最新のセキュリティ情報
10月21日(水)昨日
修正予告されたPHPの2件の深刻な脆弱性についてまとめてみた
2026年10月20日、PHPの開発元であるThe PHP Groupのセキュリティチームは、PHPの深刻な脆弱性2件を修正するセキュリティリリースを予告しました。ここでは関連する情報をまとめます。（開発元等から詳細情報が公開され次第更新します。） 開発元は何を予告したの? PHPのセキュリティチームは10月20日(協定世界時)、2件の critical な脆弱性を修正するセキュリティリリースを予告した。2件とも深刻度は CVSS v4.0 で 9.2(Critical)。リリースは10月21日14時(協定世界時、日本時間23時)の予定で、全てのPHP利用者に事前の準備を呼びかけた(出典: 1…
10月20日(火)
AIペネトレーションテスト基盤「Cairn」の公開パネルから見えた攻撃活動についてまとめてみた
2026年10月19日、セキュリティ企業のNorForgeは、公開状態のまま放置されていたAIペネトレーションテスト基盤Cairnの管理画面から、AIエージェントによる攻撃活動を観測したとするレポートを公表しました。ここでは関連する情報をまとめます。 Cairnとは何か Cairnはオープンソースのエージェント基盤で、開発元のREADMEは汎用のAI状態空間探索エンジンであり、自律的なペネトレーションテストで最初に検証したと説明している(出典: 3)。Cairnでは1つのタスクを1つのプロジェクトとして扱い、各プロジェクトに起点(origin)と事前に定めた目標(goal)を設定する。エージェ…
Studioへの不正アクセスについてまとめてみた
2026年10月16日、ノーコードのWebサイト制作サービス「Studio」を運営するStudioは、同社が利用するクラウド環境への第三者による不正アクセスにより、登録している顧客の情報が外部に流出した可能性があると公表しました。ここでは関連する情報をまとめます。 社内調査で発覚 Studioは、第三者がStudioの一部機能の脆弱性を悪用して同社のクラウド環境に不正にアクセスし、環境内のデータを外部から取得できる状態にしていたと公表した。この状態は10月14日にStudioが対処するまで続いていた。現時点で確認できている不正アクセスの期間は9月30日から10月1日(日本時間)。実際に第三者に…
気象庁の緊急地震速報の過大推定についてまとめてみた
2026年10月16日、気象庁は同日に北海道から中部地方へ発表した緊急地震速報(警報)について、マグニチュードを過大に推定したことによるものと公表しました。ここでは関連する情報をまとめます。 M6.9の地震がM9.9と推定され警報に 10月16日12時38分頃、カムチャツカ半島付近でM6.9(速報値)の地震が発生し、観測された最大震度は函館市の震度1だった。(出典: 2)緊急地震速報は12時38分27.7秒の第1報でM6.2と推定し、第14報(12時39分04.0秒)まではM6〜7台で推移した。12時39分23.6秒の第15報でM9.9となり、12時40分02.6秒の第17報で警報を発表した。…
ソースネクストへの不正アクセスについてまとめてみた
2026年10月15日、ソースネクストは、同社が管理する会員情報に対する第三者の不正アクセスで、会員の個人情報が外部に流出したことが判明したと公表しました。ここでは関連する情報をまとめます。 会員情報取得APIの不正利用 第三者は2026年10月9日10時頃から、会員情報取得APIを不正に利用して会員情報を取得していた(出典: 3)。10月13日9時頃、社員が会員情報を管理するシステムへの不正アクセスを見つけ、ソースネクストは外部からの不正な通信を遮断するなどの緊急措置を講じて13時36分までに封じ込めを完了した(出典: 3, 5)。以後、不正アクセスは確認されていないとしている(出典: 3)…
10月19日(月)
運営指定の遠隔操作ソフト導入を参加条件とされたセキュリティイベントについてまとめてみた
2026年10月12日、Elastic Security Labsは、暗号資産やWeb3の創業者を狙う偽のアクセラレーター「Apex Accelerator」が悪性のnpmパッケージで端末を狙っていたと公表しました。同じ名称の運営がTOKEN2049期間中の催しで参加の条件としてセキュリティ製品の導入を迫ったとする申告も出ています。ここでは関連する情報をまとめます。 偽アクセラレーターApex Accelerator Apex Acceleratorは、暗号資産やWeb3の創業者を狙う偽のアクセラレーター。Elastic Security Labsは追跡名REF8801として調査しており、「A…
10月16日(金)
「skyticket」で確認された3つの不正アクセスについてまとめてみた
