公開日の新しい順に並べています。
タグで探す ↓Apache HTTP Serverのmod_http2に、認証なしでヒープ破壊からコード実行につながる競合状態の脆弱性CVE-2026-119618（Apacheは重大度critical、Red HatのCVSS 3.1は9.8）があり、11月11日公開の2.4.71で修正された。影響は2.4.55〜2.4.70でHTTP/2を有効にしている場合に限られ、11月12日にはヒープ破壊を再現するPoCが公開されたが、悪用は確認されていない。
Check Pointは11月12日、Security GatewayのMobile AccessポータルがPHP2Shell（CVE-2026-109618・109619、CVSS 9.2）で侵入され、Gaia OSのDynamicCLIの権限昇格CVE-2026-123039（CVSS 7.8）でrootを取られたと公表した。10月30日と11月2日の2回の攻撃で未修正の数十台が侵害され、一部ではESXiに移ってワイパーが実行された。対策は11月のJumbo Hotfix。
マネックス証券は11月13日、外部委託先が運営する口座開設システムへの不正アクセスで、2019年10月16日以降に登録されたメールアドレス最大113万件と、本人確認書類画像1,592件（マイナンバーカード表面、運転免許証の表裏、セルフィー）が漏えいしたおそれがあると発表した。口座番号やパスワードは別のデータベースで、漏えいは確認されていない。
paizaは11月13日、開発用ステージング環境のベーシック認証などを固定文字列のまま2013年から運用し、退職者などがアクセスし得る状態だったと発表した。本番データを一部マスクして複製しており、最大902,576件の個人データが対象。外部への流出は確認されていない。
プレイドは11月13日、CXプラットフォーム「KARTE」への第三者からの不正アクセスを検知し、全プロジェクトで計測・配信・管理画面を含む全機能を順次停止したと発表した。同日深夜には、外部に漏えいした可能性のある情報を確認し、該当する顧客にメールで連絡したとステータスページで報告した。
ヤマダデンキは11月13日、リフォーム管理システムが第三者からの不正アクセスを受けたと発表した。11月12日に確認して外部からのアクセスを遮断。氏名・住所・電話番号やリフォーム実施履歴・見積データなど最大350万件が影響を受けた可能性があり、外部への流出は調査中。
Palo Alto NetworksのUnit 42は、中国語を使う攻撃者が2026年8〜9月、オープンソースのAIペネトレーションテスト基盤CairnとZhipu GLM・DeepSeekのモデルで、半導体・防衛・市民社会の少なくとも19組織に25回の作戦を行い、10組織で不正アクセスやデータ取得に至ったと報告した。使われたのは弱いパスワードや認証回避など既知の弱点だった。
WAFなどを提供するサイバーセキュリティクラウドは11月12日、従業員のGitHub認証情報1件が外部に流出し、それを使ったとみられる不審なアクセスを11月5日に確認したと発表した。GitHub上の一部顧客の企業名・氏名・メールアドレスや「サービス利用に伴う通信関連情報」が漏えいした恐れがあり、範囲は調査中。
ギフティは11月12日、会員情報の管理とログイン認証に使うプリズマティクスのサービス「prismatix」で第三者による不正アクセスが発生し、11月11日22時ごろから「giftee」の主要機能を止めたと発表した。会員情報の一部が漏えいした可能性があり、再開時期は未定。
滋賀県甲賀市は11月12日、各家庭や屋外拡声器に緊急情報などを流す音声放送システムのサーバーがランサムウェア攻撃を受け、11日早朝から放送が止まっていると発表した。報道によると端末機設置者の氏名・事業所名など約2万5千件が流出した可能性があり、11日のJアラートのテスト放送も中止した。
ECモール「Qoo10」は11月12日、11月6日に外部の第三者がシステムに不正アクセスし、一部の個人情報が閲覧されたと発表した。氏名・連絡先・住所に加え、住所の地理座標や任意入力の身体的特徴なども含まれる可能性がある。認証トークンを無効化し強制ログアウトを実施した。件数は公表していない。
マルエツなどを傘下に持つユナイテッド・スーパーマーケット・ホールディングスは11月12日、アプリ「Scan＆Go ignica」のシステムが不正アクセスを受け、約240万アカウントのうち64,003アカウントの新規登録時の氏名とメールアドレスを含むファイルが取得された可能性があると発表した。
2026年11月10日から、4,837のGitHubアカウントの盗まれた認証情報で6万を超えるリポジトリに書き込み可否を試すプルリクエストが送られ、少なくとも1,806リポジトリでCIのシークレットとクラウド認証情報を盗むスクリプトが実行された（Aikido Security）。実行後はコミットを戻し、実行記録とログを消していた。
TISインテックグループのYenyは11月12日、API接続設定の不備から会員の電話番号と同社固有の会員IDが漏えいしたと発表した。対象は「ultra pay カード」と「PayBlend」系の3サービスで計1,332,505件（退会者を含む）。接続先の事業者からの不審なAPIコールの連絡で発覚した。
Arctic Wolfは、オープンソースのAI自動ペネトレーションテスト基盤AntiFoxを載せたAlibaba Cloudのサーバーから、IISアプリへのWebシェル設置と、正規のAWS認証情報によるサービスの総当たり的な列挙が行われ、本番のシークレット取得（GetSecretValue）やS3オブジェクトの読み出し・削除に成功した例があると報告した。IISへの侵入に使われた脆弱性は分かっていない。
ChromeのXML処理部分の解放後使用（UAF）脆弱性CVE-2026-125350（深刻度High）が実際の攻撃に使われていた。Googleは11月9日にWindows・Mac向け157.0.8103.50/.51、Linux向け157.0.8103.50で修正し、CISAは11月10日にKEVへ追加した。今年8件目のChromeのゼロデイ。
通信事業者向け音声基盤Cisco BroadWorksのOCI-Pで、認証なしにサーバー上のファイルを読めるXXE脆弱性CVE-2026-20320（CVSS 3.1 7.5）が悪用され、CISAが11月10日にKEVへ追加した。修正版はRI.2026.07（8月19日公開）で回避策はない。研究者は欧州の通信事業者で秘密鍵と証明書が盗まれたと報告している。
LINE連携のマーケティング基盤「TONARIWA」で、システム基盤の管理アカウントの認証情報が漏えいし、不正アクセスと権限昇格を受けた。利用企業が扱うエンドユーザーの氏名・生年月日・連絡先と、LINE公式アカウント連携用のアクセストークンなどが漏えいした可能性がある。11月12日の第二報で、外部への持ち出しを示すログを確認し、導入企業2社で個人情報の漏えいを確認したと公表した。件数とほかの導入企業への影響は調査中。
物流サービスのオープンロジのシステムに11月8〜9日、不正アクセスがあり、4月8日〜11月8日の出荷データに含まれるお届け先の氏名・住所・電話番号・メールアドレス・商品情報が持ち出された。件数は調査中で、HUMAN MADE、SKIYAKI（Bitfan）、マイネット、アデリアなど荷主が相次いで公表した。11月12日にはビームス（Setinn・BEAMS公式TikTok Shop）やユナイテッドアローズ（海外向けEC）も公表した。
細工したメッセージファイルをOutlookで開くと、警告なしに攻撃者のサーバーへ接続し、利用者のNTLMv2ハッシュが漏れる脆弱性CVE-2026-124194（CVSS 3.1 6.5、なりすまし）が悪用されていた。Microsoftは11月10日の月例更新で修正し、CISAは同日KEVに追加した。プレビューウィンドウからは発動しない。
MSP（IT運用の委託先）が使うScreenConnectのクラウド版管理画面から、Run Commandで攻撃者のScreenConnectクライアントとツールキット「SCKit」が顧客の端末に一斉に入れられた。Huntressは6社のMSP、48組織の288台を確認し、ConnectWiseは関係が疑われる他社製拡張機能5種を約400の環境で止めた。侵入の入口は調査中。
セブン銀行の在留外国人向け「在留カード提出サイト」と「口座解約受付サイト」に11月9日、不正アクセスの形跡が見つかり、提出サイトが保有していた最大150件程度の在留カード券面情報が流出した恐れがある。不正な送金や口座解約、改ざんは確認されていない。
SMBC日興証券が持株会事務の受託業務で使うシステムに11月9日、不正アクセスがあり、持株会の会員最大56,487名の氏名・住所・投資銘柄・持分残高・配当金・振替先口座情報などが漏えいした。電話番号とメールアドレスはシステムに登録がなく対象外。
靖國神社のオンライン授与品・頒布品サイトが10月28日に不正アクセスを受け、登録者約14,500件の氏名・メールアドレス・パスワードのハッシュ値と生成用の補助情報などが漏えいした。カード情報、住所、電話番号、購入履歴の漏えいは確認されていない。
「法人専用ビックカメラ・ドットコム」の法人顧客向け問い合わせフォームの潜在的な設定不備を突かれ、11月5〜6日に企業名・部署名・担当者氏名・メールアドレスの全部またはいずれかを含む計133,039件が漏えいした。11月6日14時15分にフォームを閉鎖し設定を直した。
10月6日に評価ジョブの環境変数（秘密情報）が盗まれたと公表したFireworks AIが、10月24日に委託先クラウド経由で開発用マシンにも入られ、請求情報や一部顧客のデータセット・学習途中のモデルの重みが取られたと更新した。Notionは、Insights機能用のNotion AIの会話記録が含まれていたと公表し、影響は全ワークスペースの1%未満としている。
簿記など8種類のネット試験で使う外部サーバー（試験管理システム）に11月1日に不正なプログラムが置かれ、2022年4月〜2026年11月4日の受験者最大約98万人分（約197万件）の氏名・生年月日・合否結果・得点などが漏えいした可能性がある。漏えいや不正利用は確認されていない。
攻撃者がオープンソースの推論エンジンSGLangのRCE脆弱性で NEAR AI の推論サーバー1台でコードを実行し、社内に広がって約100人のアカウント情報と18のAIエージェントの会話履歴などを取得した。11月8日には、TEE（機密計算環境）で処理する「confidential mode」の要求も見られた可能性がある。
ソフト99公式オンラインショップで、問い合わせフォームの画像添付機能からプログラムファイルをアップロードされ、外部から命令を送れるファイルを置かれてサーバー内の調査や設定ファイルの読み取りをされた。会員・購入者最大136,968人の氏名・住所・購買情報やカード番号下4桁・有効期限・名義が流出した可能性がある。
Xen Orchestraで、Cookieに空のJSONオブジェクト（authenticationToken=j:{}）を入れるだけで既存のログイントークンの持ち主として認証され、管理者権限で操作できる欠陥（VSA-2026-062、CVE未採番）が見つかった。Vatesは攻撃者による悪用を確認し、Xen Orchestra 6.9.2（stable）と6.10.1（latest）で修正した。
Microsoftは、AIの攻撃フレームワークARTEXを使う攻撃者が8月からGitHubで秘密情報を大量に検索し、見つけたアプリの資格情報でEntra IDのサービスプリンシパルとしてサインインして、Key VaultやStorageから鍵とデータを持ち出していると報告した。GitHubの検索からKey Vaultのデータ持ち出しまで5分だった例もある。
Claude Codeで「Yes, and don't ask again」を選ぶと、承認したコマンドがそのまま .claude/settings.local.json に保存され、コマンドに含まれたパスワードやトークンも平文で残る。Apiiroは公開GitHub上の10万4185個のこのファイルのうち1,122個に計1,379件の秘密情報を確認し、うち3分の1以上がデータベースの認証情報だった。
認証局のDigiCertは、2025年2月の基盤移行でVPNの内側から外に出た社内システムに、多要素認証のない自己登録アカウントが作られ、2026年6月27日〜7月2日に顧客担当者の連絡先と一部の本人確認書類が閲覧されたとMozillaのBugzillaで報告した。証明書の発行や検証には影響していない。
分散ストレージSwarmのEthersphereで、攻撃者がリリース用のボットと保守者のGitHubアカウントを使い、11月9日にnpmの @ethersphere/bee-js 13.3.0（約75分公開）と、署名・公証済みのSwarm Desktop 0.56.2（約8時間半公開）を正規のCIから出した。どちらもノードのウォレット鍵と平文のパスワードを盗み、バックドアを入れる。
圧入機メーカーの技研製作所は、業務用サーバー1台がランサムウェアを含む不正アクセスを受け、ユーザー・指定工場の担当者（海外含む）とグループ従業員の約3,200名分の氏名・連絡先や、顧客支援システムのログインID・暗号化したパスワードが漏えいしたおそれがあると発表した。外部送信の痕跡は確認されていない。
Bitcoin Lightningのウォレット・決済基盤LNbitsが11月8日、「一連の攻撃」を受けて全利用者にサーバーを直ちに止めるよう呼びかけ、運営するホスティングの全インスタンスも停止した。脆弱性の内容、影響する版、CVEは未公表で、2026年11月9日15時（日本時間）時点で修正版は出ていない。
MSP向けのリモート管理製品N-centralについて、研究者が11月8日に33件の未修正の脆弱性と攻撃コード（Able2Shell）をGitHubで公開した。認証なしのXXEからOSコマンド実行に至る連鎖を含み、N-ableは11月9日にクラウド版を止め、オンプレミスのサーバーも停止するよう求めた。修正版は11月10日時点で未公開。
NECのリモート操作ソフトWebSAM WinShareで、操作される側のPC（リモートPC）に細工したパケットを送るとSYSTEM権限でコマンドやコードを実行できる脆弱性2件（CVE-2026-113363・113364、CVSS 3.0 9.8）と、一般ユーザーがSYSTEM権限を得られる脆弱性（CVE-2026-113362）が11月9日に公表された。対象はVer 7.7.2までの各版で、NECは修正モジュールを提供している。
ニトリホールディングスが管理するシステムに不正アクセスがあり、個人会員・購入者・法人会員の情報とニトリネットやECモール公式ショップの注文データなど最大3,762万件が流出した可能性がある。11月6日に判明し、10月中旬〜下旬にもアクセスされた可能性がある。カード情報とログインパスワードは対象外。
NTTデータが住友生命から受託する「住友生命Vitality体験版・企業型」「Vitalityスマート」の申込サービスに不正アクセスがあり、現・元利用者約8万名の氏名・住所・電話番号・生年月日・メールアドレスのいずれかが漏えいした。約1,000名は一部マスキング済みのカード番号も含む。
データ基盤サービスQuboleがAWS連携に使うアカウントのIAM認証情報で、攻撃者が2026年10月14〜26日に複数の顧客のAWS環境の連携用ロールを引き受け、Secrets Manager・SSM・Lambdaの秘密情報とS3のデータを持ち出したとWizが公表した。認証情報が盗まれた経緯は公表されていない。
ネット印刷「ラクスル」のデータ入稿処理システムで認証情報が不正に取得され、保管データの一部に外部からアクセスできる状態だった。入稿された印刷データや請求書・Web郵便に記載された氏名・住所・電話番号などが流出したおそれがあり、件数は集計中。11月8日から入稿を伴うサービスを停止した。11月12日の第2報で、対象はAdobe Express連携で入稿された印刷データの最大249ファイルに絞り込まれ、アクセスできた期間は11月7日3時頃〜8日1時頃とわかった。
スキマバイトアプリ「シェアフル」の社内管理システムが11月4日夜に不正アクセスを受け、最大約750万件の個人アカウント（氏名・住所・給与振込用口座・在留資格関連情報など）と最大約7,500社の求人企業の情報が流出した可能性がある。不審なアカウント作成から始まり、翌朝検知した。
早稲田大学は、学内ポータル「MyWaseda」のログイン用ユーザー情報を管理するシステムが8月31日に不正アクセスを受け、教職員番号・氏名・Wasedaメールアドレス・暗号化したパスワードなど計3,342件が取得されたと発表した。PHPの脆弱性への対応で学内システムを点検する中で痕跡を見つけた。
よーじやグループが使う会員情報管理システムの会員情報取得APIが、API認証キーを使って外部から不正に利用され、131,557名分（最大134,344名）の氏名・住所・電話番号・生年月日・購買統計情報などが取得された。11月7日未明に確認し、キーを無効化した。
公開停止されたAIペネトレーションツールARTEXの「後継」を名乗るリポジトリが案内したDockerイメージ tomicdd/artex に、ログイン要求の captcha 欄に入れたコマンドをパスワード確認の前にrootで実行するバックドアがあった。BadByteは11月3日までに7,946回のpullと、11月2〜4日に62台の公開コンソールを確認した。Docker Hubは11月5日に該当イメージを削除したが、取得済みのコピーは残る。
仏協同組合銀行グループのCrédit Mutuel Arkéaで、攻撃者が委託先のプラットフォームを経由して侵入し、銀行自身の口座から他行への送金を実行した。ZachXBTが指摘した約1億1800万ユーロ（1億3300万ドル）について銀行は「桁は正しい」とし、顧客の資産への影響はないと説明している。資金はステーブルコインを経てMoneroへ換えられたと報じられている。
電子チケット販売サービス「teket」は2026年11月8日、会員情報などを管理するシステムへの不正アクセスで、全会員の氏名・メールアドレスと、登録・購入状況に応じて生年月日・住所・電話番号・チケットの発券用コードなどが流出したと発表した。11月5日20時30分から全サービスを止めており、再開時期と件数は未定。
開発者向け認証基盤のWorkOSは、営業部門の社内ツールから顧客企業の連絡先や商談・サポートの記録が取得された件について、研究者がARTEXで行っていた評価中にAIエージェントが検証環境の外に出たものだったと発表した。インターネットから届くAPI、開発用の推測しやすい認証情報、レート制限なし、検知の遅れの4つが重なり、10月25日の初回アクセスから5日間気付けなかった。
データ連携基盤Airbyteの2.2.0より前のConnector Builder／Manifest Serverで、閲覧権限のユーザーがコンテナ内で任意のコマンドを実行できる（Airbyte評価でCVSS 3.1 9.9）。1.x系の旧Helmチャート構成では認証なしで悪用でき、JVNは11月4日に悪用を確認したと公表した。
シグナルトークは2026年11月7日、オンライン麻雀「Maru-Jan」への不正アクセスで全会員185万5,578人分のメールアドレスとパスワードが流出したと発表した。管理システムの機能が悪用され、11月4日15時頃までにデータが外部へダウンロードされていた。悪用箇所への対策後、同日16時にサービスを再開した。
インドアゴルフスクールのステップゴルフは2026年11月7日、業務システムと予約システムへの不正アクセスで、会員・無料体験申込者の氏名・住所・銀行口座情報・レッスンカルテ・顔写真など最大21.5万件が漏えいした可能性が極めて高いと発表した。口座情報は暗号化せずに保管していた。
使えるねっとは2026年11月7日、第三者の不正アクセスで契約管理・購入ポータル「使えるポータル」の顧客情報漏えいが判明したと速報した。漏えい項目と件数は調査中。関連するVPS127件と一部の共有サーバーでも影響を調べており、共有サーバーの一部は11月2日時点のバックアップから復元したため、その後11月7日早朝までの更新データと送受信メールが失われた。
WordPress・Joomla!向けテーマ／ページビルダーYOOtheme Pro 5.0.0〜5.0.52の画像処理に、ログインなしでPHPファイルを書き込める脆弱性（CVE-2026-102785、CVSS v4 10.0）がある。Unit 42は修正版5.0.53公開の2日後から自動化された悪用を観測し、JPCERT/CCも11月5日の週報で取り上げた。
ブロックチェーン分析の Chainalysis は、攻撃的エージェント手法による侵入の調査過程で、全利用者の氏名・ユーザー名・パスワードハッシュ・有効なトークンが攻撃者に渡ったと発表した。調査データや帰属データの改ざんは確認されていない。KYT 等を一時停止し、信頼 IP の許可リストと資格情報の再設定で段階復旧を進めている。
QiAnXin XLab が、CWP のパネル用サーバー cwpsrv を差し替えた受動型バックドア CWPdoor を報告。専用ヘッダーと署名で命令を受け、該当要求のアクセスログを抑止する。Hunter 上で公開 CWP は34万超。初期感染経路は未解明。
DGS-3130-30TS（H/W Rev. B1）の D-Link Discovery Protocol（DDP）とファームウェア保護まわりに、修正版のない複数の脆弱性が報告された。隣接ネットワークから機微情報の取得や管理操作・設定変更・サービス妨害などが起こりうる。D-Link は暫定アドバイザリ SAP10523 で DDP 無効化などを案内し、CVE は未公開。
エディオンは2026年11月6日、ECサイトのログファイルを置くサーバー領域が脆弱性を突かれて不正アクセスを受け、氏名・連絡先などが紐づいたログ最大4,131名分と、照合すると住所コードやカード有効期限・ギフトカード番号と結びつく注文ログ最大9,554名分が漏えいした可能性があると発表した。カード番号とログインパスワードは含まない。11月9日の第2報で、決済処理の改ざんによりPCで入力されたカード情報最大556回分が漏洩した可能性と、ギフトカード5,360枚・ログイン情報最大1,141名分などの漏洩が新たに判明した。
Bitdefender が、実行コードも権限も要らない細工 APK を入れるだけで system_server が SIGBUS で再起動を繰り返す Android の欠陥 GhostMap を報告。Android 10 以降が対象で、執筆時点でセキュリティ更新による修正はない。
日本ネットワークセキュリティ協会（JNSA）は2026年11月6日、運営する「情報セキュリティ理解度チェックサービス」が不正アクセスを受け、最大15,128件の利用者情報が漏えいした可能性があると発表した。管理者の氏名・企業名・メールアドレスや、利用者のIDとハッシュ化パスワードなどが含まれる。サービスは停止中。
三井ダイレクト損害保険は2026年11月6日、自社Webサイトへの第三者の不正アクセスで、見積もりや契約をした顧客の情報約23.4万件が漏えいしたと発表した。氏名・住所・連絡先のほか車両情報や契約条件を含む。カード情報、口座情報、マイページのログインパスワードは含まれない。Webサイトとアプリの手続きは11月4日から停止中。
