Security NEXTの情報
10月22日(木)昨日
リクルートの中古車情報サービスで個人情報など流出か
リクルートが運営する中古車情報サイト「カーセンサーnet」や、中古車販売店向け業務支援サービス「C-MATCH」がサイバー攻撃を受けたことがわかった。
番組宣伝システムでメディア関係者情報が流出か - フジテレビ
フジテレビジョンは、番組宣伝システムが侵害され、個人情報が流出した可能性があることを明らかにした。
侵入検知エンジン「Snort 3」に複数の脆弱性 - Cisco製品にも影響
Cisco Systemsは、オープンソースの侵入検知エンジン「Snort 3」に複数の脆弱性が判明したことを明らかにした。同社の複数製品にも影響があり、修正版を提供している。
Ciscoのビデオ会議製品に深刻な脆弱性 - 修正版が公開
Cisco Systemsのビデオ会議関連製品「Cisco Expresswayシリーズ」に複数の脆弱性が判明した。リモートから認証なしに任意のコマンドを実行できる脆弱性も含まれる。
「PHP」の深刻なRCE脆弱性「PHP2Shell」 - 悪用試行を観測
ウェブサイトをはじめ、広く活用されているプログラミング言語の「PHP」に、認証を必要とすることなくリモートからコードを実行できる深刻な脆弱性が見つかった問題で、すでに悪用を試みる攻撃も観測されている。実証コードも公開されており注意が必要だ。
キャンペーン事務局のシステムに不正アクセス、個人情報が流出 - 国交省
国土交通省は、「住宅省エネ2024キャンペーン」に関する登録事業者の情報が外部に流出した可能性があることを明らかにした。
「PHP」脆弱性、2024年に兆候把握も修正難航 - 公開前に混乱
「PHP」で判明した深刻な脆弱性2件をめぐり、PHP Foundationは発見から修正に至る経緯を明らかにした。一部の問題は2024年に把握していたが、リソース不足から対応が長期化。関係者間で調整のうえ情報を公開する予定だったが、公開前に情報が漏洩するなど混乱も生じたという。
米当局、「PHP脆弱性」の即修正を勧告 - 困難ならオフラインに
米サイバーセキュリティインフラセキュリティ庁（CISA）は、プログラム言語「PHP」に深刻な脆弱性2件が見つかった問題で、修正プログラムをただちに適用するよう強く勧告した。更新が困難な場合は、インターネットへの公開を控えることを推奨している。
「GitLab」に深刻な脆弱性 - 旧ブランチにも修正を提供
ソフトウェア開発プラットフォーム「GitLab」に複数の脆弱性が判明した。深刻な脆弱性も含まれており、早急にアップデートするよう強く呼びかけている。
10月21日(水)
「PHP」に2件の深刻なRCE脆弱性 - アップデートを公開
プログラム言語「PHP」に深刻な脆弱性2件が判明した。開発チームはセキュリティアップデートをリリースし、利用者に更新するよう強く呼びかけている。
個人情報流出が判明、意図しない売買も - 岩井コスモ証券
岩井コスモ証券は、インターネット取引システムにおいて個人情報が流出したことを明らかにした。意図しない取り引きも確認されたという。
「代金後払いサービス」で個人情報が流出 - ヤマト運輸
ヤマト運輸の「クロネコ代金後払いサービス」がサイバー攻撃を受けた問題で、顧客の個人情報が流出したことを明らかにした。
「ふるさとチョイス」に不正アクセス - 会員情報が流出
ふるさと納税サイト「ふるさとチョイス」が第三者によるサイバー攻撃を受け、登録会員の個人情報が流出したことがわかった。
Oracle、四半期定例パッチで1295件を修正 - 深刻な脆弱性も
Oracleは現地時間2026年10月20日、四半期ごとに提供している「Critical Patch Update（CPU）」を公開した。
「PHP」に複数の深刻な脆弱性 - 21日に修正版を公開予定
「PHP」に複数の深刻な脆弱性が確認された。PHPのセキュリティチームは、10月21日に修正版をリリースする計画で、利用者にアップデートの準備を呼びかけている。