2026年10月9日、アドベンチャーは同社が運営する比較予約サイト「skyticket」のシステムが第三者による不正アクセスを受け、顧客の個人情報が外部に流出した、または流出したおそれがあると公表しました。ここでは関連する情報をまとめます。 発生時期も原因も異なる3件の不正アクセス アドベンチャーは10月9日、企業サイトに「不正アクセスによるお客様情報の流出に関するお詫びとお知らせ」を掲載し、適時開示も行った。「それぞれ異なる経路による次の3件の不正アクセス」とした(出典: 3, 4)。同社はクレジットカード番号とパスポートの画像を保存しておらず(カード情報は決済代行会社が保管)、いずれの案件…
10月15日(木)
産婦人科向けシステム「アットリンク」への不正アクセスについてまとめてみた
2026年10月15日、メドレーは、運営する産婦人科向けシステム「アットリンク」で第三者による不正アクセスを確認したとして、アプリやWEB予約サイトなどの提供を一時停止していると公表しました。ここでは関連する情報をまとめます。 患者等の個人情報が漏えいした可能性 メドレーは10月15日、アットリンク、アットリンクアプリおよび周辺サービス(以下「アットリンク等」)のシステムに対する第三者による不正アクセスを確認したと公表した。10月11日に外部の専門機関から不正アクセスの可能性があるとの情報提供を受けて調査を開始し、その結果として確認したとしている(出典: 5)。情報提供を受けてから提供停止まで…
10月14日(水)
防災情報配信サービス「SpeeCAN RAIDEN」への不正アクセスについてまとめてみた
2026年10月13日、アルカディアは、同社が運営する防災情報配信サービス「SpeeCAN RAIDEN」が第三者による不正アクセスを受け、個人情報が漏えいした可能性があると公表しました。ここでは関連する情報をまとめます。 不正アクセスの開始から全サービスの復旧まで アルカディアが10月19日に公表した「不正アクセスの経過と当社の対処について」によると、不正アクセスは10月11日6時26分に始まった。原因は、添付ファイルを公開しているメディアサーバーに、内部のURLにアクセスできるディレクトリパストラバーサルが存在していたこと。内部ソースファイルが取得されて設定ファイル内のサービス間ログイン用…
10月11日(日)
国内で相次ぐ不正アクセスに対する注意喚起についてまとめてみた
2026年10月7日から9日にかけて、個人情報保護委員会、JPCERT/CC、国家サイバー統括室、IPAなどの各機関が、国内組織で相次ぐ不正アクセスによる個人情報の漏えいを受けた注意喚起を公表しました。ここでは関連する情報をまとめます。 BIツールや従業員向けシステムも被害に JPCERT/CCは10月8日に公開した注意喚起で、「2026年9月前後」に国内組織で不正アクセスによる個人情報等の漏えい被害が相次いでいるとした。複数の製品やサービスで被害が発生している中、「技術的な情報の共有が不足しており、把握している情報は限定的かつ断片的」とも記している。同注意喚起は、普段から断続的、散発的に発生…
10月10日(土)
コミューンの「Commune」への不正アクセスについてまとめてみた
2026年10月9日、コミューンは、同社が運営する「Commune」「Commune for Work」が外部の第三者による不正アクセスを受け、一部のコミュニティで会員情報が外部の第三者に漏えいしたと公表しました。ここでは関連する情報をまとめます。 全コミュニティを停止 不正アクセスは2026年10月5日18時ごろに始まった。コミューンは10月6日にこれを検知し、通信遮断と防御措置を実施*1。(出典: 2)コミューンは10月6日21時ごろから全コミュニティをメンテナンスモードに切り替えてサービスを停止し、詳細の調査、対策、データの復旧を行った。10月7日にはメンテナンス中に残っていた通信経路を…
10月9日(金)
光回線代理店営業担当による競合事業者への不正アクセスについてまとめてみた
2026年10月8日、警視庁は光回線の販売代理店「オフィシャル」の営業担当2人を、競合する事業者の顧客マイページに不正アクセスした疑いで逮捕したと発表しました。ここでは関連する情報をまとめます。 営業担当2人の逮捕 警視庁サイバー犯罪対策課は10月8日、埼玉県所沢市の光回線販売代理店「オフィシャル」の営業担当の40歳と38歳の2人を、不正アクセス禁止法違反と不正競争防止法違反(営業秘密の取得、使用)の疑いで逮捕したと発表した。2人は容疑を認めている(出典: 5, 6, 8)。被害事業者はインターネットプロバイダの「hi-ho」(ハイホー)とされる(出典: 7)。逮捕容疑は2025年10月3日と…
デンマークのCPR登録簿への不正アクセスについてまとめてみた
