前回からの変化
前回(2026-11-06)との比較である。本カテゴリは週次のため、比較対象は1週間前のレポートである。
変わったこと(変化・新規)
- 前回「次の定例更新」として予告した11月10日のMicrosoft更新が出て、悪用済みのOutlook欠陥が1件含まれた(新規。Qualys)
- CISAが9日にKEV(既知の悪用された脆弱性のカタログ)へ4件を追加した。前回のIvantiとは別の製品群である(新規。eSecurityPlanet)
- 前回は「確認できなかった」当局動向に動きがあった。国家サイバー統括室が5日に注意喚起を出し、関係閣僚会議が6日に緊急対策パッケージを決めた(新規。SmartScope)
- Binanceの流出は、FBIが関連アドレス628件を公表し、侵入口を開発担当者のノートPCの侵害とする報道が出た(前回は供給網や採用面接を装った接触を中心に整理していた。BleepingComputer)
- アララ メッセージの被害は、対象の契約企業が最大約380社と推計され、不審メールが最大713万通送られたと報じられた(前回は125以上の組織が公表と整理。eSecurityPlanet)
前回と同じこと(継続)
- メール配信や委託先を経由して個人情報が広がる構図が続いている。アララでは契約企業ごとの公表が続き、ちょびリッチは会員のメールアドレス約134万8千件を公表した(SmartScope)
- 境界のVPN製品の脆弱性が悪用される流れも続いている。前回のIvantiは、連邦機関の対応期限が本日13日に来る(Help Net Security)
- 前回の主題だったXCPEボットネットの解体、外務省の不正アクセス、ユミルリンクのCuenote、NIKKEのPCランチャーについては、今回の調査では新たな公表を確認できなかった
要因の連続性
- 継続要因: 基本的な管理の不備が被害につながる構図。政府の注意喚起は、既知の脆弱性の放置や設定不備が相次ぐ漏えいの原因と指摘しており、前回までの侵入口(Webサーバーやライブラリの脆弱性)と同じ流れにある。修正版の公開と悪用が近接する点も、前回のIvantiから続いている
- 新規要因: 政府が攻撃者のAI利用の可能性を指摘した。また、認証をすり抜ける欠陥(GPUStack、IBM Aspera Faspex、OpenSSHの一部構成)が悪用済み一覧にまとめて加わった
- 解消した要因: 前回の「定例更新待ち」は、10日の更新で解消した。Ivantiのうち先に期限が来たCVE-2026-111357は、連邦機関の期限(2日)を過ぎた
今週の概観
過去1週間(6日〜12日)の最大の動きは、10日のMicrosoft定例更新でOutlookの悪用済み欠陥が修正されたことと、9日にCISAが4製品の脆弱性を悪用済み一覧へ加えたことである。国内では、5日の国家サイバー統括室の注意喚起と、6日の関係閣僚会議による緊急対策パッケージが出た。Binanceの流出とアララの被害は、続報で内容が更新された。この1週間に、国内で新たに大規模な個人情報の漏えいを公表した事案は、一次情報では確認できなかった。
主な侵害・インシデント
アララ メッセージの被害の続報
アララの親会社ペイクラウドホールディングスは、11月2日の第2報で、契約企業のサーバー97台から約7,700万件のメールアドレスが流出したおそれがあると公表した。対象の契約企業は最大約380社と推計され、重複があるため人数を示す数字ではないと説明している。報道によると、クレジットカード会社を装った不審メールが10月28日から30日に最大713万通送られた。サービスは10月31日から全面停止しており、4日時点で再開の時期は未定である。件数は精査中で、公表値は今後更新される可能性がある(出典: eSecurityPlanet、SmartScope)。利用者は、カード会社を名乗るメールのリンクを開かず、公式アプリや公式サイトから確認するとよい。
Binanceの流出の続報
BleepingComputerによると、流出額は約63億6千万ドルで、10のブロックチェーンにまたがり、大半が約20分で動かされた。Binanceは、侵入口を開発運用担当者のノートPCの侵害とし、そこから内部のコンテナに入って不正な出金を指示されたと説明している。FBIは、盗まれた資産が主にイーサリアムへ換えられ、分散型金融や即時交換サービスで洗浄されるとみて、関連アドレス628件(イーサリアム608件、ビットコイン19件、ソラナ1件)を公表し、取引の遮断を求めた。Binanceは全額を自社で負担するとし、補填は約95パーセントとの報道もある(前回は4日時点で98パーセントと整理しており、数値は報道ごとに異なる。出典: BleepingComputer)。8日以降の新しい進展は確認できなかった。
重大脆弱性
Microsoft Outlook(CVE-2026-124194)
