前回からの変化
前回(2026-10-16)との比較。本カテゴリは週次のため、比較対象は1週間前のレポートである。
変わったこと(変化・新規)
- 前回の脆弱性の中心はIvanti Connect Secureとマイクロソフトの定例更新だったが、今回はPHPの重大な脆弱性PHP2Shellが新たに加わった。Webサーバー全般に影響する範囲の広さが特徴である(CISA)
- IDCFクラウドは、前回の「一部データの復元が困難」から、10月14日の第5報で、スナップショットを使っていた194の顧客でバックアップの取り出しが可能と確認された段階へ進んだ。ただし、それで業務が復旧したわけではない(セキュリティ対策Lab)
- 国家関与の攻撃では、前回は当局による新たな帰属の公表がなかったが、今回はBeyondTrust製品の悪用について、中国系の攻撃集団への帰属が報じられた(Decryption Digest)
前回と同じこと(継続)
- 境界のネットワーク機器・管理製品の脆弱性を突く攻撃が続いている。前回のIvantiに続き、今回はBeyondTrustが悪用された
- 国内で不正アクセスによる個人情報の漏えいが相次ぐ状況は続いている。前回のブックオフとCommuneの件に、新たな続報は今回確認できなかった
要因の連続性
- 継続要因: 管理・接続用の製品の脆弱性が、修正版の公開前後で急速に悪用される構図。外部委託先やクラウドを経由して被害が広がる構図も続いている
- 新規要因: 生成AIが脆弱性の発見と攻撃手法の調整の障壁を下げているとの指摘。PHP2Shellの発見にAIが使われ、岩井コスモ証券の事案でも攻撃者がAIを使ったと同社が説明している(Help Net Security)
- 解消した要因: 大阪公立大学など、前回継続中だった案件の新しい公表は確認できなかったため、決着とは判断できない
今週の概観
前回(10月16日)から今回までの1週間は、Webサーバーで広く使われるPHPの重大な脆弱性が最大の話題だった。修正版は10月21日に公開された。BeyondTrustのゼロデイは、8月末から悪用されていたことが明らかになり、CISAの悪用済み脆弱性の一覧(KEV)にも載った。国内では、IDCFクラウドの復旧状況の更新と、岩井コスモ証券の不正売買の続報があった。
主な侵害・インシデント
IDCFクラウドのランサムウェア被害(継続)
IDCフロンティアのIDCFクラウド東日本リージョン1は10月7日にランサムウェアを受け、495の企業・自治体に影響した。10月14日の第5報では、スナップショット機能を使っていた194の顧客でバックアップデータの取り出しが可能と確認された。取り出したデータからシステムを復元できるかは確認中である。外部の専門企業の調査では、顧客の仮想サーバー内のデータが外部へ持ち出された痕跡は確認されず、同社は外部への流出はなかったと判断した。一方、仮想サーバーとは別の「IDCFクラウドポータル」では、48社の登録情報に対する不正な照会が確認された(出典: セキュリティ対策Lab)。
岩井コスモ証券の不正売買
岩井コスモ証券は、10月14日に不正アクセスを検知し、同日中に通信を遮断した。7口座で利用者の意図しない売買注文が出され、うち5口座で約定した。パスキー認証(パスワードの代わりに端末の生体認証などを使う仕組み)は突破されていないと説明している。個人情報の漏えいは4,975人分に拡大した(当初より364人増)。漏れたのは氏名やメールアドレスなどで、取引暗証番号は含まれないとされる。取引前の状態への復旧は完了しており、顧客の負担は発生していない。10月20日時点でシステムは安定稼働している。10月21日の続報で、同社は、攻撃者がAIを使ってシステムの脆弱性を突き、総当たり攻撃(パスワードを手当たり次第に試す方法)を行ったと説明したが、使われたAIツール名や具体的な段階は公表していない(出典: セキュリティ対策Lab)。件数は公表時点の値で、後日訂正される可能性がある。
重大脆弱性
PHP2Shell(CVE-2026-109618、CVE-2026-109619)
PHPの実行環境にある、メモリ管理の欠陥(解放済みの領域を使う不具合)による2件の脆弱性である。認証なしの攻撃者が細工したWebリクエストを送ることで、サーバーを乗っ取れるおそれがある(遠隔コード実行)。CVSS v4.0のスコアは両方とも9.2(緊急)と報じられている。Webリクエストを処理するすべてのPHP環境が対象で、PHP-FPM、Apache(mod_php)、php-cgi、FrankenPHP、LiteSpeedなどを含み、Apache mod_phpのリスクが最も高いとされる。