2026年10月5日、デンマークの研究、教育、デジタル化省は、同国の中央個人登録(CPR)で、大量の登録者の情報に第三者が不正にアクセスしたと公表しました。ここでは関連する情報をまとめます。 民間企業の正規アクセスを悪用した情報取得 研究、教育、デジタル化省(Forsknings-, Uddannelses- og Digitaliseringsministeriet)は10月5日、CPRの管理主体であるCPR-administrationenが、第三者が民間企業の正規アクセスを悪用してCPRを照会し、約880万人の登録者の氏名、住所、CPR番号ほかに不正にアクセスしたことを確認したと発表した…
10月8日(木)
IDCFクラウドへのランサムウェア攻撃についてまとめてみた
2026年10月7日、IDCフロンティアは、同社が提供するクラウドサービス「IDCFクラウド」の一部のシステムが第三者からのランサムウェア攻撃を受け、障害が発生していると公表しました。ここでは関連する情報をまとめます。 東日本リージョン1の4ゾーンで仮想サーバーが停止 IDCフロンティアは10月7日の第1報と第2報に続き、10月8日21時2分の第3報で、障害の発生は10月7日午前3時40分頃で継続中と公表した(出典: 1, 2, 3, 4)。対象はIDCFクラウドの東日本リージョン1のうち、tesla、henry、pascal、jouleの4ゾーンで、クラウドサービス上の仮想サーバーの停止と再…
10月7日(水)
スカラコミュニケーションズへの不正アクセスについてまとめてみた
2026年10月6日、スカラコミュニケーションズは、同社が提供するFAQシステム「i-ask」の管理サイトへの不正アクセスにより、利用企業の問い合わせ情報が漏えいした可能性があると公表しました。ここでは関連する情報をまとめます。 管理サイトへの不正ログインから遮断まで 株式会社スカラコミュニケーションズ(以下、SC社)によると、2026年10月2日20時30分頃から10月3日8時頃にかけて、第三者がi-askの管理サイトに不正にログインし*1、同社が管理するサーバー上に不正なプログラムを設置したうえで、同一サーバー上で稼働していた利用企業のシステム環境のデータベースから問い合わせ情報を取得した…
ランサム攻撃起因とみられる大阪公立大学のシステム障害についてまとめてみた
2026年10月5日、大阪公立大学は会見を開き、10月2日に発生した情報基盤システムの大規模な障害について、サイバー攻撃、いわゆるランサムウェア攻撃によるものと判断していると説明しました。ここでは関連する情報をまとめます。 2日未明に全キャンパスの基盤システムが停止 2026年10月2日未明、大阪公立大学の情報基盤システムで大規模な障害が発生し、全キャンパスで学内システムの利用が停止した*1 (出典: 2)。障害は、システムの運用を委託する事業者からの連絡で発覚した(出典: 2, 15, 16)。大学は、障害が仮想化基盤システムで発生したと説明している(出典: 12)。会見で配布された資料には…
東洋紡グループのメールアカウントへの不正アクセスについてまとめてみた
2026年9月25日、東洋紡は、グループ会社の従業員が利用するメールアカウントが第三者による不正アクセスを受け、フィッシングサイトへの誘導を目的とした不審メールが送信されたと公表しました。その後、不審メールを受信した別のグループ会社の従業員も不正アクセスを受けたことが公表されています。ここでは関連する情報をまとめます。 東洋紡せんいの従業員アカウントから不審メール 2026年9月24日11時頃、東洋紡せんいの従業員が利用するメールアカウントが第三者による不正アクセスを受け、このアカウントから不審なメールが送信されたことが確認された。その後の調査で、送信先は東洋紡グループの内部と外部の関係者で、…
シンテックホズミの元社員2人が逮捕された営業秘密漏えい事件についてまとめてみた
2026年10月5日、愛知県警は、トヨタ自動車の子会社シンテックホズミの元社員の男女2人を、同社の営業秘密を漏らしたなどとして不正競争防止法違反の疑いで逮捕し、発表しました。ここでは関連する情報をまとめます。 元上司と元部下の2人を逮捕 シンテックホズミは愛知県みよし市に本社を置く搬送用機械装置メーカーで、株主はトヨタ自動車(70%)など(出典: 1, 2)。県警は5日、同社の元社員で元上司の男(48)と元部下の女(60)を、不正競争防止法違反(営業秘密の領得、開示)の疑いで逮捕した(出典: 5, 7)。県警によると、男は設計部長などとして、女は主に設計部で勤務していた(出典: 3)。営業秘密…
10月6日(火)
AIペネトレーションテストツール「ARTEX」についてまとめてみた
2026年10月2日、韓国のセキュリティ企業の研究者が、韓国国内の複数の対象への攻撃で使われたウェブサーバーの一部のHTMLから「ARTEX」の名を含む文字列が確認されたとSNSに投稿しました。ARTEXはGitHubで公開されていたAIペネトレーションテストツールです。ここでは関連する情報をまとめます。 ARTEXとは ARTEXは、開発者がGitHubで公開していたオープンソースのAIペネトレーションテストツール。READMEは「AI 自主渗透测试系统」と称し、LLMとマルチエージェントで動く自律型のペネトレーションテストシステムと説明していた(出典: 3)。構成はGoのバックエンド(Ne…