「Plex Media Server」など6件、悪用済み脆弱性に注意喚起 - 米CISA
米サイバーセキュリティインフラセキュリティ庁（CISA）は現地時間2026年10月20日、悪用が確認された脆弱性6件について注意を呼びかけた。
「Chrome 156」公開、脆弱性353件を修正 - 「クリティカル」6件
Googleは、ウェブブラウザ「Chrome」の最新版となる「Chrome 156」をリリースした。多数の脆弱性に対処しており、重要度がもっとも高い「クリティカル（Critical）」とされる脆弱性も6件含まれる。
「Firefox 158.0.1」を公開 - 脆弱性や侵害された中間証明書に対処
Mozilla Foundationは現地時間2026年10月20日、ウェブブラウザのセキュリティアップデート「Firefox 158.0.1」を公開した。複数の脆弱性を修正したほか、侵害された中間証明書を遮断するためのリストを更新している。
10月20日(火)
「Claude Agent SDK」に引数注入の脆弱性 - 修正版を公開
AnthropicのPython向け開発キット「Claude Agent SDK」に深刻な脆弱性が明らかとなった。修正版が公開されている。
複数システムに不正アクセス、個人情報が流出 - ユミルリンク
ユミルリンクは、同社が運営するメール配信サービスのサーバが外部から不正アクセスを受け、個人情報が流出したことを明らかにした。影響などの詳細について調べている。
NEC委託先にサイバー攻撃 - 顧客システムで障害、個人情報流出
NECは、システム開発や保守業務の委託先がサイバー攻撃を受け、複数の顧客が影響を受けたことを明らかにした。顧客のシステムで障害が発生したほか、情報流出なども確認されている。
大会形式を刷新、2月に「SECCON Tournament」開催
日本ネットワークセキュリティ協会（JNSA）のSECCON実行委員会は、2月にセキュリティ競技大会「SECCON Tournament」を都内で開催すると発表した。
「Roundcube Webmail」にセキュリティ更新 - 複数の脆弱性を解消
ウェブメールソフト「Roundcube Webmail」の開発チームは現地時間2026年10月19日、セキュリティアップデートとなる「同1.7.5」「同1.6.20」をリリースした。脆弱性の修正を行っており、利用者に注意を呼びかけている。
NICTとMITRE、AIエージェントの脆弱性探索競技を12月に開催
情報通信研究機構（NICT）とMITREは、メール業務で活用されているAIエージェントのセキュリティ検証をテーマとした競技イベント「AI Breach Challenge 2026：Email Agent Security」を米国で12月に開催する。
委託先が顧客のメアド保存のPCを紛失 - 山陰合同銀
山陰合同銀行は、委託先において顧客のメールアドレスが含まれるおそれがある業務用パソコンが所在不明となっていることを明らかにした。
ウェブサーバ「nginx」に複数脆弱性 - 3件が「クリティカル」との評価も
ウェブサーバ「nginx」や関連製品に複数の脆弱性が判明した。サービス拒否やコード実行、認証の回避、機密情報の漏洩などにつながるおそれがある。
社内の光回線申込受付管理システムで侵害、影響を調査 - ニフティ
ニフティは、同社の光回線サービスへ申し込んだ顧客の個人情報が外部へ流出した可能性があることを明らかにした。
10月19日(月)
「Fortinet」「BeyondTrust」の脆弱性悪用に注意喚起 - 米当局
米当局は、Fortinet製品やBeyondTrust製品に関する脆弱性2件が悪用されているとして、注意喚起を行った。
【特別企画】メッセージングセキュリティの最新動向がテーマ - JPAAWGが年次イベント
2026年前半以降、予想を超えるAIの進化によってメールやメッセージングを取り巻くセキュリティ環境も目まぐるしく変化している。悪質化する攻撃に対し、グローバルではどのような対応が進められているのだろうか。