OSの修正プログラムを適用してください。利用可能なパッチを適用済みの顧客には影響はありません。これらの修正プログラムにより、確認されているエクスプロイトチェーンが遮断されます。当社のセキュリティアドバイザリでは、影響を受けるバージョン、パッチの入手可能性、および緩和措置の要件について記載しています。また、セキュリティアドバイザリの「回避策および緩和措置」セクションでは、Advanced Threat Preventionのシグネチャがこの脆弱性に対してどのように対応しているかについても詳しく説明しています。
当社の全世界の導入ベースのうち、インターネットに公開された管理インターフェースが設定されており、影響を受けたのはごくわずかな割合（約0.02％）にすぎません。これらの顧客には、当社のチームから個別に連絡を差し上げています。引き続き調査を進め、新たな情報が入り次第、必要な最新情報をご提供いたします。
Wayne 氏の指摘により、インド eMudhra が運営する emSign ECC Root CA - G3 に連なる中間証明書 8 個 (TLS 用 x 6、コード署名用 x 2。2025.04.30 に作成) のプライベート鍵が、なんと 4 とか 115 とかいう超ショボいものだったことが判明。 問題の中間証明書 8 個を失効するだけでなく、emSign ECC Root CA - G3 ルート証明書そのものを削除する動きになっている。 また Sectigo が問題の中間証明書にクロス署名していたが、これも失効された。
ショボい鍵が生成された原因は、 生成に使用した Utimaco 製 HSM (Hardware Security Module) にではなく、 生成に使用したスクリプトにあった模様。
Private key compromise of eMudhra Intermediate Certificates (Mozilla)。 KGC (Key Generation Ceremony) スクリプトに問題があったという 予備的評価が得られたそうで。
We have done some preliminary assessment, there appears to be a flaw in the KGC script that was used on that specific day to create these ECC issuers. As for these ECC keys, our review of the KGC, assessment of the code and view of HSM keys so far indicate that a) a set of original ECC keys were created onboard as expected b) an approved deviation to our usual KGC to test a wrap/unwrap was introduced as these keys were meant for export for this instance c) a flaw in the code resulted in the second pair of keys being created onboard which were weaker d) these second pair of weaker keys were used by mistake to create the csr (because the key labels were similar) and signed by our root e) the CSR from these weaker keys were also sent over to Sectigo for cross signing (we verified the files sent over to Sectigo)
Private key compromise of eMudhra Intermediate Certificates (Mozilla) が一次情報源。Wayne 氏の指摘もこちらで読める。
Chrome, Firefox, Apple 製デバイスは対応済。 しかしそれだけでなく、 curl, Go, Python, Node.js などさまざまなモジュールの更新が必要。 (Node.js はまだ修正されていない)
CA certificates extracted from Mozilla (curl)。2026-10-20 で対応した模様。
Go 1.27.3 and Go 1.26.10 are released for CA certificate removal (oss-sec ML, 2026.10.20)
CVE-2026-113812: Mozilla::CA versions before 20261020 for Perl provide a CA certificate bundle containing a root linked to compromised intermediates (oss-sec ML, 2026.10.20)
NSS 3.131.1 Release - Important Security Updates (dev-tech-crypto@mozilla.org, 2026.10.20)。 削除されたのは emSign ECC Root CA - G3 だけじゃない。
This release removes trust in the following root certificates:
- Bug 2083709 - emSign Root CA - C1
- Bug 2083709 - emSign ECC Root CA - C3
- Bug 2084101 - emSign ECC Root CA - G3
Python certifi 2026.10.19 (pypi.org)
Bump rustls-webpki to 0.103.16 / webpki-roots to 1.0.10 for the eMudhra intermediate CA compromise #1699 (GitHub)。Rust rustls-webpki 0.103.16 および webpki-roots 1.0.10 で対応。
uv 0.13.4 (GitHub)
関連:
LibreSSL 4.2.3 / 4.3.4 / 4.4.0 が公開されました。 emSign ECC Root CA - G3 の件が対応されています。 iida さん情報ありがとうございます。
Java 方面:
(Open|Oracle)JDK 27.0.1.0.2 等で修正されているそうです。また更新できない場合は:
Manually block the impacted certificates. First, download the blocked.certs file for your operating system. There is a version for Windows and a version for other operating systems. Find your local [JDK_HOME]/lib/security/blocked.certs file. If you have already added entries to this file, we recommend creating a backup and re-adding those entries to the new file. Replace the blocked.certs file with the downloaded version. For Java 8, rename "blocked.certs" to "blacklisted.certs"; the file location is the same.
Enable revocation checking for your application. For applications using TLS, add: -Dcom.sun.net.ssl.checkRevocation=true -Dcom.sun.security.enableCRLDP=true to your command line. To validate signed JARs with JDK 17 and later use jarsigner -verify -revcheck -strict [SIGNED_JAR]
「Node.js」にセキュリティ更新 ～10件の脆弱性を修正、「eMudhra」の侵害にも対応 v22.23.4、v24.22.1、v26.12.1が公開 (窓の杜, 2026.10.22)
「Python 3.15.1」などが前倒しで公開、認証局「eMudhra」の侵害に対処 「Python 3.14.9」「Python 3.13.17」も同時リリース (窓の杜, 2026.10.22)
CVE-2026-109618 / CVE-2026-109619 patches for end-of-life PHP (7.3 on EL7, 5.4 / 5.3 on Amazon Linux) (GitHub leonlai-tw / php-eol-cve-2026-109618-109619)
Which file do I need?
Your system PHP package source What to use CentOS 7 / RHEL 7 Remi php73 (e.g. php-7.3.33-14.el7.remi) patches/php-7.3.33-remi22-el7-… + build/el7-php73/build.sh Amazon Linux 2 Amazon php-5.4.16-46.amzn2.* patches/php-5.4.16-amzn2-… + build/amazon-linux/build.sh amzn2 Amazon Linux 1 (AMI 2017.03 / 2018.03) Amazon php-5.3.29-1.8.amzn1 patches/php-5.3.29-amzn1-… + build/amazon-linux/build.sh amzn1 Ubuntu / Debian with the Sury PPA, PHP 7.3 / 7.4 / 8.0 / 8.1 deb.sury.org Nothing from here. Upgrade to Sury 7.3.33-35, 7.4.33-31, 8.0.30-25 or 8.1.34-9 (or later). They already contain the fix (debian/patches/*-Avoid-state-corruption-via-bailout.patch), even though their changelogs do not mention the CVEs. Ubuntu 24.04 distro php8.3 Ubuntu archive Upgrade to 8.3.6-0ubuntu0.24.04.13 or later. PHP 8.2 or newer from any source — Upgrade to 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12 or later.
あとこちら:
eMudhra to Exit global SSL/TLS Certificate Business (eMudhra, 2026.10.22)。証明書事業から撤退すると。 DeepL AI 訳:
取締役会は綿密な審議を経て、グローバルなSSL/TLS事業からの撤退がeMudhraおよびその株主にとって正しい決断であると結論づけました。多くの認証機関にとって、SSL/TLSは事業のすべてです。一方、eMudhraにとっては、はるかに広範なデジタルソリューション・ポートフォリオの一部に過ぎません。
お客様にとってスムーズな移行
G1 RSAのルート証明書は、この移行が完了するまで引き続きお客様にサービスを提供します。当社は、ブラウザプログラムおよびお客様と連携し、この移行を実現するために取り組んでまいります。eMudhraは、影響を受けるお客様に対し、移行期間中、パートナーを通じて証明書を無償で交換するようご連絡いたします。失効処理および証明書ステータス確認サービスは、発行済みのすべての証明書が有効期限切れになるか、交換されるまで継続して提供されます。eMudhraは、根本原因に関する詳細な報告書の提出を含め、ブラウザのルートプログラムに対する残りの義務をすべて履行いたします。
関連:
Protecting Chrome and Android Users from Compromised eMudhra Intermediate CA Certificates (Google, 2026.10.20)。DeepL AI 訳:
CRLSetの更新を利用していないChromeルートストアの他の利用者に対応するため、ChromeルートストアからemSign ECC Root CA - G3（侵害されたCA証明書に署名したルート証明書）も削除しました。その結果、このルートにチェーンされている一部の正当な証明書は Chrome で機能しなくなりますが、eMudhra は影響を受ける加入者と協力し、顧客が影響を受けるルートから移行できるよう取り組むことを約束しています。このルートの削除は、Chrome ルートストアに依存しているすべてのデバイスに対して、2026年10月27日（火）午前（PDT）にリリースされる予定であり、Chrome Canary や Chrome Beta などのプレリリースチャネルではそれより早く適用される見込みです。機能障害を回避するため、「emSign ECC Root CA - G3」にチェーンする証明書を使用しているウェブサイト運営者は、直ちに Chromeルートストアに含まれる別のPKI階層から新しいTLS証明書を取得し、インストールする必要があります。
