記事 ウイルス対策・エンドポイントセキュリティ 出荷時からバックドア、130万台超のTVボックスが悪用 グーグルが製造元を締め出し 出荷時からバックドア、130万台超のTVボックスが悪用 グーグルが製造元を締め出し 2026/11/03 1 グーグルは11月3日、機器メーカーのVideostrongが出荷時から意図的にバックドアを仕込んでいたとして、Android TVボックスなど130万台超を組み込んだボットネット「XCPE」を、法的措置で解体したと発表した。警察庁も協力した。同社は認定Android機器の製造から排除された。機器を調達する企業にも影響が及ぶ。
記事 セキュリティ総論 ノジマ、会員700万件の個人情報が漏えい 住所・電話番号も対象、自分は大丈夫か ノジマ、会員700万件の個人情報が漏えい 住所・電話番号も対象、自分は大丈夫か 2026/11/02 ノジマは11月2日、ECサイト「ノジマオンライン」と中古スマホ買取サイトの会員管理システムに不正アクセスがあり、退会者を除く約700万件の個人情報が漏えいしたと発表した。氏名や住所、電話番号、暗号化されたパスワードなどが対象で、クレジットカード情報は保持していないという。2サイトは一時休止している。
記事 セキュリティ総論 「冷凍庫が55度に」スウェーデンとベルギーへ拡大、サポート切れの制御機器に疑い 「冷凍庫が55度に」スウェーデンとベルギーへ拡大、サポート切れの制御機器に疑い 2026/11/02 11月2日、スウェーデンとベルギーのスーパーで、夜間に冷凍・冷蔵設備の庫内温度が急上昇する事案が相次いだと報じられた。10月にフランスで起きた同種の事案に続くもので、ICAやCoop、デレーズ、カルフールの店舗に被害が広がった。疑われる制御機器の多くはサポートが終了している。
記事 ASM・CTEM・脆弱性診断・レッドチーム RHELに「CVSS9.8」の重大脆弱性、修正版公開…OpenShiftなど未修正製品は大丈夫か RHELに「CVSS9.8」の重大脆弱性、修正版公開…OpenShiftなど未修正製品は大丈夫か 2026/11/02 レッドハットは11月1日、Linuxカーネルの脆弱性「CVE-2026-98432」に対応するRHEL向けの修正版を公開した。IPv4のTCP処理に起因するuse-after-freeで、CVSSは9.8、重大度は最上位の「Critical」。RHEL 8、9、10とOpenShiftが影響を受け、同社は暫定対策としてnftablesのルールも案内している。
記事 セキュリティ総論 スマートニュースにまた不正アクセス、10日で2度目 ポイントの不正操作で交換停止 スマートニュースにまた不正アクセス、10日で2度目 ポイントの不正操作で交換停止 2026/11/02 1 スマートニュースは、ニュースアプリ「SmartNews」のシステムの一部に10月31日から11月1日にかけて第三者による不正アクセスがあったと発表した。ポイント・特典システムで不正な操作を確認し、ポイント交換を一時停止した。プッシュ通知なども使えず、アカウントへの影響は調査中という。10月22日の事案とは別という。
記事 情報漏えい対策 ベネッセ500円、タイムズカー3,000円、GMO5,000円…情報漏えいの「お詫び」に正解は？ ベネッセ500円、タイムズカー3,000円、GMO5,000円…情報漏えいの「お詫び」に正解は？ 2026/11/02 2 パーク24（タイムズカー）は3,000円、GMOは5,000円──。相次ぐ個人情報流出を受け、企業が支払う見舞金の額に関心が集まっている。過去にはベネッセが500円相当のお詫びを用意し、「安すぎる」と批判を浴びたこともあった。では、いくら支払えば企業は責任を果たしたことになるのか。そもそも、一度外部に流出した情報は、金銭で元に戻せるものではない。見舞金を「手土産」にたとえると見えてくる補償の本当の役割と、企業の明暗を分ける「2つの行動」を読み解く。