MS&ADグループの三井住友海上火災保険とあいおいニッセイ同和損害保険は2026年11月6日、「ご契約者さま専用ページ」への不正アクセスで顧客情報が漏えいしたと発表した。11月6日9時時点であいおい約44.4万件、三井住友海上約3.7万件。専用ページに生命保険契約を表示する設定をしていた三井住友海上あいおい生命の顧客約5,300件も対象になった。
ロート製薬は2026年11月6日、通信販売で使う電話システムのアカウント情報が不正利用され、顧客管理システム経由で最大2,797,545人分の氏名・住所・電話番号が漏えいしたと公表した。一部の通話音声にはクレジットカード番号と有効期限が含まれ、対象は9,715人。セキュリティコードは含まれない。
SonicOS の SSL-VPN で、代替認証方式の正規資格情報を持つ攻撃者が SAML 制御（SAML 経由の MFA を含む）を迂回できる。Gen7 は 7.3.3-7015 以前、Gen8 は 8.2.2-8015 以前が対象。SonicWall は悪用報告を調査し、CISA は同日 KEV に追加した（連邦機関の期限は 11月20日）。修正は Gen7 7.3.4-7013 / Gen8 8.2.3-8015 以降。
musl 上で PAM なしの OpenSSH において、パスワード欄が * のアカウントへ 257〜1024 バイトのパスワードを送るとログインできる。Alpine・OpenWrt・Buildroot・Yocto などが対象。OpenSSH 10.6p2 と Alpine 各ブランチの修正パッケージで回避できる。
チームスピリットは2026年11月6日、開発用サーバーへの不正ログインで認証情報を使われ、クラウド環境からデータが取得されたと発表した。流出は重複除き28,824件で、要配慮個人情報35件を含む。契約企業の担当者情報や勤怠記録の一部、従業員情報などが対象。本番の勤怠・工数データへの不正アクセスは確認されていない。
電子マネーWebMoneyは2026年11月6日、システムへの第三者による不正アクセスを確認し、決済情報等の一部が漏えいした可能性があると公表した。不正利用の懸念がある一部のプリペイド番号は一時利用制限し、さらなる不正アクセス防止のため一部サービスを一時停止している。漏えいの有無を含む事実関係は調査中。
Sekoia は、改ざんした正規サイト、なりすましの中継サイト、8月27日〜9月3日に改ざんされたウクライナの Web 解析サービス Plerdy の3経路で、未更新の iPhone・Android にゼロクリックの n-day 攻撃（iOS は DarkSword）を配る水飲み場攻撃を報告した。Cookie や端末内のデータを盗むもので、Sekoia は中〜高の確度で APT29 によるものと評価している。
Barracudaは11月2日、Email Security Gatewayの認証回避（CVE-2026-116606、CVSS 9.3）と、ESG・WAF・Load Balancer ADCなど6製品のコマンドインジェクション（CVE-2026-111560、CVSS 8.6）を公表した。組み合わせると管理画面からroot権限を得られる。悪用の報告はまだない。
クラブネッツは2026年11月4日の第2報で、CNポイントのサテライトシステム上のアプリケーションの脆弱性を突いたリモートコード実行により、サーバーに不正プログラムが設置され、データベースから個人情報が取得された可能性があると公表した。対象はCN会員IDと氏名16,936件、うち連絡先を含むもの2,857件（別データベース）。CNエクスチェンジなど3サービスを停止し、11月24日の再開を予定している。11月12日の第3報で、攻撃者が作ったファイルの外部ダウンロードを示すログを確認して漏えいと判断し、会員3名で計23,743ポイントの不正利用も判明した（補填済み）。CNモニターの再開時期は未定。
電通総研は2026年11月4日、同社が提供する「FACERE」の特定の利用企業の環境で、同社のアクセス権限設定の不備により外部から閲覧できる状態になっており、9月10日に第三者からアクセスされていたと公表した。10月29日に判明し、設定変更で経路を遮断した。企業名・件数・情報の項目は公表されていない。
消防庁は2026年11月5日、武力攻撃事態等における安否情報収集・提供システムで、運用保守を受託する富士ソフトから第三者による不正アクセスを確認したと報告を受け、サービスを停止して外部からのアクセスを遮断したと発表した。消防庁は個人情報の漏えいは確認されていないとし、富士ソフトは漏えいはないことを確認したとしている。
通販サイト「Getchu.com」を運営するゲインズは2026年11月4日、会員管理システムへの不正アクセスで、10月28日17時30分までに登録した会員の会員ID・メールアドレス・パスワード・氏名・住所・電話番号などが流出したと公表した。クレジットカード情報は含まれず、パスワードは強制的にリセットされた。件数と原因は公表されていない。
アイリスプラザは2026年11月5日の第2報で、利用する外部クラウドサービスへの不正アクセスにより、会員約580万人・非会員約190万人の計約770万人分の個人情報が閲覧または取得された可能性があると公表した。会員データには暗号化されたパスワードなども含まれる。クレジットカード情報は当該クラウドに保存されておらず影響なし。
九州電力送配電は2026年11月5日、一部システムへの不正アクセスにより、使用電力量や地点特定番号など4,139件が社外に漏えいした可能性があると公表した。10月30日に不自然なエラーを検知して当該システムを停止し、電力量・料金照会サービスを止めている。お客さま名や住所、口座情報は含まれない。電力の安定供給に支障はないとしている。
京セラコミュニケーションシステム子会社のエムオーテックス（MOTEX）は2026年11月2日、自社Webサイトへの不正アクセスを確認し、コーポレートサイトやLANSCOPE製品サイト・ポータルなどを停止した。11月6日の第2報で、顧客の会社名・氏名・メールアドレス・電話番号等が外部に漏えいした可能性があると公表した。件数は未公表。オンプレミス版のライセンス認証とバージョンアップは使えない状態が続いている。
『勝利の女神：NIKKE』の PC ランチャーが読み込む Level Infinite の CDN 上の JavaScript 4本が9月27日に改ざんされ、遅くとも10月23日から一部の起動時に遠隔操作エージェント「K2F」が送り込まれていたと研究者が報告した。Level Infinite は11月4日に改ざんの可能性を認めて修正を配信し、影響は調査中としている。
国税庁は2026年11月4日、外部からの不審な通信を検知して電子申告・納税システム「e-Tax」を止め、5日午前11時に再開した。報道によると、e-Taxを動かすプログラムの一部がコピーされ外部に流出したが、納税者情報やシステム上の機微な情報の流出はないと同庁は説明している。
NTTドコモは2026年11月5日、ドコモオンラインショップとMy docomoへの外部からの不正アクセスにより最大約30万件の顧客情報が流出したと公表した。11月6日の第三報で、全員分に氏名・住所・生年月日・連絡先・本人確認書類の番号・契約情報・料金プラン等が含まれ、一部には代理人情報・勤務先・口座情報・子育て応援プログラム情報が含まれると詳細化した。11月8日には予防的に止めていたahamoサイトを再開したが、オンラインショップとMy docomoは同日13時時点でもメンテナンス中。11月9日の報道では、対象の内訳は個人20万4,157件・法人9万682件で、ドコモは利用者への見舞金の支払いを検討しているという。11月9日の第四報で、不正アクセスの経路に対策したとして、My docomoの手続きを一部を除き15時ごろから再開した。
構成管理ツールPuppetとフォークのOpenVoxで、署名済み証明書を持つクライアントがサーバー上でコードを実行できる脆弱性（CVE-2026-115731、CVSS 4.0で9.4）と、似た名前の証明書で別ノードになりすませる脆弱性（CVE-2026-115732、同9.0）が11月3日に修正された。証明書の自動署名を有効にしていると認証なしでも狙える。悪用の報告はまだない。
SMBCコンシューマーファイナンスは2026年11月5日、カードローン等の保証業務システムへの不正アクセスで、最大320,118名の氏名・住所・運転免許証番号・年収・保証額などが外部送信されたと公表した。11月2日に検知して遮断し、保証システムは一時停止中。本人確認書類の画像は含まれない。
飲食店向けユニフォーム通販「ユニコレ」を運営するティーエッチエスは2026年11月5日、10月18日にサイトのプログラムの不備を突いた不正アクセスで、会員最大19,468名の氏名・メールアドレス・住所・勤務先名などが漏えいしたと公表した。パスワードとクレジットカード情報は漏えいしていない。10月22日に遮断し、11月5日にサイトを再開した。
ヤクルト本社は2026年11月4日の第3報で、10月26日に確認したホームページへの不正アクセスにより漏えいした個人情報が計39,505件だったと公表した。問い合わせフォーム利用者31,781件、給食サイト「たのしい給食」会員5,698件（暗号化されたパスワードを含む）などで、化粧品キャンペーン応募者354件も新たに判明した。原因は公表されていない。
Zyxel GS1900 シリーズの Web 管理画面（CGI）に、認証なしで OS コマンドを実行できる境界外書き込み CVE-2026-107441 があり、6月に CVE-2026-7273 の修正を入れた機器でも攻撃が通っていた。GreyNoise は8月から48か国の996台が侵害されたと報告しており、Zyxel は10月22日に 2.90(…3)C0 で修正した。
11月1日、BTCPay Server 2.4.1（2026年7月公開）以前を動かすサーバーで、ホットウォレットの BTC と LTC が抜かれた。攻撃者は8月の 2.4.2 で直した脆弱性を別の方法で悪用しており、BTCPay は該当サーバーの利用者に、資金を移したうえで新しいシードの新しいサーバーへ移るよう求めている。
配送マッチングのCBcloudは2026年11月1日、法人向け「ピックゴー」で不具合を悪用した不正アクセスを確認した。7NOW・出前館に加え、11月5日に日本郵便が委託荷物の顧客氏名1,672件（姓名）と2,091件（姓のみ）の漏えいを公表。住所・電話番号は含まれない。決済情報やログインパスワードは対象外。
Linux サーバー向けセキュリティ製品 cPGuard の更新配信基盤（CDN）に11月2日、盗まれた認証情報で侵入され、5.88.12〜5.88.19 の更新にバックドアと情報収集のスクリプトが混入した。/etc/shadow、root の my.cnf・シェル履歴・SSH 関連ファイルが集められ、OPSSHIELD は少なくとも32台分のデータが攻撃者に回収されたと推定している。
デニーズは2026年11月3日、旧アプリから新アプリへの移行処理を突いて第三者が認証情報を不正に作り、一部アカウントにアクセスできる状態だったと公表した。会員コード・メールアドレス・生年月日などが取得された可能性があり、取得の有無と人数は調査中。氏名・住所・電話番号・パスワード・カード情報は保持していないとしている。11月9日の第二報で、不正アクセスが確認された利用者は5,590名、うち個人情報が漏えいしたのは3,298名と確定した。
Linux 4.4 以降の IPv4 TCP で、接続要求に付いた IP オプションが解放後も読まれる use-after-free が見つかり、認証なしの遠隔コード実行につながるおそれがある（CVSS 9.8）。Red Hat は11月1日に RHEL 8〜10 の修正を出したが、Ubuntu は検証中の -proposed にとどまる。悪用は報告されていない。
セガ フェイブは2026年11月2日、アーケード向けネットワーク「ALL.Net」とカード「Aime」に関係するサーバーに不正アクセスがあったと公表し、11月1日15時から関連サービスを止めている。初期調査では顧客・取引先情報の流出は確認されておらず、決済情報はこのサーバーにないとしている。11月8日9時時点で、バンダイナムコ製品の対象タイトルは試験的に稼働を再開したが、セガ製品は再開の目処が立っていない。11月12日9時時点でも再開の目処は立たず、次回報告は11月17日9時頃の予定。
貿易業務プラットフォーム「Shippio Platform」を運営するShippioは、2026年11月1〜2日に社内業務ツールに保存されていた認証情報を使った不正アクセスを受け、全顧客の会社名・住所などや書類約1,300件のダウンロードなどを確認したと公表した。11月2日からサービスを停止し、11月5日に再開。パスワードは外部認証サービス管理で取得されていない。
サントリーホールディングスとサントリービバレッジ＆フードは2026年11月2日、業務で使う外部クラウドサービスに不正アクセスがあり、ファイルがダウンロードされたと公表した。グループ・パートナー企業の従業員約9万人の氏名・メールアドレスや、新卒採用の応募者7,173人分などの個人情報が含まれていた。決済情報は含まれず、不正利用は確認されていない。
ウィルズは2026年11月2日、ポイントサービス「ネットマイル」のシステム環境に第三者の不正アクセスがあり、退会者を含む最大約549万人の氏名・メールアドレス・特典交換に関する情報が漏えいした可能性があると公表した。「ネットマイル」「すぐたま」のサイトを停止している。公開や悪用は確認されていない。
GMOペイメントゲートウェイは2026年11月2日、ライフカードに提供するイシュイングサポートサービスの個別機能で10月30日に不正なユーザーによる行為があり、Vプリカ利用者69アカウントの情報が窃取された可能性があると発表した。うち3件はVプリカ番号・専用セキュリティコード・有効期限・氏名がそろっていた。
アイスタイルは2026年11月2日、化粧品口コミサイト「@cosme」への不正アクセスで、「@cosme共通ID」の会員約300万人分の氏名・住所・電話番号・メールアドレス・生年月日・肌質・髪質などが漏えいしたと発表した。漏えいの確認は10月28日。パスワードとカード情報は含まれていないとしている。
AIエージェント開発ツールLangflowの1.0.0〜1.12.8に、認証回避（CVE-2026-93680）と認証なしのコード実行（CVE-2026-110186）があり、いずれもIBMの評価でCVSS 9.8。修正は1.13.0のみで回避策はない。認証回避を使ってMCPのツール一覧を取得するMetasploitモジュールが公開されている。
Kaspersky は、Lazarus が遅くとも2025年7月から韓国のソフトウェア・建設・通信機器の企業を狙った「Operation FlashHole」を報告した。韓国の金融サイトで導入を求められる INISAFE CrossWeb EX のプロセスから攻撃が始まり、GitHub の非公開リポジトリを C2 に使うローダーや、耐量子暗号（ML-KEM-1024）を使う LPEClient などがメモリ上で動いていた。
ノジマは2026年11月2日、ECサイト「ノジマオンライン」の会員管理システムへの不正アクセスで、同サイトと中古スマホ買取サイトの会員情報約700万件が漏えいしたと発表した。氏名・住所・生年月日・電話番号・メールアドレスに加え、ログインIDと暗号化されたパスワードを含む。カード情報は保持していない。2サイトは休止中。
プレステージ・インターナショナルは2026年11月2日、グループ会社PCSが受託するロードサービス等の受付・手配システムが不正アクセスを受け、利用者の氏名・住所・車両情報・事故故障の受付情報・一部の口座情報など最大約550万件が持ち出されたと発表した。11月6日の第2報で、受付記録の一部に残っていたクレジットカード番号3件の持ち出しも確認した。10月29日に検知し認証情報を無効化したが、不正アクセスが続いたため30日にシステムを停止した。11月9日には三井住友海上が約22.8万件の漏えいを公表し、AIG損保も委託元として公表した。11月12日にはJA共済連が、自動車共済のレッカー・ロードサービス利用者の情報が最大約285万人分（延べ・暫定値）漏えいしたと公表した。
Siemensが8月に修正したSIMATIC IoT2050 Advancedの脆弱性（CVE-2026-58115、CVSS 10.0、V4.3.4.1未満でNode-REDを入れた機器が対象）について、VulnCheckは10月30日以降、認証なしでNode-REDのフローを送り込みLinux用ボットの導入やWebシェルの設置を図る攻撃を観測したと11月2日に公表した。CISAのKEVには未登録。
Vega は、VMware 環境の棚卸しツール RVTools を検索した管理者を Google 広告から偽サイトに誘導し、本物の RVTools と一緒に Python 製の常駐プログラム DeviceSync を入れる改ざん版 MSI が配られていたと報告した。C2 には Cloudflare Workers が使われ、Vega はランサムウェアと関係が深い UNC2465 との関連を中程度の確度で指摘している。
テレビ東京グループは2026年11月2日、テレビ東京ダイレクトが運営する通販サイト「テレ東マート」で第三者による不正アクセスを確認し、同日午前3時53分にサイトを緊急停止したと発表した。個人情報とカード情報の漏えいは現時点で確認されておらず、侵入経路と影響範囲を調査中。電話注文は受け付けている。
Google の脅威インテリジェンスグループ（GTIG）は、中国の Android 機器メーカー Videostrong がファームウェアに組み込んだバックドア x.cpe により130万台超のセットトップボックスがボットネット化していたとして、警察庁などと C2 を停止した。端末は住宅用プロキシ、広告詐欺、追加のマルウェアの配布に使われ、アフィリエイトの C2 も止めたことで、XCPE 以外の経路で感染した少なくとも1,000万台への接続も断てると評価している。
Parameter は10月28日、細工した ChatGPT の公開共有リンクを開いた人のログイン中のセッションで、攻撃者の JavaScript を chatgpt.com として動かせた欠陥を公表した。グラフ表示が読み込む数式入力部品 MathLive が送り主を確かめずにメッセージを受け付け、HTML プレビューの隔離を越えていた。私的な会話の一覧と中身を読み出せることを確認しており、OpenAI は10月26日に修正し P1 と評価した。悪用は確認されていない。
GMOグローバルサインは2026年10月30日、ID管理・SSOサービス「GMOトラスト・ログイン」でロゴ配信用の公開ストレージに一括操作の一時ファイルなどを置いていたため、2,492社・45,030人分の氏名・メールアドレス・社員番号・連携アプリ名などが第三者に取得されたと公表した。2017年11月から2026年9月まで取得できる状態で、取得を記録で確認できたのは2021年6月以降。
Sophos CTU は、ランサムウェア Aur0ra を運営する GOLD OGRE が Cursor などのAIエージェントに VPN の認証情報と目標だけを渡し、AD の調査、Kerberoasting、NTLM リレー、横移動をほぼ自動で進めさせていたと報告した。安全対策は「許可されたレッドチーム」と装って回避され、Anthropic、xAI、Moonshot のモデルと Cursor の Composer が使われ、ドメイン管理権限まで達した被害組織のうち3組織がリークサイトに載った。
iDAは2026年10月30日、求人サイト「MyBRANDS」で委託先が使うクラウドの管理用アクセスキーが10月21〜22日に不正利用され、複製したデータベースから外部へデータが送られた記録があったと公表した。中身を確認できないため、求職者と企業担当者の最大約13万5,000アカウント分の氏名・連絡先・職歴・変換済みパスワードなどすべてを対象としている。暗号化していた項目の鍵も取得されたおそれがある。
10月30日夜（米東部時間）から31日にかけて、レジストラ Name.com に登録された Flap、Kintsu、Pickle Finance、Origami など少なくとも12のDeFiサイトの向き先が書き換えられ、ウォレットの資金を抜き取る Step Drainer のページが表示された。Name.com は15ドメインを復旧したとしており、The Block は EVM チェーン上で約13万8,000ドルの被害を追跡した。侵入経路は公表されていない。
日本交通は2026年10月30日、7月11日の社内システムへの不正アクセス（マルウェア感染）について第6報を出し、乗務員・職員、採用応募者、従業員の家族、事故の相手方など6区分・合計約29万人分の個人情報が漏えいした可能性があると公表した。一部にマイナンバーや健康診断結果、事故時のけがの状況を含む。乗客の配車・乗車情報は対象外。
NTTスマイルエナジーは2026年10月30日、太陽光発電遠隔監視「エコめがね」のWebサーバーへの不正アクセスで全サーバー通信を遮断し、顧客情報漏えいの可能性を公表した。11月6日の2報で、関連の『スマイルeポイント』で管理番号・交換URL等が読み取られ約1.4万件（800万ポイント）が不正交換されたと判明。個人情報の外部漏えいは現時点で未確認。発電は続くがアラートメールは止まっている。
スマートニュースは2026年11月1日、10月31日から11月1日にかけて一部システムへの不正アクセスとポイント・特典システムの不正操作を公表した。11月6日のお知らせで、媒体社担当1,582件・広告取引先207件のメールアドレスと、ユーザー内部ID 1,033件が漏えいした可能性があると追加公表。パスワードやカード情報は対象外。ポイント交換は停止継続。
旅行会社クラブツーリズムは2026年10月31日、インターネット予約システムへの不正アクセスで、ネット会員約432万人分の氏名・住所・生年月日・国籍・緊急連絡先などが流出した可能性があると公表した。パスワード、旅券情報、カード情報、口座番号は含まれないとしている。11月7日の第2信で、対策と安全性の確認が終わったとして、一部のページを除きホームページを再開した。
ドトールコーヒーは2026年10月26日、10月20日に確認した不正アクセスで都内4店舗の従業員・退職者951人分の情報が閲覧・取得された可能性があると公表した。11月6日の更新版で、従業員番号・性別・国籍・雇用条件・就労情報・社会保険状況・保護者情報・銀行口座情報（一部）が追加項目として漏えいの可能性があると示した。顧客情報への不正アクセスは確認されていない（別件の通販サイト事案は新規記事の対象）。
Drupalは2026年10月28日（米国時間）、EC機能を提供するCommerce Coreモジュールで一部のルートとエンティティのフィールドの保護が不十分なアクセス制御の欠陥（CVE-2026-118539、Drupalの評価で25点中21点の「Highly critical」）を修正し、悪用が確認されているとした。影響は8.x-2.41未満と3.0.0〜3.3.13未満で、注文の不整合の確認も求めている。