PHPの影に隠れたもう一つの重大インシデント「eMudhra」の証明書問題、どう対処すれば？ (やじうま Watch, 2026.10.22)
eMudhraの中間CA証明書の秘密鍵の危殆化についてまとめてみた (piyolog, 2026.10.23)
Microsoft、Windows 10/11に定例外パッチ ～「eMudhra」の証明書問題に対処か 証明書信頼リスト（CTL）を自動で更新できない環境が対象 (窓の杜, 2026.10.27)。「「Microsoft Update カタログ」から入手できる」。
CTLの自動更新は、既定で有効。そのため、最新のCTLを通常どおり取得できている一般的な環境であれば、 今回のOOB更新を追加で適用する必要はない 。
適用の必要がある具体例として、同社は以下のようなデバイスを挙げている。
- ネットワークから切り離された環境にあるデバイス
- Microsoftの証明書更新サービスにアクセスできないデバイス
- CTLの自動更新が無効化されているデバイス
「Oracle Java SE」にまた緊急のセキュリティアラート ～「eMudhra」問題への対策 (窓の杜, 2026.10.27)
Oracle Java SE
・8u511-b32（→ 8u511-b33）
・8u511-perf-b32
・11.0.33.0.2（→ 11.0.33.0.3）
・17.0.21.0.2（→ 17.0.21.0.3）
・21.0.13.0.2（→ 21.0.13.0.3）
・25.0.5.0.2（→ 25.0.5.0.3）
・27.0.1.0.2（→ 27.0.1.0.3）
Oracle GraalVM for JDK
・17.0.21.0.2
・21.0.13.0.2
Oracle GraalVM Enterprise Edition
・21.3.20.0.2
出ました。
Stable Channel Update for Desktop (Google, 2026.10.20)。 Chrome 156.0.8078.47 for Linux および 156.0.8078.47/.48 for Windows / Mac。353 件のセキュリティ修正を含む。
Chrome for Android Update (Google, 2026.10.20)。 Chrome 156 (156.0.8078.47) for Android。
》 中国語を使うハッカーがAIエージェントで日本企業などにハッキングして100件近い攻撃に成功していたことが判明 (gigazine, 10/20)
サイバーセキュリティ企業のNorForgeで主席脅威研究員を務めるスノーレ・ファーゲルランド氏が、オープンソースAIツールの「Cairn」を用いたハッキングの実態について報告しました。(中略) CairnはGitHubで公開されているAIツールであり、発信元とターゲットを設定することで汎用(はんよう)的な状態空間を探索し、問題を解決できるとしています。
》 AIによる相次ぐハッキング事件は「AIの暴走」ではなく「AI企業がセキュリティの基本を無視しているため」という指摘 (gigazine, 10/15)
》 ウクライナに対するStarlinkの制限は作戦の一環として行われ未解消だとゼレンスキー大統領が報告 (gigazine, 10/19)
》 ハッカーが企業のシステムに侵入して8億円分のギフトカードを不正発行、全米の店舗で高額商品を買いあさっていたことが判明 (gigazine, 10/20)
》 ダクトテープは洪水から家を守るのに土のうよりも役立つという研究結果 (gigazine, 10/20)
イングランドにあるハル大学の研究者らは、住宅で一般的に使用されている6種類のドアを用意し、最大600mmの浸水深を想定した上で、プラスチックテープやダクトテープ、土のう、止水板といった対策のうちどれが最も効果的に住宅への浸水を防げるのかを調べました。
実験の結果、土のうはダクトテープよりも水漏れを防げないことが判明。水漏れを防いだ割合を算出したところ、ダクトテープが97～98％だったのに対し、土のうはわずか70％にとどまりました。また、水害対策専用の止水テープは99％とさらに高い割合を示しました。
》 OpenAIのスパイ容疑者は「サウジアラビア政府文書」というフォルダにアクセスしていた (gigazine, 10/20)。盗聴器を仕掛けた人。
》 AIにゲームをコピーされて本家より先に発売される危険を恐れて無料体験版の公開が中止される (gigazine, 10/20)。話題のゲーム PUKEY GODDESS SHOT TRICK。
》 うるう秒に終止符。「たった1秒」がもたらしてきた影響 (WIRED, 10/20)。おめでとうございます。
》 ホテル客室に隠したPCからのフィッシングメール送信事件についてまとめてみた (piyolog, 10/19)。あの手この手をいろいろ考えるなあ。 必要は発明の母。
関連: ホテルのWi-Fi悪用し偽メール48万件送信 別ホテルでも同様の手口「中国人に流行っているアルバイト」 (今西憲之 / AERA, 10/19)。流行ってんのかい。
》 運営指定の遠隔操作ソフト導入を参加条件とされたセキュリティイベントについてまとめてみた (piyolog, 10/19)。Sophos Central ですか。
》 ルーマニア沖の黒海でタンカーにドローン攻撃、乗組員7人が行方不明 (BBC, 10/16)
ブルガリアは、攻撃の背後にロシアがいるとみており、ブルガリア駐在のロシア大使を呼び出した。
ルーマニアとブルガリアの首脳は、北大西洋条約機構（NATO）条約第4条を発動すべきか、近日中に協議する予定。同条は、加盟国が領土保全や政治的な独立を脅かされていると判断した場合、いつでも協議すると定める。
》 ニッケル亜鉛電池がAIデータセンター向けで採用へ、10年間の開発成果が花開く (MONOist, 10/15)。鉛蓄電池より高性能で、 リチウムイオン電池のように消防法の規制対象になったりはしないと。
》 リコール製品情報まとめ（2026年9月版）蓄電システムで1万5000台超をリコール、モバイルバッテリーで発火事故も (MONOist, 10/19)
》 中国人1000人超がロシア警察を包囲…習近平が｢史上最高｣と自画自賛した"プーチンとの蜜月"の不都合な現実 (プレジデント online, 10/19)
一方で、給料の遅配は急速に広がっている。北京での会談から1週間後、賃金未払いの統計が公表された。
ロシア連邦国家統計庁が5月27日に発表したところでは、4月末時点で支払われていない給料は28億7990万ルーブル（約54億7000万円）。1年前のほぼ2倍にあたる。給料の支払いが遅れた労働者の数は、同時点で1万9000人と、1年前の2.6倍に増えた。このうち2割強を、建設業の労働者が占めている。
》 生活排水処理は「浄化槽で家庭ごとに」、転換を検討する自治体増加…下水施設の老朽化や人口減少理由 (読売, 10/19)。下水道から個別浄化槽に(再?)転換。
ただ、転換は容易ではない。
南伊豆町は、町全域で個別処理を導入したい考えだが、全住民分の浄化槽設置費用は町の一般会計予算と同規模の約５０億円を超えるという。担当者は「さらなる財政支援がないと難しい」とこぼす。
浄化槽で処理した水の排水経路の確保や、使わなくなった下水管の撤去も課題だ。浄化槽の保守点検を適切に行う仕組みも必要になってくる。
終わらせるのも簡単ではない模様。
》 ICANNが新KSKへの切り替え完了と、今後の予定を発表 (JPRS, 10/16)。10/15 に切替済だそうです。
次の手順となる旧KSKの失効は、2027年1月11日（協定世界時）に実施される予定です。
「カーセンサー」停止、不審なアクセス検知 リクルートの中古車情報サイト (ITmedia, 10/19)
家電量販のJoshin、不正アクセスで一部サービス停止 個人情報漏えい「可能性否定できず」 (ITmedia, 10/19)
「Renta!」停止は「不正アクセスの可能性」のため 詳細は調査中、再開未定 (ITmedia, 10/19)
第三者による不正アクセス発生と個人情報漏えいに関するお詫びとお知らせ (エイチ・ツー・オー リテイリング, 10/19)
ゲオ、不正アクセスでサービス停止 店舗ではPontaカードを案内 (ascii.jp, 10/19)
【第一報】当社回線申込・受付管理システムへの不正アクセスの発生について (Nifty, 10/19)
》 データセンター・クラウド、国が安全認証へ 中国系を事実上排除 (日経, 10/19)
経産省が所管する情報処理推進機構（IPA）の認証制度「JC-STAR」を参考にする。ネットワーク機器を含む「IoT」製品の安全対策を格付けする仕組みだ。特定国を排除する規定はないものの、これまで中国製品は取得実績がない。
27年4月からは太陽光発電や蓄電池といった系統連系設備にはこのレベル1の基準を満たすよう義務付ける。事実上の中国製排除とみられている。
》 ロシア・サンクトペテルブルクが夜間攻撃受ける 石油施設が標的に (BBC, 10/19)
「ロシアのアマゾン」として知られる「オゾン」の物流センターと、フェイスブックに似たソーシャルメディア「フコンタクテ」のデータセンターも攻撃されたという。
》 ２０２６年度上半期までの緊急発進実施状況について (統合幕僚監部, 10/16)。今年はロシア機が活発化しているようで。
》 米海軍、戦略通信機E-130J向けC-130J-30初受領 E-6B後継機に改修 (AviationWire, 10/17)。受領した C-130J-30 を E-130J に改修すると。
米海軍のTACAMO任務には、かつてC-130系列のEC-130Qが使われていた。LMによると、同機は1963年から1993年まで約30年間にわたり任務に従事した。その後はE-6系列が引き継いでおり、E-130Jでは再びC-130系列をベースとする機体が使われることになる。
もともと C-130 系でやっていたのですね。
》 気象庁「緊急地震速報」で誤報…約8分後に取り消し システム誤認の原因は調査中 “サイバー攻撃なかった”外部アクセスなしを確認 (日テレ / Yahoo, 10/16)
令和８年 10 月 16 日 12 時 40 分に発表した 緊急地震速報（警報）について (気象庁, 10/16)
〇10 月 16 日 12 時 38 分頃に、カムチャツカ半島付近を震源とするマグニチュード 6.9（速報値）の地震が発生しました。
〇この地震では、函館市で震度１を観測しました。
〇気象庁では、この地震により 10 月 16 日 12 時 40 分に北海道から中部地方に対して緊急地震速報（警報）を発表しました。
〇この緊急地震速報（警報）の発表は、緊急地震速報処理において、震源を千島列島に決定し、マグニチュードを 9.9 と過大に推定したことによるものです。
令和８年 10 月 16 日 12 時 40 分に発表した緊急地震速報（警報）について（第 2 報） (気象庁, 10/16)
〇今回の緊急地震速報においては、以下のような理由から広域にわたって、緊急地震速報（警報）を発表しました。
・日本から震源が非常に遠いところの地震に対して、国内用のマグニチュードを求める式を適用しました。
・本来、マグニチュードの計算と震度の予測に用いた震源は同一である必要がありますが、今回の地震ではこれらが異なりました。
令和８年 10 月 16 日 12 時 40 分に発表した 緊急地震速報（警報）について（第 3 報） (気象庁, 10/16)
今回の緊急地震速報においては、震源から遠い観測点をマグニチュードの計算に用いたことにより、地震の規模をマグニチュード 9.9 と過大に推定したことが、過大な緊急地震速報を発表した原因のひとつとなりました。
過去に過大な緊急地震速報を発表した事例として、令和 2 年 7 月 30 日の鳥島近海を震源とする地震があり、このような事例の改善策として、震源から 700 ㎞以上遠い観測点をマグニチュードの計算に用いないこととしていました。しかし、今回の地震においては、この機能が正常に動作していなかったことが判明しました。
このため、本日 21 時 30 分ごろ、この機能が動作するよう緊急的な対策を実施しまし た。この対策により、今回の地震に対しては緊急地震速報（警報）が発表されなくなる ことを確認しました。
関連: ドコモだけ鳴らなかった件。
ドコモ回線で「緊急地震速報」配信されず、16日昼 (ケータイ Watch, 10/16)
【お詫び】緊急地震速報（緊急速報「エリアメール」）が配信されなかった事象について (NTT ドコモ, 10/16)
【お詫び/対応完了】緊急地震速報（緊急速報「エリアメール」）が配信されなかった事象について（10月17日午後7時04分時点） (NTT ドコモ, 10/16)
2026年10月16日（金曜）午後0時40分頃、カムチャツカ半島付近で発生した地震に伴い気象庁から配信された緊急地震速報について、従来と一部、形式が異なるデータを受信したことにより、ドコモ側のシステムにて正しい情報と認識できなかったため、ドコモをご利用のお客さまに緊急速報「エリアメール」が配信されない事象が発生しました。
自分の不具合を他人のせいにする。それがドコモの生きる道。
ハードウェアウォレット Ledger に関して、 盗聴装置入りのものが販売されていたとされる件についての公式調査結果。 DeepL AI 訳:
高度に組織化された犯罪グループが、当業界でこれまでに見たことのないほど巧妙な攻撃を仕掛けてきました。彼らは数か月にわたり、正規のLedgerデバイスを購入し、開封して、セットアップ時にリカバリーフレーズを盗み取るよう設計された特注の隠しコンポーネントを取り付け、東南アジアの販売代理店を通じて再び流通させました。 (中略) これは、サプライチェーン全体を対象とした攻撃ではなく、特定の流通経路を標的とした攻撃でした。
現時点では、販売網全体に対する大規模な侵害は発見できなかったそうで。
当社は、社内の全部門を巻き込み、これまでで最大規模の調査を実施しました。当社のセキュリティ研究所「Ledger Donjon」が、そのインプラントを分解し、その仕組みを解明しました。ドイツをはじめとする現地の市場にチームを派遣し、店頭で複数のデバイスを購入・開封して確認を行うなど、あらゆる手がかりを追跡するとともに、倉庫から回収したサンプルについても検査を行いました。検査したすべての製品には、不正なものは見つかりませんでした。