記事 セキュリティ総論 Claude Code改ざん版に「SSHバックドア」…Cursorで11時間配布、「謎の鍵」はないか？ Claude Code改ざん版に「SSHバックドア」…Cursorで11時間配布、「謎の鍵」はないか？ 2026/10/31 Cursorは10月29日、VS Code拡張機能のマーケットプレイスで、Claude Code拡張機能の改ざん版（2.1.312、2.1.313）が約11時間公開され、SSHバックドアを仕掛けようとしたと明らかにした。消しても残る仕組みがあり、目印は鍵のコメント「svc-telemetry」。アンソロピックの技術スタッフは自社侵害ではないとXで説明した。
記事 セキュリティ総論 松屋アプリとHPが不正アクセスで同時停止…復旧は未定、利用者の情報は大丈夫か？ 松屋アプリとHPが不正アクセスで同時停止…復旧は未定、利用者の情報は大丈夫か？ 2026/10/30 松屋フーズと松屋フーズホールディングスは10月29日、外部からの不正アクセスを検知したとして、公式アプリとホームページ等の関連サービスを停止したと明らかにした。原因や影響範囲は調査中で、復旧の見通しは未定という。情報漏えいの有無など被害の詳細は、現時点で公表されていない。
記事 セキュリティ開発・DevSecOps Jenkinsに高深刻度の脆弱性13件、遠隔でコード実行の恐れも…CI/CD基盤は大丈夫か Jenkinsに高深刻度の脆弱性13件、遠隔でコード実行の恐れも…CI/CD基盤は大丈夫か 2026/10/29 2 Jenkinsプロジェクトは10月28日、CI/CDツールJenkins本体の脆弱性15件を修正するセキュリティアドバイザリーを公表した。深刻度は高が13件、中が2件。XStreamの逆シリアル化の不備によるリモートコード実行の恐れもある。weekly版2.587以前とLTS版2.580.1以前が対象で、weekly版2.588とLTS版2.580.2で修正した。
記事 ASM・CTEM・脆弱性診断・レッドチーム Chrome更新、重大4件含む52件の脆弱性を修正…4件すべて1人が報告、Claude支援も Chrome更新、重大4件含む52件の脆弱性を修正…4件すべて1人が報告、Claude支援も 2026/10/29 グーグルは10月27日、Chromeのデスクトップ向け安定版の更新版（156.0.8078.73/.74）を公開した。重大4件を含む52件の脆弱性を修正し、報告者にはアンソロピックの研究者によるClaude支援の報告やOpenAIのCodex Securityの報告も含まれる。悪用確認済みの記載はないが、配布は段階的で、企業は適用状況の確認を急ぎたい。
記事 災害対策（DR）・事業継続（BCP） 「台風でも出社」はもうムリ…「出社前提システム運用」の限界を超える“仮想セキュアルーム”とは 「台風でも出社」はもうムリ…「出社前提システム運用」の限界を超える“仮想セキュアルーム”とは 2026/10/29 クラウド活用やテレワークが急激に普及した現代においても、高いセキュリティが求められるシステム運用現場では「物理的なセキュアルームへの入室」が依然として前提となっている。夜間・休日の緊急対応や自然災害時の交通麻痺、さらには育児・介護との両立など、出社前提の体制は現場の運用負担と事業継続（BCP）の面で大きな限界を迎えている。セキュリティレベルを落とさずに場所を問わない運用を実現するには、どのようなアプローチが必要なのだろうか。
記事 セキュリティ総論 電力・ガス報告サイトに不正アクセス…経産省「デントリネット」停止、流出の有無は？ 電力・ガス報告サイトに不正アクセス…経産省「デントリネット」停止、流出の有無は？ 2026/10/29 経済産業省の電力・ガス取引監視等委員会は10月28日、小売電気事業者などが定期報告を提出するウェブサイト「デントリネット」が、10月27日未明に不正アクセスを受けたと発表した。サイトは運用を停止し、原因究明と再発防止策を検討している。情報流出の有無は確認中で、復旧までは電子メールで報告を受け付ける。