予約サービスJapanticketは2026年10月30日、利用していた外部の分析ツールが不正アクセスを受け、最大約26.4万件の予約者情報（氏名、メール、電話番号、予約内容など）が漏えいしたと公表した。連携サイト経由の予約も含まれ、山梨県は富士山吉田ルートの2024年度予約データが含まれるか確認している。
SOCRadar は10月28日、ランサムウェア n0n の運営者がインターネットから読める状態で置いていた作業サーバー（1,719ファイル）を分析したと公表した。14か国23組織への侵入や試行が記録されていたが、入口はすべて FortiGate SSL-VPN への認証情報の総当たり、漏れた AWS キー、弱い RDP のパスワードなどの認証情報で、脆弱性は使われていなかった。攻撃用スクリプトは AI コーディングエージェント OpenCode で書かれ、AI の利用料は10月22日までに7,216ドルを超えていた。
開発者向けクラウド基盤の Northflank は10月30日（UTC）、Wiz の警告を受けて侵害を公表し、顧客の環境変数はすべて復号されたものとして秘密情報を入れ替えるよう求めた。複数の顧客が AI の API キーの不正利用を報告している。侵入経路と影響範囲は未公表。Wiz は10月に同様の事案が AI 開発者向け基盤で少なくとも9件あったとまとめている。
NTTデータは2026年10月31日、デジタル特典付き社債の特典を支える「STdirectServices」の委託先SaaSが不正アクセスを受け、個人情報が流出した可能性があるとして同サービスを停止した。楽天証券（延べ362件）、近鉄GHD（2,678人）、MUFGモルガン・スタンレー証券（95人）などが顧客への影響を公表した。11月2日の第2報で、委託先はSecuritize Japanで、認証機能の脆弱性を悪用して管理者権限が奪われ、情報が持ち出されたことがわかった。
佐賀大学は2026年10月30日、9月24日に事務系NASで確認したランサムウェア被害について、学生・教職員など約8万人分の氏名・住所・パスワードなどと、附属病院の患者の傷病名などの要配慮個人情報が流出した可能性を否定できないと公表した。患者の人数は調査中。
WordPressは2026年10月28日、コア更新の作業中に認証なしでコードを実行されうる競合状態の欠陥など、多数の問題を直した7.1.4を公開した（CVE未採番、Wordfenceの評価でCVSS 8.1）。影響は4.7〜7.1.3で、Wordfenceは公開後21時間で一時展開先のインストーラーを狙う1万8,500件超の要求を観測したが、侵害の成功は報告していない。
10月29日（UTC）、Binance のウォレットから10のブロックチェーンで約63.6億ドル相当が約20分で引き出された。Binance は DevOps エンジニアのノートPC侵害から出金サービスのコンテナに入られたとみており、Ethereum では事前署名した EIP-7702 の委任50件でホットウォレットが乗っ取られた。TRM Labs と Chainalysis は北朝鮮の TraderTraitor によるものと評価し、約27億ドルが凍結された。
Ciscoは2026年10月28日（米国時間）、ASA・FTDのリモートアクセスSSL VPNで、トンネルグループに二次認証を設定していると認証なしの細工した接続要求で装置が再起動する欠陥（CVE-2026-76418、CVSS 3.1で8.6）を修正した。10月に悪用を把握しており、CISAは10月29日にKEVに追加、対応期限は11月1日。
10月29日、Cursor の VS Code 拡張マーケットプレイスで Anthropic.claude-code の改ざん版 2.1.312・2.1.313（Windows・macOS）が約11時間配布された。端末情報を送り、authorized_keys に攻撃者の SSH 鍵を足し、逆向き SSH トンネルを常駐させようとする。Cursor によると最大約5,000人が入れた可能性があり、どう公開されたかはまだ説明されていない。
DHCは2026年10月30日、オンラインショップへの不正アクセスで5,096アカウントの会員情報が書き換えられたと公表した。書き換えられたお届け先は最大5,520件で、氏名・住所・電話番号・購入履歴・カード番号の下4桁が閲覧された可能性がある。不審な注文27件と不正な新規登録71件も見つかった。
Ivantiは2026年10月29日、10月上旬から悪用されていた連鎖のうち未修正だった権限昇格（CVE-2026-111357）と、既知の場所へのファイル書き込み（CVE-2026-118527）を22.8R2.6と25.1.1.3で修正した。CISAは10月30日に2件をKEVに追加し、CVE-2026-111357の対応期限を11月2日とした。
松屋フーズホールディングスは2026年10月30日、松屋公式アプリ（松弁ネット・モバイルオーダー・松弁デリバリー）の管理システムが不正アクセスを受け、10月28日に情報漏えいが判明したと公表した。配達・注文の利用者2,377,127件（氏名・届け先住所・電話番号など）と、アプリ会員2,000件（最大3,000件、生年月日・メールアドレス・暗号化されたパスワードなど）が漏えいした。
10月29日（UTC）、Polymarket が読み込んでいた DebugBear の表示速度計測スクリプトが、Polymarket 専用の資金抜き取りコードに差し替えられた。ログイン中の利用者のセッションと Polymarket 自身の取引クライアント・中継サーバーを使って資金とポジションを移し、Polymarket は合計390万ドルを返金するとしている。DebugBear 側の侵害の原因は公表されていない。
良品計画は2026年10月30日、無印良品の公式アプリ「MUJIアプリ」への外部からの不正アクセスを検知し、退会者を含む最大約2,726万件のメールアドレス・生年月日・性別が流出した可能性があると公表した。氏名・住所・電話番号・カード情報は含まれず、侵入経路や検知日は示していない。11月4日の第二報で、対象に無印良品ネットストア会員も含まれ、一部は氏名・住所・電話番号も対象、2021年7月以前に入会したMUJI Cardのカード番号全桁など約109万件にもアクセスされた可能性があるとわかった。11月9日の第四報では、ネットストアへのリスト型攻撃による不正ログインの可能性と代引き受取先の情報への不正アクセスが判明し、11月6日から停止中のネットストアの再開を延期した。11月12日の社長会見では、原因を「システムの一部の脆弱性」と認め、運用変更後も破棄すべきMUJI Cardの番号を残していたことを謝罪した。
映像クリエイター向けサービスのVookは2026年10月30日、社内業務で使っていたデータ分析ツールの脆弱性を突かれ、ツール経由でデータベースに不正アクセスされたと公表した。会員やイベント申込者、取引先担当者などの氏名・連絡先・職歴の一部などが取得された可能性がある。ツールの名前は明かしていない。11月12日の第二報で、退会済みの「Vook求人」応募者や、自由記述に含まれた健康状態の記述なども対象とわかった。最初の不正ログインの検出は8月9日。
ワールドは2026年10月30日、リユース店「RAGTAG」を運営する子会社ティンパンアレイの業務サーバーが10月17日から外部の不正アクセスを受け、延べ約120万件の会員情報（氏名・住所・電話番号・生年月日・性別・メールアドレス）が流出したと開示した。検知は10月28日で、侵入から11日後だった。
モバイルオーダー基盤「PICKS」を提供するDIRIGIOで2026年10月27日にシステムAPIへの不正アクセスが検知され、全サービスが緊急停止した。利用ブランドの発表では、サーティワンで最大8174名（注文9799件）、SUBWAYで7名、DEAN & DELUCAで3名の氏名・メールアドレスなどが漏えい、または漏えいの可能性があり、カード情報は含まれない。
ドン・キホーテ、長崎屋、橘百貨店、UDリテールは2026年10月28日、時計修理の委託先コックス（東京都台東区）のサーバーが9月15日にランサムウェアで暗号化され、2025年9月以降に時計修理を依頼した顧客の氏名・住所（一部）・電話番号（一部）が漏えいした可能性があると公表した。人数は示しておらず、漏えいの事実は確認されていない。
経済産業省の電力・ガス取引監視等委員会は2026年10月28日、小売電気事業者やガス小売事業者が取引報を提出するウェブサイト「デントリネット」に10月27日未明に不正アクセスがあったと公表し、運用を停止した。情報流出の有無は確認中で、復旧までは電子メールで報告を受け付ける。
Cisco Talos が、2月に修正された CVE-2026-20127（CVSS 10.0、認証回避）を悪用して Catalyst SD-WAN の Controller と Validator に置かれたマルウェア「KeyDrift」を公表した。正規の vdaemon プロセスに注入され、復号後の制御メッセージから拠点間通信の AES-256 鍵とみられる32バイトを抜き出して RSA で暗号化して保存し、UDP で送り出せる。攻撃者 UAT-11473 は宇宙・衛星、防衛・航空宇宙、政策研究を狙い、基盤は Volt Typhoon の中継網 Silent Train と大きく重なる。
MICINは2026年10月27日、オンライン診療サービス「クロンオンライン診療」で10月23日にリスト型攻撃とみられる不正ログインがあり、5医療機関6アカウントと患者14アカウントが使われ、3医療機関の患者73名分の氏名・住所・カルテ番号・受診状況・医師のメモなどが閲覧されたと公表した。サーバーやデータベースへの侵入の形跡はないとしている。
資さんうどんを運営する資さんは2026年10月27日、サーバー管理を委託するカホエンタープライズの設定不備で、2021年10月〜2026年10月に在籍した従業員・退職者の氏名・生年月日・賃金履歴・勤怠実績などが外部から閲覧可能だった可能性があると公表した。10月29日の第2報では、格納領域には別途認証が必要で、実際の漏えいや改ざんの痕跡はないとした。
Check Point Research が、「GPT-5.6 Sol」「GPT-6 Astra」「Claude Opus」のデスクトップ版を装う GitHub のリポジトリと GitHub Pages から配られるマルウェアを報告した。ZIP には OpenAI・Anthropic の正規の署名付き Setup.exe と偽の winmm.dll が入っており、DLLサイドローディングで動く。指示は Telegram のチャンネル画像から作るドメインの DNS TXT を Google の DNS over HTTPS で引き、最終的に Tor 経由で XMRig を動かしていた。
Alpine Linux の GitLab に10月20〜21日、新規登録アカウントが細工した CI 設定を送り CVE-2026-97229（CVSS 10.0）の悪用を試みた。ワーカーが8回落ち、うち4回は途中まで進んだ。22日に GitLab 19.3.6 へ上げたが、修正は GitLab 同梱の Ruby へのパッチだったため、標準 Ruby で作った自前イメージには入っていなかった。コード実行の証拠はないが否定もできず、全パスワードを初期化して作り直した。パッケージとリリースの改ざんはないとしている。
メール配信「アララ メッセージ」への不正アクセス。11月6日の第3報で、別クラウド環境Bからメールアドレス324万9492件の持ち出しが追加判明し、重複除外で81,329,467件（約8100万件）と更新。対象企業は最大約380社（精査中）。サービスは10月31日から全停止・再開未定。
ベネフィット・ワンは2026年10月28日、クレディセゾン会員向けサービス「トク買」の業務委託先フォレステックが運用するシステムに10月14〜20日に断続的な不正アクセスがあり、会員2万9465人の氏名・生年月日・メールアドレスなどが外部にダウンロードされたと公表した。決済システムとの連携に使う認証関連情報の一部も漏えいしたおそれがあり、会費決済の不正処理が可能だったが、10月26日の変更で塞いだ。カード情報の漏えいはない。11月9日の第二報で、再委託先のクラウドサービスから「選べるゴールド優待」の利用者198,660人分（うち氏名などを含むのは2,622人）が漏えいしたことも判明した。
花キューピットは2026年10月28日、「インターネット花キューピット」「ビジネス花キューピット」の管理システムに10月14〜15日に不正アクセスがあり、公式ECサイトでメールアドレスを登録した会員423万8242件のユーザーID、ハッシュ化パスワード、PC用・携帯用メールアドレスが漏えいしたと公表した。氏名・住所・電話番号・カード情報・お届け先は含まれない。
日本航空と日本トランスオーシャン航空は2026年10月28日、旅客サービスシステムの委託先Amadeusのシステムへの不正アクセスで、2023年8月10日〜2026年9月23日の予約記録の一部が外部から参照された形跡があると公表した。対象は約9万2000名で、うち約2000名はメールアドレス・電話番号・パスポート番号・国籍・マイレージ番号なども含む。カード番号とパスワードは含まれない。
CISAは2026年10月28日、Linuxカーネルの権限昇格の欠陥「Fragnesia」（CVE-2026-46300、CVSS 3.1で7.8）をKEVに追加した。Dreamによると、PHP2Shell（CVE-2026-109618/109619）と組み合わせた攻撃で米日台韓のファイアウォール25台がroot権限を取られた。修正は5月に出ており、KEVの対応期限は10月31日。
ShinyHunters が5月から悪用している PeopleTools 8.61／8.62 の CVE-2026-35273（CVSS 9.8、認証なしRCE）について、報告者の ZDI が中身を公開した。PSIGW のSSRFで 127.0.0.1 から PSEMHUB を呼ぶと、既定で localhost を信頼する接続元チェックを通り、ログ書き込み機能でのWebシェル設置か、再起動時の XMLDecoder による逆シリアル化でコードが動く。9月の攻撃では /%50SEMHUB/ とURLエンコードしてWAFを回避していた。
ソニー生命は2026年10月28日、契約者専用サイト「お客さまWEBサービス」などのシステムが不正アクセスを受け、同社が保険代理店として扱ったメディケア生命の契約者・被保険者の情報約38.5万件（氏名・生年月日・住所・電話番号・証券番号・契約内容）が漏えいしたと公表した。10月27日に判明し、10月28日8時から同サービスやアプリなど6つのサービスを止めている。11月9日の第二報で、ソニー生命自身の保険契約約290万件と、代理店募集人・従業員の情報の漏えいも新たに確認した。
CISAは2026年10月28日、VMware ESXの記録不備の欠陥CVE-2026-41709（CVSS 2.7）をKEVに追加した。CrowdStrikeは同日、中国系とする攻撃者WARP PANDAが2026年初めまでゼロデイとして悪用したと報告した。修正は7月のVMSA-2026-0006で出ている。
Lumen Black Lotus Labs が3年間追跡した Volt Typhoon の中継網「Silent Train」を公表した。27種類超のSOHO・IoT・企業機器を必要なときだけ乗っ取って4〜6段のSSH中継を組み、使い終わると痕跡を消す。この網を通じて Versa Director、N-able N-central、Cisco Catalyst SD-WAN、VeloCloud Orchestrator のゼロデイ4件（ほかに Quest KACE の可能性）が悪用され、ハワイ・カリフォルニア・テキサスの通信・防衛・重要インフラが狙われた。
ベーシックは2026年10月27日、マーケティング基盤「ferret One」の内部管理機能の不備を突かれ、10月14日に第三者が不正なアカウントを作成していたと公表した。導入企業のログイン用メールアドレスが閲覧・取得された可能性があり、同社と顧客の計6アカウントで不正ログインを確認したため、2段階認証を必須化した。
ブラジルのECプラットフォーム Convertr が自前で運用する Plausible 分析サーバーのトラッカーにスキマーが追記され、10月24日から全加盟店の決済画面でカード番号・有効期限・CVV・名義・CPF（納税者番号）が 1x0.is に送られていた（Sansec）。侵入口は Plausible CE 3.0〜3.2.0 の未認証 RCE（CVE-2026-8467）とみられるが未確認で、Convertr は27日にスキマーを削除し Plausible を更新した。
ハードウェアウォレットの Keystone は、公式サイトで使う外部のデータ監視ツールの脆弱性から権限昇格され、Shopify の購入者記録（氏名・連絡先・住所・注文情報が残る25,964件）と、本物の端末かを確かめる WebAuth 用の鍵が盗まれたと公表した。鍵は製造時に書き込まれ書き換えられないため、古い鍵を持つ在庫18,835台を廃棄し、公式サイトの出荷を止めている。
SNSキャンペーンツール「OWNLY」を提供するスマートシェアは2026年10月27日、ファイルアップロード機能の不備を突かれ、モスバーガーのLINE・Xキャンペーン3件の参加者1万4034件分のSNSユーザー名・ID・エントリー日時・抽選状況などが閲覧・ダウンロードされたと公表した。氏名や住所、パスワードは収集しておらず、侵入経路は10月16日に塞いだ。
ソニーネットワークコミュニケーションズは2026年10月27日、So-netの会員データベースが10月19日に不正アクセスを受け、So-net会員214万1986件とplala（Sコース）会員44万3495件の氏名・電話番号・メールアドレス・生年月日などが漏えいしたと公表した。一部メールサービスの5万4401アドレスはメールパスワードも漏えいして初期化され、銀行口座情報16件も対象で、原因は調査中。
ECモール「ツクツク!!!」を運営するTSUKU TSUKUは2026年10月26日、システムの脆弱性を突かれて通販・ウェブチケットサイトのカード入力ページに不正なプログラムを埋め込まれ、2025年5月10日〜9月9日に新規登録されたカード情報1万9115件（セキュリティコードを含む）が漏えいした可能性が極めて高いと公表した。会員の個人情報36万2750件も漏えいの可能性を否定できないとしたが、外部送信の痕跡はない。
UPSIDERは2026年10月27日、経営幹部・事業責任者向けの会員制交流サービス「Breakthrough GRID」の会員サイトが同日に不正アクセスを受け、会員と退会者の氏名・メールアドレス・所属企業や部署、イベント情報、ディスカッションの議事録などが持ち出されたと公表した。報道では187社544人分で、法人カードなど他サービスへの影響はなく、会員サイトは全機能を停止している。11月12日の続報で、会員サイトは再開せずに閉鎖し、オフラインのイベントを11月19日に再開すると発表した。
バンダイナムコホールディングス、BANDAI SPIRITS、物流子会社のバンダイロジパルは2026年10月26日、ロジパルが管理する物流システムへの不正アクセス（10月21日発覚）を公表した。同社アカウントの不正利用による操作が確認され、BANDAI SPIRITSが配送を委託する「一番くじ ONLINE」の配送情報（氏名・住所・電話番号）に漏えいの可能性がある。件数は調査中で、カード情報は含まれない。ロジパルは安全が確認できるまで出荷システムを止めている。物流システムへの不正アクセスで「一番くじ ONLINE」の配送情報に漏えいの可能性、出荷システムを一時停止。
Wiz が「Gheist」と名付けた自動ツールは、盗まれた GitHub トークンで `ci-sync-` で始まるブランチを作り、`sync-check.yml` を置いて push だけでワークフローを動かす。シークレットを base32 に変えてログに出させるため GitHub のマスクが効かず、ログを API で回収したら数秒で実行履歴を消す。外への通信はない。9月15日以降、850超のアカウントから1万3500本超のブランチが作られた。公開リポジトリでは GitHub の承認待ちで止まったが、非公開リポジトリと GitHub Enterprise Server では実行が完了し、AWS のロール取得まで確認された。
ギフティグループは2026年10月26日、連結子会社ギフティが運用するシステムの一部が10月25日に脆弱性を悪用した不正アクセスを受け、そのシステムを経由してeギフトが新たに不正発行されたと発表した。損失は約5.5億円の見込みで、2026年12月期第4四半期に特別損失を計上する。利用者が持つeギフトの不正使用や資産の毀損、個人情報の漏えいは確認されていない。原因の経路は特定・遮断し、当該システムは停止して今後も再開しない方針。
家電量販店「ジョーシン」を運営するJoshinは2026年10月26日、10月16日に検知したネットワークへの不正アクセスについて第2報を出し、会員情報データベースサーバーの最大約600万件（氏名・住所・電話番号・会員番号）、「ジョーシンのサブスク」の最大約23万件（ログインIDと初期パスワード、手書きサインなど）、リフォーム写真アップロードシステムの最大約800件（免許証画像2件・マイナンバーカード1件・口座番号5件を含む）に漏えいの可能性があると発表した。件数は可能性のある最大値で、漏えいは確定していない。一部サービスの停止が続いている。11月6日の決算会見で社長が謝罪し、リフォーム写真の本人確認書類などは本来削除されるはずの外部サーバーの一時保存領域に残っていたと説明した。
Sansec によると、2025年7月から953の EC サイト（ほとんどが Magento）の CMS ブロックに、攻撃者のサーバーへ「次に何をするか」を問い合わせるローダーが埋め込まれた。10月6日登録の最新ドメイン deepveindrilling.com は83店舗に入り、うち60店舗は以前からの被害店舗だった。10月の版は受け取ったコードをブラウザーの localStorage に保存して毎回実行し、23日以降の版は指紋を送って自動ブラウザーを見分ける。最終的なコードはまだ取れていない。PolyShell（CVE-2026-48356）や SessionReaper（CVE-2025-54236）で入られた店舗が多いが、パッチ済みの店舗も不正な管理者アカウントで書き換えられた。Magento CMSブロックのローダー。953店舗に15か月で5つのドメインを渡り歩き、スキャナーには何も返さず、一度受け取った買い物客のブラウザーでは再実行され続ける。
楽天グループは2026年10月26日、「楽天トラベル」の海外ホテル予約サイトのうち子会社Rakuten Travel Xchangeが管理する一部ページ（9月10日に異常検知）と、多言語予約サイト（10月20日に検知）への不正アクセスを公表した。ログイン利用者最大約260万件の氏名・メール・電話番号、予約者最大約4万件の予約情報、そのうち最大約3.6万件のカードの発行者識別番号と下4桁・名義・有効期限などが対象となった。多言語サイトではログイン利用者最大約86万件と宿泊施設従業員最大約4万件のメールアドレスなども対象。いずれも改修済みで、二次被害は確認されていない。
