Alpine LinuxはGitLabを更新したのに、脆弱性は残っていました。修正はRubyの側にあり、GitLabの公式パッケージにしか入っていなかったためです。10月下旬に海外で相次いだ事案と脆弱性の公表を並べると、修正がないのではなく、修正を必要とする場所に届いていない例が浮かびます。
10月下旬から11月初めにかけて海外で公表されたサイバー事案と脆弱性では、修正がすでにあるのに、それを必要とする場所に届いていなかった例が目立った。Alpine LinuxはGitLabを更新しても脆弱性が残り、Synologyは2024年12月に直した脆弱性が古いDSMで悪用されているとして更新を求めた。
研究者によると、Androidの新たな修正は12と13の端末に提供されていない。Polymarketでは外部の性能計測スクリプトが、Trezorでは販売代理店が入口になったとみられる。米国では国土安全保障省（DHS）の職員4万人超の情報が公開されたと報じられ、フロリダ州では奨学金の申請者約490万人の情報が影響を受けた可能性がある。
10月の国内では、クラブツーリズムやGMOインターネットグループの事案をはじめ、不正アクセスの公表が続いています。海外でも同じ時期に、行政、医療、金融、開発基盤を巻き込む事案が相次ぎました。ひとつひとつは別々の事案です。それでも並べてみると、共通する形が見えます。修正はすでに出ていました。ただ、それを必要とする構成や端末に届いていない例がありました。
10月18日の解説記事では、9月下旬から10月中旬の海外の21件を「すでに開いていた扉」という視点で整理しました（119002）。ここでは、その続きにあたる10月27日から11月1日までに公表・更新・報道された海外の動きを20項目に整理し、企業や当局の公表資料、研究者の報告、報道でつなぎ直します。侵害の公表だけでなく、脆弱性の公表、悪用の確認、摘発も含めています。
【参考動画】
11月1日に公開したセキュリティの記事5本を、伊野部トピ子が約8分の動画で整理しました。
10月27日から11月1日に公表・更新・報道された主な事案
| 公表日 | 出来事 | 出典 |
|---|---|---|
| 10月22日（報道は28日） | TianoCore、UEFIの実装EDK IIのネットワーク起動の脆弱性（CVE-2026-97631）の勧告を公開 | TianoCore |
| 10月27日 | Anthropic、未公開の研究用モデルがLinuxカーネルの遠隔root化の攻撃を組んだと公表 | Anthropic |
| 10月27日 | FBIなど、防弾ホスティングVirtualineのドメインを差し押さえ | TRM Labs |
| 10月28日 | Drupal、Commerce Coreの脆弱性（CVE-2026-118539）の悪用を公表 | Drupal |
| 10月28日 | DHSの職員・契約者4万人超の情報が公開される | TechCrunch（報道） |
| 10月28日 | Alpine Linux、GitLabへの攻撃の報告を公開（30日に更新） | Alpine Linux |
| 10月28日 | ベルギー財務省、オンラインサービスを予防のため停止 | ベルギー財務省（Belga配信） |
| 10月28日 | ライプツィヒ大学、すべてのITサービスを停止 | 報道 |
| 10月29日 | CISA、GitLab（CVE-2026-97229）とCisco ASA・FTD（CVE-2026-76418）をKEVに追加 | CISA |
| 10月29日 | フロリダ州教育省、奨学金の申請サイトの侵害を公表 | The Record（報道） |
| 10月29日 | Synology、古いDSMを狙うランサムウェア攻撃で更新を要請 | Synology |
| 10月29日 | 研究者、Androidの「SMS of Death」を公開 | 研究者の報告 |
| 10月29日 | Polymarket、不正な出金を受けて取引を一時停止 | Polymarket、Hudson Rock |
| 10月29日 | Kaspersky、アジアの政府向けWindowsを狙うNetamLoaderを報告 | Kaspersky |
| 10月29日 | 国防総省、米軍基地の冷凍庫の故障をサイバー攻撃の疑いで調査と報道 | ロイター通信（報道） |
| 10月下旬（報道は29日） | Lumen、Volt Typhoonの中継の仕組み「Silent Train」を報告 | Lumen |
| 10月30日 | CISA、Ivanti Connect Secureの2件（CVE-2026-111357、CVE-2026-118527）をKEVに追加 | CISA |
| 10月30日 | Trezor、販売代理店経由の端末に不正な部品の疑いがあると警告 | Trezor |