記事 セキュリティ総論 米連邦選挙委員会の電子申告システムが停止 中間選挙1週間前、攻撃の標的と報道 米連邦選挙委員会の電子申告システムが停止 中間選挙1週間前、攻撃の標的と報道 2026/10/28 米連邦選挙委員会（FEC）は、選挙資金の報告を受け付ける電子申告システムが10月26日夜から停止していると明らかにした。10月27日夜には問題を特定して修正中とした。ロイターは、FECのWebサイトがハッカーの標的になったと報じており、11月3日の中間選挙を前に、24時間報告と48時間報告が提出できない状態が続いている。
記事 セキュリティ総論 経産省、中小企業向けに無料のサイバー特別相談窓口を設置 よろず支援拠点と中小機構 経産省、中小企業向けに無料のサイバー特別相談窓口を設置 よろず支援拠点と中小機構 2026/10/28 1 経済産業省は10月27日、相次ぐサイバー攻撃による情報漏えいを受け、中小企業・小規模事業者向けの無料「サイバーセキュリティ特別相談窓口」を設置し、プッシュ型の情報提供を始めたと発表した。窓口は全国のよろず支援拠点と中小機構のIT経営サポートセンターに置き、商工団体や金融機関、税理士などを通じて案内する。
記事 モバイルセキュリティ・MDM アップル、iOS 27.2で163件の脆弱性を修正 悪用の恐れがある欠陥を旧版にも反映 アップル、iOS 27.2で163件の脆弱性を修正 悪用の恐れがある欠陥を旧版にも反映 2026/10/28 アップルは10月26日、iPhone向けの「iOS 27.2」などを公開し、163件の脆弱性（CVE）を修正したと明らかにした。あわせて、標的型攻撃に悪用された可能性があるとする「CVE-2026-86950」の修正を、旧版の「iOS 18.7.11」にも反映した。悪用の可能性に触れた記載があるのは旧版側のみで、iOS 27.2側に悪用の記載はない。
記事 セキュリティ総論 マイクロソフト、Windowsの信頼リストから証明書7件を削除 eMudhra鍵問題で臨時更新 マイクロソフト、Windowsの信頼リストから証明書7件を削除 eMudhra鍵問題で臨時更新 2026/10/28 マイクロソフトは10月26日、認証局のeMudhra（イーマドラ）の中間認証局の秘密鍵が復元できる状態だった問題を受け、Windowsの信頼リストからeMudhra関連の証明書計7件を外す臨時（OOB）更新を公開した。Edgeでも10月27日に同じ7件を削除する予定で、企業に対し、7件につながる証明書の洗い出しと代替の手配を求めている。
記事 ASM・CTEM・脆弱性診断・レッドチーム 米CISA、PHPの脆弱性2件を悪用確認済みカタログに追加 連邦機関は10月29日までに対応 米CISA、PHPの脆弱性2件を悪用確認済みカタログに追加 連邦機関は10月29日までに対応 2026/10/28 米サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）は10月26日、PHPの脆弱性2件を悪用確認済み脆弱性カタログ（KEV）に追加し、緊急パッチ適用の注意喚起を更新した。拘束的運用指令（BOD）26-04に基づき、対応期限は10月29日。BODの対象は連邦の民間機関だが、CISAは全組織に優先修正を勧める。
記事 セキュリティ総論 高市首相、サイバー閣僚会議で被害企業の支援拡充を指示 緊急パッケージは来週中 高市首相、サイバー閣僚会議で被害企業の支援拡充を指示 緊急パッケージは来週中 2026/10/27 政府は10月26日、第1回「サイバーセキュリティに関する関係閣僚会議」を開いた。高市早苗首相は、相次ぐ情報漏えいを受け、被害企業支援の充実や、各省庁から国家サイバー統括室への情報集約、高性能AIによる政府システムの脆弱性チェック前倒しなどを指示した。来週中を目途に「緊急対策パッケージ」を取りまとめる。