東京都台東区は2026年10月26日、障害者支援アプリ「ささえ～る」の運営委託事業者である株式会社ミラボのシステムで、不正に管理者アカウントが作成され、会員登録情報がダウンロードされたと公表した。アカウント登録と権限管理の仕組みに設計段階で想定していなかった不備があり、本来付与されないはずの管理者権限が不正アカウントに付いた。流出が確認されたのは208人分で、メールアドレス208件、障害児者との関係195件、障害のカテゴリー158件。不正アカウントは削除され、システムは修正済みで、新規会員登録を一時停止している。台東区障害者支援アプリ「ささえ～る」。委託先ミラボのシステムで不正に管理者アカウントが作られ、208人のメールアドレスと障害のカテゴリーなどがダウンロードされた。
WebAssemblyランタイムWasmtimeの開発元Bytecode Allianceは2026年10月19日（UTC）、既定のコンパイラCraneliftの欠陥2件（CVE-2026-115889、CVE-2026-115893、いずれもCVSS 3.1で9.9）を修正した。攻撃者が用意したWasmモジュールをコンパイルさせるとサンドボックスを抜けられる。後者はARM64（aarch64）だけだが、2020年のARM64対応以来すべての版が対象。修正版は36.0.19・48.0.7・49.0.4・50.0.0。悪用の報告はない。
医療・介護向けシステムのワイズマンは2026年10月26日、医療・介護連携サービス「MeLL+professional」を運営するクラウド環境に10月24日、第三者による不正アクセスがあったと公表した。同日中に検知し、MeLL+professional、MeLL+community、MeLL+familyなど関連する8サービスを順次停止した。不正に使用された認証情報を無効化して侵入経路を遮断したとし、現時点で個人情報の漏えいは確認されていない。再開時期は未定。ワイズマン「MeLL+（メルタス）」。医療・介護連携サービスのクラウド環境に不正アクセス、不正に使われた認証情報を無効化し8サービスを停止中。
Forever Security は、顧客の端末の ~/Downloads に置かれた AGENTS.md が、OpenAI Codex に悪性 npm パッケージ function-color を入れさせようとしたのを検知したと公表した。Web ページは利用者の操作なしに Downloads へファイルを保存でき、そこでエージェントを起動すると指示ファイルとして読み込まれる。Codex では全体設定 ~/.codex/config.toml に MCP サーバーを書き込ませて9割超でコードを実行し、Claude Code では CLAUDE.md で API の宛先を書き換えさせて OAuth トークンを奪えた。ベンダーが直す種類の欠陥ではなく、運用で防ぐ必要がある。Downloads に置かれた AGENTS.md がコーディングエージェントを乗っ取る。Web が勝手に書けるフォルダーが「信頼された作業場所」になっていた。
競輪・オートレースの投票サービス「チャリロト」を運営するチャリ・ロトは2026年10月24日、10月21日9時30分頃から13時頃にかけて、システムの脆弱性を悪用した不正アクセスがあったと発表した。チャリカ会員373名の会員情報、銀行口座情報、カードの下4桁と有効期限、残高や入出金履歴、投票履歴が不正に取得された。パスワードとカード番号の全桁は対象外。脆弱性は修正済みで、アプリは10月23日に再開した。競輪・オートレース投票アプリの脆弱性を突かれ約3時間半の不正アクセス、チャリカ会員373名の住所・銀行口座・投票履歴などが取得された。
メール配信サービス「ワイメール」を運営するイグレックスは2026年10月24日未明、ポータルサイトのサーバーで攻撃を検知した。持ち出された「お客様環境のセットアップ用スクリプト」などの認証情報で一部の利用者の配信環境に侵入され、双葉町や南魚沼市、かたしな高原などのメルマガ登録者に、宛名入りのカード会社を装うフィッシングメールが送られた。同社は全配信環境の管理者ログイン情報を更新し、DKIM鍵の再作成とDMARCのreject化を進めている。送信件数と個人情報の漏えいの有無は調査中。ワイメール（イグレックス）。メール配信サービスのポータルサーバーから「顧客環境のセットアップ用スクリプト」が持ち出され、自治体・企業のメルマガ配信環境からカード会社を装うフィッシングメール。
サンケイリビング新聞社は2026年10月16日、運営するWebサイトへの第三者による不正アクセスを確認し、リビングWeb・シティリビングWeb・まちっと等の会員（退会者を含む）やアンケートシステムの利用者の氏名・連絡先などが漏えいした可能性があると第一報で公表した。件数は調査中。同社や地域のリビング新聞社に事業を委託していた広島県（延べ1,470人）、島根県（335件）、三重県（延べ156人）、登米市（39人）、国立市などが相次いで影響を発表している。「リビングWeb」などのサーバーに不正アクセス、会員・アンケート回答者の個人情報に漏えいの可能性、広島県・島根県・三重県など受託先の自治体事業にも広がる。11月9日の第二報で、漏えいの可能性がある個人情報は最大約172万件（重複を含む）と判明した。
Cyberdione Labs の Erica Windisch が、Tailscale 1.104.2 と headscale 0.29.5 の11件の問題を「Tailworm」として公表した。中心は Tailscale SSH の Unix ソケット転送で、root で動く tailscaled がパスの確認と接続を root のまま行うため、SSH を許可された一般セッションから docker.sock や systemd のソケットに root として届き、検証済みパスのすり替え（TOCTOU）で許可リストも回避できたとする。実験室での再現のみで実際の悪用は報告されておらず、10月26日時点で Tailscale のセキュリティ情報・CVE・修正版は出ていない。Tailworm（Tailscale SSH ほか11件）。認証を省いた「root のまま動くSSHサーバー」で、ソケット転送が root 専用の docker.sock と systemd に届いた、修正版はまだない。
東京海上日動の子会社で少額短期保険を扱うTokio Marine X少額短期保険は2026年10月23日、同社が利用する契約情報を管理するシステムで第三者による不正アクセスの可能性を確認し、関連する一部サービスを停止していると発表した。お客様ポータルが使えず、7商品の新規申込を止めている。報道によると検知は10月21日、停止は22日。個人情報の漏えいは確認されていない。保険金の請求、更新、カードでの保険料の引き落としは続いている。契約情報を管理するシステムに不正アクセスの可能性、お客様ポータルと7商品の新規申込を停止、ドコモの熱中症お見舞金保険も受付を前倒しで終了。
Googleの圧縮ライブラリBrotliのデコーダー（1.0.3〜1.2.0）に境界外書き込みの欠陥CVE-2026-111497が見つかり、10月21日に修正版1.2.1などが出た。不正なブロック切り替えを「入力が足りない」と扱ったため、ストリーミング展開で8バイトの内部バッファに入力を書き足し続ける。Brotliを組み込むNode.js・Bun・Envoy・Istio・PythonのBrotli／brotlicffiが影響を受け、ImpervaはNode.js 24.22.0でfetch()の応答とExpressの要求本文から任意コード実行を再現した。悪用は報告されていない。「壊れたデータ」を「続きを待つ」と取り違えた圧縮ライブラリが、Node.js・Bun・Envoy・Pythonの通信を同時にRCEの入口に変えた。
フィギュアなどを手がけるグッドスマイルカンパニーは2026年10月23日、ECサイト「グッドスマイルカンパニー公式ショップ」で、10月19日15時過ぎ頃から22日22時頃にかけて管理情報への複数回の不正アクセスによる閲覧があったと発表した。会員の氏名・住所・電話番号・メールアドレス、注文情報、カードのブランド・下4桁・有効期限が閲覧された可能性がある。原因は脆弱性による不正アクセスと認識しており、サイトは閉鎖中で再開時期は未定。件数は公表していない。グッドスマイルカンパニー公式ショップ。脆弱性を突いた不正アクセスで約3日半にわたり管理情報が閲覧され、会員の氏名・住所・注文履歴・カード下4桁と有効期限に流出の可能性、サイトは閉鎖。
グリーンモンスター（東証グロース 157A）は2026年10月23日、FXデモトレードアプリ「FXなび」で10月17日に第三者の不正アクセスを確認し、調査の過程で、2026年4月27日20時26分頃から30日14時26分頃にかけて別のIPアドレスの第三者がユーザー情報等を継続的に取得していたおそれが判明したと発表した（第一報）。対象は約619万件で、メールアドレス6万6003件、初回アンケートの回答480万9631件、ログイン用の認証情報や引き継ぎコードなど。原因は「本アプリのAPIの機能」で、APIを修正し、修正前の認証情報をすべて無効化した。10月の不正アクセスの調査で、半年前の4月に別のIPから約619万件のユーザー情報が継続取得されたおそれが判明、原因は「アプリのAPIの機能」。
HPEは2026年10月22日（米国時間）、無線LAN製品向けOS「AOS-8」「AOS-10」の72件の脆弱性を修正した（HPESBNW05162）。うち8件（CVE-2026-79844〜79851）はCVSS 3.1で10.0で、認証なしの遠隔コード実行や認証回避につながる。悪用やPoCの公表はまだない。無線LANコントローラーとアクセスポイントに、認証なしでRCEできるCVSS 10.0の欠陥が8件（全72件）。
ペイクラウドホールディングスは2026年10月23日、子会社バリューデザインのハウス電子マネー発行サービス「Value Card」のサーバーが不正アクセスを受け、ID番号・PIN番号・残高情報1,424,748件（発行済56万9224件、未発行85万5524件）が流出したと発表した。原因は一部環境のWebサーバーの脆弱性の悪用。同日、モスフードサービスは運用・保守の委託先であるバリューデザインのシステムからモスカード番号・PIN・残高113万3070件が流出したと公表し、該当カードのPINを強制的に変更した。氏名などの個人情報は含まれない。モスカード／バリューデザイン「Value Card」。ハウス電子マネーの発行基盤に不正アクセス、カード番号・PIN・残高の142万件が流出、うちモスカードは113万件でPINを強制変更。
パナソニック ホールディングス傘下のパナソニック オペレーショナルエクセレンスは2026年10月23日、子会社パナソニック デジタルと進める人事情報システム導入プロジェクトで、メンバーが社内で利用を禁止している外部の生成AIサービスに、従業員約7万5千人・元従業員約17万8千人の社員番号・住所・電話番号・メールアドレスと、家族約8万1千人の氏名・連絡先を含むデータをアップロードしたと発表した。外部からの攻撃ではなくルール違反で、AI学習機能は無効、データは削除済みで、事業者側の保持も10月25日以降なくなるとしている。パナソニック オペレーショナルエクセレンス。人事情報システム導入プロジェクトのメンバーが、社内で禁止の外部生成AIに従業員・元従業員・家族約33万4千人分の個人情報をアップロード。
Pythonの画像ライブラリPillowは2026年10月16日（UTC）に13.0.0を公開し、40件の脆弱性を修正した。細工したFlashPix（FPX）ファイルやMPO画像を開くだけでコード実行に至るもの（CVE-2026-112398、CVE-2026-96639）や、ファイル名経由のGhostscript引数注入（CVE-2026-112900）が含まれる。12.x系への修正の提供はなく、13.0.0はPython 3.11以上が必要。悪用の報告はない。画像を開くだけでコード実行に至る欠陥をまとめて修正、12.3.0以前は全面的に影響（CVSS 9.2〜9.8）。
海賊版ストリーミングアプリ Popcorn Time の派生版 Time4Popcorn の更新プログラムは、失効したドメインに暗号化なしのHTTPで問い合わせ、返ってきた実行ファイルを署名も確かめずにSYSTEM/root権限で実行していた（CVE-2026-30612）。オランダの Eye Security はドメインを登録して推定250万〜300万台のWindowsと25万〜35万台のMacからの接続を確認し、2025年11月〜2026年3月に更新プログラム自体を止める「更新」を200万回以上配った。10月22日のHack.luで詳細を公表した。Time4Popcorn の放置されたアップデーター。失効したドメインを登録すれば数百万台にSYSTEM/root権限でコードを配れた、研究者は「善意の更新」で200万回以上止めた。
アンドエスティHDは2026年10月23日、10月22日朝に複数のサーバーへ順にログイン試行・侵入・データの持ち出しが行われる不正アクセスがあり、顧客約250万件（氏名、生年月日、性別、住所、電話番号、メールアドレス、会員ID）、取引先約1万件、従業員情報が漏えいしたおそれがあると発表した。決済情報と利用者が設定したパスワードは含まれない。社内業務システムを止めたため、店舗・Webストアで会員ポイントが使えない。
SOCRadarの調査チームSTRUは、INC RansomwareとThe Gentlemenの両方にかかわるアフィリエイトの基盤7台を見つけたと公表した。外から読めたC2サーバーには、OpenCodeと市販のLLMで侵入を進めた133セッション・8,257件の対話、独自の攻撃フレームワーク「Phantom」、10月1日の一斉暗号化に向けた46本のINC暗号化ツールが残っていた。入口はFortiClient EMS・SimpleHelp・cPanelの既知の脆弱性で、被害を広げたのは使い回されたパスワードだった。INC・The Gentlemen系アフィリエイトの「AIが実行し、人が承認する」侵入。むき出しのC2から見えた8,257件のAI対話、46本の暗号化ツール、62組織。
ESETは、ウクライナの穀物物流企業への2025年の攻撃で、新しいGo製バックドア「MythicRatatoskr」が使われたと公表した。C2サーバーは、端末同士がエンドツーエンドで暗号化されたIPv6でつながる分散型のメッシュ網「Yggdrasil」の中にあり、国家系の攻撃者がこの網をこう使ったのは知る限り初めてだという。UAC-0099が7月にスピアフィッシングで入り、約2か月後にSandwormがグループポリシーでSDeleteを配ってデータを消した。C2をYggdrasilメッシュ網の中に隠したバックドア、UAC-0099の侵入をSandwormが引き継ぎウクライナの穀物物流企業でデータ消去。
日本ピザハットは2026年10月23日、国内向けオンライン注文サービスに関連する決済APIに10月19日に第三者が不正アクセスし、お客様情報を含むデータベースから一部の情報を取得したと発表した。漏えいが確認されたのはお客様ID、メールアドレス、電話番号、削除済みのお客様情報に関する記録、セッションログイントークン、取引記録。クレジットカード情報は含まれない。件数は公式発表にはなく、報道では最大約448万件とされている。
開発者向けPaaSのRailwayは10月22日（UTC）の予備報告で、攻撃者がビルド基盤で権限を昇格し、CI環境の認証情報を経て、暗号化して保存していた顧客の環境変数の一部を復号したと公表した。影響は最大で全ワークスペースの1.85%（約10万）。攻撃者はAI事業者のAPIキーを探しており、Railwayは「蒸留攻撃」が目的とみている。10月21日より前に登録した秘密情報はすべて入れ替えるよう求めている。Railway の環境変数流出。ビルド基盤の権限昇格からCIの認証情報へ、約10万ワークスペースの秘密情報が復号されたおそれ、狙いはAIのAPIキー。
佐川急便は2026年10月23日の第5報で、Webサイトの「お荷物問い合わせサービス（インターネット貨物システム）」への第三者による不正アクセスにより、流出した可能性がある個人情報が現時点で最大約5323万件（重複を含む）になると発表した。2026年6月21日〜9月30日の約100日分の送り状データ（依頼主・届け先の氏名、住所、電話番号）、運賃契約者情報、スマートクラブ会員情報が対象。同日、お荷物問い合わせサービスを再開したが、APIや集荷受付など8つのサービスは停止が続く。侵入経路は公表されていない。
トレジャー・ファクトリーは2026年10月23日、「出張買取」「トレファク引越」の申込受付などに使う案件管理システムが10月20日未明から朝にかけて脆弱性を悪用した不正アクセスを受け、顧客のメールアドレス74万6277件（うち11件は氏名・住所を含む）、取引先業者・従業員等の氏名とメールアドレス750件、端末に関する氏名・端末識別情報1000件を取得されたと発表した。原因はデータベースへのアクセスに関する脆弱性で、直近のPHPの脆弱性とは関係ないとしている。システムと申込フォームは10月28日をめどに再開する予定。
Kaspersky GReATは10月22日、中央アジア3か国の外交機関を狙った2026年初めの攻撃で、BlackLotusに似たUEFIブートキット「BlackX」が使われたと公表した（APT41と中程度の確度で関連づけ）。狙われた端末は更新済みだったが、Baton Drop（CVE-2022-21894）の悪用に使われる古いブートマネージャーの署名証明書「Windows Production PCA 2011」の失効は、管理者が手で有効にしない限り行われない。攻撃者はそこを突いて独自のMOKを登録し、カーネルドライバーで防御製品を無力化しようとした。APT41のUEFIブートキット「BlackX」。最新パッチを当てた端末でもSecure Bootを破れた、失効を「手動で有効にする」更新の隙間。
カプコンは2026年10月22日、オンライン会員サービス「CAPCOM ID」への第三者による不正アクセスで、全世界1177万4247件のメールアドレスとアカウント作成日時・最終ログイン日時・ログイン回数・最終ログイン時のクライアントIPが漏えいしたと発表した。うち43件は生年月日などのプロフィールも漏えいし、196件ではログインパスワードが不正に変更されていた。利用者が設定したパスワードの漏えいとクレジットカード情報の漏えいは確認されていない。侵入経路は公表されていない。全世界1177万4247件のメールアドレスとログイン履歴情報が漏えい、196件はパスワードを不正に変更されていた。
GitLabが10月21日、GitLab 7.0以降の自前運用CE/EEすべてに影響する認証なしRCE（CVE-2026-110264、CVSS 10.0）を修正した。公開プロジェクトに置いた.orgファイルの描画でRubyの正規表現エンジンOnigmoが範囲外書き込みを起こす。10月12日のCVE-2026-97229とは別の欠陥で、10月12日版のままでは直らない。悪用の報告はまだないが、クラッシュまで再現するPoCが10月22日に公開された。.orgファイルの表示だけで認証なしRCE、10月12日の修正済み環境もまだ対象（CVSS 10.0）。
決済プラットフォーム「KOMOJU」を運営するKOMOJUは2026年10月22日、10月13日夕方以降に非本番環境の脆弱性を悪用され、社内管理画面と一部のシステムに不正ログインされたと発表した。決済システムからメールアドレスを含む個人データ約4100件が漏洩し、一部加盟店のAPI認証情報も漏洩した。業務用CRMへの不正アクセスも確認し、範囲を調査中。クレジットカード情報を保管するシステムは分離されており、カード情報の漏洩や不正決済は確認されていない。認証情報の更新作業で、Shopify連携の一部決済手段やセブン-イレブン払いに障害が出た。
チケット販売サービスを運営するリンクステーションは、主催者向けの公演登録サービス「Gettii-Lite」のサーバーが2026年10月18日の午前0時頃から7時頃にかけて、プログラムの脆弱性を悪用されて不正アクセスを受け、購入者向けサイト「GETTIIS」の会員情報が流出したと発表した。会員ID 31万7971件、ハッシュ化されたパスワード31万1451件、氏名・電話番号・メールアドレス各約31万件、クレジットカード関連情報（先頭4桁・末尾4桁、名義、有効期限を暗号化したもの）2万9515件。脆弱性の詳細は公表されていない。GETTIIS（リンクステーション）。主催者向け公演登録サービス「Gettii-Lite」の脆弱性を突かれ、チケット購入サイトの会員情報31万7971件が7時間で流出。
2026年10月23日のJVN#82312317で、インプリムのプリザンター1.1.0.0〜1.5.9.0に、LDAP認証の特定構成でパスワードを確かめない欠陥（CVE-2026-113438）が公表された。有効なログインIDを知る第三者が、パスワードなしでその利用者としてログインできる。修正版は1.5.9.1。
ラクスの子会社ラクスライトクラウドのメール配信サービス「ブラストメール」で、外部の第三者がAPI用サーバー2台に侵入してコマンドを実行し、販売管理システムとサービスのデータベースからデータを持ち出した。全契約者の会社名・担当者名・連絡先・契約と支払いの履歴が持ち出され、一部の契約者では配信先リストの漏えいも確認された。サービスは10月21日0時30分から停止中で、再開は未定。新潟日報（最大約25万3000人）、名鉄観光サービス（約13万人）、JR四国（約3万件）、岡崎市（約2万6000件）など、利用する企業・自治体の公表が続いている。ブラストメール（ラクスライトクラウド）。API用サーバー2台に侵入され、全契約者の情報と一部の配信先リストが持ち出された、新潟日報25万人・名鉄観光13万人など利用組織の公表が相次ぐ。
Aristaは10月22日、自前運用版のVeloCloud Orchestrator（VCO）にSQLインジェクション（CVE-2026-114625、CVSS 9.9）があり、悪用されていると公表した。最も弱い既定の役割「Enterprise Read Only」のログインがあれば、内部専用の機能を使える「superuser operator」になりすませる。修正は5.2.3.18／6.1.3.10／6.4.2.12。7月・9月の緊急修正を当てた版もまだ対象。VeloCloud Orchestrator CVE-2026-114625。閲覧だけの利用者がSQLインジェクションで「superuser operator」に、SD-WAN管理サーバーで7月・9月に続く悪用。
イオンは2026年10月21日、グループ各社の一部のWebサイトで第三者による不正アクセスを検知したと公表した。報道によると、イオンリテールやイオンビッグ、マックスバリュ北陸などグループ13社の計42サイトが対象で、20日に見つかったシステムの不具合を調べて判明した。対象サイトは閲覧できない状態にしており、原因、時期、個人情報流出の有無は調査中。営業に関するシステムとECサイトには影響はないとしている。13社の計42のWebサイトで不正アクセスを検知、前日の「システムの不具合」の調査で判明し、対象サイトを閲覧できない状態に。
