前回からの変化
前回(2026-10-23)との比較である。本カテゴリは週次のため、比較対象は1週間前のレポートである。
変わったこと(変化・新規)
- PHP2Shellは、前回は「CISAは悪用を確認していない」段階だったが、10月26日にCISAが悪用済み脆弱性の一覧(KEV)へ追加した。連邦機関の対応期限は29日である。実際に動くシェルが観測されたことが理由とされる(続報。BleepingComputer)
- 国内では、Amadeusの予約システムへの不正アクセスと、ブラストメールの情報流出が新たに公表された(新規)
- 前回の国家関与の項目は「新たな帰属の公表なし」だったが、今回も当局の公表は確認できず、報道の見出しレベルの話題にとどまる
前回と同じこと(継続)
- 管理用や境界の製品、Web基盤の脆弱性を突く攻撃が続いている。前回のPHPとBeyondTrustに続き、今回はArista製品の悪用も加わった
- 委託先やクラウド事業者を経由して被害が広がる構図が続いている(前回のIDCFクラウドに続き、今回はAmadeusとブラストメール)
要因の連続性
- 継続要因: 修正版の公開前後で急速に悪用される構図。PHP2Shellは前回レポート時点でも公開前の悪用が指摘されており、KEV入りで裏づけが強まった
- 新規要因: 公開競技で実際に侵入された事例が示され、悪用の難しさへの見方が変わった。ログイン情報の悪用による予約システムの侵害が加わった
- 解消した要因: 前回「出典で食い違う」としたPHP2Shellの悪用状況は、CISAの追加で悪用済みと確定した
今週の概観
最大の話題は、PHP2Shellの悪用が確定したことである。10月26日にCISAがKEVへ追加し、Amazon、Cloudflareなど複数の事業者が攻撃の試みを観測した。国内では、日本航空などが使う予約システムの不正アクセスと、メール配信サービスの流出が公表された。そのほか、AristaのVeloCloud Orchestratorなどで悪用が確認されている。
主な侵害・インシデント
Amadeus旅客サービスシステムへの不正アクセス
日本航空と日本トランスオーシャン航空が10月28日に公表した。予約システムを提供するAmadeusで不正アクセスがあり、予約情報が外部から閲覧された。対象期間は2023年8月10日から2026年9月23日で、日本の2社では約9万人が予約番号、氏名、搭乗日、区間、搭乗クラスを、約2,000人がこれらに加えてメールアドレス、電話番号、旅券番号などを閲覧された。クレジットカード番号とパスワードは含まれない。韓国の航空会社は、Amadeusのアカウントに付与されたログイン情報が使われたと説明している。大韓航空とアシアナ航空も影響を公表した。件数は公表時点の値で、後日訂正される可能性がある(出典: piyolog)。
ブラストメール(ラクスライトクラウド)の情報流出
ラクスライトクラウドが提供するメール配信サービス「ブラストメール」は、10月21日に外部からの不正アクセスを受け、同日0時30分にサービスを緊急停止した。外部の第三者がAPI用サーバー2台に侵入し、販売管理システムとサービスのデータベースにつながって、データを持ち出したと同社は説明している。流出したのは、全契約者の会社名、担当者名、電話番号、メールアドレス、請求履歴と、一部契約者の配信先リストで、最終的に345契約が影響を受けた。クレジットカード情報は保管されていなかった。197の組織が影響を公表しており、カカオピッコマ(約100万件)、アルク(約31万件)などが含まれる(出典: piyolog)。
ふるさとチョイスの会員情報流出(前回の調査期間の直後に公表)
トラストバンクは10月20日、「ふるさとチョイス」の会員情報4,454,097件が外部へ流出したと公表した。不正アクセスは10月17日にあり、19日に通常と異なるアクセスを把握した。前回レポートでは扱っていなかったため、今回補足する(出典: ScanNetSecurity)。
重大脆弱性
PHP2Shell(CVE-2026-109618、CVE-2026-109619)
PHPの実行環境で、認証なしの攻撃者が遠隔でコードを実行できるおそれのある2件の脆弱性である(前回からの継続案件)。CVSS v4.0は両方9.2。10月26日にCISAがKEVへ追加し、連邦機関の期限は29日(拘束的運用指令26-04)とされた。Amazonは、攻撃が修正版の公開の4日前から始まっていたと説明している。Cloudflare、Hadrian、watchTowr、Patchstack、Perplexityなども攻撃の試みを観測した。Perplexityの観測では、PHP 8.4.26のApache mod_php環境に対する遠隔コード実行が確認された。インターネットに公開されているPHPは約510万台とされる。