11月10日の定例更新(Patch Tuesday)で、悪用が確認されたゼロデイ(修正前に悪用された欠陥)が1件修正された。Outlookのなりすまし欠陥で、細工したメッセージファイルを開くと、外部コンテンツの警告なしに攻撃者の指定先へ接続し、認証情報が漏れて利用者になりすませるおそれがある。CISAはKEVに加え、連邦機関の対応期限は11月24日である。更新全体は1,000件を超え、Qualysは合計1,235件(製品別の表の合計は1,094件で集計が食い違う)と整理している。認証なしで遠隔から実行できる重大な欠陥も、IIS(CVE-2026-119961)、LDAP(CVE-2026-119958)、Schannel(CVE-2026-119952)などに含まれる。対処は、Windows UpdateとOfficeの更新を適用することである(出典: Qualys、SecurityWeek)。次の定例更新は12月8日の予定である。
CISAのKEVに追加された4件(11月9日)
CISAは9日、悪用が確認された4件をKEVへ加え、連邦機関の期限を12日とした。製品とCVEの対応は二次報道に拠るため、番号はCISAの一覧で確認したい(出典: eSecurityPlanet)。
- GPUStack(CVE-2026-102895): 2.2.0より前のバージョンで、認証なしで管理者権限を得られる欠陥。2.2.0以降への更新が対処で、攻撃者が作った管理用キーは更新では消えないため、不審なキーの無効化も必要とされる
- FreeSWITCH(CVE-2026-116779): 1.11.2以前で、SIPメッセージの処理にコマンド実行の欠陥がある。重大度を示すCVSSは9.8。1.11.3への更新が対処で、不要ならSIPチャットを無効にする
- OpenSSH(CVE-2026-123158): musl libcを使い、PAMを使わない一部のLinux構成(Alpine Linuxなど)で認証を回避できる。すべてのOpenSSHが対象ではなく、配布元の更新と構成の確認が対処
- IBM Aspera Faspex(CVE-2026-123218): 5.0.0から5.0.19で、認可の欠陥により管理者権限を得られる。CVSSは9.8。5.0.19 PL1への更新が対処で、回避策はない
Ivanti Connect Secure(継続)
前回扱ったCVE-2026-118527は、連邦機関の期限が本日13日である。該当製品を使っている場合は、修正版への更新に加え、ログと認証情報の点検が必要である(出典: Help Net Security)。
国家関与・APT
Binance流出とTraderTraitor(継続)
FBIは、流出を北朝鮮系のTraderTraitor(Lazarusの一部とされ、Jade SleetやAPT38の別名もある)によるものと公表した。民間分析会社のTRM LabsとChainalysisも、先に同様の見方を示していた。公表の主体はFBIと分析各社であり、断定ではなく当局の見解である(出典: BleepingComputer)。今回の調査で、新たな国家関与の攻撃の公表や、制裁・起訴などの対抗措置は確認できなかった。
国内の動き
国家サイバー統括室の注意喚起と総務省の周知
国家サイバー統括室は5日、事業者向けに「個人情報の漏えい等につながる不正アクセスへの対策」を公表した。相次ぐ漏えいの原因として、モバイルアプリ開発時の対策不足、Webサイトの設定不備、サポートが終わったソフトや既知の脆弱性の放置を挙げ、攻撃者がAIを使った可能性が高いとも指摘した。総務省は6日、所管の事業者と関係団体に同じ内容を周知した。求める対策は、運用・管理、設計・開発、委託先を含む供給網の3本柱で、修正の適用や多要素認証の導入が含まれる(出典: SmartScope)。
サイバーセキュリティ緊急対策パッケージ
関係閣僚会議は6日、相次ぐ不正アクセスと情報流出を受け、緊急対策パッケージを決定した。柱は、AIも使った基本対策の徹底、情報収集・捜査・分析体制の強化、攻撃への戦略的な対処、被害者の支援の4つである。被害組織の要請を受け、官民の専門家を初動対応に派遣する「官民サイバー救援隊」(仮称)の新設、自治体へのWebシステムの棚卸しと脆弱性点検の要請、通信事業者による漏えいデータの悪用抑止策の検討、2027年3月開始予定の供給網のセキュリティ評価制度などが盛り込まれた。文書は、早期に着手する取り組みの第一弾と位置づけている。報道による要約で、内閣官房の原文は今回確認していない(出典: SmartScope)。
当局動向
個人情報保護委員会、警察庁、JPCERT/CC、IPAの新たな公表については、今回の調査では確認できなかった。
継続中の案件の進捗
- Binanceの流出: FBIが関連アドレスを公表し、各社に取引の遮断を求めている。補填率は報道により95パーセントから98パーセントと幅があり、新しい進展は8日以降確認できていない
- アララ メッセージ: 全面停止が続き、契約企業ごとの公表が続く。再開時期は4日時点で未定
- Ivanti Connect Secure: 連邦機関の期限が本日13日に到来
- PHP2Shell、Amadeus、ブラストメール、GitLab、Arista、FortiSIEM、XCPE、外務省、Cuenote、NIKKE: 今回の調査では新たな公表を確認できなかった。該当製品を使っている場合は、修正版の適用状況を確認する
次の定例更新は、12月8日のマイクロソフトの定例更新である。
読者への一言: WindowsとOfficeの更新を早めに適用し、知らないメッセージファイルを開かないこと。サービス事業者から漏えいの通知が来たら公式サイトで内容を確かめ、パスワードの使い回しをやめて多要素認証を有効にしておくと被害を抑えやすい。