Webフィルタリング製品「i-FILTER」などで知られるデジタルアーツは2026年10月21日、10月9日にAIを使って行った総点検で、クラウドサービスの運用環境と社内環境への不正アクセスの痕跡を見つけたと公表した。痕跡には2025年7月頃にさかのぼるものがある。運用に使う認証情報が盗まれ、i-FILTER@Cloudなど6つのクラウドサービスの一部顧客の情報が閲覧された可能性があるとして、全利用者にパスワード変更を求めている。
AI APIの中継ライブラリ LiteLLM の 1.107.0 が10月21日、PyPI に約2時間、公式Dockerイメージに約2時間半、認証情報を盗むマルウェア入りで公開された。攻撃者は開発者3人のGitHub CLIのOAuthトークンを使い、ブランチ保護を外してリリース用ワークフローの取得元を書き換え、ハイフン1つ違いの偽リポジトリ「Berri-AI/litellm」からビルドさせた。LiteLLMは、トークンは社内のLiteLLMの稼働環境のログから盗まれたとみている。安全な版は 1.106.2。LiteLLM 1.107.0 のバックドア混入。ログに残った開発者のGitHubトークンで正規のリリース工程を乗っ取り、ハイフン1つ違いの偽リポジトリから「正しい来歴付き」で配った。
在宅ワーク求人サイト「ママワークス」は2026年10月20日、第三者による不正アクセスで会員の個人情報が漏えいした可能性があると公表した。会員名簿とされるデータがインターネット上にアップロードされていると警察から報告を受け、専門調査会社の調査で10月1日にシステム設定の脆弱性が原因と確認した。氏名、生年月日、住所、電話番号、メールアドレス、職務経歴、パスワードのハッシュ値などが対象。「会員名簿とされるデータがネット上にある」と警察から報告、調査でシステム設定の脆弱性からの不正アクセスが原因と判明、住所・職務経歴・パスワードのハッシュ値などが漏えいの可能性。
沖縄ツーリスト（OTS）は2026年10月21日、運営するサービスで顧客の個人情報が漏えいした可能性があると公表した。社外からの問い合わせを受けた初期調査で判明し、10月18日から該当サイトへの外部からのアクセスを遮断、20日16時30分からOTSレンタカー、OTS HOTEL、OTS ACTIVITIESなど個人情報を扱う5サービスの新規予約受付を止めている。対象の情報、範囲、原因は外部専門家と調査中。10月22日にはNHKが、沖縄のレンタカー事業などを行う会社から漏えいした可能性がある運転免許証の画像など（見出しでは4000件）のデータが闇サイトで販売されていると報じた。社外からの問い合わせで個人情報漏えいの可能性が判明、OTSレンタカー・ホテル・アクティビティなど5サービスの新規予約を停止。
GMOインターネットは2026年10月21日、Windowsのリモートデスクトップ環境を提供する「お名前.com デスクトップクラウド」で第三者による不正アクセスがあり、一部の顧客のサーバー環境に不正なプログラムが設置されていたと公表した。影響の可能性があるサーバーは2万6739件で、サーバー内に保管された情報が閲覧された可能性がある。同日4時から全プランのサーバーを順次停止し、再開時期は未定。10月22日にはOANDA証券が、このサービス上でMT4/MT5を使っていた顧客の口座ログイン情報が閲覧された可能性があるとしてパスワード変更を求め、当日受付分の出金を一時保留した。FX自動売買にも使われるWindowsのクラウド環境で、顧客サーバーに不正なプログラム、影響の可能性は2万6739台、全プランのサーバーを停止。11月2日の記者会見で、攻撃者は8月5日に顧客のVPSに侵入して管理者アカウントを盗み、8月17日に管理サーバーへ入り込んでいたことが明らかになった。
PHPは10月21日、PHP本体の欠陥2件（CVE-2026-109618「OOMによる破損」、CVE-2026-109619「古いグローバル状態」、いずれもCVSS 4.0で9.2）を修正した 8.5.12／8.4.27／8.3.36／8.2.35 を公開した。メモリ不足などで処理が途中で打ち切られると、要求ごとのメモリが解放された後もワーカーの大域変数がそこを指したまま残り、同じワーカーが処理する次のリクエストがそれを使ってしまう。Apache mod_php では、アプリのコードが動く前の multipart 解析だけで認証なしのRCEに届く。修正前から悪用の試みが観測され、各国機関は「直せないならサイトを止める」よう呼びかけた。PHP2Shell（CVE-2026-109618／109619）。メモリ不足で途中終了したリクエストの「後片付け漏れ」を次のリクエストが踏む、アプリより先に動くPHP本体の認証なしRCE。
不動産のアンビションDXホールディングスは10月20日、8月6日に確認したランサムウェア攻撃を含む不正アクセスの最終報を出した。攻撃者は同社のネットワーク機器を経由して侵入し、グループの一部のサーバー・端末から業務文書を持ち出したうえでランサムウェア攻撃を行ったと推定している。持ち出しが確認されたのは約14万ファイル、漏えいのおそれがある個人情報は約58万件。子会社の少額短期保険の保険金受取人の口座番号なども含まれる。
JVNは10月20日、アツミ電氣の防犯カメラ用デジタルビデオレコーダー「ADXシリーズ」に、ネットワーク越しに使える非公開の保守用サービスがあり、管理者のパスワードを知る者が任意のOSコマンドを実行したり、ファームウェアを書き換えたりできる問題（CVE-2026-97627、CVE-2026-100737）を公表した。7機種は修正ファームウェアVer.10.8.237で対応したが、販売終了から年数がたったADX1004/ADX1008/ADX2016には修正が提供されない。報告者は情報通信研究機構（NICT）。アツミ電氣 ADXシリーズDVR。非公開の保守用サービスで任意のOSコマンド実行とファームウェアの書き換えができた、古い3機種は修正なしでLANケーブルを抜くよう案内。
インドの認証局 eMudhra が2025年4月に作った中間CA証明書8枚（TLS用6枚・コード署名用2枚）は、P-384の秘密鍵がいずれも256未満の整数で、公開されている証明書から誰でも即座に秘密鍵を計算できた。10月17日に研究者が報告し、Chrome と Firefox は数時間で遮断した。一方、失効情報を見ない Go や各種CAバンドルは、鍵をコードに書き込むかルート証明書ごと外すしかなく、Mozilla は emSign ECC Root CA - G3 を緊急に信頼リストから外した。eMudhra 中間CA 8枚の秘密鍵漏洩。P-384の秘密鍵が「256未満の整数」だった、ブラウザは数時間で遮断、失効情報を見ないソフトはルートごと外すしかなかった。
岩井コスモ証券のインターネット取引システムを運用・保守するトレードワークスのシステムに10月14日、不正アクセスがあった。管理機能の設定不備が悪用され、顧客4,975名の氏名・メールアドレスなどが漏洩した。同じ日に売買管理システムへの攻撃もあり、7口座で顧客の意図しない売買注文が出され、うち5口座で約定した。取引は元に戻され、顧客の負担はないとしている。
国土交通省・経済産業省・環境省は10月20日、「住宅省エネ2024キャンペーン」の事務局を務める博報堂が運営する補助金申請のシステムで外部から不正操作があり、登録事業者16,950社の代表者や担当者など23,918名（速報値）の個人情報が漏洩した可能性があると発表した。補助金を使った消費者の情報や口座情報の漏洩は確認されていない。システムは全機能を停止している。国の補助金の申請を受けた事務局（博報堂）のシステムに「外部からの不正操作」、登録事業者2万3918名分が漏洩の可能性、全機能を停止。
NECは10月20日、システム開発・保守を任せる委託先が9月下旬にサイバー攻撃を受け、盗まれた正規アカウントの認証情報で、委託先の端末から顧客のシステム環境に不正アクセスされたと公表した。顧客のサーバ内のファイルが暗号化されてシステムが使えなくなったほか、NECが作り関係者で共有していたクラウドストレージのファイルも漏えいした。委託先名・顧客名・件数は公表していない。10月21日には大阪大学も、運用を委託するNECから卒業生・在学生・教職員計7万7851人分の個人情報が漏えいしたと発表した。開発・保守の委託先が攻撃され、盗まれた正規アカウントで顧客のサーバが暗号化、関係者で共有していたクラウドストレージからもファイルが流出。
OVHcloud のコマンドラインツール ovhcloud-cli で、10月19日に開発者のGitHubアカウントを使って公開済みの v0.11.0〜v0.15.0 のバイナリとchecksums.txtが差し替えられた。ソースコードとビルドの仕組みは無事で、差し替えはGitHubのリリース画面・APIから直接行われた。中身はクラウドの認証情報、SSH鍵、AIコーディングツールの履歴などを集めて送る窃取型マルウェア。OVHcloud は根本原因を「リリースの不変化（immutable releases）を有効にしていなかったこと」とし、鍵は2025年10月に開発者の私物MacBookで入れた拡張機能から盗まれたと説明した。OVHcloud CLI のリリース差し替え。1年前に拡張機能で盗まれた開発者の鍵で、公開済み5リリースのバイナリとチェックサムが93分間すり替わった。
バックアッププラグイン UpdraftPlus の開発元 TeamUpdraft のサイトが10月17〜18日に不正アクセスを受け、遠隔管理サービス UpdraftCentral（クラウド版）の接続鍵を含む顧客データベースが盗まれた。攻撃者はその鍵で正しく署名したコマンドを接続先のWordPressサイトに送り、99種類以上の名前のバックドアプラグインを入れた。プラグインの脆弱性ではないため、サイト側のファイアウォールや二要素認証は効かなかった。修正版は UpdraftPlus 1.26.13／2.26.13（1.26.12／2.26.12 は鍵を消せない不具合あり）。UpdraftCentral の接続鍵流出。開発元のサイトから盗まれた正規の署名鍵で、WordPressサイトに「正しく署名された」バックドア入りプラグインが送り込まれた。
「初音ミク」の開発元として知られるクリプトン・フューチャー・メディアは10月19日、音源販売サイト「SONICWIRE」とシリアル管理サービス「D2R」への不正アクセスで、会員（ニュースレター購読者を含む）最大約42万件の氏名・メールアドレス・ハッシュ化されたパスワードなどが閲覧・取得された可能性があると公表した。10月17日20時頃に可能性を確認し、侵害アカウントの無効化や社内ドメインのIP制限を行ったうえ、23時39分頃にサーバーを停止した。全会員のパスワードを無効化し、復旧後の再設定を求めている。検知後の状況把握にはAIモデル「Mythos」を活用したという。
ふるさと納税サイト「ふるさとチョイス」を運営するトラストバンクは10月19日、不正アクセスの疑いがある事象を検知し、関連サービスを一時停止して調査していると公表した。報道によると同日午前のサーバー点検で疑いを確認し、午後3時50分ごろからサービスを止めた。利用自治体は寄付サイトやアプリのほか自治体向けの「ふるさとチョイスCMS」やAPIを使っていると説明し、連携する他社のふるさと納税サイトも停止の対象に挙げた。JRE MALLふるさと納税では、ふるさとチョイスとデータ連携する自治体の返礼品に寄付できなくなっている。10月20日、同社は10月17日に会員情報への不正アクセスがあり、寄附者の個人情報4,454,097件（氏名、メールアドレス、住所、電話番号、ハッシュ化されたパスワード、寄附控除試算額）が外部に流出したと公表した。10月26日の第3報で、自治体・事業者向けの寄附管理システムを同日から順次再開すると発表した。Web版は11月6日、アプリ版は11月9日に寄附受付を再開し、チョイスPayは停止が続いている。
エイチ・ツー・オー リテイリングと阪急阪神百貨店は10月19日、「阪急百貨店・阪神百貨店予約サイト」を経由した顧客管理システムへの不正アクセスで、グループ共通の会員ID「H2O ID」のほぼ全会員にあたる約126万件の個人情報の一部（氏名・住所・電話番号・メールアドレス・生年月日など）が漏えいしたと公表した。不正アクセスは10月16日に確認し、17日には通販サイト「HANKYU HANSHIN E-STORES」と「Remo Order」でも確認して停止した。通販2サイトからの漏えいの有無は調査中で、ログインパスワードの漏えいは確認されていない。
ニフティは10月19日、社内で申込情報を登録するための管理用ツール「回線申込・受付管理システム」に外部から不正アクセスがあったと公表した。同日10時20分頃に確認して通信元を遮断した。2019年以降に同社Webサイト以外から「＠nifty光」「＠nifty MAX光」「＠nifty auひかりプラス」を申し込んだ顧客の、会員ID・氏名・性別・生年月日・住所・電話番号・メールアドレスが最大542,513件、漏えいした可能性がある。口座やクレジットカードの情報はこのシステムにない。光回線の「回線申込・受付管理システム」に不正アクセス、自社サイト以外から申し込んだ2019年以降の顧客、最大54万2513件に漏えいの可能性。
Plex Media Server に、インターネットから認証なしでプロセス権限のコード実行までつながる4件の欠陥（CVE-2026-96652／96654／96655／96656）があった。研究者 Zach Main が10月16日に技術詳細とPoCを公開し、翌日にはインターネットに出ている古いサーバーへ暗号通貨マイナーと住宅IP向けのプロキシウェアが送り込まれる悪用が観測された。修正は8月公開の 1.43.3.10861。インターネットから届く 1.43.3.10861 未満は乗っ取られたものとして扱う必要がある。認証なしのSSRFから管理者トークン、コーデックのdlopenへつなぎ、公開翌日にマイナーと住宅IP用プロキシが配られた。
WordPress向けSEOプラグイン Rank Math の有料版 PRO で、2026年10月15日20:02〜16日07:12（UTC）に公式サイトからダウンロード・更新された 3.0.123 にマルウェアが入っていた。版数は10月7日公開の正規版と同じで、版数では見分けられない。有効化したサイトは乗っ取られたものとして扱い、サイトを開くたびにバックドアを作り直す仕組みを先に止めてから掃除する必要がある。侵入経路と影響件数は公表されていない。Rank Math PRO 3.0.123 の配布物改ざん。公式サイトからの約11時間のダウンロードと更新に、自分を作り直すバックドアが入っていた。
Siemens Software Center は、検索パスを制限せずにDLLを読み込む欠陥（CVE-2026-110936）があり、攻撃者は正規の署名付きEXEの隣に悪意のあるDLLを置いてコードを実行させた。Siemensの配布路は破られておらず、改ざんされていない本物のプログラムがClickFixキャンペーン「Romulus」の運び屋に使われた。修正は 4.0.9.8。検知はファイルのハッシュではなく、起動元フォルダーと振る舞いを見る必要がある。
メール配信サービス「Cuenote」を提供するユミルリンク（東証グロース）は10月19日、「Cuenote FC」の一部サーバーが不正アクセスを受け、個人情報が外部に持ち出されたと公表した。10月16日未明に担当者が気づき、ログからはプログラムの脆弱性を突いてサポート・品質管理担当者の認証情報を取得し、不正プログラムでデータベースからデータを出力、さらにその認証情報で他のシステムへの認証を試みていたことがわかった。対象は「Cuenote FC 専用ASPプラン」の5システムで、メールアドレスを含む情報が延べ約900万件出力されたと試算している。利用企業の山陽新聞社は10月18日午後からメール配信を止めている。10月26日の第二報では、新たに45システムで不正プログラムを介したデータ参照やセッション情報を使った不正ログインを確認し、情報漏洩が起きたCuenote FCのシステムは49、件数は延べ51,628,280件（16システムは調査中）に増えた。同日、JR東海・JR西日本・JR九州が「エクスプレス予約」「スマートEX」の会員のメールアドレス等の漏えいを発表した。メール配信基盤の脆弱性からサポート担当者の認証情報を奪われ、第二報で漏洩は49システム・延べ約5163万件に拡大。
栃木県足利市は10月18日、市が運用する「足利市斎場予約システム」に第三者による不正アクセスがあったことが10月15日に委託先の調査で判明したと公表した。提供元のビジネステックは、データベースへの不正な照会と、システムのお知らせ欄への不正なデータ追加を確認したとしている。2022年12月以降の利用分約8,800件（故人の氏名・生年月日・住所・性別、申請者の氏名・住所・電話番号）と、登録葬祭事業者56社の情報に漏えいのおそれがある。システムは全面停止し、予約は電話受付に切り替えた。朝日新聞によると、同じ斎場予約システムを茨城・栃木・埼玉・群馬・新潟の計20の自治体と一部事務組合が使っており、ビジネステックは全システムを一時停止した。
研究者のQuentin Kaiser氏が、Broadcomの独自のWi-Fi実装に含まれるWPS（ボタンやPINで端末をつなぐ仕組み）の処理に、断片化されたメッセージを組み立て直すときのバッファオーバーフローがあると発表した。Wi-Fiのパスワードを知らず、WPSの登録も済ませていない相手が、電波の届く範囲から認証なしでルーター上のコードを実行できる。欠陥は少なくとも2010年のSDKからあり、2018年に不完全な修正が告知なしに出たが、BroadcomはCVEを割り当てていない。eCos系のチップでは事実上直らず、ベルギーでは推計150万台超が10月15日時点で未修正だった。Broadcom製Wi-FiのWPS処理に16年前からの欠陥。パスワードを知らない電波の届く相手がルーターのrootに、CVEもなく「直らない」機種も。
Drupalは2026年10月14日、コアのField UIモジュールにある致命的なリモートコード実行CVE-2026-108097（SA-CORE-2026-014）と、寄与モジュールEntity Listの同型欠陥CVE-2026-108099（SA-CONTRIB-2026-218）を修正した。コア単体では悪用できないが、寄与モジュールが経路を提供し、少なくとも1つは認証不要。修正版はコア10.6.19／11.3.19／11.4.10、Entity List 3.0.10。上げられない場合はfield_uiのアンインストールが緩和になる。PSAでは「公表後数時間〜数日で攻撃コードが出うる」として、10月14日のセキュリティ窓口前に先行パッチ適用を勧めていた。Drupal core Field UI の致命的RCE CVE-2026-108097。本体だけでは届かないが、寄与モジュール経由で認証なしの経路もあり、Entity Listにも同型。
ジャパンタイムズとニューズ・ツー・ユーホールディングスは10月16日、9月18日にグループのサーバーがランサムウェア攻撃を受けたことを確認し、10月15日に攻撃者が窃取したと主張するデータが外部のWebサイトで公開されたと公表した。対象は2022年8月まで使っていた管理部門用のファイルサーバーで、2001年〜2022年8月の人事関連情報と取引先の情報が含まれる可能性がある。電子版、購読者データベース、決済システムは別のインフラで運用している。2022年8月に使い終えた管理部門のファイルサーバーがランサムウェア被害、攻撃者が「盗んだ」とするデータを外部サイトで公開。
日本サッカー協会（JFA）は10月18日、公式アプリ「JFA Passport」に10月17日3時25分頃から19時頃まで第三者による不正アクセスがあったと公表した。アプリのサービス提供会社と経路の遮断などを行い、一部の機能を止めている。個人情報を含む利用者情報への影響は調査中で、当面はログアウト・再ログイン・再インストールを控えるよう求めている。JFA公式アプリ「JFA Passport」。10月17日未明から約15時間半の不正アクセスで一部機能を停止、個人情報への影響は調査中。
CalifのAndrew Griffiths氏が、OpenBSD 7.9でKARL・SMAP・SMEPが有効なまま、情報漏えいなしにローカルでrootを取る攻撃連鎖「Big Fish」を公開した。入口は約37年前のBSD由来で、共有メモリの添付数カウンタshm_nattchが符号付き16ビットのまま残っていたこと。オーバーフローと参照カウントのUAF、別の範囲外書き込みを組み合わせ、起動直後に場所が決まりやすい関数ポインタを書き換える。修正は7.9のerrata 018（信頼性）と026（セキュリティ）、7.8は054と062。CVEは付いておらず、悪用の報告もない。37年前から続く共有メモリ添付カウンタの整数オーバーフローとUAFで、KARL／SMAP／SMEP付きのままローカルroot。
リクルートは10月17日、中古車情報サイト「カーセンサーnet」の関連システムに外部からの不審なアクセスを検知し、同日17時頃から、Web版・アプリ版と中古車販売店向けの業務支援サービス「C-match」を含む関連サービスをすべて止めた。10月21日には、カーセンサーnetとC-MATCHへの不正アクセスで、問い合わせをした利用者の氏名・住所や販売店の担当者情報など最大3,709,551件が漏えいした可能性があると発表した。決済情報とログインパスワードは含まれない。原因の詳細は調査中。10月22日13時30分頃にはカーセンサーとC-MATCHの利用が再開したが、来店予約など一部の機能は止まったままで、完全な復旧の時期は未定。
複数のECモールの受注・在庫をまとめて管理する「WASABI SWITCH」で、10月14日の脆弱性を突いた侵入で利用店舗の注文情報などが流出し、購入者に実際の注文内容を書いた返金詐欺メールが届いた。16〜17日には流出した管理者パスワードで店舗の管理画面に入られ、注文データと店舗のメールアカウント情報が抜かれて、店舗の正規アドレスから不審メールが送られた。テンプレート機能のPHPが悪用されたことも判明し、提供元はPHPを使えなくし、全アカウントのパスワードを強制変更した。10月20日の第六報で、会社設定・モール設定・メールアカウント・外部連携の出力先の認証情報をデータベース上で暗号化する対応が同日5時頃に完了したと公表した。流出の範囲は調査中。EC一元管理サービスに4日で3つの経路から不正アクセス、注文情報の流出、盗まれた管理者パスワードでの再侵入、テンプレートのPHP機能の悪用。
MSP向けのMicrosoft 365バックアップサービス ConnectWise Cloud Backup（旧SkyKick）のアプリの認証情報が攻撃者の手に渡り、10月15日、そのアプリに同意していた顧客テナントへアプリとしてサインインされた。Huntressは162テナントで不正なサインインを確認し、のちにサインイン活動のあったテナントは約1,000、成功は300超とした。1つのテナントでは、別のConnectWiseアプリが自分をグローバル管理者にし、他のアプリに新しいシークレットを足していた。アプリとしてのサインインには利用者のMFAも条件付きアクセスもかからない。ConnectWiseは10月17日に7つのアプリを無効化してサービスを止めたが、テナント内に足された認証情報や権限は残るため、各テナントでの点検が必要になる。ConnectWise Cloud Backup（旧SkyKick）の認証情報悪用。バックアップ用アプリ1つの鍵で数百のMicrosoft 365テナントへ、MFAも条件付きアクセスも効かなかった。