当社は、正規販売代理店および販売業者に対し、東南アジアおよび香港での販売を一時停止するよう要請しました。また、万全を期すため、在庫の検査を行い、多数のサンプルを確認しましたが、侵害された製品は確認されませんでした。
対応:
弊社では、認定販売ネットワークにおけるLedgerデバイスの取り扱いについて、管理を強化しております。本日、認定販売代理店および販売業者に対し、返品されたデバイスにすでに適用されている規則について再通知を行いました。返品されたデバイスは、たとえ新品同様で未開封に見えても、いかなる形でも再販売することは絶対にできません。また、即刻施行される新たな措置として、以下の事項を義務付けます。Ledger製品は店頭や陳列棚に並べてはならず、在庫はバックヤードに保管し、購入時にその場で引き渡すこと。さらに、顧客から製品に異常があるとの報告があった場合は、速やかに当社へ連絡する必要があります。
筐体を透明化するとかできないのかな。 でないと、結局、分解しないと安心できない感から逃がれられないのでは。
関連:
Ledger、東南アジアの再販業者経由で8,600万ドル（約140億円）の暗号資産流出を調査 (BigGo Finance, 2026.10.10)
Ledgerハッキング被害が9,000万ドル超に、改ざんハードウェア埋め込み説が浮上 (BigGo Finance, 2026.10.11)
Ledger confirms spy chip implant behind wallet crypto thefts (Bleeping Computer, 10/12)
Ledger、再販業者経由のウォレットにハードウェア改ざんを確認——被害総額は最大9,300万ドルに (BigGo Finance, 2026.10.13)
仮想通貨ウォレット「Ledger Nano X」に盗聴回路、日本のAmazonやヤフオクでも改造品が見つかる (gigazine, 2026.10.13)
レジャー製ウォレットに隠しチップ、復元フレーズをLTEで窃取 (BigGo Finance, 2026.10.14)
Amazon Japanで購入のLedger Nano Xにスパイ装置、元マウントゴックスCEOが報告 (BigGo Finance, 2026.10.15)。マルク・カルプレス氏。
暗号資産詐欺師、改ざんされたLedgerウォレットで60ビットコインを別の攻撃者に奪われる (BigGo Finance, 2026.10.17)
レジャーCEOと元マウントゴックス責任者、9,000万ドル相当のウォレット侵害をめぐり応酬 (BigGo Finance, 2026.10.19)
論争の中心にあるのは、レジャーのセキュリティ記事「Best Practices To Securely Buy Your Ledger Signer」である。同社のウェブサイトには当初公開日として2026年3月6日、最終更新日として9月18日が記載されている。現在の版では、偽造デバイス、あらかじめリカバリーフレーズが設定された状態で出荷されたウォレット、工場出荷後に改造された正規品について説明されており、ウォレットのハードウェア内部に隠された改変済み回路基板の画像も掲載されている。
カルプレス氏はこれらの図版を、レジャーが10月の暴露の数カ月前に高度なインプラント設計に遭遇していた証拠だと指摘した。しかし9月の改訂版は未解決の疑問を残している。閲覧可能な版では、各写真や技術的警告がいつ追加されたのかが示されておらず、3月時点のテキストの保存版や詳細な改訂履歴がなければ、これらの画像だけでは同社が当時、CryptoBilisの特定のデバイスについて何を知っていたかを独自に立証することはできない。
レジャー自身の文書は、同社の認証システムに重大な限界があることを認めている。Genuine Checkは、ウォレットの機密操作を担う保護チップであるセキュアエレメントの暗号学的身元を、セットアップ時に検証リクエストを送信し固有の製造署名を確認することで検証する。しかしすべての物理部品を検査するものではなく、製造後に誰もデバイスを改造していないことを証明するものでもない。同社のガイドには、元のセキュアエレメントが無傷で残っている場合、このチェックでは不正な追加を検出できないと明記されている。
Best Practices To Securely Buy Your Ledger Signer (Ledger, 2026.09.18 更新)。DeepL AI 訳:
だからこそ、Ledger社または正規販売代理店から直接購入する方が安全なのです。Ledgerの「Genuine Check」では本物であることが確認できますが、デバイスの物理的なサプライチェーンの履歴までは確認できません。
Ledgerは、認定販売店の公式登録リストを随時更新・管理しています。製品の真正性とサプライチェーンの健全性を高めるため、消費者の皆様にはLedger.comまたは認定販売店を通じてご購入いただくことをお勧めします。登録されていない非認定の販売業者から購入すると、さまざまなセキュリティ上のリスクが生じます。
ハードウェアウォレットよりもETFの方が安全か ── Ledger事件で再燃する自己管理論争 (NADA News / Yahoo, 10/13)
国内で暗号資産ETFが未解禁の日本では、ハードウエアの正規ルートでの購入と分散管理が当面の対策となる。
Trezor Wallets Also Compromised with Implants (zetter-zeroday.com, 2026.10.13)。非正規ルートで侵害デバイスが販売されていた事例。DeepL AI 訳:
グランド氏は、2025年のある時期にカナダのFacebookマーケットプレイスを通じて誰かが購入した「Trezor Model T」ウォレットから1つのインプラントを発見し、さらに8月にTikTokショップから入手した「Trezor One」デバイスからも別のインプラントを発見した。
seclists.org のサーバー証明書が期限切れになってるみたい。orz (2026.10.20 追記: 対応されました)
NSDの脆弱性情報が公開されました （CVE-2026-101337、CVE-2026-101338、CVE-2026-101339、CVE-2026-101341） (JPRS, 2026.10.15)。NSD 4.15.3 で修正。
[SECURITY ADVISORIES] curl 8.23.0 (oss-sec ML, 2026.10.14)。Severity: High は CVE-2026-92392 HTTP/2 upload Use-After-Free のみ。HTTP/2 を使わないことで回避できる。
iida さん情報ありがとうございます。
出てました。ESR 140 系統はもはや維持されていません。
Firefox 158 がリリースされた (mozillaZine, 2026.10.14)
Firefox for Android 158 がリリースされた (mozillaZine, 2026.10.14)
Thunderbird 158 がリリースされた (mozillaZine, 2026.10.14)
Firefox 158.0.1 公開。eMudhra の件 対応など。
Firefox 158.0.1、Firefox for Android 158.0.1 がリリースされた (mozillaZine, 2026.10.21)
》 「お荷物問い合わせサービス」への不正アクセスによる個人情報流出の可能性について（第4報）2026年10月9日 (佐川急便, 10/9)。 「発覚日時：2026年9月30日（水）午前7時30分」。 佐川もヤマトと同時期にヤラレていたのか。
》 【第4報】「クロネコ代金後払いサービス」への不正アクセスに関する調査結果と今後の対応について (ヤマトホールディングス, 10/16)。 「9月28日（月）に「クロネコ代金後払いサービス」が第三者による不正アクセスを受けた」。
「クロネコ代金後払いサービス」を利用された一部のお客さま情報
氏名、住所、電話番号、メールアドレス、商品明細（商品名、数量、単価など）、社内管理用情報（申込番号、受注日、与信番号など）
約526万件
商品明細。これこそがヤバい情報である場合があるような。
》 ヤマト運輸、情報漏えいは５３１万件 日経新聞は１８３万件、続く不正アクセス―タイムズ、免許証画像を即時削除へ (時事, 10/16)
一方、カーシェアリングサービス「タイムズカー」の会員情報が漏えいした問題では、運営会社の親会社パーク２４が１６日、保有する運転免許証などの本人確認書類画像を今月末までに順次削除すると発表した。社内ルールも変更し、今後は本人確認完了後に即時削除する。
こちら: 「タイムズカーWebシステム」への不正アクセスに関する対応について（第4報） (タイムズカー, 10/16)
》 第三者による不正アクセスに伴う個人情報漏えいに関するお詫びとお知らせ (ファンケル, 10/16)。こちらもパスワードハッシュ漏れてます。
2026 年 10 月 15 日（木）に実施した内部調査により、同年 10 月 3 日（土）から 10 月 10 日（土）までの間に、ファンケルおよびアテニアの EC サイトが不正アクセスを受けていたことが判明しました。
判明当日、緊急対策本部を設置し、調査と対応を進めた結果、両社が保有する会員情報の一部が外部に漏えいしたことを確認しました。
》 コミックシーモア、不正アクセスの可能性でサービス停止 メンテ終了時期は未定 (ITmedia, 10/16)。オゥ。ダウンロード済の書籍しか読めなくなってるな。
つづき: 『コミックシーモア』会員情報の流出に関するお詫びとお願い (NTTソルマーレ, 10/16)
『コミックシーモア』の会員情報を管理するシステムに不正アクセスがあり、その内部に保管する会員情報が第三者へ流出した (中略)
メールアドレス
ハッシュ化されたパスワード※
生年月日
性別
ニックネーム・対象件数：精査中
》 日経、個人情報183万件漏洩 不正アクセスで (日経, 10/16)
システム開発に利用するクラウドサービス (中略) にアクセスするための認証情報が何らかの手段で窃取された。7日未明から朝にかけて不正アクセスを受け、クラウド上に保管していた個人情報が漏洩した。
》 タイムズカー 情報漏洩 集団訴訟 (牧野法律事務所)。「参加希望者受付中」。
費用は後日ご案内します。ご案内の費用に合意しない限り、一切お支払いは生じないのでご安心ください。
》 速報 北海道から東海で緊急地震速報を取り消し 津波の心配なし (HBC 北海道放送 / TBS, 10/16)
》 ソースネクスト、不正アクセスでパスワード含む会員の個人情報最大約2252万件が流出 (Internet Watch, 10/16) 、当社サイトへの不正アクセスによるお客様情報流出のお詫びとお知らせ (ソースネクスト, 10/15)
当社の会員情報を管理するシステムに対する不正アクセスがあった (中略)
流出した可能性のあるお客様情報※上記は流出した可能性のある情報の全項目であり、すべてのお客様について上記すべての情報が流出したわけではございません。ご登録状況により対象項目は異なります。
- 対象件数：22,519,960件
- 対象となる情報：メールアドレス、パスワード、氏名、氏名カナ、住所、性別、電話番号、FAX番号、生年月日、会社名、役職名、部署名、システム固有の識別情報（加入サービス・登録日・ログイン日等）
「ハッシュ化された」とかいった枕詞が無いので、生パスワードが漏れたっぽい 生パスワードが漏れたわけではないが、解除コードが漏れたので実質同様の模様。ソースネクスト、顧客情報2252万件流出か 不正アクセス受け
(日経, 10/15)
パスワードは暗号化して保存されていたが、暗号化を解除するプログラムをハッキングされたという。同社はパスワードを変更するよう呼びかけている。
》 バーガーキング、公式アプリの会員情報約1118万件が不正アクセスにより漏えい (Internet Watch, 10/15)、 不正アクセスによる 公式アプリ会員情報漏え いに関するお詫びとお知らせ (ビーケー・ジャパン, 10/15)
公式アプリの会員情報を管理するシステムに対する第三者による不正アクセスの可能性を確認し、調査を行った結果、 2026 年 10 月 2 日（金）から 10 月 7 日（水）にかけて不正アクセスが行われ、会員情報が漏えいしたことが 2026 年 10 月 13 日（火） に判明いたしました。
》 オープンAI機密会議室に盗聴器、起訴された元技術者とは (Wall Street Journal, 10/16)。「元技術者の被告、告発前までサウジアラビアとのつながりを維持」。
》 Microsoft、社内エンジニア数万人を対象に「Claude Code」「Copilot CLI」導入の影響を分析 生産性どう変わる (ITmedia, 10/16)。「調査期間は2026年1月5日から4月29日までの4カ月」。
実際の仕事の成果となる生産性への影響については、AIツールを導入初週に利用していたエンジニアは、使わなかった場合と比べて、完了させた仕事（マージされたプルリクエスト）の数が平均して24％も増加した。
この効果は、導入直後のテンションが上がっている時期だけの一時的なものではなく、調査が行われた4カ月間にわたって安定して持続していた。
》 ホワイトハウス新報道官、司法試験に合格していないと認める (ロイター, 10/16)。高市しぐさ。
》 国際的なサイバー犯罪を支えるビジネス網を解体 (Microsoft, 10/14)
本日、マイクロソフトと Health-ISAC は、この犯罪の電子市場を構成する 3 つのサービス、「YAM Store」、「CoGUI」、「Iron Man」 の解体に着手しました。Health-ISAC は、国際的な非営利団体で、医療系組織間でのサイバー脅威情報の共有と連携を促進し、運用面のレジリエンス向上を支援しています。