韓国の金融機関で相次いだ不正アクセスについてまとめてみた
2026年10月1日、新韓銀行は、顧客の融資申込に関する情報が外部に流出したと公表しました。その後、他の金融機関でも情報流出の公表が相次ぎ、金融当局による金融業界全体への緊急点検の要請も行われています。ここでは関連する情報をまとめます。 複数の金融機関で情報流出 新韓銀行は10月1日、融資募集人向けのサービスから約2万5,000人の情報が流出したと公表した(出典: 8, 9)。その後、金融当局が新韓銀行の攻撃に使われたIPなどの脅威情報を金融業界全体に共有し、各社が自社の接続記録と照合する過程で、他の金融機関の被害も相次いで判明した(出典: 31)。金融委員会は10月14日の第2次緊急状況対応…
ジェリービーンズグループの資金流出についてまとめてみた
2026年9月30日、ジェリービーンズグループは、役員を装った第三者の送金指示によって資金が流出した事案について、調査委員会の調査報告書(要約版)を公表しました。ここでは関連する情報をまとめます。 会長を名乗るメールで個人LINEの情報を要求 同社は2026年1月頃から、役員を騙るなりすましメールを複数受信していた。1月と2月には全社宛てに偽メールに関する注意喚起を行っていたが、6月1日に入社した総務部部長は、これらの注意喚起の存在を認識していなかった(出典: 7)。6月2日午後3時1分、取締役会長を名乗る第三者から、お問い合わせ窓口として一般公開されているメールアドレス宛てに、業務連絡の効率…
10月5日(月)
日本経済新聞社へのサイバー攻撃となりすましメール送信についてまとめてみた
2026年10月4日、日本経済新聞社は社員のMicrosoft 365のアカウントがサイバー攻撃を受け、なりすましメール約9,000件が送信されたと公表しました。また、同日に日経BPも従業員のメールアカウントへの不正アクセスを、日経はGoogle Workspaceのアカウントへの不正ログインをそれぞれ公表しています。ここでは関連する情報をまとめます。 社内や取材先などに約9,000件のなりすましメール 日本経済新聞社は10月4日、社員が使っていた業務ソフトのMicrosoft 365のアカウントがサイバー攻撃を受け、なりすましメール約9,000件が送信されたと公表。第三者が不正にログインした…
ヤマト運輸のクロネコ代金後払いサービスへの不正アクセスについてまとめてみた
2026年10月16日、ヤマト運輸は、「クロネコ代金後払いサービス」への不正アクセスの調査結果として、利用者の情報約526万件などが不正に持ち出されたと公表しました。ここでは関連する情報をまとめます。 9月28日夜に後払いサービスを停止 ヤマト運輸株式会社は9月28日、「クロネコ代金後払いサービス」が第三者による不正アクセスを受けたことを確認した。確認後に外部からのアクセス制限などの対策を講じ、同日22時28分にサービスを停止した。宅急便を含む他のサービスは通常どおり利用できるとしている(出典: 1)。*1ヤマト運輸は9月29日に初報を公表。セキュリティ専門機関の協力を得て原因と影響範囲を調査…
10月3日(土)
WordPress Coreの脆弱性CVE-2026-87902についてまとめてみた
2026年9月22日、WordPressは、WordPress Coreに深刻な脆弱性が確認されたとして、修正版を公開、さらに4.7系までの古い系列にも同様に修正を提供しました。ここでは関連する情報をまとめます。 どんな脆弱性が確認されたの? WordPress Coreのページテンプレートの解決(get_page_template())で、認証不要の攻撃者が、一定の条件下で、有効なテーマのディレクトリ外にある読み取り可能なローカルPHPファイルをインクルードさせられる。サーバー環境と有効なテーマの双方の前提条件を満たす場合は、リモートコード実行(RCE)に至りうる*1。(出典: 1, 3, …
10月2日(金)
ApplyNowの採用管理プラットフォームへの不正アクセスについてまとめてみた
2026年9月9日、ApplyNowは、同社が提供する採用管理プラットフォームで、利用しているデータ分析ツールの脆弱性を突いた第三者による不正アクセスが発生し、個人データが外部へ漏えいした可能性があると公表しました。その後、複数の自治体や企業が、自組織の応募者や受験者の情報が対象に含まれると公表しています。ここでは関連する情報をまとめます。 データ分析ツールの脆弱性を突いた不正アクセス ApplyNowは2026年9月9日、コーポレートサイトで「当社サービスをご利用いただいているお客様への重要なお知らせとお詫び」を公表した。面接シェアリングサービス「Interview Cloud」、録画面接「…