修正版は10月21日公開のPHP 8.5.12、8.4.27、8.3.36、8.2.35である。PHP開発側は、別の未修正のCVE-2026-115560についても、設定とアプリケーションの特殊な組み合わせで起きる問題として対処の指針を出している(出典: BleepingComputer)。
また、研究者が10月25日に賞金付きの公開競技「Steal My Bitcoin」を開き、未修正のPHP 8.4.26のサーバーが約19時間で突破された。賞金は最終的に約2,000ドル相当になった。悪用の難しさが実際に試された例で、手口の詳細は省く(出典: piyolog)。対処は、修正版への更新を最優先にすることである。
GitLab(CVE-2026-97229)
CI/CDの正規表現処理にある整数オーバーフローで、認証なしの遠隔コード実行につながる。CVSSは10.0。影響は19.2系の19.2.8未満、19.3系の19.3.5未満、19.4系の19.4.2未満で、10月12日に修正版が出た。自社運用の環境のみが対象で、GitLab.comとDedicatedは対応済みである。Rapid7は、13日時点で実環境での悪用は確認されていないとしていた(出典: Help Net Security)。29日付の報道の見出しには悪用の試みを伝えるものがあるが、本文は確認できなかった(出典: The Hacker News)。自社運用の場合は修正版への更新を急ぐ。
Arista VeloCloud OrchestratorとFortiSIEM
Arista VeloCloud Orchestrator(CVE-2026-114625、SQLインジェクション)は、Aristaが攻撃を確認し、CISAが10月23日にKEVへ追加した。Fortinet FortiSIEM(CVE-2026-106173)は、カナダのサイバーセキュリティセンターが悪用を確認し、攻撃の検証コードも公開されている。同じ集計時点ではKEV未登録だった(出典: SecurityOnline)。該当製品を使っている場合は、修正版の適用とログの確認を行う。
AIエージェントの設定ファイルを悪用する手口
Forever Securityは10月22日、AIエージェントが、ダウンロードフォルダーに置かれた指示ファイルを読み込み、自分の設定を書き換えてしまう問題を公表した。実際に、不審なnpmパッケージの導入が実行前に止められた事例も報告されている。第三者の確認では、最新版のCodexとClaude Codeに対する80回の試行はいずれも成功しなかった。CVE番号はなく、再現手順は省く(出典: piyolog)。ダウンロードしたフォルダーでAIエージェントを起動しない、設定ファイルの不審な変更を点検する、といった一般的な対応が有効である。
国家関与・APT
当局による共同勧告・制裁・起訴は、今回の調査期間では確認できなかった。報道の見出しでは、中国と関係するVolt Typhoonが複数の攻撃で未公開の脆弱性を悪用し、隠れた接続網を使っていた(10月28日)、Cisco SD-WANの脆弱性(CVE-2026-20127)を悪用して暗号鍵を狙うマルウェアが見つかった、という話題があった。これらは見出しのみで、本文の確認ができておらず、帰属の主体も確認できていない(出典: The Hacker News)。CVE-2026-20127自体は、2026年2月にCiscoが公表し、2023年から悪用されていたと報じられた既知の案件である。
国内の動き
個人情報保護委員会、JPCERT/CC、国家サイバー統括室、IPAによる新たな注意喚起は、今週は確認できなかった。能動的サイバー防御の制度面の動きも確認できていない。被害公表では、上記のAmadeusとブラストメールが中心である。
継続中の案件の進捗
- PHP2Shell: KEV追加で「悪用確認」へ進んだ。上記のとおり
- IDCFクラウド、岩井コスモ証券、BeyondTrust(CVE-2026-102764): 今回の調査では新たな公表を確認できなかった。該当製品を使っている場合は、修正版の適用状況を確認する
- Ivanti Connect Secure、ブックオフ、Commune、大阪公立大学: 今回も新たな公表は確認できなかった
次の定例更新は、11月10日(第2火曜日)のマイクロソフトの定例更新である(定例日による推定)。
読者への一言: PHPを使うWebサイトやサーバーを管理している場合は、修正版への更新を最優先で確認する。利用者としては、予約や配信のサービスから通知が来たら、公式サイトで内容を確かめ、パスワードの使い回しをやめて多要素認証を有効にしておくと被害を抑えやすい。