調査は 2025 年後半に始まりました。きっかけは、日本の人々を狙う悪意あるメッセージの攻撃について、警察庁がマイクロソフトに情報を提供したことです。(中略)
マイクロソフトの調査が進むにつれ、JC3 からの情報によって、日本の組織とその顧客を標的とした活動の規模が裏付けられました。JC3 は、130 を超える会員組織のネットワークから集めた情報をもとに、一見すると無関係に見えた個々の事案が、日本の企業や金融機関を狙う大規模な詐欺活動の一部であることを明らかにしました(中略)。
調査で繰り返し名前が上がったのが、YAM Storeです。(中略) YAM Store では、CoGUI が提供するツールやサービスと組み合わせて、犯罪インフラが提供されていました。 (中略) 2026 年半ばには、Iron Man と呼ばれる新しいサービスに置き換わり始めていました。
》 ASMLの半導体露光装置はすでに2028年分までほぼ売り切れ状態で一部顧客は2030年分の発注を検討 (gigazine, 10/15)
AIブームの中、AIチップをはじめとした半導体の製造には半導体露光装置が欠かせない一方で、その半導体露光装置の製造は容易には行えず、ASMLですら、極端紫外線(EUV)を用いる露光装置は年間50台ほどしか作れません。
直近で相次いでいる国内組織における不正アクセスに関する注意喚起 (2026.10.08)
関連:
連続不正アクセス事案の攻撃手法に関する調査 (JPCERT/CC, 2026.10.15)
アプリケーション内に共通の秘密鍵やAPI認証に使用する秘密情報が埋め込まれている場合、これらの抽出によって、正規アプリケーションを介さないAPIリクエストの生成につながる恐れがあります。こうしたリスクを踏まえ、次の対策を実施することを推奨します。
- 秘密情報の保護：APIの認証に使用する秘密鍵や、有効期間の長い認証情報をアプリケーションに埋め込まない。
- サーバー側での認証・認可：アプリケーション内の署名処理や難読化だけに依存せず、サーバー側で利用者を適切に認証し、操作対象や操作内容に応じた認可を実施する。
- APIの不正利用対策：レート制限や異常なリクエストの監視を実施し、正規アプリケーション以外からのアクセスも想定する。
- SSRF対策：外部URLの内容を取得するAPIでは、アクセス先を制限し、リダイレクト後の宛先も検証する。
【注意喚起】 相次ぐ情報漏えい、その原因の一つは「アプリ解析からのサーバ攻撃」 〜AIで高度化する脆弱性探索、Androidアプリを手掛かりにしたA2B攻撃に注意〜 (NICT, 2026.10.13)
2026 年 10 月のセキュリティ更新プログラム (月例) (2026.10.14)
関連:
Windows DNSの脆弱性情報が公開されました（CVE-2026-83869、他57件） (JPRS, 2026.10.16)
「Google Chrome 155」安定版リリース、JPEG XLに対応＆耐量子暗号も利用可能に (2026.10.07)
Chrome 155.0.8059.84 等公開されました。
Stable Channel Update for Desktop (Google, 2026.10.15)。 Chrome 155.0.8059.84/.85 for Windows / Mac および 155.0.8059.84 to Linux。 10 件のセキュリティ修正を含む。
Chrome for Android Update (Google, 2026.10.15)。 Chrome 155 (155.0.8059.84) for Android。
出てました。Priority 別:
なし
》 AIスクレイパーのせいでホスティング費用が数倍に跳ね上がる事態が発生、サイト運営者は「AI企業は最悪の寄生虫」と痛烈に批判 (gigazine, 10/14)。ほんとそれ。
》 Yandexのデータセンターがウクライナによる攻撃でフェイルオーバーできず多数のサービスがダウン (gigazine, 10/13)
Cloudflareは、10月7日深夜～10月8日未明以降、YandexのCDNの1つ・AS13238からのボットのトラフィックが大幅に減少したと報告しています。具体的には、前週(2026年9月末)はHTTPリクエストの80％以上はボットによるものでしたが、10月8日8時(日本時間7日23時)に50％台に減少。10日23時(日本時間14時)までその状況が続いた後、11日1時(日本時間10日16時)までの2時間で一気に0％台にまで落ち込んでいます。その後、一時的に20％台まで回復した時間帯もありますが、再び一桁台に戻っています。
》 Wikimedia Says OpenAI Agents Tried to Compromise Etherpad and Use Wiki Tools as Proxies (The Hacker News, 10/6)
》 Anthropic Launches Free AI Vulnerability Scanner for Open-Source Projects (The Hacker News, 10/9)。 OSS Scanner (Anthropic)
》 OpenAIの従業員をFBIが逮捕、役員会議室に盗聴器を仕掛けた疑い (gigazine, 10/14)
》 パスワードが「123456」の企業アカウント経由でデンマークの国家登録簿から880万人分の個人情報が流出 (gigazine, 10/14)
》 NATO加盟国近海で商船への攻撃相次ぐ、同盟の新たな試練に (Wall Street Journal, 10/14)
ブルガリア沖で13日、船舶2隻がドローン（無人機）の攻撃を受けた。 (中略) 攻撃で1隻が沈没し、11人が行方不明となった。(中略) ラデフ氏によると、攻撃を受けたのはウクライナ所有の船舶「チェルシー3」で、空中ドローン3機が使用された。ロシア国防省はコメント要請に応じていない。
NATO加盟国であるブルガリアの近海で商船が攻撃されたのは、ここ1週間で2度目となる。
これですかね: CHELSEA-3 General Cargo Ship, IMO 9361392 (vesselfinder.com)
出ました。 1413 Microsoft CVE + 1 non-MS CVE。 先月も多かったけど (974 + 25)、今月はさらに約 1.5 倍ですか。
| 製品ファミリ | 対応した脆弱性 | 個別の更新プログラム数 | 更新の種類 |
|---|---|---|---|
| Windows | 1102 | 39 | 累積 |
| Office | 134 | 11 | 累積 |
| SharePoint Server | 36 | 1 | 累積 |
| SQL Server | 22 | 8 | 累積 |
| Exchange Server | 7 | 8 | 累積 |
| Developer Tools (Dev Div) | 61 | 60 | 混合 |
| Azure | 15 | 20 | 個別 |
| Defender | 4 | 3 | 自動 |
| Edge | 0 | 1 | 自動 |
| Other | 32 | 25 | 個別 |
| 合計 | 1414 | 176 | - |
「注目すべき CVE」(0-day) は 2 件。
Windows シェル セキュリティ機能のバイパスの脆弱性 CVE-2026-96951 (Microsoft, 2026.10.13)。「攻撃者がこの脆弱性を悪用した場合、Web のマーク (MOTW) 防御を回避する可能性があります」。
.NET Framework セキュリティ機能のバイパスの脆弱性 CVE-2026-108398 (Microsoft, 2026.10.13)。情報公開のみ。 「Windows Defender Application Control (WDAC) のバイパスが可能になる場合があります」。
関連:
October 2026 Microsoft Patch Tuesday (SANS ISC, 2026.10.13)。上記 0-day 2 件の他、SANS ISC 独自視点で特出ししているのが:
Windows DHCP Server: 10 remote code execution vulenrabilities, including five critical vulnerabilities, affect the Windows DHCP server.
CVE-2026-70571: Microsoft Exchange Server Remote Code Execution Vulnerability. Microsoft considers the attack complexity high. The vulnerability is triggered by an attacker sending a specific email to the exchange server that triggers the vulnerability during content conversion.
CVE-2026-70571。 「悪用される可能性が高い」 「認証なしの攻撃者は、特別に細工されたメールを影響を受ける Exchange Server に送信し、内部のコンテンツ変換プロセスを引き起こす可能性があります」。
その他:
Office 系はあいかわらず Critical 多いですね。 ふと Microsoft Office PowerPoint のリモートでコードが実行される脆弱性 CVE-2026-70215 を見てみたら、 「Microsoft Office LTSC for Mac 2021 および 2024 のセキュリティ更新プログラムはまだリリースされていません。早急にリリース予定です」なんて文字列があるぞ。他のも同様なのか?
Microsoft PostScript Printer Driver の RCE というのもあるなあ CVE-2026-108467 CVE-2026-70147 CVE-2026-70153 。「悪用される可能性は低い」となっているが。
Role: DNS Server ねた多いですね。全て Important のようですが。
【Windows11】 WindowsUpdate 2026年10月 不具合情報 - セキュリティ更新プログラム KB5127648 Windows11 24H2 Home / Proがサポート終了 (ニッチなPCゲーマーの環境構築Z, 2026.10.14)
【Windows10】 WindowsUpdate 2026年10月 不具合情報 - セキュリティ更新プログラム KB5126657 配信遅延 (ニッチなPCゲーマーの環境構築Z, 2026.10.14)
Windows 11でリモートデスクトップ接続に問題 ～2026年9月プレビューパッチ以降で ［管理者保護］絡み、Microsoftが回避策を案内 (窓の杜, 2026.10.14)
回避策は、リモートデバイス側で［管理者保護］を一時的に無効化することだ。IT管理者は、既存のポリシー管理の方法（「Microsoft Intune」やグループポリシー）で、ユーザーアカウント制御の［Type Of Admin Approval Mode］ポリシーをリセットすることで、問題を緩和できる。
関連:
Windows DNSの脆弱性情報が公開されました（CVE-2026-83869、他57件） (JPRS, 2026.10.16)
SiteGuard Server Edition に 0-day 欠陥、Ver2.20 以降かつ統計機能が有効な場合 (デフォルトで有効) に remote から任意のコマンドを root / SYSTEM 権限で実行できる。 CVE-2026-106931
Apache / Nginx / IIS 版 Ver8.00 Update5 (FreeBSD 向け Apache / Nginx 版のみ Ver7.00 Update6) で修正されている。またサポートから入手できる patch の適用でも対応できる。 ただし:
アップデートまたはパッチの適用により、攻撃の痕跡が消える可能性があります。
適用前に「診断情報」を取得し、保管してください。
※ウェブ管理画面‐[診断情報]‐[診断情報をダウンロード]
攻撃対象となったダンフォス社製温度管理システムは、既に EOL となったものが大半だったそうで。
French supermarkets suffer refrigerator shutdown after 'unprecedented' cyberattack (AFP, 10/12)。DeepL AI 訳:
ダンフォスはAFPに対し、声明の中で、影響を受けた機器の大部分は「旧型」製品であり、「もはやソフトウェアやセキュリティの更新は提供されていない」と述べた。
同社によると、同社の冷蔵庫用制御システム「AK-SM800」および「AK-SC355」が特に影響を受けており、前者のうちあるバージョンでは「古いファームウェア」が使用されていたという。また、同社はかねてよりスーパーマーケットに対し、これらのモデルからの更新を推奨していたと付け加えた。ダンフォスは、影響を受けたシステムの台数については明らかにしなかった。
AK-SM 800 も AK-SC 355 も EOL ですよと。
Product Note: AK-SC 255 and AK-SC 355 series phase out (scribd.com / Danfoss)。AK-SC 355 は 2016.10.31、 AK-SC 255 は 2016.12.30 に EOL になっている。 後継製品はどちらも AK-SM 800 シリーズ。
COOL UPDATE (Danfoss, 2025.10)
End of service and end of life for multiple products
(中略)
The AK SM 800 was officially declared End of Life in May 2021, as noted in the Product Note: System Manager Portfolio – Phase outs.