| 10月30日 | Charité、ウェブサーバーへの攻撃で連絡先の情報が持ち出されたと公表 | Charité |
| 10月31日（報道） | Floin、サイバー攻撃でアプリとサイトを停止 | Floinのサイトの告知、TokenPost（報道） |
公表日が近いだけで、互いに関連が確認された事案ではありません。
修正が届いていなかった場所
GitLabを更新しても、Rubyが古いままだった
GitLabは10月12日、19.4.2、19.3.5、19.2.8を公開し、CI/CDの設定に書く正規表現の処理で起きる整数オーバーフロー（CVE-2026-97229）を修正しました。細工した正規表現を使えば、認証なしでGitLabのサーバー上でコードを実行されるおそれがあり、深刻度はCVSS 3.1で10.0です。
この脆弱性を狙われたのが、Linuxディストリビューションの一つ、Alpine LinuxのGitLabでした。Alpineの報告によると、10月20日に攻撃者がアカウントを作り、20日から21日にかけて細工したCI設定を送って、GitLabのワーカーを計8回落としました。そのうち4回は、攻撃の途中まで進んでから止まっています。攻撃者はAlpineのGitLabのコンテナイメージを取得しており、攻撃をその版に合わせて調整していたとみられます。
Alpineは10月13日、修正の入っていない19.3.4へ誤って更新していました。22日には19.3.6へ上げましたが、それでも防げていませんでした。修正の中身はRubyの正規表現エンジンへの修正で、GitLabの公式パッケージにしか入っていなかったためです。Alpineは標準のRubyでGitLabを動かしていました。
Alpineは27日から28日にかけてGitLabを作り直し、すべてのパスワードをリセットし、GitLabの秘密鍵を交換して、29日に再開しました。攻撃者のコードが実行された証拠はないものの、否定もできないとしています。10月21日のリリースとパッケージに改ざんは見つかっていません。
自前のRubyでGitLabを動かしている場合、GitLabを更新するだけでは足りません。Alpineは、Ruby 3.3.13、3.4.12、4.0.9以降も必要だと案内しています。米CISAは10月29日、この脆弱性を悪用が確認された脆弱性の一覧（KEV）に加え、連邦政府機関に11月1日までの対処を求めました。
Androidの修正は14から17まで
研究者が10月29日に公開した「SMS of Death」は、細工したWAP Pushのメッセージを1通送るだけで、Androidの電話の処理（com.android.phone）を落とせるというものです。受け取った側には何も表示されません。通話は緊急通報を含めて切れ、端末が再起動を繰り返すこともあります。研究者は、元に戻すにはパソコンとADBが必要になる場合があるとしています。
研究者は5月5日にGoogleへ報告し、修正は10月のセキュリティ更新で配られました。研究者によると、修正の対象はAndroid 14から17で、12と13には提供されていません。12と13は、Googleのセキュリティ更新の対象期間から外れているためです。攻撃の実証コードは公開されていますが、実際の攻撃に使われたという報告は、研究者の公表にも報道にもありません。
更新の配信は端末のメーカーや通信事業者によって異なります。研究者は、設定画面のセキュリティパッチレベルが2026年10月以降であることを、修正済みの目安に挙げています。端末メーカーの更新情報もあわせて確かめておくと安心です。
Synologyは2024年12月の修正を呼びかけ
Synologyは10月29日、2024年12月に修正した脆弱性（Synology-SA-24:20）が、古いDSMを使い続けているNASで悪用されているとして、すぐに更新し、自動更新を有効にするよう求めました。攻撃者の狙いは、データを暗号化して身代金を要求することです。
報道によると、中国のセキュリティ企業360はこのランサムウェアを、Cerberの系統に連なる「C3RB3R」と分析しています。360は9月18日に公表された別の脆弱性（Synology-SA-26:13）が使われたとも説明しており、Synologyの説明とは一致していません。どちらの経路でも、DSMを最新の版にすることで、公表済みの入口はふさがります。
Linuxの脆弱性と、知らないうちに有効になっている機能
Anthropicは10月27日、社内の未公開の研究用モデルが、Linuxカーネルの脆弱性CVE-2026-98432を使う攻撃を組んだと公表しました。MPTCP（複数の経路を束ねるTCPの拡張）の接続を待ち受けているLinuxサーバーに対し、認証も利用者の操作もなしに、rootとしてコマンドを実行できるものです。カーネルのアドレスを読み出すまでに48分、そこからコマンドの実行までに約5分かかったとしています。