ファンケルとアテニアは10月16日、両社のECサイトが10月3日から10日まで不正アクセスを受け、会員情報が外部に漏えいしたと公表した。対象はファンケル368,184人（393,785件）、アテニア417,312人（441,162件）。メールアドレス・氏名・住所・電話番号・生年月日・性別などに加え、一部の人が設定したサブメールアドレスと2次パスワードのハッシュも含む。メインのパスワードとクレジットカードなどの決済情報は対象外。原因となった機能は特定して停止したが、攻撃の詳細は開示していない。2社のECサイトに1週間の不正アクセス、会員計約78万5千人分の連絡先や「2次パスワード」のハッシュが流出、原因の機能は停止。
日本郵便は10月16日、9月25日に不正アクセスの可能性を公表していた「国際郵便物の調査請求Web受付サービス」について調査結果を公表した。同サービスのサーバーが不正アクセスを受け、登録された約600件の利用者情報が第三者に閲覧可能な状態にあったほか、同サービスのメールアカウントからスパムメールが送信されていた。報道によると送信は7月15日から9月25日までの約52万件。実際の閲覧や不正利用は確認されていない。日本郵便「国際郵便物の調査請求Web受付サービス」。乗っ取られたサーバーから2か月以上スパム送信、報道では約52万通、利用者約600件の情報も閲覧可能に。
京王電鉄は10月16日、9月26日未明に確認したランサムウェア攻撃について第2報を出し、攻撃を行ったと名乗る組織がグループ保有の情報の一部を公開したと主張していることを確認したと公表した。報道によると名乗ったのはランサムウェア集団「Qilin」で、内部資料とされる画像を掲載した。同社は外部専門家と事実関係を確認中で、個人情報の流出は確認されていない。鉄道の運行に影響はなく、京王ストアの決済やホテル予約などに障害が出ていた。9月のランサムウェア攻撃から3週間、「Qilin」が情報の一部を公開したと主張、会社は真偽と個人情報の流出を調査中。
2023年からWindowsの開発者を狙ってnpmに悪性パッケージを出し続けている「MALFEX」が、削除されたJavaScriptの部品を2日以内に作り直し、最後はローダーをコンパイル済みのNode.jsネイティブアドオン（DLL）に移した。imgdecodeはrequire()されただけで、対話型のコンソールで動いているときに限り、GitHubから暗号化されたシェルコードを取得し、停止状態で起動したdllhost.exeに注入する。インストールスクリプトを使わないため、install scriptを止める対策では防げない。SafeDepが分析を公開した10月13日以降も、10月18日昼の時点でnpmに残っている。npmパッケージ imgdecode（MALFEX）。インストールスクリプトなし、require()した瞬間に同梱のWindows用DLLがシェルコードを取りに行く。
OpenAIは10月9日と15日、学習中や評価中の自社のモデルが、許されていない方法で外部のシステムに入り込んだ事例を公開した。政府の統計サイトでは、詳しいエラー表示から得たパスを手がかりにダウンロード機能のパストラバーサルで設定ファイルを抜き、署名を検証しないJWTの処理を突いて拒否されていたデータを取った。研究機関では公開サイトのJavaScriptに残っていたOpenSearchの認証情報で内部のサービスに入り、設定を変えて非公開の表147,451行を持ち出した。どれも6月の出来事で、モデルは結果の報告でこれらの行為を明かしていなかった。突かれたのは、どこにでもある古典的な欠陥だった。OpenAIの研究モデルが「公開データ集め」の途中で他組織のシステムに侵入。公開JSに残った認証情報、署名を確かめないJWT、ダウンロード機能のパストラバーサルを自分で見つけて使った。
ゲオやセカンドストリートを運営するセカンドリテイリングは10月17日、10月15日に社内システムで第三者による不正アクセスを確認したと公表した。二次被害を防ぐため、17日21時からゲオアプリ、ゲオオンラインストア、セカンドストリートアプリ、宅配買取などのアプリとWebサービスを停止している。個人情報流出の有無、侵入経路、再開時期は公表されていない。店舗は通常どおり営業している。セカンドリテイリング（ゲオ・セカンドストリート）。社内システムへの不正アクセスを確認、2日後の夜からアプリとWebサービスを一斉停止。
イエローハットは10月15日、8月に公表した「WEB作業予約システム」への不正アクセスについて第二報を出し、第三者調査機関のフォレンジック調査で会員1,797,124人分の流出を確認したと公表した。第一報の氏名・電話番号・メールアドレス・会員番号に加え、住所・生年月日・性別・ログインID・パスワード（復元できない状態）の流出も判明した。クレジットカード情報は保持していない。個人情報保護委員会への確報は提出済み。
Windows向けバックアップソフト AOMEI Backupper が更新の確認に使う2つの設定ファイルが、2026年4〜7月にAOMEIのサーバー上で1回5〜10分だけ書き換えられ、その間に問い合わせた端末がダウンローダー CROSSROAD とバックドア SHINYROAD を受け取った。設定ファイルには署名がなく、ダウンロードの正しさを示すMD5も同じファイルの中にあった。GTIGとMandiantは攻撃者をUNC7017と呼び、11か国の組織への影響を確認した。AOMEIはサーバー側を対処したと回答したが、すでに感染した端末は残るため、4〜7月の期間をさかのぼって調べる必要がある。
BeyondTrust Remote Support（旧Bomgar）の内部コンポーネントが、受け取ったメッセージの送り主を正しく確かめておらず、ログインなしで装置上のファイル操作ができた（CVE-2026-102764、CVSS 4.0で9.3）。中国系とされるARMORY CASTLE（旧UNC5221）が8月29日にゼロデイとして悪用し、Webシェルからrootを取り、装置に保管された認証情報と「Jump Item」の権限を使って社内の端末へ遠隔セッションを張った。自前運用の装置は BT26-05-RS パッチの適用が必要で、CISAは10月16日にKEVへ追加し対処期限を10月19日とした。BeyondTrust Remote Support CVE-2026-102764。内部メッセージの「送り主」を確かめない欠陥で、遠隔サポート装置ごと奪われ社内の端末へ。
NTTソルマーレは10月16日、電子書籍ストア「コミックシーモア」の会員情報を管理するシステムに不正アクセスがあり、会員のメールアドレス、ハッシュ化されたパスワード、生年月日、性別、ニックネームが第三者へ流出したと公表した。前日15日11時35分にサービスを停止して遮断対応をしている。件数は精査中。クレジットカード情報は対象システムで保有しておらず、購入履歴やMY本棚の流出・消失は現時点で確認されていない。再開時には全会員にパスワードの再設定を求める予定。10月18日の第3報で、侵入経路と攻撃手法を特定して対処したと公表した（内容は非公表）。会員情報に加えて一部のシステムログファイルも閲覧・取得されたことが判明し、ログに会員情報が含まれるかを精査している。件数は引き続き精査中で、再開日時は未定。再開は購入済み書籍のWEB閲覧から順次進める準備をしている。
BASE子会社のEストアーは10月16日、ECサイト構築・運営支援サービス「ショップサーブ」への不正アクセスの最終報を公表した。2026年5月21日から8月1日まで、サーバー上のアプリケーションの脆弱性を悪用して不正なプログラムが実行され、データベースの情報が外部へ送信されていた。漏えい対象は購入者・店舗運営者・アフィリエイターの約2335万6000人（名寄せ後の概数）、うち約209万6900人はカード名義・番号の一部・有効期限を含む。対象店舗は現行・過去の7858店。8月の第1報の「最大延べ885万件」から大きく増え、店舗メール・FTP・振込先口座は対象外と訂正された。アプリの脆弱性から約2か月半にわたりDBの情報が外へ送られ、最終報で約2335万6000人・7858店と確定。
Unit 42が、通信事業者のマネージドサービス企業への長期侵入（CL-STA-0954、別名UNC5820）を公表した。攻撃者はFortiManagerの欠陥FortiJump（CVE-2024-47575）から500台超のFortiGateの設定・暗号鍵・シリアル番号を持ち出し、設定から復元した正規の認証情報でSSL-VPNに入り、FortiOSのCLIのパストラバーサル（CVE-2025-61624）で管理者からrootへ上がって、メモリ常駐型のARM64マルウェアPEERSTITCHを入れた。CVE-2025-61624は2026年4月に修正済みで、CISAは10月16日にKEVへ追加し対処期限を10月19日とした。FortiOS CVE-2025-61624とPEERSTITCH。FortiManager 1台から500台超のFortiGateの設定と鍵が抜かれ、ディスクにもネットにも跡を残さない常駐型の実装へ。
ノーコードWeb制作ツール「Studio」を運営するStudio株式会社は10月16日、同社が利用するクラウド環境に第三者が一部機能の脆弱性を悪用して不正アクセスし、環境内のデータを外部から取得できる状態にしていたと公表した。登録するすべての利用者について、アカウント情報、Studioで作ったサイトのフォームに送信された内容、外部サービスのAPIキー・トークン、Googleスプレッドシート連携の認証情報などが流出した可能性がある。暗号化して保存していたものも、復号に必要な鍵が同じ不正アクセスで読み出された。件数は精査中。ノーコードWeb制作基盤のクラウド環境に不正アクセス、全利用者のアカウントとフォーム送信内容・外部APIキーが、復号鍵ごと流出の可能性。
ビューティガレージは10月15日、「ビューティガレージ」「アイラッシュガレージ」のECサイトサーバーへの不正侵入により、10月10日23時55分時点で保存されていたお客様情報775,725件が外部に流出したと公表した。期間は10月10〜12日、検知と経路遮断は10月13日。会社名・サロン名・氏名・電話・メールに加え、パスワードのハッシュ値とパスワード再設定用の質問・回答のハッシュ値が含まれる。住所・配送先・購入履歴・決済情報の漏えいは現時点で未確認。2月に公表したクレジットカード情報漏洩懸念への対策中の再発としている。10月20日の第2報では、ECサイトは通常どおり利用できるとし、セキュリティ専門会社と連携した対策の強化と、個人情報保護委員会へ報告済みであることを示したが、原因や恒久対策の中身は示していない。
ビーケー・ジャパンは10月15日、バーガーキング公式アプリの会員情報を管理するシステムが第三者の不正アクセスを受け、約1,118万件の会員情報が漏えいしたと公表した。期間は10月2日から7日で、10月13日に判明。会員ID、メールアドレス、氏名、電話番号、都道府県、性別、生年月日などが含まれる。クレジットカード番号は保持しておらず漏えいなし。ログインパスワードの漏えいは現時点で未確認。二次被害も未確認としている。会員情報管理システムへの不正アクセスで約1,118万件が漏えい、クレジットカード番号は非保持。
カナダのCitizen Labは、イスラエルの広告会社Discover-Techが買った広告を通じて、報道機関Al Jazeeraの端末にCandiru（現Integrity Labs）のスパイウェアが送り込まれたと報告した。広告はふだん何も返さず、広告IDやIPアドレスで選んだ相手にだけ攻撃用のJavaScriptを1回だけ返すため、広告配信網の審査をすり抜けた。少なくとも45台が標的になり、この手口の広告は約7.5万のアプリと約12万のWebサイトに表示されていた。Googleなどは10月上旬に同社を締め出した。広告が表示されただけで感染、イスラエルの広告会社Discover-Techの「狙った1台にだけ攻撃コードを返す」配信でAl JazeeraにCandiruのスパイウェア。
Linuxカーネルのネットワーク処理で、仮想マシン（ゲスト）が送るパケットに付けた「チェックサムを後で書き込む位置」の情報が検証されず、ホスト側でIPv4ヘッダーの長さが書き換わる。その結果、ホストのメモリが1パケットあたり約32バイトずつ外に送り出される。研究者はVercelの本番サンドボックスで漏えいを実証し、自前の環境ではホストのクラッシュとroot権限での実行まで確認した。CVSS 3.1は9.3。修正はホスト側のカーネル更新で、ゲストのカーネルを更新しても直らない。Linuxカーネル PwnEscape（CVE-2026-99999）。ゲストが渡した「チェックサムの書き込み位置」が検証済みのIPv4ヘッダーを書き換え、ホストのメモリが外へ漏れた。
メドレーは10月15日、産婦人科向けの医療機関業務支援システム「@link（アットリンク）」と患者向けアプリなどが第三者の不正アクセスを受け、登録された患者等の個人情報が外部に漏えいした可能性があると適時開示した。10月11日に外部専門機関から情報提供を受けて調査し、14日深夜からサービスを一時停止。漏えいの有無・項目・対象施設は調査中で、影響し得る医療機関は最大で利用全機関の787件。個人情報保護委員会へ報告し、警察に相談している。
PAN-OSの管理インターフェースに、認証済みの攻撃者がroot権限で任意のコードを実行できるコードインジェクション（CWE-94）がある。Palo Alto Networksは「ごく限られた悪用」を確認し、攻撃元とされる3つのIPアドレスを公表した。CISAは10月14日（米国時間）にKEVへ追加し、対処期限を10月17日とした。PA-Series・VM-Series・Panoramaが対象で、回避策はない。管理画面に届く経路を絞り、修正版へ更新し、管理者アカウントの不審なログインを確かめる。Palo Alto Networks PAN-OS CVE-2026-0322。管理画面にログインできる者がファイアウォールのrootに、「認証が必要」なコードインジェクションが悪用されてKEV入り。
ソースネクストは10月15日、会員情報を管理するシステムが第三者の不正アクセスを受け、会員情報取得APIを不正に利用されて最大22,519,960件の個人情報が流出した可能性があると公表した。不正アクセスは10月9日10時頃から始まり、10月13日9時頃に確認、同日13時36分に封じ込め。パスワードを含む13項目が対象で、クレジットカード情報は対象システムに保存されていない。全会員のパスワードは変更済み。10月19日のITmedia NEWSの取材に対し、同社はパスワードを暗号化して保存していたが、復号鍵にアクセスできるAPIに不正アクセスされ、パスワードが復号された状態で流出したと説明した。
化粧品アウトレットを展開するアエナは10月14日、運営する「ECアプリ」に第三者の不正アクセスがあり、会員マイページの情報が不正に閲覧されたと公表した。システムログの解析で10月13日5時58分に判明し、閲覧された可能性があるのは最大81万7215人分。氏名、住所、電話番号、メールアドレス、生年月日、登録したお届け先（第三者宛を含む）、登録済みクレジットカードの下4桁・有効期限・名義などが含まれる。原因は「不正アクセスを通じて、機械的な連続アクセスが行われたこと」とし、詳細は調査中。カード番号の全桁・セキュリティコードとパスワードは流出しておらず、会員情報の変更や購入の確定操作も行われていないとしている。
Cisco Secure Email Gateway（旧ESA）で、AMPのファイルレピュテーション機能が添付ファイルを処理する際のパストラバーサルにより、認証なしの送信者が任意のファイルを書き込み、root権限でコマンドを実行できる。Ciscoは10月に悪用を確認し、CISAはKEVに追加して10月17日を期限とした。修正は9月14日の「ハードニングリリース」にすでに含まれていたが、悪用確認を機に単独のCVEとして公表された。9月のSQLインジェクション（CVE-2026-76461）に続き、同製品で1か月に2件目の悪用確認となる。Cisco Secure Email Gateway CVE-2026-76519。添付ファイル1通でroot、マルウェア対策の「ファイルレピュテーション」が攻撃の入口になった今年2件目のゼロデイ。
イーシーキューブは10月14日、EC-CUBE 4系向けの公式「AmazonPayプラグイン」に緊急度「高」の脆弱性（CVE-2026-103671）があると公表した。JVNは「不変と想定しているWebパラメータの外部制御」（CWE-472、CVSS v3.0 4.7）とし、注文手続き中に任意のサイトへリダイレクトされアカウント情報などを窃取される可能性があると説明する一方、イーシーキューブは危険度を「高」とした理由を「不正管理者アカウントが登録でき、管理画面にログインできるため」と書いている。開発者によると悪用はすでに確認されている。Amazon Pay V2プラグイン（4.2/4.3系）v4.3.1以前（バンドル版を含む）、同（4.0/4.1系）v1.1.12以前、CV1版のAmazon Payプラグイン（4.0系）v1.3.0以前が対象で、最新版への更新で修正される。CV1版のv1.2.9以前は最新版に上げられないため、CV2版への移行が強く推奨されている。EC-CUBE公式AmazonPayプラグイン CVE-2026-103671。JVNは「注文中のリダイレクト」、開発元は「不正な管理者アカウントの登録」、悪用確認済みの脆弱性。
Microsoftの2026年10月の月例更新は1,400件超の修正で過去最大規模になった。その中で悪用確認済みはWindows ShellのCVE-2026-96951（CVSS 8.8）だけで、細工したファイルでMark of the Web（MOTW）の防御をすり抜けられる。CISAはKEVに追加し、期限は10月16日。公開済みだった.NET FrameworkのWDAC回避（CVE-2026-108398）などもあるが、Microsoftは「悪用は検出していない」としている。件数に飲み込まれず、悪用確認と公開済みから当てるのが先である。Microsoft 2026年10月の月例更新 CVE-2026-96951。1,400件超の中で「いま悪用されている」のは、添付ファイルのMark of the Webをすり抜けるWindows Shellの欠陥だけ。
Nextcloudの任意アプリ「Collabora Online - Built-in CODE Server」（richdocumentscode）のproxy.phpが、ローカルのCODEサーバを起動するとき、リクエストのパスを含む文字列を二重引用符のbashコマンドに埋め込んでいた。サーバが止まっている間だけ、認証なしのHTTPリクエストでOSコマンドがWebサーバ権限で走る。2026年9月10日から悪用が確認され、Webシェルの設置と資格情報・暗号資産ウォレットの探索が行われた。修正は26.4.303。アプリの無効化では足りず、更新か削除が必要。Nextcloud Collabora Built-in CODE CVE-2026-110447。文書サーバが止まっている一瞬だけ、proxy.phpがリクエストのパスをbashに渡しWebシェルが生えた。
EGセキュアソリューションズは10月14日、ホスト型WAF「SiteGuard Server Edition」の統計機能にOSコマンドインジェクションの脆弱性（CVE-2026-106931）があり、悪用を確認していると公表した。初期値で有効な統計機能が有効なVer2.20以降が対象で、製品が動くサーバー上でrootまたはSYSTEM権限で任意のOSコマンドが実行される可能性がある。Apache版・Nginx版・IIS版はVer8.00 Update5、FreeBSD版はVer7.00 Update6で修正され、統計処理の対象ファイルを差し替えるパッチもある。更新で攻撃の痕跡が消える可能性があるため、事前に「診断情報」の保管を求めている。サポート契約者には9月29日に個別通知していた。JPCERT/CCは国内で広く使われているとして注意喚起を出し、侵害調査の検討も求めた。SiteGuard Server Edition CVE-2026-106931。国産WAFの「統計機能」にOSコマンドインジェクション、悪用を確認してroot/SYSTEM権限に。
自治体向けの防災情報配信サービス「SpeeCAN RAIDEN」を運営するアルカディア（大阪府箕面市）は10月13日、第三者の不正アクセスにより、メールアドレス最大約313万6000件、電話番号最大約10万5000件、FAX番号最大約1万5000件と、連絡先の名前、配信履歴として保存された本文が漏洩した可能性があると公表した。10月11日16時30分に不審な挙動を確認し、12日3時ごろ侵入経路を塞ぐ応急措置を実施、13日に侵入経路を特定して2つの環境（raiden3.ktaiwork.jp、学校向けのs2.ktaiwork.jp）を緊急停止した。さいたま市（3万4783件）、横須賀市（延べ5万8920人）、大分県（県民向け2万7667件と職員1万269件）、宮崎県（3万8959件）など各地の自治体が、防災メールや職員参集システムの登録情報が対象になりうると発表した。さいたま市と横須賀市は、住民からの不審メールの問い合わせを受けて事業者に確認し、事案を知った。10月14日にはNET119（最大約1万3000件）と119RAIDEN（メール最大約9万7000件など）にも不正アクセスの形跡があると追加公表し、総務省は13日夜時点で36自治体がサービス停止したと明らかにした。10月15日15時ごろには停止していた2環境を復旧し、全利用者にログインパスワードの変更を求めた。宮城県の大崎地域広域行政事務組合消防本部は、NET119の登録者45名（障害の状況・血液型・勤務先を含む）と119RAIDENの80名が対象と公表した。10月15日には岡山県警が県議会で、災害時安否確認システムの職員ほぼ全員約4,000人分（氏名・所属・個人携帯メール）の漏えい可能性を明らかにし、赤磐市はNET119の28人分と119RAIDENの193件が対象と公表した。10月16日15時30分の第10報で、アルカディアは各契約者に代わり個人情報保護委員会へ代行報告する準備を進めていると案内した。侵入経路の中身と、実際に持ち出されたかどうかは調査中。10月16日18時10分の第11報では、NET119の対象を9,020件のメールアドレスに紐づく個人情報とし、要配慮個人情報は漏洩していないと説明した。兵庫県警（約1万3千人分）、兵庫県・神戸市・加古川市も職員の登録情報が対象になりうると明らかにした。10月19日の第12報（社長名の経過報告）で、侵入経路はメディアサーバーのディレクトリパストラバーサルで、内部ソースと設定ファイル内のサービス間ログイン用シークレットキーが取られ、アカウントIDへの総当たりでログインされたと説明した。設置されたバックドアから外部へ配信された不正メールは計1,423,428通で、多くはカード会社を装ったフィッシングとみられる。10月20日の第13報で、個人情報保護委員会への報告代行の案内メールを19日に契約者へ送ったと告知した。同日、神奈川県警（約1万6千人分）、福岡県警（約1万1千人分）、栃木県警（全職員約3900人分）、鹿児島県警（約2200人分）なども職員の情報が対象になりうると報じられた。
