Security NEXTの情報
10月23日(金)
GMO「デスクトップクラウド」で侵害 - 利用者から金融口座の不正操作報告
GMOインターネットが提供する仮想デスクトップサービス「お名前.com デスクトップクラウド」が第三者により侵害されたことがわかった。同サービスの利用者において、金融機関の取引口座に対する不正操作が報告されており、内部データを窃取されたおそれがある。
「Apache Tomcat」に脆弱性8件 - 「クリティカル」評価の脆弱性も
ウェブアプリケーションサーバ「Apache Tomcat」に複数の脆弱性が判明した。一部脆弱性については、セキュリティ機関が「クリティカル」と評価している。
Android版「Firefox」に暗号関連の脆弱性 - 修正版が公開
Mozilla Foundationは、ブラウザ「Firefox」のAndroid版に脆弱性が判明したとし、アップデートをリリースした。
「Splunk Enterprise」に複数の脆弱性 - 修正版が公開
ログ分析プラットフォーム「Splunk Enterprise」に複数の脆弱性が判明した。深刻な脆弱性も明らかとなっており、セキュリティアップデートが提供されている。
「Node.js」に脆弱性10件 - Brotli圧縮データの処理でRCEのおそれ
JavaScriptの実行環境である「Node.js」に複数の脆弱性が判明した。リモートからコードを実行されるおそれがある問題も含まれており、開発チームがセキュリティアップデートを公開した。
HPEの無線LAN向けOSに多数の脆弱性 - クリティカルが33件
Hewlett Packard Enterprise（HPE）は、無線LAN関連機器向けOS「AOS-10」「AOS-8」に関する複数の脆弱性を明らかにした。
10月22日(木)
侵入検知エンジン「Snort 3」に複数の脆弱性 - Cisco製品にも影響
Cisco Systemsは、オープンソースの侵入検知エンジン「Snort 3」に複数の脆弱性が判明したことを明らかにした。同社の複数製品にも影響があり、修正版を提供している。
Ciscoのビデオ会議製品に深刻な脆弱性 - 修正版が公開
Cisco Systemsのビデオ会議関連製品「Cisco Expresswayシリーズ」に複数の脆弱性が判明した。リモートから認証なしに任意のコマンドを実行できる脆弱性も含まれる。
「PHP」の深刻なRCE脆弱性「PHP2Shell」 - 悪用試行を観測
ウェブサイトをはじめ、広く活用されているプログラミング言語の「PHP」に、認証を必要とすることなくリモートからコードを実行できる深刻な脆弱性が見つかった問題で、すでに悪用を試みる攻撃も観測されている。実証コードも公開されており注意が必要だ。
米当局、「PHP脆弱性」の即修正を勧告 - 困難ならオフラインに
米サイバーセキュリティインフラセキュリティ庁（CISA）は、プログラム言語「PHP」に深刻な脆弱性2件が見つかった問題で、修正プログラムをただちに適用するよう強く勧告した。更新が困難な場合は、インターネットへの公開を控えることを推奨している。
「GitLab」に深刻な脆弱性 - 旧ブランチにも修正を提供
ソフトウェア開発プラットフォーム「GitLab」に複数の脆弱性が判明した。深刻な脆弱性も含まれており、早急にアップデートするよう強く呼びかけている。
10月21日(水)
「PHP」に2件の深刻なRCE脆弱性 - アップデートを公開
プログラム言語「PHP」に深刻な脆弱性2件が判明した。開発チームはセキュリティアップデートをリリースし、利用者に更新するよう強く呼びかけている。
Oracle、四半期定例パッチで1295件を修正 - 深刻な脆弱性も
Oracleは現地時間2026年10月20日、四半期ごとに提供している「Critical Patch Update（CPU）」を公開した。
「PHP」に複数の深刻な脆弱性 - 21日に修正版を公開予定
「PHP」に複数の深刻な脆弱性が確認された。PHPのセキュリティチームは、10月21日に修正版をリリースする計画で、利用者にアップデートの準備を呼びかけている。
「Plex Media Server」など6件、悪用済み脆弱性に注意喚起 - 米CISA
米サイバーセキュリティインフラセキュリティ庁（CISA）は現地時間2026年10月20日、悪用が確認された脆弱性6件について注意を呼びかけた。
「Chrome 156」公開、脆弱性353件を修正 - 「クリティカル」6件
Googleは、ウェブブラウザ「Chrome」の最新版となる「Chrome 156」をリリースした。多数の脆弱性に対処しており、重要度がもっとも高い「クリティカル（Critical）」とされる脆弱性も6件含まれる。
「Firefox 158.0.1」を公開 - 脆弱性や侵害された中間証明書に対処
Mozilla Foundationは現地時間2026年10月20日、ウェブブラウザのセキュリティアップデート「Firefox 158.0.1」を公開した。複数の脆弱性を修正したほか、侵害された中間証明書を遮断するためのリストを更新している。
10月20日(火)
「Claude Agent SDK」に引数注入の脆弱性 - 修正版を公開
AnthropicのPython向け開発キット「Claude Agent SDK」に深刻な脆弱性が明らかとなった。修正版が公開されている。
大会形式を刷新、2月に「SECCON Tournament」開催
日本ネットワークセキュリティ協会（JNSA）のSECCON実行委員会は、2月にセキュリティ競技大会「SECCON Tournament」を都内で開催すると発表した。
「Roundcube Webmail」にセキュリティ更新 - 複数の脆弱性を解消
ウェブメールソフト「Roundcube Webmail」の開発チームは現地時間2026年10月19日、セキュリティアップデートとなる「同1.7.5」「同1.6.20」をリリースした。脆弱性の修正を行っており、利用者に注意を呼びかけている。
委託先が顧客のメアド保存のPCを紛失 - 山陰合同銀
山陰合同銀行は、委託先において顧客のメールアドレスが含まれるおそれがある業務用パソコンが所在不明となっていることを明らかにした。
10月19日(月)
「Fortinet」「BeyondTrust」の脆弱性悪用に注意喚起 - 米当局
米当局は、Fortinet製品やBeyondTrust製品に関する脆弱性2件が悪用されているとして、注意喚起を行った。
【特別企画】メッセージングセキュリティの最新動向がテーマ - JPAAWGが年次イベント
2026年前半以降、予想を超えるAIの進化によってメールやメッセージングを取り巻くセキュリティ環境も目まぐるしく変化している。悪質化する攻撃に対し、グローバルではどのような対応が進められているのだろうか。