原因は、TCPの接続要求を処理するときの競合で起きるuse-after-freeです。報道によると、カーネル4.4以降が対象です。深刻度はCVSS 3.1で9.8で、Red Hatも重大（Critical）と評価しています。修正は上流のカーネルに入り、保守中の各系列にも取り込まれました。Debian 12と13には修正版のカーネルが出ており、Ubuntuの主要な版は修正の作業中です。使っているディストリビューションの告知で、修正版のカーネルが入っているかを確かめる必要があります。報道の時点で、実際の攻撃での悪用は報告されていません。
MPTCPを使っているつもりがなくても、条件を満たしていることがあります。プログラミング言語Goは1.24から、Linux上のTCPの待ち受けでMPTCPを使う既定値に変わりました。カーネルの設定や、ビルド時と実行時の設定によっては、管理者が意識しないままMPTCPで待ち受けていることがあります。Linuxを提供するCIQなどは、MPTCPを止めるだけでは足りず、通常のTCPでも脆弱な処理を通る条件があるとして、カーネルの更新を求めています。
AIが重大な脆弱性を見つけ、修正まで届いた例は、PHPの脆弱性「PHP2Shell」でも伝えました（119265）。今回の公表では、ChromeやSafariの攻撃の連鎖、WindowsのHTTP/3の実装の脆弱性なども並んでいます。
UEFIの修正は、機器のファームウェアに届くまで
UEFIのオープンソースの実装「EDK II」を開発するTianoCoreは10月22日、ネットワーク起動（PXE）の処理にある脆弱性CVE-2026-97631の勧告を公開しました。PXEで起動している機器に、細工したICMPのエラーを届けると、メモリを壊せます。勧告は、エラーを届けられればネットワーク上のどこからでも攻撃が成り立つとしており、狙えるのはPXEで起動している間です。ファームウェアの版を知っていれば、OSのセキュリティ機能が読み込まれる前の段階でコードを実行できるおそれがあります。深刻度はCVSS 4.0で9.5です。報道によると、問題の処理は16年前からありました。
勧告には、AnthropicとGoogleの研究者が発見者として名を連ねています。EDK IIは、AMI、Insyde、Phoenixなどファームウェア各社の製品の土台になっています。EDK IIの上流には修正が取り込まれました。ただし、ソースコードの修正が、使っている機器のファームウェアに入るとは限りません。入っているかどうかは、機器のメーカーの案内で確かめる必要があります。ネットワーク起動を使っていない機器はこの経路の対象外で、報道は、不要ならネットワーク起動を止めることを勧めています。
悪用の確認が続いた脆弱性
10月下旬には、PHP2Shellとその連鎖（119552）のほかにも、悪用が確認された脆弱性が相次いでKEVに加わりました。
| 製品 | 識別番号 | 深刻度 | 内容 | 状況 |
|---|---|---|---|---|
| GitLab CE・EE | CVE-2026-97229 | CVSS 3.1で10.0 | CI/CDの正規表現の処理で、認証なしにコードを実行 | 10月12日に修正。29日にKEVに追加 |
| Cisco Secure Firewall ASA・FTD | CVE-2026-76418 | CVSS 3.1で8.6 | SSL VPNの二次認証の処理で、認証前に機器を再起動させる | 悪用を確認。29日にKEVに追加 |
| Ivanti Connect Secure | CVE-2026-111357 | CVSS 3.1で7.0（MITREの評価） | 内部の処理が設定データを信頼しすぎており、機器に低い権限でアクセスできる攻撃者がrootまで権限を引き上げられる | 報道では25.1.1.3と22.8R2.6で修正。30日にKEVに追加 |
| Ivanti Connect Secure | CVE-2026-118527 | 報道では4.3 | 認証済みの攻撃者が、推測できる識別子を使って決まった場所にファイルを置ける | 同上 |
| Drupal Commerce Core | CVE-2026-118539 | Drupalの基準で25点中21点 | 認証なしにアクセス制御を回避 | 3.3.13と8.x-2.41で修正。悪用を確認 |
深刻度の数値は、評価の基準が違うと単純に比べられません。
Ivantiは10月13日の連鎖攻撃の続き
Ivanti Connect Secureでは、10月13日にVolexityが、認証の回避、コードの実行、権限の昇格を連鎖させるゼロデイ攻撃を報告しました。修正をすべて当てていた機器も狙われたこの攻撃は、10月17日の解説記事で整理しています（118951）。