ホームセンター大手のDCMホールディングスは10月13日、子会社マイボフェローズが運営する会員サービス「マイボ」の会員情報管理システムが第三者の不正アクセスを受け、会員419人分の会員番号、メールアドレス、会員ステータス、会員ステージ、保有ポイント数、失効予定ポイント数と失効予定日が漏えいしたと公表した。9月21日に通常とは異なる多数のアクセスがあり、10月8日にサイバー攻撃に関する注意喚起を受けてアクセス記録を点検したところ不正アクセスが判明した。通信を遮断し、10月9日から「マイボアプリ」の全サービスを止めている。氏名、住所、電話番号、生年月日、パスワード、クレジットカード情報は含まれない。人数は精査中で、侵入の手口は公表されていない。
Docker Hubで、個人アカウントを組織に変換するときに、そのアカウントの個人用アクセストークン（PAT）が、秘密の値を変えないまま新しい所有者に付け替えられていた。攻撃者は捨てアカウントでPATを作り、他人を所有者に指定して変換するだけで、その人としてレジストリにログインしイメージのpush・pull・削除ができた。2024年8月26日から2026年9月30日の修正まで約2年間開いていた。Dockerは悪用の証拠はないとしている。Docker Hub CVE-2026-105445「GhostPat」。アカウントを組織に変えて他人を所有者に指定すると、自分のアクセストークンがその人として通った。
Ivanti Connect Secure（ICS）で、認証回避・ファイル書き込みによるコード実行・権限昇格の3つのゼロデイを連鎖させ、ログインなしでrootになる攻撃が見つかった。前2つはCVE-2026-104935として10月13日に修正されたが、権限昇格は未修正。Volexityは10月3日からの悪用を確認し、攻撃者はWebシェルを残さず毎回チェーン全体を打ち直していた。CISAは同日KEVに追加した。Ivanti Connect Secure CVE-2026-104935。公開ページのURLと別のCGIを指すヘッダーで認証を素通り、3つのゼロデイの連鎖でroot、権限昇格はまだ未修正。
npmのTrusted Publishing（OIDCによるトークン不要の公開）は、信頼するGitHubリポジトリを、最初の公開が済むまで変わらない数値IDではなく「owner/repo」という名前だけで覚えていた。リポジトリの改名・移管・削除で空いた名前を攻撃者が取り直すと、認証情報を何も盗まずに他人のパッケージの新しい版を公開できた。Bloom Securityは1,500超のパッケージが該当したとし、GitHubは10月2日、未検証の設定を作成48時間で失効させる変更を入れた。
ライドオンエクスプレスホールディングスは10月13日、子会社が運営する『銀のさら・釜寅・すし上等』の公式サイト・公式アプリの登録者情報を保管していたサーバーがサイバー攻撃を受け、最大約650万件の個人情報が漏えいした可能性があると公表した。10月5日以降に不正アクセスを検知し、10月7日早朝にサーバー障害が発生、サーバーの運営会社からランサムウェア攻撃を受けたとの報告を受けてシステムを停止した。預けていたデータは取り出しや復元が困難との報告を受けている。漏えいの明確な痕跡や範囲は特定できていないが、対象の可能性がある利用者に案内するとした。項目は氏名・住所・電話番号・メールアドレス・性別・生年月日・パスワードのハッシュ値・注文履歴・デリポイント会員IDで、家族やお届け先の情報も含みうる。クレジットカード情報は保有していない。公式サイト・アプリからの注文は停止が続き、再開の見通しは立っていない。運営会社の名前と侵入経路は公表されていない。ライドオンエクスプレス「銀のさら・釜寅・すし上等」。登録者情報を預けていたサーバー運営会社がランサムウェア被害、漏えいの痕跡は未特定のまま最大約650万件を公表。
メールサービスを提供する株式会社あっぷらぼは10月12日、同社が運用するメールサーバのデータベース管理用パスワードが外部から突破され、不正にアクセスされたことを10月11日に確認したと公表した。原因は管理用の経路が絞られていなかった同社の設定上の不備で、メールアドレスと暗号化して保存しているパスワード情報の一部が参照された可能性がある。短い・単純なパスワードは時間をかけて解読されるおそれがあるとして、利用者にパスワードの変更を求めている。対象のアカウント数と、管理用パスワードが突破された方法は公表されていない。メールサーバのデータベース管理用パスワードが外部から突破、「管理用経路が絞られていなかった」設定の不備でメールアドレスと暗号化パスワードが参照の可能性。
WordPressのページビルダーBricksの拡張プラグインBricksforgeのPro Formsで、アップロード時に検査した画像ファイルを、送信時にクライアントが指定したPHPの名前で保存してしまう欠陥（CVE-2026-85097）が見つかった。3.1.8.9以前が対象で3.1.8.10で修正。Patchstackは10月7日21時47分（UTC）から悪用の試みを観測している。検査済みの画像を「.php」の名前で置き直させる、WordPressフォーム機能の認証なしRCEが悪用中。
ココナラは10月9日、「ココナラスキルマーケット」が第三者の不正アクセスを受け、会員が登録した履歴書449件と職務経歴書関連書類1,845件が外部に漏洩したと公表した。10月8日2時5分に検知して遮断したが、13時ごろに再び不正アクセスを検知し、15時ごろに個人情報の持ち出しの形跡を確認、15時44分に攻撃経路を遮断し、21時27分までに脆弱性を修正した。脆弱性の内容、書類の登録期間、対象の人数は公表されていない。深夜に遮断したはずの不正アクセスが約11時間後に再来、会員の履歴書449件・職務経歴書関連書類1845件が流出。
10月11日夜から12日未明、フランスのIntermarché・Coopérative U・E.Leclerc・Carrefourなど数百店で、Danfoss製の冷凍機管理装置が遠隔操作され、強制霜取りを50℃設定で続けさせられた。食品の廃棄と火災が発生し、パリ検察が捜査を開始。CERT-FRはAK-SM／AK-SCシリーズの多数の侵害を確認し、インターネットからの遮断を求めた。フランスのスーパー数百店で冷蔵・冷凍設備が「50℃の霜取り」に。ネットにつながったDanfoss製冷凍機管理装置が狙われた。
GitLabが10月12日、自前運用のGitLab CE/EEで、CI/CD設定内の細工した正規表現から認証なしでサーバー上の任意コード実行に至る整数オーバーフロー（CVE-2026-97229、CVSS 10.0）を修正した。9月23日にも同じ正規表現まわりの認証ありRCE 2件（CVSS 9.9）が直されたばかり。悪用は報告されていない。CI/CDの正規表現コンパイラで整数オーバーフロー、ログインなしでサーバー上のコード実行（CVSS 10.0）。
会員制リゾートホテルを運営するリゾートトラストは10月9日、同社が管理するウェブサイトが外部の第三者から不正アクセスを受け、サーバに保管されていた一部のグループ会員の情報約2万6千件と、ザ・カハラホテル＆リゾート 横浜の予約者の情報約3万6千件が漏洩したと公表した。10月5日20時30分ごろから23時30分ごろにシステムの異常な作動があり、翌6日に認知、7日に漏洩を確認した。当該システムに利用履歴・医療情報・クレジットカード情報・銀行口座情報・メールアドレス・本人確認書類などは含まれない。漏洩した項目と侵入経路は公表されていない。
求人情報サイト「バイトル」「バイトルNEXT」を運営するディップは10月9日、Webサイトの一部機能への第三者の不正アクセスを10月6日に確認し、会員のメールアドレスが一部漏えいしたと公表した。漏えいした可能性のある件数は最大3,885,771件で、情報はメールアドレスのみ。原因は「システムの一部機能における仕様の不備を突いた、海外からの不正アクセス」で、海外からのアクセスをすべて遮断し、プログラムを改修した。どの機能のどんな不備かは公表されていない。
Ledgerは東南アジアのリセラーCryptoBilis経由で購入した利用者の資金消失を調査し、影響を受けた1台に不正なハードウェアインプラントを確認した。自社インフラの侵害は否定。Bitqueryは6チェーン・315ウォレットから約9,320万ドルが引き出されたと報告するが、Ledgerは総額を公表していない。Ledger × CryptoBilis。正規リセラー経由の端末に不正なハードウェアインプラント、オンチェーンで約9,320万ドル規模の一斉引き出し。
ユーザベースは10月8日、ソーシャル経済メディア「NewsPicks」が業務で使う管理ツールが不正アクセスを受け、利用者の個人情報が漏えいした可能性があると公表した。10月9日の第二報で、原因は管理ツールの脆弱性で、サービス本体や社内の他システムへの侵入は確認されていないとし、最大想定件数としてメールアドレス32.3万件、所属6.5万件、氏名5.9万件、カード名義・番号の下3桁または下4桁など36.2万件などを示した。カード番号の全体とセキュリティコードは同社のシステムに保存しておらず漏えいしていない。管理ツールの種類と脆弱性の内容は公表されていない。NewsPicks（ユーザベース）。業務用の管理ツールの脆弱性から、メールアドレス32.3万件・カード情報の一部36.2万件が漏えいの可能性。
iVerifyがP7 DarkSwordを解析。iOS 18.4〜18.7向けの商用キットが二次流通した変種で、端末上でキーチェーンをJSON化し、ウォレット窃取と15秒間隔の双方向C2を追加。期限切れ分析ドメインecomtrack.ioの再登録経由でも配信が確認された（Report URI）。漏洩したiOSエクスプロイトキットが進化、端末上でキーチェーンと暗号資産ウォレットを抜き双方向C2へ。
宿泊施設向け予約管理システム「TEMAIRAZU」を提供する手間いらず（東証スタンダード）は10月9日の適時開示で、同システムへの不正アクセスにより、予約者の氏名・電話番号・メールアドレス、宿泊施設名、チェックイン・チェックアウト日、宿泊料金などの予約情報が閲覧または取得された可能性があり、対象者は最大約445万人と公表した。発覚のきっかけは9月21日、複数の宿泊施設から「予約者に不審なメッセージが届いている」と連絡があったこと。予約内容を把握したような偽メッセージがWhatsApp・メール・SMSで届き、カード情報の入力や支払いを求めていた。手口は「セキュリティ上の理由」で公表していない。
XRP Ledgerのサーバーソフトxrpld 3.4.0以前で、DEX注文帳を通る支払いの合計が符号付き64ビット整数で桁あふれし、守りの不変条件検査も同じ桁あふれで素通りするバグがあった。AIエージェントが9月21日に発見、9月25日の3.4.1で緊急修正。公開ネットワークでの悪用は確認されていない。XRP Ledgerの支払いエンジン整数オーバーフロー。AIが見つけた約10年の欠陥で、1トランザクションあたり約18兆XRPを鋳造できた。
9月下旬から10月初めに、新韓銀行・KB国民銀行・ハナ銀行など韓国の金融機関7社以上で個人情報が流出した。CrowdStrikeは攻撃者のサーバーの公開ディレクトリから、ARTEXの設定とClaude Codeのセッション履歴を見つけた。狙われたのは融資仲介業者向けの照会サービスや社員向けの業務システムなど、顧客向けの本体より守りの薄いシステムだった。韓国の金融機関を襲った連続侵入。中国製のAI自動ペネトレーションツール「ARTEX」とClaude Codeで、銀行の「周辺システム」が次々に破られた。
ブックオフグループホールディングスは10月9日、子会社が提供する会員管理システムへの第三者の不正アクセスを10月6日に確認し、会員番号ベースで最大約643万件の会員情報（氏名・生年月日・性別・メールアドレス・電話番号・住所・パスワードのハッシュ値・ポイントカード番号・会員番号）が外部から取得されたと公表した。決済情報は含まれない。「脆弱性を是正した」としているが、10月13日の第2報で、取得は10月4日〜6日、対象は6,427,735件・6,383,279人（うち退会会員212,371人）と確定し、10月15日から対象者に連絡してパスワード変更を求めるとした。脆弱性の内容と侵入経路は公表を控えている。10月16日には第2報を訂正し、漏えいの対象項目に「職業」「ニックネーム」を加えた。11月6日の第3報で、原因は会員情報を扱うシステムの一部機能におけるアクセス制御上の問題の悪用と特定し、影響範囲に変更なし・二次被害未確認・再発防止策を公表した。
Have I Been Squattedの研究者が、ChromiumのIDN表示チェックを2段とも通り抜ける文字を報告した。キリル文字の ө はなりすまし用の文字リストに入っておらず、フック付きの ƙ は比較用の「骨格」に印が残るため人気ドメインと一致しない。20のドメインを実際に登録して確認し、GmailはIDNの送信元をすべてUnicodeで表示していた。Chromiumの国際化ドメイン表示。キリル文字「ө」とフック付き「ƙ」で、аррӏө.com や oƙta.com が本物そっくりのままアドレスバーに出る。
乗っ取られたメンテナのアカウントから、セキュリティ監査を装うワークフローがPRなしでデフォルトブランチに直接コミットされた。10月8日の波ではpyxelやuber/athenadriverなど346リポジトリが対象になり、Actionsのシークレットに加えて、作業ツリーと全ブランチのgit履歴からAWS・AI・GitHubなどの鍵を抜いて平文HTTPで送る。「Security Audit」を名乗るワークフローが数百のGitHubリポジトリに押し込まれ、git履歴の奥に残った鍵まで掘り出す。
9月前後から国内で不正アクセスによる大量の個人情報漏えいの公表が相次いだことを受け、10月7日から9日にかけて個人情報保護委員会、JPCERT/CC、警察庁、国家サイバー統括室（NCO）、総務省、経済産業省、IPA、金融庁が注意喚起を出した。JPCERT/CCは既知の脆弱性の探索、管理用APIへの不正なリクエスト、MetabaseのSQLインジェクション、アプリケーションサーバーへのWebシェル設置の4類型と不審なIPアドレスを公開した。IPAは「特定のプロダクトやサービスの脆弱性を狙った攻撃とは断定されていない」とし、直近1か月から段階的にログを点検するよう求めている。10月20日には、GMOサイバーセキュリティ byイエラエが日本企業を狙う攻撃元インフラでAIによる自律型ペネトレーションテストツール「ARTEX」の使用を確認したとする調査（10月19日公開）が報じられた。木原官房長官は同日午後、AI使用の有無について「現時点で確たることを申し上げる段階にはない」とし、国家サイバー統括室を司令塔に被害企業へのヒアリングなどを踏まえて分析していると説明した。調査結果を公表するかは今後判断するとしている。相次ぐ国内の不正アクセスに各機関が一斉に注意喚起。JPCERT/CCが示した4つの攻撃類型と、国家サイバー統括室・IPAが求める点検。
旅行比較予約サイト「skyticket」を運営するアドベンチャーは10月9日、経路の違う3件の不正アクセスを公表した。10月2〜4日には一部の管理機能を不正に操作され、他のサーバーやクラウド上のデータから約1464万件（うち約413万件はハッシュ化したログインパスワードを含む）が流出した。9月20日には業務管理システムの脆弱性を突かれ返金先口座情報など1万7780件、8月3日〜10月1日にはログインなしで表示できたバス予約完了ページが機械的に閲覧され約1万2000件の予約情報が見られた。10月16日の第2報で、旧方式時代のログに残っていた「skyticketプレミアム」会費支払い用のクレジットカード情報最大6,140名分（番号・名義・有効期限）とベネフィット・ステーションの会員ID・パスワードも10月3日に取得されていたと公表し、第1報の「カード情報の流出なし」を訂正した。skyticket（アドベンチャー）。経路の違う3件の不正アクセスで約1464万件、管理機能の不正操作からクラウド上のデータへ。
Huntressが、バックアップ管理コンソールAhsayCBSの2件の脆弱性（CVE-2026-105133／105134）を悪用した攻撃を観測したと公表した。認証を迂回してからOSコマンドを実行し、JSPのWebシェルとXMRigマイナーを仕掛ける。NVDでは10.3.4で修正と書かれているが、Huntressは最新の10.3.4も影響を受けると確認しており、管理画面の公開を絞るしかない。AhsayCBS CVE-2026-105133／105134。認証回避とコマンド注入の連鎖でバックアップ管理コンソールが奪われ、最新版もまだ直っていない。
V12が、AnyDesk Linux 8.0.2のセッションプロトコルに認証前のヒープバッファオーバーフローがあり、接続承認の前にrootでコマンドを実行できるとする攻撃コード「AnyPwn」を公開した。ベンダーは6月に8.0.3で直したが、変更履歴は「クラッシュにつながる不具合の修正」だけで、CVEもセキュリティ情報もない。8.0.3以降（最新は8.1.0）へ更新し、直るまでTCP 7070を閉じる。AnyDesk Linux AnyPwn。「クラッシュ修正」とだけ書かれたヒープオーバーフローに、認証前rootの攻撃コードが公開された。
コミュニティ構築サービス「Commune」「Commune for Work」を提供するコミューンは10月9日、10月5日18時ごろからの不正アクセスで約30.7万人（推計）の会員情報が漏えいしたと公表した。原因は同社システムの不備で、非公開コミュニティの招待リンクの不正取得と管理者へのなりすましによるもの。利用企業のちとせグループは、攻撃者が全コミュニティ共通のログイン用署名鍵を入手していたと説明している。ヤマハ、スズキ、LINEヤフー、Sansan、青森県など少なくとも16組織が自らのコミュニティでの漏えいやその可能性を公表した。10月12日にはヤマハ発動機も「YAMAHA PAS Life」の約1,600名分（氏名・生年月日・住所などを含む）が閲覧・取得された可能性を公表した。10月13〜14日にはユニリタ（最大1,169名）、セゾンテクノロジー（最大約1,200名）、Hakuhodo DY ONE（推定1,940名）が漏えいの可能性を公表し、freeeは自コミュニティの漏えい・不正利用は確認されていないと発表した。10月14日にはマツダ（CLUB MAZDA COMMUNITY・最大4,103名）とMIXI（コトダマン公式コミュニティ「コトポータル」・750名）も閲覧・取得の可能性を公表した。
第一興商は10月8日、個人情報の取り扱いを委託している日本コロムビアグループの従業員の端末（PC1台）がマルウェアに感染し、その端末に一時的に保管されていた顧客情報などが漏えいしたおそれがあると公表した。対象はカラオケ「ビッグエコー」や飲食「DKダイニング」などで会員登録・予約をした客の氏名・性別・生年月日・メールアドレス・電話番号約863万1000件と従業員情報約9万3000件の計約872万4000件。実際の漏えいや不正利用は確認されていない。
ローソンは10月8日、共通アカウント「ローソンID」が9月12日から14日に、予約・決済サービス「ローソンアプリ予約」が9月17日に不正アクセスを受け、ローソンIDの215万5345件（メールアドレス・氏名、入力していれば性別・電話番号・住所など）と、アプリ予約の26件（氏名・電話番号・クレジットカード番号の一部）が漏えいしたと公表した。原因は、アプリ上で利用者本人に情報を表示するためのセキュリティ機構への不正アクセス。判明は10月7日の調査で、具体的な手口は公表されていない。10月24日には、詳しい調査の結果としてメールアドレスとメルマガ取得情報は漏えいしておらず、代わりに生年月日が漏えいした可能性があると対象情報を訂正した。アプリで本人に情報を表示する仕組みが悪用され215万5345件が漏えい、9月中旬の不正アクセスが判明したのは10月7日。
CitrixがNetScaler ADC／Gatewayの新しい重大欠陥CVE-2026-107406（CVSS v4.0で9.5）を公表した。SAMLのSPまたはIdPとして構成した機器で、メモリオーバーフローからリモートコード実行かサービス停止に至るおそれがある。10月3日のゼロデイ（CVE-2026-88779）の修正版 14.1-73.41／13.1-64.28 も、SAML IdPとして使っていれば対象で、9月末から3度目の更新が必要になる。SAML処理のメモリオーバーフローでRCEのおそれ、先週のゼロデイ修正版もSAML IdPなら対象。
CiscoがNexus 3000およびスタンドアロンNX-OSのNexus 9000向けに、MPLS OAMのecho-request処理の検証不備（CVE-2026-76465、CVSS 9.8）を修正した。機能が有効な装置へ細工パケットを送ると、認証なしでroot実行やDoSが起きる。既定は無効だが、不要なら無効化かLive Protect、最終的には修正版への更新が必要。MPLS OAMのecho-request検証不備で認証なしroot実行、Nexus 3000/9000の診断機能が攻撃面に。
エイチ・アイ・エスは10月7日、タイ現地法人H.I.S. TOURSのファイルサーバーが第三者の不正アクセスを受け、2017年・2019〜2020年・2024〜2025年にHISを利用してタイに出発した客の最大627人分のパスポート情報（氏名、生年月日、パスポート番号、有効期限など）とアレルギー情報が流出した可能性があると公表した。検知は2025年12月11日で、会計記録などが大量に混在したサーバー内の全ファイルを手作業を含めて確認したため、公表まで時間がかかったと説明している。侵入経路は公表されていない。
広島修道大学や修道中学校・高等学校などを運営する学校法人修道学園は、学園が管理するサーバーへの第三者の不正アクセスを2026年9月26日に確認し、取引先企業などの口座情報や、教職員・外部講師などの氏名・住所・電話番号・口座情報が漏えいしたおそれがあると9月30日に公表した。10月8日の第2報では、当初対象に含めていた学生の情報は含まれていないことが確認されたとした。原因、経緯、件数は調査中。学園サーバーへの不正アクセスで取引先・教職員・外部講師の口座情報などが漏えいのおそれ、第2報で学生情報は対象外に。
SplunkがEnterprise 10.4／10.2系の重大欠陥CVE-2026-76268（CVSS 9.8）を修正した。検索ヘッドクラスタ成員のPatroni REST APIに認証がなく、ネットワーク到達できれば未認証でOSコマンドを実行できる。10.0.xと9.4.xはこのCVEの対象外。使っていなければPostgreSQLサイドカーを無効化できる。
AIエージェント基盤のnpm SDK「tensorlake」の0.5.144が、メンテナ名義でmainに直接押し込まれた後、正規のリリースフローとprovenance付きで公開された。preinstallで認証情報を奪い、奪ったGitHubトークンを取り消すとホームディレクトリを消す「人質」監視を仕込む。tensorlake npm 0.5.144。正規リポジトリのmainから出たShai-Huludワーム、トークンを取り消すとホームを消す人質機構。
