2026-10-27（火）配信
セキュリティ脅威情報
■ 要対応（緊急度が高く、多くの組織で対応が必要な事案）
KEV🔄 [続報] PHP における内部リクエスト状態管理の不備によるリモートコード実行の脆弱性
📰 過去報告：10/22, 10/23, 10/26
PHP において、内部のリクエスト状態が適切に管理されない「stale internal request-state」の脆弱性が発見された。この脆弱性により、認証を受けていない攻撃者が遠隔地からサーバー上で任意のコードを実行することが可能になる。CISA（米国土安全保障省サイバーセキュリティ・インフラセキュリティ庁）は、この脆弱性が既に実際の攻撃において悪用されていることを確認しており、広範な Web 資産に甚大な影響を与えるリスクがあるとして、既知の悪用された脆弱性カタログ（KEV）に追加した。CISA は米国の連邦政府機関に、2026年10月29日までの対応を求めている。
10/22、10/23、10/26 に報告した脆弱性（CVE-2026-109619、CVE-2026-109618）が、実際の悪用の確認により CISA の KEV カタログに追加されました。
なぜご自身の組織で確認すべきか自組織のWebサーバー等でPHPを利用している場合、認証不要でリモートから任意のコードを実行される脆弱性が実際の攻撃で悪用されているため。
影響
認証なしでリモートから任意のコードが実行され、サーバー全体の制御を奪取されたり、機密情報が漏洩したりする可能性がある。
対応策
ベンダーの公開情報: https://www.php.net/
Microsoft Defenderのアップデート処理妨害の脆弱性
Microsoft Defenderに、アップデート処理の妨害によりサービス停止が可能となる脆弱性（CVE-2026-45498）が報告されました。一般権限でファイルロックを取得してアップデートを妨害し、機能を停止させる手口で、悪用を試みるエクスプロイトコードも公開されています。
なぜご自身の組織で確認すべきか自組織の端末等でMicrosoft Defenderを利用している場合、アップデート処理を妨害されてセキュリティ機能が停止する脆弱性の悪用の試みが確認されているため。
⚠️ [継続注意] Nextcloud組込ツールやArista VCOの脆弱性に注意喚起
📰 過去報告：10/24, 10/25
米CISAは、悪用が確認された脆弱性2件をKEVに追加し注意喚起を行いました。対象となったのは、Nextcloudの追加アプリ「Built-in CODE Server」に判明したOSコマンドインジェクションの脆弱性「CVE-2026-110447」と、Arista Networksの「VeloCloud Orchestrator」に確認されたSQLインジェクションの脆弱性「CVE-2026-114625」です。
10/25 報告の「Built-in CODE Server」の脆弱性（CVE-2026-110447）について、米CISAによるKEV追加と注意喚起の続報です。
なぜご自身の組織で確認すべきか自組織でNextcloudのBuilt-in CODE ServerやArista VCOを運用している場合、実際に悪用が確認されている脆弱性が存在するため。
■ 脅威動向
脆弱性Fortinet FortiSandbox における認証回避の脆弱性
Fortinet FortiSandbox および FortiSandbox PaaS において、代替パスまたはチャネルを使用した認証回避の脆弱性が存在する。この脆弱性により、攻撃者は細工されたHTTPリクエストを送信することで、未承認のコードやコマンドを実行する可能性がある。CVSS基本値は9.8（Critical）と評価されており、リモートから認証なしで悪用が可能である。
対象ソフト
Fortinet FortiSandboxは、高度な脅威やマルウェアを安全に隔離して分析するためのセキュリティ製品およびクラウドサービスである。
影響
攻撃者によって未承認のコードやコマンドが実行され、システムが侵害されるおそれがある。
⚠️ [継続注意] Brotliの境界外書き込みの脆弱性（CVE-2026-111497）
📰 過去報告：10/23, 10/24, 10/25