CISAは10月30日、Ivanti Connect Secureの2件をKEVに加えました。権限を引き上げられるCVE-2026-111357は11月2日、ファイルを置けるCVE-2026-118527は11月13日が、連邦政府機関の対処の期限です。Volexityは10月29日、当初は修正のなかった権限昇格の脆弱性CVE-2026-111357について、Ivantiが修正を公開したと追記しました。そのうえで、侵害が疑われる機器はネットワークとメモリを調べるよう求めています。修正を当てるだけで、侵入された機器が元に戻るわけではありません。
Drupalは注文の不整合を確かめるよう求める
Drupalは10月28日、ショップ機能を加えるモジュール「Commerce Core」の脆弱性を公表しました。特定の経路やデータの項目の保護が足りず、認証なしにアクセス制御を回避できるもので、Drupalは店舗の運営者に金銭的な損害が出るおそれがあるとしています。設定にかかわらず攻撃が成り立ち、すでに悪用されています。
修正版は3.3.13と8.x-2.41です。Drupalは更新に加え、注文の記録に不整合がないかを確かめるよう求めています。
信頼している部品が入口に
Polymarketは外部の計測スクリプトから
予測市場のPolymarketは10月29日、利用者のウォレットに不正な動きがあったとして、取引を注文の取り消しだけができる状態にしました。同社のステータスページによると、約1時間後に再開しています。
セキュリティ企業Hudson Rockの分析では、Polymarketのサイトが読み込んでいた英DebugBearの性能計測（RUM）用のスクリプトが改ざんされていました。スクリプトは、ログインしている利用者の取引の仕組みを探し、口座の種類に応じて、保有するポジションを売って代金を移すか、ポジションそのものを攻撃者の指定する宛先へ送るよう、署名を求める作りでした。Polymarketは協定世界時の17時59分付けの更新で、このスクリプトを外しています。
Polymarketは10月30日の事後報告で、ページに読み込まれていた外部の性能計測スクリプトの提供元が侵害されたと説明しました。影響を受けたウォレットの95%にはすでに全額を返したとし、攻撃による270万ドルと、取引停止に伴う損失の120万ドルを合わせて、計390万ドルを利用者に返すとしています。Hudson Rockが送金先とみられるアドレスで確認した約219万ドルは、その時点の保有額で、被害額の集計ではありません。
性能を測るためのスクリプトでも、ページと同じ環境で動けば、利用者のセッションやページの機能に手が届くことがあります。
Trezorは販売代理店経由の端末に警告
暗号資産のハードウェアウォレットを手がけるTrezorは10月30日、東南アジアの販売代理店CryptoBilisが売った「Trezor Safe 5」に、不正な部品が組み込まれていたとの報告を受けたと公表しました。報告によると、本体の基板と画面の間に、携帯通信の部品とアンテナを載せた余分な基板があり、画面に表示される復元用のフレーズを読み取って送る仕組みだったといいます。Trezorはまだその端末を調べておらず、確認はこれからです。
Trezorは、2026年3月以降にCryptoBilisから買った端末を使っている場合、新しい復元用のフレーズで作った別のウォレットへ資産を移すよう求めています。古いフレーズを別の端末で復元しても解決しないと説明しています。Trezorは10月9日にCryptoBilisを正規の代理店から外していました。同じ代理店をめぐっては、10月初めにLedgerの端末でも同様の事案が調べられ、シンガポール警察は10月28日に改ざんされたウォレットへの注意を呼びかけています。
パッチ管理ツールの更新に紛れたNetamLoader
Kasperskyは10月29日、アジアの政府機関だけが使う専用版のWindows 10で見つかった不正なプログラム「NetamLoader」を報告しました。Windows Updateのダウンロード用のフォルダーにあったパッケージに、パッチ管理ツール「Patch My PC」のファイルとMicrosoftの署名付きの部品が入っており、それらを使って不正なコードを動かす仕組みでした。
NetamLoaderは、セキュリティ製品の検査をすり抜け、更新の記録や実行の痕跡を消します。Kasperskyはサプライチェーン攻撃の疑いがあるとしていますが、観測できた被害はアジアの1件で、どの経路で届いたのか、更新の仕組みそのものが侵害されたのかは確認できていません。既知の攻撃者とも結び付けていません。
DHSの情報は、シングルサインオンから取ったと主張