修正版はPHP 8.5.12、8.4.27、8.3.36、8.2.35で、10月21日に公開された。PHP 8.1以前はサポート対象外で、7.4、8.0、8.1には最小限の修正の移植版が出ている(出典: CISA、Help Net Security)。
悪用の状況は出典で食い違う。CISAは公表時点で悪用を確認していないとし、10月22日時点でKEVにも載っていない。一方、AmazonのハニーポットMadPotは10月17日に悪用の試みを検知し、公開の4日前に攻撃者が詳細を入手していた可能性が指摘された。watchTowrの観測網も10月21日以降の悪用を確認したと報じられている(出典: Help Net Security、watchTowr)。発見にはAIが使われたと、Wizの研究者は説明している。
対処は、インターネットに公開しているシステムから優先して修正版へ更新することである。直ちに更新できない場合は、システムの停止やWAF(Webアプリケーションファイアウォール)の導入を検討する。CloudflareはすべてのユーザーのWAFに初期のルールを入れた。PHPが他の製品に組み込まれて動いていることもあるため、利用箇所の棚卸しが勧められている(出典: CISA)。
BeyondTrust Remote Support / Privileged Remote Access(CVE-2026-102764)
遠隔支援製品の内部通信部分にある認証の不備で、認証なしの攻撃者が任意のファイル操作を行い、機器のroot権限を奪えるおそれがある。CVSSは9.3(緊急)。影響は、バージョン24.3.1から26.2.3のRemote SupportとPrivileged Remote Accessである。
悪用は8月29日に始まり、クラウド版は10月8日に自動で修正され、自社運用の機器向けの修正パッチ「BT26-05-RS」は10月15日に公開された。CISAは10月16日にKEVへ追加し、連邦機関の対応期限は10月19日だった。同記事は、攻撃集団「ARMORY CASTLE」(UNC5221、WARP PANDAとも追跡)を、中国と関係する情報収集型の集団として、MandiantとGoogle Threat Intelligence Groupが帰属したと紹介している。侵入後にウェブシェル(遠隔操作用の不正プログラム)を設置し、ログを消し、認証情報を収集したと報じられている(出典: Decryption Digest)。一次情報(BeyondTrustのアドバイザリ、CISAのKEV)は今回確認できておらず、二次報道に基づく。対処は、パッチの即時適用、機器からアクセスできる認証情報の更新、8月末までさかのぼったログの確認である。
国家関与・APT
BeyondTrustの悪用について、MandiantとGoogle Threat Intelligence Groupが中国と関係するARMORY CASTLE(UNC5221、WARP PANDA)に帰属したと報じられている(出典: Decryption Digest)。帰属は両社の見解であり、中国政府の関与を当局が公表したものではない。当局による共同勧告・制裁・起訴は、今回の調査期間では確認できなかった。
国内の動き
10月7〜9日に、個人情報保護委員会、JPCERT/CC、国家サイバー統括室、IPAが、国内で相次ぐ不正アクセスへの注意喚起を公表した(前回までに紹介)。JPCERT/CCは、既知の脆弱性の網羅的な探索、公開アプリのAPIの不正利用、Metabaseの脆弱性(CVE-2026-72898)の悪用、アプリケーションサーバーへの不正なWARファイルの設置といった手口を示し、過去1か月のログの確認、パッチ適用、API公開の絞り込み、多要素認証、保有データの最小化を求めた(出典: piyolog)。能動的サイバー防御の制度の新たな動きは、今回確認できなかった。
継続中の案件の進捗
- Ivanti Connect Secure(CVE-2026-104935)とマイクロソフト10月の定例更新(前回レポートより継続): 新たな続報は、今回の出典では確認できなかった。該当製品を使っている場合は、修正版の適用状況を確認する
- ブックオフ(最大約643万件)、Commune(推計約30.7万人)、大阪公立大学(前回より継続): 新たな公表は確認できなかった
次の定例更新は、11月10日(第2火曜日)のマイクロソフトの定例更新である(定例日による推定)。
読者への一言: PHPを使うWebサイトやサーバーを管理している場合は、修正版への更新を最優先で確認する。管理していない場合も、利用中のサービスからの通知に注意し、パスワードの使い回しをやめ、多要素認証を有効にしておくと被害を抑えやすい。