JVNは、Googleのデータ圧縮アルゴリズムBrotliのC言語実装における境界外書き込みの脆弱性（CVE-2026-111497）についてアドバイザリを公開しました。本脆弱性は「HTTP2Shell」や「Node2Shell」とも呼ばれ、同梱する複数の製品に影響が及ぶことが確認されています。
10/25 報告の Brotli の脆弱性（CVE-2026-111497）について、JVN からアドバイザリが公開されました。同梱製品を含め影響の確認を推奨します。
脅威の概要
Googleのデータ圧縮アルゴリズムBrotliのC言語実装において、境界外書き込みの脆弱性（CVE-2026-111497）が存在します。細工されたBrotli圧縮データを処理した場合、任意のコード実行、機微情報の窃取、またはサービス運用妨害（DoS）状態を引き起こされるおそれがあります。
対象となる組織・利用者
BrotliのC言語実装（バージョン 1.2.0から1.2.1未満、1.1.0から1.1.1未満、1.0.3から1.0.10未満）および当該ライブラリを同梱する製品を利用している組織。
推奨される防御アクション
Brotliを最新バージョン（v1.2.1、v1.1.1、v1.0.10以降）にアップデートする
Oracle Javaに複数の脆弱性、IPAが更新呼びかけ
情報処理推進機構（IPA）は、Oracle Javaの複数製品に脆弱性が存在すると発表しました。悪用された場合、アプリケーションの異常終了やパソコンの制御を奪われるおそれがあるため、早急なセキュリティ更新プログラムの適用を呼びかけています。
10/25 報告と同じ Oracle Java について、複数の脆弱性に対する更新プログラムの適用が呼びかけられています。利用環境の確認を推奨します。
脅威の概要
Oracle Javaの複数製品に存在する脆弱性を悪用された場合、アプリケーションプログラムの異常終了や、攻撃者によるパソコンの制御などが発生するおそれがあります。
対象となる組織・利用者
Oracle Java SEのサポート対象バージョン（Java SE 27、26.0.2、25.0.4.1、21.0.12.1、17.0.20.1、11.0.32.1、8 Update 503、8 Update 503-perf）を利用している組織。
推奨される防御アクション
Oracle社が公開したセキュリティ更新プログラムを早急に適用する
LIFF SDKにXSSの脆弱性、アップデートを呼びかけ
IPAおよびJPCERT/CCは、LINEヤフーが提供するLIFF SDKにおけるクロスサイトスクリプティングの脆弱性（CVE-2026-112148）についてJVNで発表しました。影響を受けるバージョンを使用しているサイトにアクセスしたユーザーのブラウザ上で、任意のスクリプトが実行されるおそれがあります。
脅威の概要
LINEヤフー株式会社が提供するLIFF SDKに、DOMベースのクロスサイトスクリプティング（XSS）の脆弱性（CVE-2026-112148）が存在します。当該製品を使用しているサイトにアクセスしたユーザーのウェブブラウザ上で、任意のスクリプトを実行されるおそれがあります。
対象となる組織・利用者
LIFF SDK 2.20.0から2.31.0までのバージョンを使用している組織・開発者。
推奨される防御アクション
LIFF SDKを修正版であるバージョン2.31.1以降にアップデートする
■ 注目事例
楽天トラベル、海外ホテル等への不正アクセス
楽天グループは、旅行予約サービス「楽天トラベル」の海外ホテル予約サイト（子会社管理）および多言語予約サイトにおいて、第三者による不正アクセスを確認したと公表しました。最大約260万件の顧客情報や支払情報（カード番号全桁・セキュリティコードを除く）、宿泊施設従業員のアカウント情報などが不正アクセスの対象となりました。
攻撃手法（確認済み）
社外の第三者による不正アクセス（具体的な侵入経路や手口は公表文に記載されていません）。
自組織チェックポイント
外部からアクセス可能な海外向けウェブアプリケーションや管理画面に対して、不正アクセスを防ぐための監視やアクセス制御が適切に行われているか
顧客情報や宿泊施設のアカウント情報を扱うシステムにおいて、不要なデータへのアクセス権限が最小限に制限されているか
🔄 [続報] カプコン、IDサービスに不正アクセスで約1,177万件漏えい
📰 過去報告：10/23