米国では10月28日、報道によると、DHSの職員と契約者4万人超の氏名、役職、職場のメールアドレス、携帯電話の番号、勤務地などが公開されました。各アカウントが使える社内のシステムやアプリの記録も含まれます。報道によると、税関・国境警備局（CBP）が約2万1,000件、移民・関税執行局（ICE）と国土安全保障捜査局（HSI）が約1万件、CISAが1,000件弱で、DHSの職員約22万人の約5分の1にあたります。
公開したのは「Department of Peace」を名乗る人物で、DHSのシングルサインオン（Okta）から取ったと主張しています。Oktaは、自社の基盤やデータが侵害された証拠はないと説明しています。DHSは、侵害の可能性を把握して対応していると述べるにとどめています。
もし認証の基盤で、どの利用者がどのシステムを使えるかという割り当ての情報まで取られていたなら、攻撃者は組織の内側の地図を手にしたことになります。今回の取得の経路は、まだ確認されていません。
行政、医療、金融に及んだ被害
フロリダ州の奨学金の申請者、約490万人
報道によると、フロリダ州教育省は10月29日、州の奨学金の申請サイトに不正なアクセスがあったと公表しました。19日に把握し、影響を受けた可能性があるのは申請者約490万人です。氏名、住所、電話番号、性別、メールアドレス、社会保障番号、生年月日などが含まれる可能性があり、対象の情報は人によって異なるとしています。サイトは止められ、州の捜査当局などと対応しています。奨学金や授業料の支払いには影響しないと説明しています。
Charitéのウェブサーバーから連絡先の情報
ベルリンの大学病院Charitéは10月30日、ウェブサイトを置くサーバーが攻撃を受け、職員、学生、ウェブの問い合わせフォームを使った人の連絡先の情報が持ち出されたと公表しました。診療には影響していないとしています。前週にPHPの脆弱性への予防でサイトを止めたこととは関係がないと説明しています。
人数は公表文にありません。ドイツの医療専門紙によると、広報担当者は、職員と学生が約4万6,000人、報道向けの送付先が約1,500人、問い合わせフォームの利用者が約9万人と推計しています。予約の問い合わせの自由記述に受診の内容が書かれていた可能性がある人には、個別に連絡するとしています。
Floinはアプリとサイトを停止
10月31日付の報道によると、リヒテンシュタインの暗号資産サービスFloinは、サイバー攻撃を受けたとして、アプリとウェブのサービスを当面止めました。Floinはサイトの告知で、Floinのウォレットのアドレスに入金や送金をしないよう呼びかけています。利用者のデータへの影響は明らかになっていません。
ベルギー財務省とライプツィヒ大学
ベルギー財務省は10月28日、オンラインサービスがサイバー攻撃の標的になったとして、税の手続きのポータル「MyMinfin」などを予防のために止めました。データが盗まれた形跡はないとしており、申告の期限を延ばすとしています。同じ日、ドイツのライプツィヒ大学もインターネットにつながるサーバーをすべて止めたと報じられました。通常のサイト、メール、学生向けの手続きのシステムが使えなくなり、大学は代わりのページで情報を案内しています。
国家系の攻撃と、捜査の動き
Volt Typhoonの中継網「Silent Train」
米Lumenの研究部門Black Lotus Labsは、中国系とされる攻撃者Volt Typhoonが使う中継の仕組みを「Silent Train」と名付けて報告しました。国外で借りたサーバーから、各国の小型ルーターやIoT機器を順に経由し、最後は米国内の侵害した機器を出口にする作りです。通信は、米国内からの普通の通信に見えます。使われた機器は27種類を超えました。
Lumenは、少なくとも4件のゼロデイの悪用を確認したとし、N-able N-central、Cisco Catalyst SD-WAN、VeloCloud Orchestratorなどの管理基盤を挙げています。Quest KACEも可能性があるとしています。狙われたのは通信、政府、防衛、水道やエネルギーなどの重要インフラで、2023年11月から約3年追跡したといいます。
Lumenが勧めるのは、管理用の画面をインターネットに出さないこと、管理基盤の修正を優先すること、記録を長く残すことです。ネットワークの管理基盤は、一台でつながる先が多いぶん、入口としての価値も高くなります。
米軍基地の冷凍庫を、国防総省がサイバー攻撃の疑いで調べる
ロイター通信は10月29日、8月下旬に米軍基地の売店で冷凍庫が相次いで止まった件を、国防総省がサイバー攻撃の疑いとして調べていると報じました。国防総省はサイバー軍の部隊が他の機関と連携しているとし、陸軍の犯罪捜査部はフランスの捜査当局とも連携していると認めました。原因も、誰によるものかも、まだ分かっていません。ロイター通信は、少なくとも6か所で故障を確認したとしています。