AK-SM 800 シリーズも 2021.05 に EOL となっている。 後継製品は AK-SM 800A の模様。
Application Guide: AK-SC 255 / SM 800 to AK-SM 800A conversion (Danfoss, 2024.04.17)。 移行ガイド。AK-SC 255 から AK-SM 800A に移行するには、 一旦 AK-SM 800 を経由しないと駄目な模様 (ひどい)。
AK-SM 800A Series (Danfoss)。現行製品。
Tech Insider October 2025 - Relevant for all categories (Danfoss, 2025.10.31)。 攻撃事例も示されている。昨日今日はじまった話ではないと。 DeepL AI 訳:
補足的な技術的説明サイバーセキュリティの情勢が絶えず変化する中、製品の脆弱性が増加していることから、データ漏洩を防ぐためには迅速な対応が求められています。あらゆるソフトウェアにはバグが存在するため、最新のセキュリティ対策が施されていないレガシーシステムは、悪用されるリスクがますます高まっています。最近の傾向からは、こうした脆弱性が次のような事態を招きかねないことが浮き彫りになっています：
- 不正アクセスを許可する
- サービス拒否（DoS）を引き起こす
- 業務やシステムの可用性に支障をきたす
- データ漏洩や改ざんにつながる
製品やサービスのライフサイクルのあらゆる段階において、脆弱性に迅速に対処し、専門的なプロセスを通じて解決する能力は極めて重要です。この1年間、ダンフォスの製品における脆弱性を指摘する外部のセキュリティ研究者からの報告が著しく増加しています。この傾向は、セキュリティへの重視の高まりや今後の規制の導入と一致しており、今後も増加し続けると予想されます。
実例
- ロシア、2022年：
戦争開始当初、AK SM 800を導入している16のスーパーマーケットがサイバー攻撃の標的となった。ハッカー集団「アノニマス」は、ロシアのインフラを混乱させるよう公に呼びかけた。
→ 推奨される対応：セキュリティ機能が強化されたAK SM 800Aへの移行。
- イスラエル、2022年：
40店舗がハッキング被害に遭いました。被害を受けた店舗はいずれも適切なファイアウォールやVPNによる保護が施されておらず、すべてAK SM 800を使用していました。影響を受けたのはSM800のみでしたが、営業チームからの報告によると、SM800とSM800Aが混在して設置されていたとのことです。
→ 推奨される措置：AK SM 800Aに交換し、安全な設置手順に従ってください。
- 2023年5月 – ダンフォス AK EM 100：
外部のセキュリティ研究者が、ダンフォスの「AK EM 100」製品に、ハッカーがシステムにアクセスして制御を乗っ取る可能性のある複数の深刻な問題を発見しました。AK EM 100はすでにサポート対象外となっているため、ダンフォスは6つの具体的な問題（CVE）を特定し、直ちに運用を停止して移行を行うよう勧告しました。
→ 推奨される対応：Alsense Cloud搭載のAK SM 800Aへのアップグレード。
- 2023年8月 – ダンフォス AK SM 800A：
ある外部のセキュリティ研究者が、ダンフォスの製品「AK SM 800A」には、制限や入力処理が不十分であることに起因する脆弱性があり、ハッカーがシステムを乗っ取る可能性があることを報告しました。これを受け、ダンフォスは3つの具体的な問題を特定し、顧客に対し、当時最新バージョンであったV3.3のソフトウェアをインストールして問題を解決するよう推奨しました。
→ これは、サポート対象であり、積極的にメンテナンスが行われている製品を使用することの重要性を浮き彫りにしています
Freeze the Controller, Defrost the Food: Uncovering Vulnerabilities in Danfoss Refrigeration Controllers (claroty team82, 2026.08.09)。 AK-SM 800A に複数の欠陥があり ファームウェア R4.3.1 で修正された、という話。
Food retail (Danfoss)。 ファームウェア R4.3.1 が公開されたのは 2025 年中。 team82 は公表まで半年以上空けたということになるようだ。
Software Release 4.3.1 main highlights
Security:New features:
- Cryptographic validation of AK-SM800A package
- Hardened UPK update against file injetion
- Permanent disabling of SSH connection
- Post-authenticated external control of system web interface configuation settings
- Sanitization of input fields - potect from code injection
- System now requires user to change password immediately after first loin
- Update (block) access to serial console for the root user
- Prevent user corruption of webserver-configuation
- Update nginx and mail to support TLS version 1.2
- Block sweet32 cipher suite (Nginx)
- Add user message under all HTTP/S configuation areas
- New user accounts require strong passwords
Bug fixes:
- Add new A2L Refrigerants for 800A Rack Control
- Add 90-day password/account expiry
- MCX Lighting control - Customer request import Analog Input
- Resetting Issue found when a 800A converted database from 800 that had Alarm Logger
- Session manager does not allow to create a new password when the old expires
- NTP timing issue
なお、最新ファームウェアは R5.1.x のようだ。
関連:
CERTFR-2026-ALE-012 (cert.ssi.gouv.fr, 2026.10.12)。今回の件でのアラート。
フランス国内の小売チェーンで発生した冷凍冷蔵設備の遠隔操作についてまとめてみた (piyolog, 2026.10.13)
同様事例が欧州各地で発生。
欧州7カ国のスーパー冷蔵・冷凍庫にサイバー攻撃 大量の食品が廃棄に (BBC, 2026.11.03)
Shop fridges and freezers across Europe hit by fresh suspected cyber-attack (Guardian, 2026.11.02)
今回のフランスでの攻撃では、ハッカーたちは主にデンマークのダンフォス社が供給した制御装置を乗っ取った。(中略)
パリ検察庁は、フランス国内で発生したこの攻撃について正式な捜査を開始し、セバスチャン・ルコルヌ首相は、フランスの国家サイバーセキュリティ機関であるANSSIに対し、調査を行うよう指示した。
同機関はその後、 他の2社の制御装置を使用しているスーパーマーケットもこの攻撃の標的となっていたと報告したが、当局は事件の背後に誰がいる可能性があるかについては明らかにしていない。犯行声明は出されていない。
CERTFR-2026-ALE-012 にある「他の2社」は Copeland xweb と Dixell xweb 。
JVNVU#91929515 Copeland製XWEB PROにおける複数の脆弱性 (JVN, 2026.02.27)。RCE 等可能。
Chilling Discoveries: Unpacking Vulnerabilities in Copeland XWEB Pro Controllers (claroty team82, 2026.08.09)。 Danfoss のと同様に、 こちらも team82 ですね。
冷凍物流事業者など対象に、国がサイバー攻撃への注意喚起。欧州で発生した冷凍・冷蔵設備への攻撃事案受け (Internet Watch, 2026.11.10)
産業用冷凍・冷蔵設備およびコールドチェーン監視システムに関する注意喚起 (国家サイバー統括局, 2026.11.09)
「Google Chrome 155」安定版リリース、JPEG XLに対応＆耐量子暗号も利用可能に (2026.10.07)
Chrome 155.0.8059.79 等公開されました。
Stable Channel Update for Desktop (Google, 2026.10.13)。 Chrome 155.0.8059.79/.80 for Windows / Mac および 155.0.8059.79 to Linux。 37 件のセキュリティ修正を含む。
Chrome for Android Update (Google, 2026.10.06)。 Chrome 155 (155.0.8059.79) for Android。
》 有料ChatGPTアカウント16円、「脱獄」プロンプト50円…犯罪AI闇市場4,000件の投稿分析 (新聞紙学的, 10/7)、 Underground AI-as-a-Service: How Cybercriminals are Buying and Selling AI (halcyon.ai)。DeepL AI 訳:
マルウェア開発の分野において、Halcyonが確認した特に注目すべき事例の一つは、ロシア語のハッカーフォーラムでベンダーが販売を宣伝していた、完全にAIによって生成されたマルウェアエコシステムだった。研究者らは、このフレームワークがByteDanceのAI開発アシスタント「TRAE」を使用して作成され、1週間足らずで約88,000行の機能コードに達したことを確認した。これほどの量の作業は、かつては専門の開発チームでも数ヶ月を要していたものであり、こうしたツールの開発における参入障壁が低くなっていることを示している。
AIサイバー犯罪経済は、もはや「台頭しつつある」段階ではない。すでに現実のものとなっている。わずか6カ月足らずの間に、この市場では、段階的なサブスクリプション価格設定、自動化された流通、マルチプラットフォームでの冗長性、フリーミアムによる顧客獲得といった仕組みが確立された。これらは、麻薬やエクスプロイトキットの市場が構築するのに何年もかかった商業構造である。しかし、この市場は、合法的なAI業界と同等のスピードでそれらを組み上げたのだ。
》 EUの「Android開放命令」にGoogleが反抗。Gemini優遇見直しがもたらす影響 (gihyo.jp, 10/8)
》 FBI Arrests Executive at Ransomware Negotiation Firm (Krebs on Security, 10/9)
》 Microsoft 365の「Family」と「Premium」プランでOneDriveの容量が「1人1TB×最大6人」から「全員で2TB」に減少 (gigazine, 10/9)。糞すぎる。
》 OpenAIに数学者たちが反発。研究成果の公開方法を巡り不信感が高まる (WIRED, 10/12)
OpenAIとAnthropicが、科学論文ではなくブログ記事で研究成果を発表し続けていることに、多くの数学者が不満を募らせている。こうした発表形式では成果を検証しにくいうえ、ほかの数学者による先行研究への言及が抜け落ちることも多いからだ。
ただし、断片的な発表をしているのはAI企業の研究所だけではない。(小島注: Anthropic社員のレヴェント・)アルポーグ自身も、ワールドカップ決勝の直後に投稿した1本のツイートで、87年間未解決だった予想を反証したと発表している。
》 ドローン戦争の影響で墜落する民間航空機たち──原因はGPSジャミング (WIRED, 10/8)。攻撃ではなく米軍の演習による事例。
2026年5月、双発のプロペラ機「ビーチクラフトKing Air」を使った救急航空機が、ニューメキシコ州ロズウェルを飛び立ち、西にある町ルイドソへ向かった。(中略)
ところが、離陸してまもなくトラブルに見舞われた。その夜、ホワイトサンズ・ミサイル実験場では、米軍関係者がGPSジャミングの演習を実施していた。その影響で、King Airのパイロットだけでなく、周囲数百マイルを飛んでいた航空機も最新の航法システムを利用できなくなっていたのだ。
ふたりのパイロットは、普段ほとんど使わない旧式の航法装置に頼らざるを得なくなり、現在地を見失った末、山腹に激突した。生存者はいなかった。
》 盗難車のＧＰＳ妨害か、大阪 電波法違反疑い全国初摘発 (東京, 10/1)
》 ロシアとイランがプロパガンダ工作で用いたChatGPTアカウントをOpenAIが停止、工作の影響度は6段階中4～5 (gigazine, 10/09)
》 AnthropicのAIが未解決殺人事件に関する虚偽の情報を提供 (gigazine, 10/11)。「AIが送信してきた情報にはスパムのフラグが立てられたため、特に問題にはならなかった模様」
関連: AnthropicのAIモデルが米国政府サイトへ意図しない送信を行っていた事案についてまとめてみた (piyolog, 10/11)
》 モヤシ争奪戦 野菜山盛りラーメン悲鳴 生産者廃業・倒産相次ぐ 薄利多売に燃料費高騰 (TV朝日, 10/12)
背景にあるとみられているのが、関東近郊の飲食店やスーパー向けにモヤシを製造していた「サイキ食品」の事業停止です。
もやし生産者協会によると、2009年に235あった全国のモヤシ生産者は、2026年度初めにはおよそ3分の1となる86まで減っているといいます。
》 「AIバブルの崩壊」が迫っている──著名投資家のレイ・ダリオ警告 (Forbes, 10/8)
》 ブレーキ試験で3台すべて破損…100万元のファーウェイ車の屈辱 (中央日報 / Yahoo, 10/12)。これはひどい。 シロートがつくるとこうなる感がすごい。
》 英首相「EU離脱にロシア介入」 16年の国民投票巡り (共同, 10/12)
》 ロシアIT大手ヤンデックスのデータセンターがウクライナの長距離ドローン攻撃により4日間で3カ所が炎上 (JSF / Yahoo, 10/11)
実は市民生活に大きな影響を及ぼす大規模データセンターへの攻撃はロシアの方から先に仕掛けており、先月の9月末にはロシア国防省はウクライナの首都キーウの複数社のデータセンターを破壊したと連日のように誇示 (中略)
自分が先に攻撃を仕掛けたら相手から同じ手段で報復されることは必然でしょう。2026年7月からロシアのワイルドベリーズの流通倉庫がウクライナの長距離ドローン攻撃で焼かれ始めたのも、先にロシアがウクライナの流通倉庫を攻撃していた事への報復という面がありました。そして今回のウクライナ軍によるロシアのヤンデックスの大規模データセンターへの攻撃もまた、先にロシアがウクライナの大規模データセンターを攻撃していた事への報復という面が強いのです。
関連:
ロシアのIT大手・Yandexのデータセンターがウクライナのドローン攻撃で大規模炎上、AI開発用スパコン2基も被災の可能性 (gigazine, 10/9)
Yandexのデータセンター障害についてまとめてみた (piyolog, 10/11)
ツイート
ロシアがウクライナのデータセンターを相次いで攻撃 ↓ ゼレンスキー大統領が報復を宣言。Yandexのデータセンターを相次いで攻撃 ↓ サービスが一部停止。経済制裁により新たなGPUの入手難しく、復旧は絶望的 ↓ この攻撃によりなぜかロシアのbotの半分が活動しなくなり、Xが少し平和になる←ｲﾏｺｺ
— 篠原 修司 (@digimaga) October 10, 2026
こちらは0️⃣！！ ウクライナがロシア・ウラジーミルにあるヤンデックスのデータセンターを攻撃した後、ロシアのボットによるトラフィックがほぼゼロにまで減少しました。
— Katie🇺🇦🇯🇵 (@Cathcath2424093) October 12, 2026
Incomplete fix for Emacs CVE-2026-79992 (oss-sec ML, 2026.10.11)。tramp の件。
mutt 2.4.3 released, fixes CVE-2026-107570 (oss-sec ML, 2026.10.09)
Unfixed vulnerabilities in Cyrus SASL (oss-sec ML, 2026.10.09)
Fwd: Go 1.27.2 and Go 1.26.9 are released (oss-sec ML, 2026.10.08)
Fwd: [Freeipmi-announce] FreeIPMI 1.6.20 Released (oss-sec ML, 2026.10.05)
Django CVE-2026-77050, CVE-2026-84429, CVE-2026-87890, and CVE-2026-87975 (oss-sec ML, 2026.10.06)
[cups] Multiple security fixes in incoming new version 2.4.20 (oss-sec ML, 2026.10.05)
》 匿名・流動型犯罪グループによる犯罪被害対策のための技術的措置に関する有識者検討会 (警察庁)。 第５回（令和８年９月24日）までの資料が公開されました。
》 Let’s Encryptが2027年2月から証明書の有効期間を64日間に短縮 (gigazine, 10/9)
》 証明書が未更新だとWindows Updateに接続できなくなる。Windows11やWindows10、Windows Serverにて。対処方法は簡単 (ニッチなPCゲーマーの環境構築Z, 10/9)
》 OpenAIの安全担当従業員が辞職、「会社の文化が崩壊している」と主張 (gigazine, 10/4)
》 「AIの多少の悪影響は許容すべき」 OpenAIアルトマン氏、“AIが暴走”してなおAnthropicと主張がズレる訳 (ロイター / ITmedia, 10/7)
》 【重要】NewsPicksのお客様の個人情報漏洩の可能性に関するお詫びとお知らせ (NewsPics, 10/8)。「業務で利用している管理ツールが第三者による不正アクセスを受け」。
つづき: 【第二報】NewsPicksのお客様の個人情報漏洩の可能性に関するお詫びとお知らせ (NewsPics, 10/9)
漏洩の可能性がある情報
調査の結果、以下の情報が漏洩した可能性があることが判明いたしました。
（最大想定件数で報告しております）
ユーザーに関する情報
メールアドレス：32.3 万件
氏名：5.9 万件
生年月日：2.8 万件
配送先住所・宛名：3.1 万件
所属（※勤務先など）：6.5 万件
所属先の電話番号：2.9 万件
所属先の役職の 7 分類：27.3 万件
ウェブ決済に関わるクレジットカード情報の一部（※）：36.2 万件
氏名とメールアドレス、カード情報との件数が一致しない。 とっとと捨てるべき情報を保持しつづけていたってこと?