カプコンは、オンライン会員サービス「CAPCOM ID」が第三者からの不正アクセスを受け、全世界合計約1,177万件のメールアドレスやシステム識別情報などが漏えいしたと発表しました。一部のアカウントではパスワード変更や通販サイトへの不正アクセスも確認されています。
10/23 報告分の続報。一部のアカウントで通販サイトへの不正アクセスも確認されたことが公表されました。
攻撃手法（確認済み）
公表文では「第三者からの不正アクセス」と記載されており、具体的な侵入経路や手口は非公開。
自組織チェックポイント
会員向けWebサービスの管理画面や認証基盤に対する不正アクセスの監視が適切に行われているか
外部サービス間のアカウント連携や共通ID基盤において、不正なパスワード変更を検知する仕組みが導入されているか
🔄 [続報] タイムズカー不正アクセス、本人確認書類画像漏えいで見舞い
📰 過去報告：10/24
パーク24グループのタイムズモビリティは、カーシェアリングサービス「タイムズカー」への不正アクセスに関する第5報を発表しました。外部送信が確認された本人確認書類の画像データは約146万件であり、影響を受けた顧客に対して3,000円相当の見舞金等を支払うとしています。また、今後は会員登録完了後の本人確認書類画像の保有を廃止する方針を示しました。
10/24報告の続報。Web脆弱性を悪用し侵入後に内部探索を経てDB等へアクセスした手口が判明。影響顧客へ見舞金3,000円相当を支払い、本人確認画像の保有を廃止する方針も示されました。
攻撃手法（確認済み）
Webシステムに存在した脆弱性が悪用されたことによるもの。攻撃者は当該脆弱性を悪用してシステムに侵入後、内部情報を探索し、取得した情報を利用してデータベースおよびファイル領域へアクセスしたことが確認されている。
自組織チェックポイント
Webシステムで使用しているソフトウェアやフレームワークに既知の脆弱性が放置されていないか
内部システム間のアクセス権限や認証設定が適切に分離・管理されているか
不要となった機密データや本人確認書類などの個人情報を長期間保有し続ける運用になっていないか
くふうカンパニー、「くふう まちトークβ版」に不正アクセス
株式会社くふうカンパニーは、運営する「くふう まちトークβ版」に対する不正アクセスの調査結果を発表しました。顧客308名の生年月日と性別が外部から閲覧できる状態にあったほか、うち1名についてはシステムの一部の脆弱性を突いた不正アクセスによりメールアドレスが取得され、生年月日・性別と紐づけられる状態になっていたことが判明しています。
攻撃手法（確認済み）
システムの一部の脆弱性を突いた不正アクセスにより、メールアドレスが取得され生年月日・性別と紐づけられる状態になっていました。また、顧客308名の生年月日と性別が外部から閲覧できる状態にあったことが判明しています。
自組織チェックポイント
自組織で公開・運用している Web アプリケーションやサービスにおいて、システムの一部に不正アクセスを許す脆弱性が残っていないか
登録ユーザーの情報が外部から不正に閲覧できないよう、アクセス制御や権限管理が適切に設定されているか
Gunosy、不正アクセスで役職員等の個人情報流出
株式会社Gunosyは、2026年10月21日に第三者による不正アクセスを受け、お取引先様のご担当者25名および当社の役職員等107名の氏名・メールアドレスなどの個人情報が流出したことを公表しました。社内業務用アカウントの認証情報が不正に利用され、クラウド環境や業務ツールにアクセスされたもので、同日中に当該アカウントを停止し遮断しています。なお、サービス利用者や情報の悪用・インターネット公開は確認されていません。
攻撃手法（確認済み）
第三者が不正に入手した社内業務用アカウントの認証情報（ID・パスワード）を用いてログインし、クラウド環境や業務ツールにアクセスした。
自組織チェックポイント
共有アカウントを利用していないか
クラウド環境や業務ツールへのアクセスにおいて、多要素認証が徹底されているか
アカウントの権限が適切に見直されているか
明日のセキュリティ脅威情報も、あなたのメールに。
毎朝、攻撃手口の理解と自組織の脅威判断に役立つ情報をお届けします。購読は無料、配信停止はいつでも可能です。
無料で購読する →
この内容は 2026-10-27 に配信されました。