フランスでは10月、冷凍設備の遠隔制御装置が多数侵害され、報道によるとスーパー数百店が影響を受けました（118860）。両者の関係は確認されていませんが、店の棚を空にする攻撃は、軍の施設でも同じ形をとりうることが、捜査の動きから読み取れます。
防弾ホスティングVirtualineのドメインを差し押さえ
FBIのワシントン支局とバージニア州東部地区の連邦検察は10月27日、ロシア語圏の「防弾ホスティング」Virtualineのドメインを差し押さえたと発表しました。ドイツ、オランダ、英国の捜査機関が協力しています。防弾ホスティングは、苦情や削除の要請に応じないことをうたって、犯罪に使われるサーバーを貸し出す事業者です。
ブロックチェーンの分析企業TRM Labsによると、Virtualineへの送金のうち、ランサムウェアの集団からの分は約5%で、情報を盗むマルウェア「StealC」の運営者からも2026年を通じて支払いがありました。TRM Labsは、ドメインを押さえただけで運営が止まったとはいえないとも指摘しています。
日本の組織が見直せること
今回の事案の多くは、日本の組織にも同じ形で起こりえます。
更新は「製品」ではなく「部品」まで確かめる。Alpine LinuxはGitLabを更新しましたが、修正はRubyにありました。Goで書いたサービスでは、知らないうちにMPTCPが有効になっていることがあります。使っているソフトウェアが何に頼って動いているかを知っておくことが、修正を届ける前提になります。
更新が届かない端末と機器を数える。Android 12と13の端末、古いDSMのNAS、ネットワーク起動を使うサーバーのファームウェアは、修正が出ても提供されなかったり、手作業での更新が必要だったりします。台数と置き場所を把握しておけば、入れ替えや隔離の判断ができます。
ページに読み込む外部のコードと、機器を買う経路を棚卸しする。Polymarketでは性能計測のスクリプトが、Trezorでは販売代理店が入口になったとみられます。CryptoBilisは10月9日まで正規の代理店でした。買う経路を確かめるだけでなく、買ったあとにメーカーが出す警告も追い、対象になったら資産を移す必要があります。
KEVを修正の優先度の目安にする。GitLabとCisco ASA・FTDは、KEVに加わってから連邦政府機関の対処の期限まで3日でした。悪用が確認された脆弱性から順に当てることは、限られた人手で修正を進める現実的な方法です。
AIを使って脆弱性を見つけ、修正を助ける例は、相次いで報告されています。これから問われるのは、その修正を、使っている一台一台にまで届けきる力なのかもしれません。
【関連記事】
【解説】海外サイバー事案21件、委託先や連携アプリが入口に｜BAE・ConnectWise・AOMEI
9月下旬から10月中旬に海外で公表された21件を、委託先や連携アプリ、更新や広告が入口になった事案を中心に読み解いた解説。
【解説】Ivanti・BeyondTrust・Citrixでゼロデイ攻撃が相次ぐ VPNとリモートサポート機器が修正前から標的に
Ivanti、BeyondTrust、Citrixの境界機器で、修正前の脆弱性を突く攻撃が相次いだ経緯と、利用者の対策を整理した解説。
【解説】PHP2Shell、AIが見つけたPHPの重大脆弱性 CVE番号の流出で公開を前倒し
AIが見つけたPHPの重大な脆弱性PHP2Shellについて、公開が前倒しになった経緯と、修正の中身と影響を整理した解説。
PHP2Shell、PAN-OS機器など25台がroot化 Fragnesiaと連鎖し米政府関連のADへ
PHP2ShellとLinuxカーネルの脆弱性Fragnesiaの連鎖で、PAN-OSの機器などがroot化された事例を伝える記事。
仏スーパー数百店で冷凍設備にサイバー攻撃、Danfossなどの遠隔制御装置が標的に
フランスのスーパー数百店で、店舗の冷やす設備をまとめて動かす遠隔の制御装置が狙われ、冷凍の商品が棚から消えた事件の経緯を伝える記事。
Binance、約63億ドル流出で出金停止 秘密鍵漏えいの証拠なく全額補償へ
Binanceから約63億ドルが流出した事件について、攻撃の準備の時系列と、北朝鮮の集団の関与をめぐる分析を伝える記事。
【編集部後記】
Alpine Linuxの報告は、何が起きたかに加えて、これから変えることも並べています。重大な更新は1日以内に当てる、出ていく通信を記録する、記録を14日より長く残す、リリースのタグに署名する。
どれも、攻撃を受けたあとで「確かめられなかったこと」の裏返しです。コードが実行されなかったと言い切れなかったのは、その記録がなかったからでした。