》 韓国金融機関サイバー攻撃、中国在住26歳が関与か 米社分析 (ロイター, 10/8)。こちらの件:
Unknown Threat Actor Uses AI-Driven ARTEX to Target South Korean Finance (CrowdStrike, 10/7)
関連:
韓国の金融機関で相次いだ不正アクセスについてまとめてみた (piyolog, 10/6)
AIペネトレーションテストツール「ARTEX」についてまとめてみた (piyolog, 10/6)
韓国の金融機関に対してAIを用いたハッキングが発生、少なくとも7行から6万8000人分の個人情報が流出か (gigazine, 10/7)
中国ＡＩツール「ＡＲＴＥＸ」公開停止、韓国金融機関攻撃受け (ロイター, 10/9)
ツイート
CSIRT関係者各位。AI自律ペンテストの ARTEX（Autumn-27/ARTEX）が本家ごと削除されましたが、AGPL-3.0なので実質復元可能な状態が残ってました。取り損ねた人はちゃんと取得しておきましょう。敵の手段知るの超重要。 ・Hinln/ARTEX が v0.3.15時点のコミット履歴とライセンスを保持したバックアップを公開 ・Software Heritage が削除前(10/7)に status:full でスナップショット取得済み ・韓国語版/英語UI版など upstream明記のforkも生存確認済 AGPLのコピーレフトは「消す自由」まで保証しない、という実例ですね。消える前に手元にcloneしておくかどうかは、ライセンスより運用の問題です。 https://t.co/L28rF0mm08
— connect24h (@connect24h) October 9, 2026
ARTEX (GitHub)
》 メタ、自社プラットフォーム上でＴｉｋＴｏｋ広告禁止 日本含め (ロイター, 10/9)
》 第一興商、委託先への不正アクセスで「ビッグエコー」などの利用者情報約872万件が漏えいのおそれ (Internet Watch, 10/9)
発表によると、10月1日～2日にかけて、日本コロムビアグループの従業員の端末（PC1台）でマルウェアの感染が判明し、10月2日に当該端末をネットワークから隔離した。当該端末には、第一興商が委託した業務に関する個人データが一時的に保管されており、これらの情報が漏えいしたおそれを否定できないという。認証情報であるパスワードなどについてはリセット済みであり、漏えいの有無を含め、原因や被害範囲を調査中だとしている。
》 大規模な個人情報漏えい事案を踏まえ、個人情報保護委員会が事業者向けの注意喚起 (Internet Watch, 10/9)
》 怪しいメールやSMSが届いたら、ChatGPTに「これって詐欺？」と聞いてみよう (Internet Watch, 10/9)
》 「ブックオフ」会員管理システムへの不正アクセスで最大643万件の会員情報漏えい (Internet Watch, 10/9)
10月6日に同社子会社の会員管理システムへの第三者による不正アクセスを確認した。その後の調査の結果、同システムで管理している会員情報が外部から取得されたことが判明したという。
》 ローソン、不正アクセスによる215万件超の個人情報漏えいが判明 (Internet Watch, 10/8)
10月7日に実施した調査において、9月12日～14日に「ローソンID」、9月17日に「ローソンアプリ予約」に不正アクセスを受けていたことが判明した。原因は、ローソンアプリに関連するシステムが不正に利用されたことだと考えられるという。
》 フリーのAndroid操作アプリ「scrcpy 5.0」、ビデオのハードウェア処理でCPU使用率が約1/10に (窓の杜, 10/7)
》 社外特別調査委員会による調査報告書の公表およびお客さま本位の業務運営の徹底に向けた取り組みについて (プルデンシャル生命, 10/8)。POJ = プルデンシャル生命保険株式会社。
本基準日時点において、本金銭授受事案の行為者 324の数は 159 名 325、当該行為に関連して本行為者又は第三者との間で金銭の授受を行ったとされている顧客等は、その申告又は上記 159 名の自認に基づく集計では 794 名326、当該行為に関連して授受が行われた金銭の合計額は顧客等の申告に基づく集計では 61 億 6,660 万 1,644 円327,328,329である。当該金額は、本委員会が本件の全体像を把握する観点から顧客等の申告を認定の基礎としたこと等により、本 2026 年 1 月プレスリリースで POJ が公表した金額との間で差が生じている。なお、上記の人数及び金額は、申告等に基づく人数又は金額であり、確定的なものではない。
監査チームは、2021 年 1 月 27 日開催の執行役員会において設置された「金銭詐取・投資勧誘関連対策 TF」の活動報告等を通じて、「金銭不祥事案の発生リスク」を重要なリスクの一つとして認識し、2022 年度監査計画の検討において、「金銭詐取・投資勧誘及び不適切な営業活動」を抽出し、不適切な営業活動に係る監査として「適切販売確保に係る監査」を計画に盛り込んだ。しかし、同監査では、LP による登録外文書（販売資料非該当）の承認プロセスに関する問題点が検出されたにとどまり、金銭授受に係る不正に直結する統制上の不備は検出されなかった。監査チームは、2022 年当時から、営業現場の「Free to Work」という行動指針に象徴される営業管理態勢に課題が存在する可能性を認識し、LP が自らの活動を記録・管理し、営業管理職がこれをモニタリングする仕組みについて、強化する余地があるとの問題意識を有していた。しかし、当時の監査はスコープが限定的で、支社への直接訪問監査も十分ではなく、主として「本社の支社に対する統制に係る設計・運用」を評価するにとどまり、グループ会社における過去の金銭不祥事件等への対応等を通じて得た経験や教訓を踏まえ、LP 制度等のビジネスモデルに内在する内部統制上のリスクや、本社・支社における企業風土上の問題点について監査結果として適時に提言するには至らなかった。
2 本件の具体的原因
前記 1 で述べた基本的な認識を踏まえて、本委員会は、本件の全体像を考察し、「POJ において、LP と称される生命保険募集人の多くが、長期間、多数回にわたり本金銭授受事案を発生させ、また、その多くが POJ において長期間発見されず潜在化した」点について、それはなぜかとの観点から原因分析を行った。
その結論をあらかじめ総括すれば、POJ が高収益に資する営業戦略として採用してきた LP制度及び支社以下のエージェンシー制度 474、すなわち POJ のビジネスモデルの根幹に、「金銭授受に係る不正リスク」が構造的に内在したにもかかわらず、必要な予防措置が講じられていなかったために、それが各事案の個別事情の下で現実化したものというべきである。
関連: prudential (プログレッシブ英和中辞典(第5版) / コトバンク)。 「1 〈行為・人などが〉思慮深い」。ォゥ。
ツイート:
IDCFクラウド、クラウド全体がランサムウェア食らった模様。 コンソール画面がコレ https://t.co/a7Ms7dN3o3
— J416DY (@j416dy) October 7, 2026
【第3報】当社サービスの一部システムへの不正アクセスによる障害について (IDC フロンティア, 10/8)
■お客さま対応について
①東日本リージョン1の一部（teslaゾーン／henryゾーン／pascalゾーン／jouleゾーン）をご利用のお客さまへのご案内
現在の被害状況およびセキュリティの観点で、別環境を準備して再構築をご案内しています。なお、データの復元についてはお客さま自身で保持されているバックアップデータから実施いただくようにご案内しています。
②東日本リージョン1のその他のゾーン（radianゾーン／newtonゾーン）、東日本リージョン2、東日本リージョン3および西日本リージョン1をご利用のお客さまへのご案内
現時点で不正アクセスは確認されていませんが、データのバックアップをお客さまご自身で行っていただくようにご案内しております。また、バックアップの取得手法については、当社から順次ご案内しています。
お客さま向けの管理コンソールを現在停止していることから、当社がお客さまの要望に従って、お客さまの仮想サーバーの起動や停止などの作業を代行させていただいています。
tesla / henry / pascal / joule ゾーンについてはバックアップを取り出すことができないので「お客さま自身で保持されているバックアップデータから」 と。
ニッスイ子会社で入出荷停止 IDCFクラウド影響か 委託先データセンターに不正アクセス (ITmedia, 10/8)
関連: 日水物流株式会社におけるシステム障害について（第 2 報） (日水物流, 10/9)
早期復旧に向けた対応を進めておりますが、本日 10 月 9 日より一部の入出荷業務を再開いたします。なお、被害を受けたサーバーにニッスイグループが管理する個人情報や顧客情報は含まれないことを確認しました
IDCFクラウドへのランサムウェア攻撃についてまとめてみた (piyolog, 10/8)。あら、滋賀県が含まれていますわよ奥様!