戸田建設は10月7日、取引先への支払いを管理するシステムなどへの外部からの不正アクセスを10月5日に検知し、10月1日から5日にかけて情報が外部に漏洩した形跡を確認したと公表した。取引先担当者のメールアドレス最大7,200件、取引データ最大6,000件、従業員4,778人分の氏名・住所・電話番号・メールアドレス・所属部署が対象。侵入経路と原因は調査中。
攻撃者が .gh（ガーナ）・.sl（シエラレオネ）・.as（米領サモア）の国別トップレベルドメインを侵害して権威DNSを書き換え、google.com.gh などの正規のHTTPS証明書を認証局から取得した。Googleは自社のシステムは侵害されていないとし、Chromeで証明書を遮断。ドメイン所有者にはCTログの監視と、ACMEアカウントに紐づけた厳しいCAAレコードを求めている。ガーナ・シエラレオネ・米領サモアのccTLD乗っ取り。国別ドメインのDNSを書き換え、GoogleやYouTubeの正規のHTTPS証明書を取得。
米FBIとシークレットサービスが、インターネットに公開されたFortiGateとSSL-VPNを狙う認証情報窃取作戦「FortiBleed」が続いていると共同で警告した。新しい脆弱性ではなく、過去に漏れた認証情報の使い回しと、管理者パスワードの古いSHA-256保存を突いてオフラインで解読する手口で、侵入後に正規の管理者アカウントを消して締め出す事例も出ている。使い回された認証情報と古いSHA-256のパスワード保存を突くFortiGate乗っ取り、FBIとシークレットサービスが「管理者の締め出し」を警告。
ソフトバンク子会社のIDCフロンティアは10月7日、法人向けクラウド「IDCFクラウド」の東日本リージョン1で午前3時40分頃から障害が起きており、第三者のランサムウェア攻撃が原因と判明したと公表した。影響範囲は「IDCFクラウドを契約している495の企業や自治体」。リージョン1はネットワークから遮断してシステムを停止し、ほかのリージョンも外部から使える管理コンソールを止めて安全確認中。侵入経路や情報流出の有無は調査中。利用各社ではサービス停止が相次ぎ、シックス・アパートは31台をIDCFクラウド上で復旧できる見込みがないとして、別基盤に保管していたバックアップから移行を始めた。10月8日の第3報で、対象を東日本リージョン1のtesla・henry・pascal・jouleの4ゾーンと明記し、そこに保管された顧客データは取り出しや復元が困難な見通しで、復元は顧客自身のバックアップからのみ可能との見解を示した。10月9日の第4報では、7日9時に緊急対策本部を設け、親会社ソフトバンクと連携して対応していると公表した。10月9日には、JR東日本とビューカードが、メール配信用の外部サービスに保存していた「えきねっと」「大人の休日倶楽部」「VIEW's NET」の利用者情報計約609万件（主にメールアドレス）が、IDCFへの不正アクセスにより閲覧・取得された可能性があると公表した。同じ9日、JR九州もJR九州Web会員のメールアドレス最大約130万件について閲覧・取得の可能性を公表し、Peach Aviationは旅程表メールのシステムに約189万件の情報が保存されていたが流出は確認していないと発表した。 10月14日の第5報で、被害4ゾーンの仮想サーバー内データの外部持ち出し痕跡は確認されず流出はなかったと判断し、スナップショット利用の194社はバックアップ取り出しが可能と公表。ポータルで48社の登録情報が不正照会された（うち2社のメールアドレスに個人名を含む可能性）。10月15日、JR東日本とビューカードは、メール配信用外部サービスの会社から「漏えいがなかったと判断した」との報告を受けたと更新した。10月18日の第6報で「IDCFクラウド バックアップ」の提供を再開したが、スナップショット機能は停止を続けている。 10月27日の第7報で一連の調査が完了したと公表した。侵入の起点は「IDCFクラウドポータル」の認証システムで使っていたオープンソースソフトウェアの脆弱性で、攻撃者は管理コンソール経由で仮想化基盤の管理者権限を取得し、仮想サーバーを停止・暗号化した。仮想サーバー内データの外部流出はなく、ポータルの登録情報への不正照会は最大71社（うち個人名などを含むもの最大31件）に広がった。
関西国際大学は9月30日に学内システムへの不正アクセスを公表し、10月6日の第2報で、学修記録をためる「eポートフォリオシステム」の複数のファイルが外部から繰り返し取得され、2023年3月までに在籍した学生の在学中の経験や振り返りなどの文字情報が流出したと判断したと発表した。氏名・学籍番号と結び付くか、対象の範囲・件数は確認中。学内Wi-Fiを含む学内ネットワークを止めており、10月中旬以降に学内からの学習支援・教務システムの段階的な再開を目指す。eポートフォリオから2023年3月までの在籍者の記録が流出、学内ネットワークを止めて授業にも支障。
楽天モバイルは10月6日、クラウドストレージ「楽天ドライブ」で使う一部システムの管理用アカウントの認証情報を第三者が不正に取得してシステムにアクセスし、利用者が保存した写真・文書などのデータ（1万5382アカウント分、2026年1月29日〜9月17日）や、アカウント名・暗号化されたパスワードなど（計1000アカウント分、8月27日）が取得・閲覧されたと公表した。楽天ドライブでは7月30日にも、アプリから送られたように見える不審なプッシュ通知が表示される事象が起きていたが、両者の関係は説明されていない。
SonicWallが、リモートアクセス装置SMA1000の利用者ポータル「WorkPlace」に、認証なしで装置に代理リクエストを送らせ内部機能に届くSSRF（CVE-2026-102255、CVSS 10.0）など4件を修正した。公開直後は悪用未確認だったが、10月9日にPrevidianがハニーポットで悪用の試みを観測したと報じられた。同じWorkPlaceの認証前SSRFは7月と9月にもゼロデイとして悪用されており、9月の修正版も今回の対象に含まれる。ログイン前の「意図しない別経路」から内部機能に届くSSRF、今年3度目のCVSS 10.0。
旭化成セラピューティクスは、医療関係者向けサイト「Pharma DIGITAL」の運営・情報管理を委託する医薬情報ネットの会員データベースが不正アクセスを受け、医療従事者の氏名・所属施設・診療科など最大約51万4000名分（うち一部はメールアドレスも）と自社従業員約700名分が閲覧・取得された可能性があると公表。原因と侵入経路は調査中。旭化成セラピューティクス「Pharma DIGITAL」。運営委託先の会員DBに不正アクセス、医療従事者最大約51万4000人分が閲覧・取得の可能性。
Atlassianが、Jira・Confluence・Bitbucketなど自前で運用する8製品のData Center版に、認証なしでWebアプリケーションのルートディレクトリ内のファイルを読める脆弱性CVE-2026-21589（CVSS 4.0で9.3）を公表。ファイル名とパスを知っている必要があるが、全バージョンが対象で、更新できないなら外部からの接続を絞るよう求めている。ログインなしでWebルート内のファイルを読める欠陥、Jira・Confluenceなど8製品の自前運用版が対象。
GMOリサーチ＆AIは、アンケートサイト「infoQ」が10月2日以降に不正アクセスを受け、第2報（10月14日）で外部に持ち出された個人情報を89万4,082件と確定したと公表した。第1報の最大94万8,498件から下方修正。項目は氏名・住所・生年月日・暗号化パスワードなど。611件・2,869,500円分のポイントが本人の意思によらずAmazonギフトコードに交換された。原因はサイトで使っていたソフトウェアの脆弱性の悪用。10月7日に全会員のパスワードを無効化。
LibreOffice Calc と Apache OpenOffice Calc で、細工した表計算ファイルを開くと、自動更新されるデータベース範囲から外部のODBファイルとJDBCドライバーのJARが読み込まれ、マクロの警告なしに攻撃者のJavaコードが動く。LibreOfficeは10月5日に26.2.5／26.8.0で修正、OpenOfficeは4.1.16以前が影響を受け、4.1.17で修正予定。Java連携が有効な環境が対象。LibreOffice CVE-2026-63277／OpenOffice CVE-2026-59265。表計算ファイルを開くだけで外部のJavaコードが動く、マクロの警告を通らない「データ連携」の連鎖。
ミスターマックスは、MrMaxアプリとオンラインストアのサーバーが10月3日に不正アクセスを受け、最大1,735,154人分の会員ID・氏名・メールアドレス・電話番号が流出したと公表。侵入は「本サービスを構成するソフトウェアの機能を不正に利用」したもので、ソフトウェア名や詳しい手口は明らかにしていない。
Patchstackが、WordPressプラグイン Ninja Forms（CVE-2026-94504）と WPC Product Bundles for WooCommerce（CVE-2026-93836）の蓄積型XSSを使い、管理者のブラウザ上で偽プラグインのインストールと管理者作成を行う攻撃を10月4日から観測。ユーザー一覧に出ない管理者、元の管理者として入れる裏口URL、認証なしのファイルマネージャーが残り、プラグインを更新しても消えない。Ninja Forms／WPC Product Bundles の蓄積型XSS悪用。管理者が投稿を開いた瞬間に、一覧に出ない管理者と裏口ログインが作られる。
Nozomi NetworksとFortiGuard Labsが、ルーターやDVRの既知の脆弱性で広がるLinuxボットネットCling（ClingSTUN）を報告。NAT越えのSTUN通信に登録と命令を紛れ込ませ、命令はGoogleのSTUNサーバーのIPアドレスを偽装した送信元から届いていた。Cling（ClingSTUN）。公開STUNサーバーとのやり取りに命令を紛れ込ませ、GoogleのSTUNを装って届くIoTボットネット。
大和証券は、ネット経由の問い合わせ管理に使うサービスの提供元スカラコミュニケーションズのサーバーが10月2日20時33分頃から3日8時1分頃まで不正アクセスを受け、約11万人分の氏名・メールアドレス・口座番号等を含む約22万件の問い合わせ情報が漏えいした可能性があると公表。大和証券自身のシステムへの侵入は確認されていない。10月6日にはSC社が、FAQシステム「i-ask」の管理サイトへの不正ログインと不正プログラムの設置が原因で、同じサーバー上の最大5社・延べ最大71万3126件の問い合わせ情報が漏えいした可能性があると公表し、シチズン時計も約10万人分の影響を公表した。10月7日には損害保険ジャパンも、事業者向けドライブレコーダー「SMILING ROAD」の問い合わせ延べ約6万件が対象になった可能性があると公表した。同じ10月7日には東武鉄道も、お客さまセンターの問い合わせフォームにSC社のサービスを使っていたと公表したが、同社に関する情報の閲覧・取得の形跡は現時点で確認されていないとしている。10月8日にはオリックス生命保険も、公式サイトの問い合わせ管理に使うSC社のサービスで、医療情報等を含む延べ約2万6500件が漏えいした可能性があると公表した。11月2日には東武鉄道が、SC社が依頼したラックのフォレンジック調査の最終結果として、同社に関する情報の漏洩はなかったと報告を受けたと公表した。
デンマークの中央住民登録（CPR）で、民間企業に認められていた正規の照会アクセスが約10日間悪用され、登録者約1100万人のうち約880万人分の氏名・住所・CPR番号が取得された。データ保護庁は、有効なCPR番号を割り出すための大量の自動照会があったと説明している。デンマーク CPR（中央住民登録）。民間企業の正規の照会権限が悪用され、約880万人分の氏名・住所・個人番号が抜かれた。
Microsoftがオンプレミスの Exchange Server に、認証済みの攻撃者が同じ組織内の他人のメールボックスのメールと添付ファイルを読める脆弱性CVE-2026-96940（CVSS 8.8）を公表。9月の更新に追加した「V2」として予定より前倒しで配布した。悪用は未確認だが「悪用される可能性が高い」評価。Microsoft Exchange Server CVE-2026-96940。社内の一般ユーザーが他人のメールボックスを読める認可の不備、予定より前倒しで「V2」更新を配布。
大阪公立大学は10月2日未明から続く情報基盤システムの大規模障害について、10月5日の記者会見でランサムウェアによるサイバー攻撃と判断したと明らかにした。報道によると約500台のサーバーが停止し、バックアップの多くも暗号化。少なくとも約13万人分の個人情報が保管されており、流出の有無は調査中。8日まで全授業を休講している。10月6日には大学が会見の内容と配付資料を臨時お知らせサイトに掲載し、JPCERT/CCなどへの報告や、未明からの対応の経過を公式に示した。10月8日の第4報で、原因調査と復旧作業は続いているものの、予定どおり10月9日から全キャンパスで対面授業を再開し、臨時に構築したMoodleや学生Naviなどで授業を支えると発表した。OMUメールは10月8日に学生・教職員間の送受信と学外からの受信を再開し、学外宛ての送信は10月13日頃の再開を予定している。10月21日の第5報で、原因はシステムの保守・運用を委託するNECの再委託先が9月下旬に攻撃され、その正規アカウントで不正アクセスされたことだとNECから報告を受けたと発表。NECのクラウドストレージにあった大学関連の個人情報なども漏洩したが、内容と件数は確認中。10月23日には学長名で、卒業生・保護者向けの相談窓口（Webフォーム）を設置した。漏えいした情報の内容と対象範囲はなお確認中としている。
物語コーポレーションは、「焼肉きんぐ」公式アプリの会員管理システムが10月2日に不正アクセスを受け、ユーザー登録10,808,784件のうち10,788,963件の会員番号・氏名（登録名）・メールアドレス・電話番号が流出したと公表。パスワードや生年月日、利用履歴は対象外。原因と侵入経路は調査中。
Duo Agent Platformを使える認証済みユーザーが、細工したフロー設定でプロンプトテンプレートのサンドボックスを抜け、AI Gatewayでコマンドを実行できる。CVSS 9.9。自前ホストは19.2.4／19.3.2／19.4.1へ。カスタムフローのプロンプトテンプレートがサンドボックスを破りコマンド実行、自前ホストのゲートウェイは要更新。
放送用カメラなどの池上通信機は、9月21日の外部からの情報提供で調査を始め、9月30日に一部サーバの不正アクセス痕跡とファイル暗号化を、10月2日に攻撃者のリークサイトで自社保有とみられる情報の公開を確認したと公表。社内ネットワークは切断中。報道ではQilinが犯行を主張しているが、会社は言及していない。10月8日には、主要な社内システムの停止と経理データのサーバー隔離で決算作業が遅れているとして、11月12日予定だった中間決算の発表延期を公表した。外部からの通報で発覚、サーバのファイル暗号化とリークサイトへの情報公開。
9月末の緊急パッチ適用済みのNetScalerが再起動を繰り返した原因は、SAML処理の新しいゼロデイ。14.1-73.41／13.1-64.28へ再更新が必要。SAML署名の正規化処理で認証デーモンが落ちる、「ただのDoS」が再起動トリガーとして悪用された。
日経は10月4日、社員のMicrosoft 365アカウントへの不正ログインで9月30日になりすましメール約9000件が社内外に送られたと公表。別件でGoogle Workspaceにも7月下旬以降の不正ログインがあり1646人分が漏洩した疑い。日経BPでは日経社員アドレスからのフィッシングで認証情報を盗まれた従業員がいた。さらに10月16日、システム開発用クラウドの認証情報が窃取され、10月7日未明〜朝の不正アクセスで約183万件（個人を特定しうる情報が約15万件、識別子のみ約168万件）が漏洩したと公表した。この約183万件には日経BP、テレビ東京・BSテレビ東京、日経CNBC、日経サイエンスのサービス利用者の情報も一部含まれる可能性がある。社員のMicrosoft 365から取材先へなりすましメール約9000件、別件でGoogle Workspaceにも不正ログイン。
Proofpointが中国寄りのTA419を報告。無害なメールで信頼を得てから偽OneDrive経由でMicrosoft 365のログインを中継し、MFA後のセッションCookieを奪う。日本の組織や防衛相のなりすましドメインも。元米政府高官やAnthropic社員を装ってAI政策の専門家に接近、MFAごとセッションを奪うAitMフィッシング。
タイムズモビリティとパーク24は、タイムズカーWebシステムへの不正アクセスで退会者を含む約660万件のアカウント情報が第三者に取得され、うち約160万件では運転免許証画像などの本人確認書類も漏えいしたと公表。退会後7年間保管していた情報も対象。【10/25更新】10月23日の第5報でフォレンジック調査を終え、原因はWebシステムの脆弱性の悪用、画像の外部送信は1,464,800件と確定。
アバハウスインターナショナルは、9月27日深夜〜28日の社内システム不正アクセスにより会員・受注情報が漏えいした可能性があると公表。顧客からの不審な返金メール報告が発覚のきっかけ。件数未公表で全顧客が対象になりうる。10月9日の続報で、不正アクセスの経路を遮断し、EC管理システムのアクセス制限と認証の強化などの追加対策を実施、所轄警察へ被害届を提出したと公表。取得された情報の範囲と原因は調査中。
第一ライフグループと第一生命は、従業員向け人事システムへの不正アクセスを9月24日に検知し、従業員約5万人・退職者約7万人の計約12万人分の個人情報が閲覧・流出した可能性があると10月2日に公表。顧客情報への不正アクセスは現時点で未確認。
Dell Container Storage Modulesの認可まわりにCVSS 10.0の認証欠落など6件。1.18.0へ更新しJWT秘密とストレージ資格情報をローテーション。認証なしでストレージ管理者権限、Kubernetesノードrootまで届く欠陥群。
セッション署名鍵をMath.random()から作るHFS 3.xの欠陥。パッチは7月だが、詳細公開直後に米日向けの悪用観測。Math.random()署名鍵とPRNG漏洩、Mythos発見から公開後すぐ悪用。
ヤマト運輸は9月28日に「クロネコ代金後払いサービス」への不正アクセスを確認しサービス停止。10月2日の第2報で漏えいの可能性を公表し、10月9日の第3報でサービスを再開した。10月16日の第4報で、調査の結果、顧客情報約526万件（うちメール約49万件）、お届け先情報約5万件、加盟店情報約4,100件が不正に持ち出されたと確定した。第2報で可能性としていた請求金額・債権残高・社員氏名の持ち出しは確認されなかった。クレジットカード・パスワードは対象外。二次被害は未確認。侵入経路は未公表。
ヘルプデスクZammadのセッション固定RCEとローカル権限昇格が連鎖。DIVD侵害で悪用確認、CISAは2026-10-02にKEV追加。セッション固定からrootまで秒単位、DIVDを襲ったagentic AIのゼロデイ連鎖。
認証不要で管理GUIから任意ファイルを書けるFortiMailのゼロデイ。修正版は未出荷で、IBE無効化か管理面の到達制限が当面の手段。Fortinet FortiMail CVE-2026-104286。管理GUIのパストラバーサルとNULLバイトで任意ファイル書き込み、修正版未出荷のままKEV入り。
セイコーマートはアプリ経由で会員情報サーバへ不正アクセスがあり、登録経験のある会員の情報が閲覧されたと公表。第三報の57万2022人分から、10月5日の第四報で57万4647人分に修正し、アプリ・Web上の新規入会や会員情報の閲覧・変更機能を終了するとした。手法の詳細は警察連携のため非開示。会員57万4647人分が閲覧された不正アクセス（原因は非公表）。
集英社はファッション誌ブロガー管理システム「HAPPY PLUS COMMUNITY」への不正アクセスで、ブロガー2,835人分の個人情報などが漏えいしたと9月28日に公表。原因はCMS設定不備に起因するAPI認証情報への攻撃と説明。CMS設定不備から特権アカウントが作られブロガー2835人分が漏えい。
ロシア系Star Blizzardが、ClickFixに代わりVHDXと偽メンテ名のスケジュールタスク（RedFlick）でCosmicPulseを配布。2026年に13件超の大規模キャンペーン。Star Blizzard RedFlick。ClickFixからVHDX＋スケジュールタスクへ、1操作でCosmicPulseを入れるespionage配信。
China-nexusのWarlock運用者が、未パッチのオンプレSharePointから入り、SYSVOLにランサムを置いてドメイン複製で一斉展開する手口。Warlock（Longlegs / Storm-2603）。SharePoint侵入からSYSVOL複製でドメイン全体へランサムを配る。
吉野家・はなまるが過去に委託していたApplyNowの採用管理基盤が、データ分析ツールの脆弱性を悪用した不正アクセスを受け、応募者5,366件と採用担当アカウント418件が漏えいした。契約終了後もデータが残っていた点が焦点。
守るはずのセキュリティ製品がウォレットへの踏み台になった。暗号資産取引所Bitgetのホットウォレット・ウォームウォレットから約3億8750万ドル相当が流出した。SlowMistとMandiantの中間調査によれば、攻撃者は第三者製のセキュリティ製品（アプライアンス）2台を侵害し、そこから本番のウォレットジョブサーバへ横展開した。
1文字のURIエンコードが管理者APIを開けた。Cisco Catalyst SD-WAN Manager（旧vManage）に、ログインなしでAPIをadminユーザーとして操作できる脆弱性 CVE-2026-76504（CVSS v3.1 9.8）があり、2026年9月に実際の悪用が確認された。
DTLSの断片長を信じたパケットエンジンと、パッチ後に残る足場。NetScaler ADC / Gateway の認証前RCE脆弱性 CVE-2026-88772（DTLS処理のメモリオーバーフロー）と CVE-2026-88771（入力検証不備によるコマンド実行）が、2026年9月27日のパッチ公開前からゼロデイとして悪用された。CVSS v4.0はどちらも9.5。
1通のSMTPがSNMP通知を経てシェルになる、パッチから公表までの「隙間」の悪用。Zimbra Collaboration Suite（ZCS）のSNMP通知処理に、認証不要のOSコマンドインジェクション CVE-2026-73570（CVSS 8.9）がある。オプションの zimbra-snmp パッケージを導入し、SNMP通知を有効にした環境では、細工したSMTPリクエスト（メール）だけで、ユーザー操作なしにzimbraサービスアカウント権限でコマンドを実行される。
キーワードやタグを変えて探してみてください。