自分の組織で同じことが起きたとき、「何もなかった」と言える記録は、いま残っているでしょうか。
【用語解説】
KEV（Known Exploited Vulnerabilities）
米CISAが公開する「悪用が確認された脆弱性」の一覧。連邦政府機関には期限内の対処が義務づけられ、民間でも修正の優先度を決める目安として使われる。
CVE
公開された脆弱性に振られる世界共通の識別番号。脆弱性の管理ツールや一覧は、この番号で情報を照合することが多い。
CVSS
脆弱性の深刻度を0から10の数値で示す共通の指標。3.1と4.0など版によって評価の項目と値の出方が異なり、数値を単純に比べられない。
MPTCP（Multipath TCP）
1つの接続で複数の通信経路を束ねて使うTCPの拡張。Wi-Fiと携帯回線を同時に使うといった用途があり、Linuxのカーネルが対応している。
use-after-free
解放したメモリ領域を、プログラムが誤って使い続けてしまう不具合。攻撃者がその領域の中身を操れると、任意のコードの実行につながることがある。
UEFI
パソコンやサーバーの電源を入れてからOSを起動するまでを担うファームウェアの規格。OSのセキュリティ機能より前の段階で動く。
PXE
ネットワーク経由でOSを起動する仕組み。データセンターなどで、多数のサーバーにOSを配るときに使われる。
ゼロデイ
修正が公開される前に悪用される脆弱性。利用者は修正を当てて防ぐことができない。
RUM（Real User Monitoring）
実際の利用者のブラウザーでページの表示速度などを測る仕組み。計測用のスクリプトをページに読み込んで使う。
シングルサインオン
一度のログインで、複数のシステムやサービスを使えるようにする認証の仕組み。
サプライチェーン攻撃
標的そのものではなく、標的が使うソフトウェア、更新、部品、販売経路などを経由して侵入する攻撃。
ADB（Android Debug Bridge）
パソコンからAndroid端末を操作するための開発者向けの道具。USBなどでつないで、端末の中のデータやアプリを扱える。
【参考リンク】
GitLab「GitLab Critical Patch Release: 19.4.2, 19.3.5, 19.2.8」（外部）
CVE-2026-97229を修正したGitLabの重大な更新の告知。脆弱性の内容と深刻度、対象の版と修正版、検知の手段を示す。
Alpine Linux「GitLab security incident: attempted exploitation of CVE-2026-97229」（外部）
Alpine LinuxのGitLabへの攻撃の報告。時系列、更新で防げなかった理由、必要なRubyの版、今後の改善策を示す。
CISA「Known Exploited Vulnerabilities Catalog」（外部）
米CISAが公開する、悪用が確認された脆弱性の一覧。各脆弱性が追加された日と、連邦政府機関に求める対処の期限を確かめられる。
Anthropic「Discovering and exploiting vulnerabilities in critical, real-world software with Claude」（外部）
未公開の研究用モデルが見つけた脆弱性の報告。LinuxのMPTCPを狙う攻撃の組み立て方と所要時間、ほかの主な発見例を示す。
Red Hat「CVE-2026-98432」（外部）
Red HatのCVE-2026-98432の情報ページ。同社による深刻度の評価とCVSSの値、緩和策を案内する告知への入口を示す。
「SMS of Death: zero-click Android telephony DoS」（外部）
Androidの電話の処理を1通のSMSで落とせる脆弱性について、発見した研究者が影響と時系列、修正の範囲と復旧の方法を示す。
Synology「Synology urges users to update DSM following ransomware attacks on outdated DSM versions」（外部）
古いDSMを狙うランサムウェア攻撃についてのSynologyの告知。悪用された脆弱性の勧告と、更新と自動更新の呼びかけを示す。
TianoCore「GHSA-99cj-7hg9-mp4m」（外部）
EDK IIのネットワーク起動の脆弱性CVE-2026-97631の勧告。攻撃が成り立つ条件、深刻度、修正、発見者の名前を示す。
Drupal「SA-CONTRIB-2026-254」（外部）
Commerce Coreのアクセス制御の回避の勧告。危険度の評価、対象の版と修正版、悪用の確認と注文の点検の呼びかけを示す。
Volexity「A Series of Unauthenticated Events: Chained Exploitation of Ivanti Connect Secure Zero-Days」（外部）