ホームページの障害について 「滋賀のおいしいコレクション」「琵琶湖八珍」「三方よし！でフードエコプロジェクト」 (滋賀県, 10/8)
湖西市立図書館ウェブサイトは現在閲覧できません (湖西市, 10/8)
Firefox 157.0 / ESR 153.4.0 / ESR 140.17.0 / ESR 115.42.0 公開 (2026.09.30)
Firefox 157.0.1 出てました。セキュリティ修正を含みます。
Firefox 157.0.1、Firefox for Android 157.0.1 がリリースされた (mozillaZine, 2026.10.07)
「LibreOffice」で6件の脆弱性修正、「Apache OpenOffice」共通の問題にも先んじて対処 (窓の杜, 2026.10.07)。 LibreOffice 26.2.5 / 26.8.0 公開。 CVE-2026-63277 ほか計 6 件を修正。
「26.2」シリーズのサポートは11月30日まで
Cisco Meraki Security Hardening Release: October 2026 (Cisco, 2026.10.07)。DeepL AI 訳:
これらの脆弱性は社内テスト中に発見されたものであり、現時点で悪用されている事例は確認されていません。(中略) シスコは、これらの脆弱性に対処するソフトウェア更新プログラムをリリースしました。これらの脆弱性に対処する回避策はありません。
一部未リリースなものがある。
2026年10月のAndroidセキュリティ情報が公開 ～25件の脆弱性を修正、「Critical」は7件 (窓の杜, 2026.10.06)
無償の解凍・圧縮ツール「7-Zip」がv26.04に、“いくつかの不具合と脆弱性”を修正 (窓の杜, 2026.10.07)
》 太陽を盗んだ男 4Kデジタルリマスター 上映劇場一覧 (eigakan.org)。TOHOシネマズ二条だな。
》 「身代金を払うな」と宣伝したランサムウェア復旧会社、裏で攻撃者に払い続けていた。CEO起訴 (情報の灯台, 10/8)。 自称復旧会社の MonsterCloud、 実はランサム犯とグルだったと。
たいへん興味深い。
ケースB：API経由での不正な操作
アプリの管理用APIへの不正なリクエストによって、情報の不正な書き換え等が発生しているものがあります。JPCERT/CCでは、次のような攻撃手口に関する複数の報告を受けています。
（a）一般公開しているスマートフォンアプリを解析しAPIのエンドポイントやキーを特定する
（b）本来画面操作では実行できない内部APIに対する攻撃
- ユーザー権限を変更する
- 不正なアカウントを作成する
- ヘッダーの有無の切り替えや不正な形式の認証トークンの付与による応答の違いを確認する
- NoSQLインジェクションによるブラインド探索によってアカウント情報を特定する
（c）他のシステムの侵害で窃取したAPIキーを使用する
なるほど……
IV. 参考情報
(中略)
株式会社マクニカ セキュリティ研究センター
相次ぐWEBシステムからの情報漏洩事案について
https://security.macnica.co.jp/blog/2026/10/web-incidents2026.html
こちらもたいへん興味深い。
関連:
連続不正アクセス事案の攻撃手法に関する調査 (JPCERT/CC, 2026.10.15)
アプリケーション内に共通の秘密鍵やAPI認証に使用する秘密情報が埋め込まれている場合、これらの抽出によって、正規アプリケーションを介さないAPIリクエストの生成につながる恐れがあります。こうしたリスクを踏まえ、次の対策を実施することを推奨します。
- 秘密情報の保護：APIの認証に使用する秘密鍵や、有効期間の長い認証情報をアプリケーションに埋め込まない。
- サーバー側での認証・認可：アプリケーション内の署名処理や難読化だけに依存せず、サーバー側で利用者を適切に認証し、操作対象や操作内容に応じた認可を実施する。
- APIの不正利用対策：レート制限や異常なリクエストの監視を実施し、正規アプリケーション以外からのアクセスも想定する。
- SSRF対策：外部URLの内容を取得するAPIでは、アクセス先を制限し、リダイレクト後の宛先も検証する。
【注意喚起】 相次ぐ情報漏えい、その原因の一つは「アプリ解析からのサーバ攻撃」 〜AIで高度化する脆弱性探索、Androidアプリを手掛かりにしたA2B攻撃に注意〜 (NICT, 2026.10.13)
相次ぐWEBシステムからの情報漏洩事案について（第2報） (マクニカ セキュリティ研究センター, 2026.11.03)
■実行犯はどのようなグループか筆者が思い描くのは、国家を背景とするAPT（標的型攻撃）グループやランサムウェアなどで長年活動してきたプロのサイバー攻撃者ではなく、ここ数年で新規参入した「野良のサイバー犯罪者」です。単独犯や不特定多数のグループではなく、手法や狙う対象が微妙に異なる、限定的な数の複数クラスタが存在するように感じています。
》 イエメンでの戦闘激化に伴い、18万4000人以上が避難 (国連情報誌ＳＵＮブログ対応版, 10/6)
》 日本の捜査当局が Qilin「中心メンバー」を大阪で拘束 (5月下旬)、ドイツに引き渡し (10/2)。 犯罪人引渡条約が締結されていないにもかかわらず。
国際ハッカー集団の中心メンバーでロシア国籍の男、日本の捜査当局が国内で身柄拘束…ドイツへ身柄引き渡し (読売, 10/6)
ドイツ当局が企業への恐喝容疑で捜査している人物で、日本側は今月２日、ドイツ側に身柄を引き渡した。
日本の捜査当局は逃亡犯罪人引渡法に基づき、今年５月、大阪市内で男の身柄を拘束。その後、東京高裁がドイツへの引き渡しを認める決定を出したという。
ランサム集団キリンの中心メンバー、大阪で拘束 識者「活発に攻撃」 (朝日, 10/6)
関係者によると、男は24年9月、ドイツ所在の物流会社の端末にアクセスし、データを不正に入手して暗号化。データを公開されたくなければ16万5千ドル（約2600万円）相当のビットコインを支払うよう同社に要求し、脅し取った疑いがある。
男の所在に関する情報を事前につかんだ日本の捜査当局が26年5月下旬、東京高裁から許可状を得て、大阪市内で旅行中の男を拘束。引き渡しができる場合に当たるとの東京高裁の決定を受け、日本側はドイツ側に男を引き渡した。
Rare occurrence: Japan extradites ransomware suspect to Germany (heise online, 10/6)。「異例の出来事：日本がランサムウェア容疑者をドイツに引き渡す」(DeepL AI 訳)。
Qilin Ransomware Extradition to Germany (CyPro, 10/6)
関連: 【独自】“日本は世界最悪のコンピュータセキュリティ体制” ハッカー集団「Qilin」中心メンバー拘束で取材に応じる アサヒビールなどにサイバー攻撃 (TBS, 10/7)
ロシア国籍ランサムウェア被疑者逮捕に関するドイツの広報について (警察庁, 10/8)
》 日販がアンソロピックに日本の書籍を無断で販売、大量スキャンでＡＩ学習に利用か…出版関係者「許せない」 (読売, 10/6)
》 ぶっ壊れやすいHDDはどれ？Backblazeが2026年第2四半期の統計データ公開 (gigazine, 9/30)
》 北朝鮮のハッカー集団をハックした専門家、世界規模のサイバー工作の実態を明かす (WIRED, 10/7)
そのなかには (中略) 日本の大手企業イオングループのテクノロジー企業イオンスマートテクノロジー (中略) が含まれていたとスティカスは語る。
本稿で名前の挙がっている複数の企業・組織は、『WIRED』の取材に対するコメント要請に応じなかった。日本のJPCERTコーディネーションセンターはスティカスの調査結果を確認し、イオンスマートテクノロジーと協力しながら是正措置に努めているとした。
》 アメリカ政府による大規模監視を暴いた機密資料「スノーデン文書」はどうなったのか？ (gigazine, 9/30)
アーカイブが閉鎖された後、The Interceptが保管していたスノーデン文書そのものがどうなったかは明らかになっていません。(中略) その一方で、グリーンウォルド氏は2019年のX(旧Twitter)投稿で、自分とポイトラス氏はそれぞれスノーデン文書の完全なコピーを持っていると説明していました。また、マカスキル氏は2023年のインタビューで、自分の知る限りではThe New York Timesのオフィスにもスノーデン文書が保管されており、その文書についてはThe Guardianが責任を持っていると語っています。
》 MicronのCEOがメモリ不足が2028年かそれ以降も続く可能性があると警告、「顧客は今年支払った価格よりも『はるかに高い価格』を支払うことになるだろう」 (gigazine, 10/2)
》 NVIDIA製GPU「GeForce RTX 4090」「GeForce RTX 5090」などを中国に密輸した疑いでアメリカのテクノロジー企業CEOが逮捕される (gigazine, 10/7)
》 中国へのGPU密輸はなぜ続くのか、そしてなぜアメリカ政府は取り締まることができないのか？ (gigazine, 10/2)
》 AIによるバグ報告が爆増したためGoogleがバグ報奨金プログラムを一時停止 (gigazine, 10/5)
》 Googleが黒塗りで報告したデータセンターの水使用量と最大電力容量がコピペによって明らかに (gigazine, 10/5)
こうして公開されたリンカーンのデータセンター情報では、最大電力需要が52.65MW(メガワット)であり、冷却塔・蒸発システム・施設の運用などに使用した水が年間1329万9000ガロン(約5030万リットル)だったことが明らかになりました。(中略)
さらに、黒塗り部分からの流出によって、Googleのデータセンターが2025年にどれだけの税金還付を受けているかも判明しました。リンカーンのデータセンターは2025年の税金について5582万2472ドル(約88億円)の還付を受ける見込みであり、パピリオンのデータセンターは3917万1573.39ドル(約62億円)、オマハのデータセンターは2255万8881ドル(約35億円)の還付を見込んでいると報告していました。
》 東芝がAIデータセンター向けHDDの生産能力を2027年度までに倍増させる計画発表でライバル企業のWestern DigitalとSeagateの株価が急落、東芝はさらに65TBと100TBも準備 (gigazine, 10/6)
特にSeagateは、「工場はフル稼働状態で、新工場を建設するには少なくとも2年かかるため、新設の予定はない」という見通しを示しているため、東芝に対して明確に出遅れることになります。
》 ドイツ連邦情報局元長官が外国に情報を渡したスパイ容疑で逮捕 (gigazine, 10/7)
》 中古のRyzen 7 5800X3Dが原因でVALORANTからBAN。前の所有者がチーターだったため。これが本当なら中古で買うの怖すぎるんだが…… (ニッチなPCゲーマーの環境構築Z, 10/3)。個別の CPU に対して BAN するのか。
あるPCゲーマーが中古のRyzen 7 5800X3Dを購入したところ、前の所有者がVARORANTでチート行為を行っていたため、Riot GamesのVanguardアンチチートシステムにより、そのCPUがブラックリストに登録されていたことが判明した。
》 MicrosoftのX公式アカウントがハッキングされる。Clippy暗号通貨へ誘導か (ニッチなPCゲーマーの環境構築Z, 10/3)
》 世界の平均寿命、パンデミック前の水準近くまで回復とWHOが発表 (国連情報誌ＳＵＮブログ対応版, 10/3)
》 「レジデンシャルプロキシ対策アライアンス」第1回会合 (9月7日) の資料が 10/2 付で公開されている。
》 macOSの「フルディスクアクセス」が厳格化へ。AI時代の危険性を考慮 (PC Watch, 10/5)
Apache Struts に脆弱性4件、リモートコード実行・DoS・データ漏えいのおそれ (blackhatnews.tokyo, 2026.10.06)。Apache Struts 6.12.0 / 7.4.0 で修正されている。
Announce: OpenSSH 10.6 released (oss-sec ML, 10/6)
libexpat 2.9.0 fixes two vulnerabilities (oss-sec ML, 2026.10.05)。iida さん情報ありがとうございます。
wolfSSL 5.9.4 Release Blog (wolfSSL, 2026.09.30)。11件のセキュリティ欠陥を修正。 内 5 件は「Found via the Anthropic OSS program」。
Chrome 155.0.8059.39 等が stable になりました。
Stable Channel Update for Desktop (Google, 2026.10.06)。 Chrome 155.0.8059.39/.40 for Windows / Mac および 155.0.8059.39 to Linux。 247 件のセキュリティ修正を含む。
Chrome for Android Update (Google, 2026.10.06)。 Chrome 155 (155.0.8059.39) for Android。
Chrome 155.0.8059.79 等公開されました。
Stable Channel Update for Desktop (Google, 2026.10.13)。 Chrome 155.0.8059.79/.80 for Windows / Mac および 155.0.8059.79 to Linux。 37 件のセキュリティ修正を含む。
Chrome for Android Update (Google, 2026.10.06)。 Chrome 155 (155.0.8059.79) for Android。
Chrome 155.0.8059.84 等公開されました。
Stable Channel Update for Desktop (Google, 2026.10.15)。 Chrome 155.0.8059.84/.85 for Windows / Mac および 155.0.8059.84 to Linux。 10 件のセキュリティ修正を含む。
Chrome for Android Update (Google, 2026.10.15)。 Chrome 155 (155.0.8059.84) for Android。
複数のセキュリティ欠陥を修正。0-day ではないようです。
FortiMail - FG-IR-26-175 Improper limitation of a pathname to a restricted directory (2026.10.02)
2026.10.05 付で FG-IR-26-175 が改訂された。
FortiMail 8.0.2 / 7.6.7 / 7.4.9 が提供された模様。
回避策である IBE 停止の、GUI からの設定方法が追加された。 「Encryption → IBE → IBE Service 'off' 」
回避策が追加された。 FortiMail の前に Web Application Firewall があるなら、 そこで '../' を含む /ibe への POST リクエストを無効化する。
》 エヌビディアAI半導体、中国への密輸網を追う－浮かぶ米規制の抜け穴と巨大闇市場 (ブルームバーグ, 10/6)
特に注目されているのがタイ、マレーシア、シンガポールだ。中国企業にリモートで計算資源を提供するデータセンターがある一方、不正な迂回輸送の中継地になった疑いがある。
バイデン、トランプ両政権下で米国務省のAI政策を率いたダニエル・レムラー氏は「中国の顧客向けでないのなら、なぜこれほど多くの半導体が東南アジアに流れているのか、納得のいく説明を聞いたことがない」と話す。「この問題に向き合おうとする姿勢がまったくない」
闇市場の正確な規模は把握しにくい。ただ、フアン氏ら業界幹部も報告書を引用するAI調査会社セミアナリシスは、サプライチェーンの調査や生産・設置データの比較から、数十万個のAI半導体が規制をすり抜けたと分析している。
金額にすると数十億ドルに上る。小規模なデータセンターなら多数、OpenAIが米国で建設しているようなハイパースケール施設でも数カ所に導入できる量だ。
イエメン政府軍、フーシ派大規模攻撃 バベルマンデブ海峡周辺の拠点奪還 (ロイター, 10/5)
イエメン政府筋によると、政府軍は同日夜、モカ郊外に到達し、フーシ派戦闘員は高地へ撤退した。国防省もモカを奪還したと発表した。今回の進軍が確認されれば、暫定政府はフーシ派が先月掌握した地域の大部分を奪還したことになる。
(中略)
これに先立ち、イエメンのエリヤニ情報相はロイターに対し、バベルマンデブ海峡を実効支配下に置いたと表明。政府軍はサウジ軍の強力な航空支援を受けて沿岸を急速に進軍し、海峡の最狭部に位置するドゥバブ地区の重要拠点を制圧したという。(中略) エリヤニ氏は、海峡から内陸にすぐ入った場所にあるドゥバブ飛行場を制圧し、同地区に残るフーシ派部隊を分断したと述べた。
それでもフーシ派はさらに離れた沿岸部や内陸の拠点から、引き続きドローンで船舶を攻撃できる。
一方、暫定政府の軍関係筋５人によると、フーシ派は主要都市タイズ付近で大きく前進し、山岳道路の一部を掌握して同市の暫定政府軍を包囲下に置いた。別の政府筋１人は、同道路が遮断されたことを否定した。
イエメン軍、フーシ派からモカ奪還－バベルマンデブ海峡掌握へ前進 (ブルームバーグ / TBS, 10/6)
イエメン政府、フーシ派との全面戦争開始を宣言 領土奪還を掲げ (BBC, 10/5)
トルコ・パキスタン、サウジに部隊配備へ フーシ派に対抗 (時事, 10/6)
株式会社物語コーポレーション 仕様書がなくても問題なくソフトウェアテストを実施。不具合を発見、修正した結果、アプリストアの評価が1点台から平均4.6点に (SHIFT ASIA / archive.org)。 「実際に2023年10月から現在までのたった約8ヶ月の間に4つもアプリをリリースしており」とあるので、文中における現在は2024年6月ごろのようだ。
ー 今回の取り組みのきっかけには、どのような課題やお悩みがあったのでしょうか？
村松様 私と川畑が入社する以前にはすでに5つの飲食店公式アプリがリリースされていたのですが、開発コストを抑えることと開発スケジュールを短くすることを優先していた結果、アプリに関する仕様書が存在していなかったのです。
はわわ、仕様書なしが標準状態……。
ー 貴社事業の展望をお聞かせください。
村松様 (中略)飲食店公式アプリへの先行投資も継続していき、飲食店公式アプリの会員DBを構築し、データ活用にもより一層力を入れていきたいですね。
2024年6月ごろの段階では、会員DBは存在していなかった模様。
焼肉きんぐ 東近江店 (食べログ)。八日市にあるのか。 いやまあ、行かんけど。
LibreSSL 4.2.2 and 4.3.3 released (BSDsec.net, 2026.10.06)。「Security and reliability fixes」が含まれる。
》 『焼肉きんぐ』公式アプリ 会員管理システムへの第三者からの不正アクセスによる個人情報漏えいに関するお詫び (物語コーポレーション, 10/5)
『焼肉きんぐ』公式アプリのユーザー登録数 10,808,784 件のうち、漏えいした件数は10,788,963 件です。漏えいした情報には、会員番号、氏名（アプリ登録名）、メールアドレス、電話番号が含まれます。なお、アプリに登録されているログインパスワード、生年月日、性別、郵便番号、保有ポイントを含む店舗利用履歴については、漏えいはございません。（クレジットカード等の決済情報につきましては、当社で保持しておりません）
1000万件! 「焼肉きんぐ」って、そんなにウケてる店なの?