記事 セキュリティ総論 ギフティグループ子会社で不正アクセス、eギフトを不正発行 損失は約5.5億円の見込み ギフティグループ子会社で不正アクセス、eギフトを不正発行 損失は約5.5億円の見込み 2026/10/27 ギフティグループは26日、連結子会社ギフティが運用するシステムの脆弱性を悪用した第三者による不正アクセスで、eギフトが不正に発行されたと発表した。25日に判明し、同日システムを停止した。損失は約5.5億円の見込みで、12月期第4四半期に特別損失を計上する。顧客資産の減少や個人情報の漏えいは確認されていない。
記事 セキュリティ総論 ユミルリンクの不正アクセス、漏えい50システムに拡大 第二報で延べ5,162万件超と発表 ユミルリンクの不正アクセス、漏えい50システムに拡大 第二報で延べ5,162万件超と発表 2026/10/27 ユミルリンクは10月26日、メール配信サービス「Cuenote」への不正アクセスに関する第二報を発表した。漏えいが確認されたシステムは第一報から大幅に増え、「Cuenote FC」49システムと「Cuenote BASE」1システムの計50システムとなった。延べ件数はFCだけで5,162万8,280件で、一部は調査中で増える可能性があるという。
記事 セキュリティ総論 政府がサイバー関係閣僚会議を26日18時に開催 大規模漏えい相次ぎ高市首相ら出席へ 政府がサイバー関係閣僚会議を26日18時に開催 大規模漏えい相次ぎ高市首相ら出席へ 2026/10/26 木原稔官房長官は10月26日の記者会見で、「サイバーセキュリティに関する関係閣僚会議」を同日午後6時から首相官邸で開催すると発表した。事業者を狙った攻撃による大規模な情報漏えいが相次いでいるためで、高市早苗首相らが出席し、今後の対策を議論する予定だという。
記事 ID・アクセス管理・認証 SCS評価「3つ星」で企業がつまずくと言えるワケ…Excelでは厳しい「管理者ID」8つの壁 SCS評価「3つ星」で企業がつまずくと言えるワケ…Excelでは厳しい「管理者ID」8つの壁 2026/10/26 2026年度末から運用開始が予定されている「SCS評価制度」。サプライチェーン全体でセキュリティ強化が求められる中、受注企業にとって星の取得は重要な経営課題となる。特に3つ星要件で問われる「管理者IDの管理手続き」は、多くの組織にとって運用上の壁になりそうだ。本稿では、制度で求められる8つの要求事項と現場が直面する課題、その克服に向けたアプローチを解説する。
記事 セキュリティ総論 ソフトバンク、緊急速報メール停止続く 地震・津波のみ再開、災害情報は26日完了予定 ソフトバンク、緊急速報メール停止続く 地震・津波のみ再開、災害情報は26日完了予定 2026/10/26 ソフトバンクは、PHPの脆弱性への対応に伴うメンテナンスで止めている「緊急速報メール」のうち、気象庁が発信する緊急地震速報と津波警報の配信を10月25日午前9時25分に再開した。国や自治体が配信する災害・避難情報は停止を続けており、メンテナンスの完了は10月26日の予定だ。対象はワイモバイル、LINEMOにも及ぶ。
記事 セキュリティ総論 IPA、2026年第3四半期の相談309件を公表 OAuth同意攻撃でメール大量送信の事例も IPA、2026年第3四半期の相談309件を公表 OAuth同意攻撃でメール大量送信の事例も 2026/10/24 1 IPAは10月23日、サイバーセキュリティ相談窓口の2026年第3四半期（7～9月）の相談状況を公表した。相談件数は309件で、前四半期から約2.3％増えた。平時の対策の相談は21件から41件へ倍増した。Microsoftアカウントから大量のメールが送信された事例をもとに、OAuth同意攻撃への注意を促し、調査項目と対策を示した。