Ivanti Connect Secureのゼロデイ連鎖の分析。攻撃の手順を示し、10月29日の追記で権限昇格の修正の公開を伝えている。
Polymarket Status「Notice history」（外部）
Polymarketのステータスページの履歴。10月29日の取引停止の経過と、補償額を示した10月30日の事後報告を確かめられる。
InfoStealers（Hudson Rock）「Polymarket Breach Alert: Wallet-Draining Code Found in a Third-Party Script」（外部）
改ざんされた計測スクリプトの分析。コードが探したもの、利用者に署名を求める仕組み、送金先とみられるアドレスの残高を示す。
Trezor「Implant reported in a Trezor sold by CryptoBilis」（外部）
販売代理店経由の端末に不正な部品の疑いがあるとするTrezorの警告。対象となる購入の時期と、資産を別のウォレットへ移す手順を示す。
Securelist（Kaspersky）「Unknown APT uses NetamLoader to attack a Win10 OS customized for governments in Asia」（外部）
アジアの政府向けWindowsで見つかったNetamLoaderの分析。紛れ込んだ経路、検知を逃れる機能、帰属の判断を示す。
フロリダ州教育省（データ侵害の告知）（外部）
奨学金の申請サイトの侵害についての州教育省の告知。影響を受けた可能性がある情報の項目と、利用者への注意の呼びかけを示す。
Charité「Cyberangriff auf Charité-Webserver」（外部）
Charitéのウェブサーバーへの攻撃の告知。持ち出された情報の範囲、診療への影響の有無、対象者への個別の連絡の予定を示す。
Lumen「Silent Train: uncovering Volt Typhoon’s operational framework for zero-day exploitation and strategic access」（外部）
Volt Typhoonの中継の仕組みについてのBlack Lotus Labsの報告。使われた機器の種類、ゼロデイ、推奨する対策を示す。
TRM Labs「FBI Seizes Virtualine Domain After Provider Led Bulletproof Hosting Sector in Illicit Inflows」（外部）
Virtualineのドメイン差し押さえについての分析。発表した捜査機関と、犯罪に関わる資金の流入の内訳、その限界を示す。
【参考記事】
TechCrunch「Hacker stole personnel data about thousands of Homeland Security employees, including CBP and ICE agents」（外部）
DHSの職員と契約者4万人超の情報が公開されたことと、部局ごとの件数、DHSとOktaから得た説明、データの真偽の確かめ方を伝える記事。
The Record「Florida warns that 4.9 million people had Social Security numbers leaked in financial aid site breach」（外部）
フロリダ州の奨学金の申請サイトの侵害で、約490万人の社会保障番号などが影響を受けた可能性があると、州の発表をもとに伝える記事。
BleepingComputer「Critical Linux kernel flaw allows remote root attacks on MPTCP servers」（外部）
LinuxのMPTCPの脆弱性について、深刻度の評価、各ディストリビューションの修正状況、Goの初期設定、緩和策を伝える記事。
Security Affairs「US Probes Suspected Hack Behind Military Base Freezer Failures」（外部）
米軍基地の冷凍庫の故障を、国防総省がサイバー攻撃の疑いで調べているとするロイター通信の報道を、捜査に関わる機関の説明とともに紹介する記事。
Deutsches Ärzteblatt「Charité: Knapp 140.000 Kontaktdaten bei Cyberangriff abgeflossen」（外部）
Charitéへの攻撃で持ち出された連絡先の情報の内訳を、広報担当者の推計として職員、学生、外部の人に分けて伝えるドイツの医療専門紙の記事。