》 「サイバーセキュリティ関係法令Q&Aハンドブック Ver.3.0」公開、能動的サイバー防御などに対応 (Internet Watch, 10/5)
》 大和証券、22万件情報漏えいか 顧客約11万人の口座番号も (ITmedia, 10/5)
》 日経社員のGoogle Workspaceに不正ログイン 1646人分の個人情報漏えいか (ITmedia, 10/5)
》 日経社員アカウントからなりすましメール9000件 「Microsoft 365」に不正ログインか (ITmedia, 10/5)
》 大阪公立大、システム障害で1週間近く休講に 出願期間中で入試にも影響 (ITmedia, 10/5)
入試にも影響しており、Web出願サイトと入学手続きサイトは学外のサーバで稼働しているため登録できるものの、募集要項の閲覧や一部の出願書類の入手ができない。共同通信によると、同大学は総合型選抜などの出願期間中で、締め切りは8日。
》 渋谷区でシステム障害、窓口業務を縮小 復旧の見通し立たず (ITmedia, 10/5)
「cPanel & WHM」に3件の脆弱性 - いずれも「クリティカル」 (security NEXT, 2026.10.05)。更新版があるのでアップデートすればよい。
「Apache OpenOffice」に緊急のコード実行脆弱性「CVE-2026-59265」、パッチは準備中 「LibreOffice」でも同種の問題が報告、OpenOfficeではJava連携の無効化を (窓の杜 , 2026.10.05)。現時点では OpenOffice / LibreOffice どちらも未修正。
「Java ランタイム環境を使用」(LibreOffice では「Java実行環境を使用」) のチェックを外すことで回避できる模様。
「LibreOffice」で6件の脆弱性修正、「Apache OpenOffice」共通の問題にも先んじて対処 (窓の杜, 2026.10.07)。LibreOffice 26.2.5 / 26.8.0 で修正。
》 プーチンは本当に私をスパイだと思っていたのか (Wall Street Journal, 10/2)
》 WSJ記者、ロシアの収容所でいかに取材を続けたか (Wall Street Journal, 9/29)
》 フライドバイ1073便操縦士傷害事故 (ウィキペディア)。仕事が早い。関連:
FlyDubai flight to Tel Aviv diverts to Tabuk amid onboard incident (flightradar24, 10/2更新)。すさまじい急降下と急上昇。
イスラエル行き旅客機が緊急着陸 操縦士が墜落図り別の操縦士を刺したか (BBC, 10/1)。着陸後の機体の写真、方向舵が大きく欠けている。
急降下のイスラエル行き旅客機、副操縦士を取り押さえたと語る乗客「航空番組で見たように操縦かんを引いた」 (読売, 10/1)
機体急降下も…“テレビで見たように”乗客が操縦し危機救う イスラエル行きの旅客機内で副操縦士が機長刺す (日テレ, 10/1)
イスラエル行き便での刺傷事件、乗客が語る緊迫の瞬間 (Wall Street Journal, 10/1)
大惨事回避のイスラエル行き旅客機、露呈した保安網の「大きな穴」 (Wall Street Journal, 10/2)
》 不正アクセスによる個人情報漏えいに関するお知らせ（第2報） (estore.jp, 8/2)。本件、estore.jp から対象者に対してメールによる通知をはじめたようです。 しかし当該メールには、実際に利用したショップの情報が全く含まれておらず、 受け取った人達は混乱している模様です (はい、私も当該メールを受信して混乱した一人です)。例:
当該メールの末尾にある
改めまして、お客様に多大なるご心配とご迷惑をおかけしますことを、心より深くお詫び申し上げます。
本メールは送信専用のアドレスから配信しております。
本件に関するお問い合わせは、下記のお問い合わせ窓口までご連絡ください。
■ 本件に関するお問い合わせ窓口
株式会社Eストアー 個人情報に関するお客様ご相談窓口
https://af8eb6ba.form.kintoneapp.com/public/estore
上記「お客様ご相談窓口」に FAQ がまとめられているので参照すると吉。
関連:
ショップサーブ漏えい、実際は「2時間」ではなく2か月半 885万件と店舗の認証情報が流出 (ACT, 8/10)
Eストアーのショップサーブへの不正アクセスについてまとめてみた (piyolog, 8/12)
情報漏洩ゼロのショップサーブが解説！ネットショップの強固なセキュリティ (estore.jp, 2024.11.18)
》 スマホは新たな「たばこ」、禁止する米レストラン (Wall Street Journal, 9/25)。確かに迷惑デバイスだなあ。
》 「エネルギー大国」カナダ、米の圧力で目覚めるか (Wall Street Journal, 9/29)。今日明日どうにかなる話ではない。
》 ローソンのメールサーバが踏み台に、不審メール約70万件送信 件名「RE」など (ITmedia, 10/2)
》 免許証の悪用防止で申し込み集中 JICCがアプリ受付を一時休止 タイムズカー漏えいの影響か (ITmedia, 10/1)
》 「Oracle JDK 21」は無償の「NFTC」ライセンスの対象外に、10月「CPU」以降で (窓の杜, 10/1)
》 本日から関連法施行、「能動的サイバー防御」で何が変わる？ (Internet Watch, 10/1)
》 JPCERT/CCが30周年、代表理事がコメント発表 (Internet Watch, 10/1)
Firefox 157.0 / ESR 153.4.0 / ESR 140.17.0 / ESR 115.42.0 公開 (2026.09.30)
Thunderbird 157 出ました。直後に 157.0.1 が出たみたい。
Thunderbird 157 がリリースされた (mozillaZine, 2026.10.01)。153.4.0esr / 140.17.0esr も出ていると。
Thunderbird 157.0.1 がリリースされた (mozillaZine, 2026.10.02)。「EWS/Graph メッセージで相対 URL を扱うときにクラッシュすることがある問題を修正」。
NetScaler ADCおよびNetScaler Gatewayにおける複数の脆弱性（CVE-2026-88771、CVE-2026-88772等）に関する注意喚起 (2026.09.29)
JPCERT/CC 注意喚起が更新された。
MandiantおよびGoogle Threat Intelligence Group（GTIG）が、CVE-2026-88772を悪用する攻撃について、侵害痕跡（IOC）や侵害調査に関する情報を公開しました。影響を受ける製品を利用している場合は、「V. 侵害調査」に記載の情報を確認し、本脆弱性を悪用する攻撃の影響を受けていないか調査してください。
こちら: Defending Against Active Exploitation of Citrix NetScaler ADC and Gateway Appliances (Mandiant & Google Threat Intelligence Group, 2026.09.30)
「Google Chrome 154」が公開、HTTP接続時に警告する「Ask before HTTP」が既定有効に (2026.09.24)
Chrome 154.0.8037.97 等が公開されました。
Stable Channel Update for Desktop (Google, 2026.10.01)。Chrome 154.0.8037.97/.98 for Windows / Mac および 154.0.8037.97 to Linux 。 セキュリティ修正数は不明だが 0 ではない模様。
Chrome for Android Update (Google, 2026.10.01)。Chrome 154 (154.0.8037.126) for Android。
Changes with Apache 2.4.69 (apache.org, 2026.10.01)。20 件のセキュリティ修正。
iida さん情報ありがとうございます。
「Python」でセキュリティアップデート、「Critical」評価の脆弱性などを解決 v3.14.8、v3.13.16、v3.12.15が公開 (窓の杜, 2026.10.01)
リモートデスクトップソフト「TeamViewer」に5件の脆弱性、修正版が公開 (窓の杜, 2026.10.02)。 TeamViewer Client / Host 15.82 / 15.64.8 (Windows 7/8) / 14.7.48855 / 13.2.36230 (Windows) / 13.2.153995 (Linux) / 13.2.153994 (macOS) で修正されている。
「LibreOffice」に7件の脆弱性、うち5件は「Claude」が発見 (窓の杜, 2026.10.02)。LibreOffice 26.2.5 で修正。
「VLC 3.0.24」に多数の脆弱性修正、本体だけで50件超、macOSでは任意コード実行も実証 (窓の杜, 2026.10.02)
HPESBNW05150 rev.1 - Multiple Vulnerabilities in HPE Networking Instant On APs (HPE, 2026.09.29)。 Instant ON 3.4.2.0 以降で修正されている。
FortiMail 8.0 / 7.6 / 7.4 / 7.2 系列に 0-day 欠陥。 パストラバーサル CWE-22 おび NULLバイト・NULL文字の不適切な無害化 CWE-158 の欠陥があり、攻略 HTTP/HTTPS リクエストによって remote から無認証で任意のファイルに書き込める。 CVE-2026-104286。
今後提供される予定の FortiMail 8.0.2 / 7.6.7 / 7.4.9 で修正される予定だが、 現時点ではまだ提供されていない。FortiMail 7.2 系列については 7.4 系列以降への移行が推奨されている。
回避策として挙げられているのは:
関連: CLI Reference FortiMail 7.6.0 (Fortinet / AWS)config system encryption ibe set status disable end
0-day であるので既知の IoC も示されている。 FG-IR-26-175 を参照。
2026.10.05 付で FG-IR-26-175 が改訂された。
FortiMail 8.0.2 / 7.6.7 / 7.4.9 が提供された模様。
回避策である IBE 停止の、GUI からの設定方法が追加された。 「Encryption → IBE → IBE Service 'off' 」
回避策が追加された。 FortiMail の前に Web Application Firewall があるなら、 そこで '../' を含む /ibe への POST リクエストを無効化する。
![[セキュリティホール memo]](/~kjm/security/memo/memologo-s.png)