記事 セキュリティ総論 総務省が通信インフラ防御の検討会 委託先管理や法制度を議論、2027年夏に報告へ 総務省が通信インフラ防御の検討会 委託先管理や法制度を議論、2027年夏に報告へ 2026/10/24 総務省は10月22日、通信事業者の大規模な情報漏えいを受けた「フロンティアAI時代の通信事業におけるデータの保護・セキュリティの在り方に関する検討会」の初会合を開いた。AIの登場や通信サービスのクラウド化を踏まえ、技術面の対策、体制面の対策、規制のあり方の3点を議論し、取りまとめは2027年夏ごろを目指す。
記事 セキュリティ総論 生成AI時代の「シャドーAI」、社内情報のうっかり漏えいを防ぐ現実策 生成AI時代の「シャドーAI」、社内情報のうっかり漏えいを防ぐ現実策 2026/10/23 生成AIや各種クラウドサービスの普及は業務効率化をもたらす一方、管理者が把握できない「シャドーIT」や「シャドーAI」のリスクを高めている。ランサムウェアなどの外部脅威に目が向きがちだが、情報漏えい事故には内部不正や過失に起因するものも少なくない。現場の利便性を損なわずに、隠れたリスクを可視化・制御する現実的なセキュリティ対策を探る。
記事 セキュリティ総論 チームみらい、サイバー攻撃と情報漏洩に関する緊急提言を発表 10月23日に政府へ手交 チームみらい、サイバー攻撃と情報漏洩に関する緊急提言を発表 10月23日に政府へ手交 2026/10/22 2 チームみらいは2026年10月22日の定例会見で、AI時代のサイバー攻撃と相次ぐ情報漏洩から国民を守るための政府への緊急提言を取りまとめたと発表した。党首の安野貴博氏はライフラインの停止を伴う大規模被害の想定を訴えた。提言は10月23日にデジタル庁で古川俊治大臣に手交するという。
記事 セキュリティ総論 IPA、Oracle Javaの脆弱性55件で早急な更新を呼びかけ 49件は認証不要で悪用の恐れ IPA、Oracle Javaの脆弱性55件で早急な更新を呼びかけ 49件は認証不要で悪用の恐れ 2026/10/22 1 IPAは10月21日、Oracle Javaの脆弱性対策に関する注意喚起を公開した。Oracleが公表した10月の四半期定例パッチにはJava SE向けの修正が55件含まれ、うち49件は認証なしにネットワーク経由で悪用される可能性がある。対象はJava SE 27から8 Update 503までの8バージョンで、IPAは最新版への早急な更新を呼びかけている。
記事 AI・生成AI 「2年前から兆候把握」も修正できず…AIが暴いたPHP重大欠陥、開発元の“構造的失敗” 「2年前から兆候把握」も修正できず…AIが暴いたPHP重大欠陥、開発元の“構造的失敗” 2026/10/22 5 世界中のWebサイトを揺るがした、プログラミング言語「PHP」の重大な脆弱性。その発見を後押ししたのは、OpenAIなどの最新AIだった。驚くべきことに、PHPの開発側は今回の脆弱性の1つにつながる問題の兆候を2年前から把握していたものの、修正を進められずにいたという。なぜ長年見逃されてきた欠陥が、今になって深刻な脅威となったのか。そしてAIによる脆弱性発見が当たり前になれば、企業のセキュリティ対策はどう変わるのか。
記事 セキュリティ運用・SOC・SIEM・ログ管理 「インシデント発生時」に本当に動ける？大日本印刷流「機能する組織」の作り方 「インシデント発生時」に本当に動ける？大日本印刷流「機能する組織」の作り方 2026/10/21 サイバーセキュリティ対策に完璧はない。サイバー攻撃が高度化する中、初動対応が遅れればサプライチェーン全体に影響を及ぼす。約3万7000人の従業員と約4万5000台のデバイスを抱える大日本印刷（以下、DNP）は、監視体制の整備やログデータの統合、人材育成、生成AIの活用を組み合わせ、有事に組織全体が動ける体制の構築を進めてきた。DNP情報システムの谷建志氏に、その取り組みを聞いた。
