アエナのECアプリ、会員最大81万7215人の情報を不正閲覧された可能性
アエナは、ECアプリの会員マイページへの第三者による不正閲覧を確認しました。対象となる可能性があるのは最大81万7215人です。氏名や住所などに加え、登録済みカードの下4桁などが閲覧された可能性があります。カード番号全桁とパスワードは閲覧・流出していないとしています。
- 記事掲載日
- 発生・公表日
- （不正閲覧をログから確認した日時。アクセスの開始日は未公表）
- 発生・被害地域
- 不明
のニュース
主要ニュース
infoQ、会員データ89万4082件の外部持ち出しを確認
GMOリサーチ&AIは、infoQへの不正アクセスについて第2報を公表し、会員データ89万4082件の外部持ち出しを確認したと説明しました。対象者への案内とパスワード無効化などの対応を進めています。件数は確認されたデータ件数であり、個々の二次被害の件数ではありません。
- 記事掲載日
- 発生・公表日
- 不明（侵入・持ち出しの発生日は公表資料から確定できない。第2報は10月14日）
- 発生・被害地域
- 不明
出典
ユニリタ、社内システムへの不正アクセスと情報漏えいを第3報で説明
ユニリタは、自社の社内システムへの不正アクセスに関する第3報を公表しました。攻撃者側が公開した資料の一部に同社の情報が含まれていたことを確認し、影響範囲の調査を続けています。
- 記事掲載日
- 発生・公表日
- 不明（侵入日は未確定。9月28日に社内システムへの不正アクセスを把握）
- 発生・被害地域
- 不明
出典
IDCフロンティア、クラウド基盤不正アクセスの第5報で影響範囲を更新
IDCフロンティアは、10月7日のクラウド基盤への不正アクセスについて第5報を公表しました。影響を受けた組織は495、うち194組織でバックアップデータを取り出された可能性があるとしています。一方、仮想サーバー上のデータについては、外部流出の痕跡を確認していないと説明しています。
- 記事掲載日
- 発生・公表日
- （IDCフロンティア公表の侵入日時。10月14日の第5報は続報）
- 発生・被害地域
- 不明
出典
SiteGuard Server Editionの脆弱性、悪用を確認
JVNは、SiteGuard Server Editionの統計機能にOSコマンドインジェクションの脆弱性があり、その悪用が確認されていると公表しました。悪用には製品が動作する環境への低権限のアクセスが必要です。修正版への更新または提供パッチの適用が案内されています。
- 記事掲載日
- 発生・公表日
- （JVNの公開日。個別の悪用開始日は不明）
出典
EC-CUBE向けAmazonPayプラグインの脆弱性、悪用を確認
JVNは、EC-CUBE 4系向けAmazonPayプラグインの脆弱性を公表しました。開発者は悪用を確認しており、注文手続き中に別サイトへ誘導され、アカウント情報などを窃取される可能性があります。対象バージョンを確認してパッチを適用するよう案内しています。
- 記事掲載日
- 発生・公表日
- （JVNの公開日。個別の悪用開始日は不明）
出典
楽天モバイルの旧スマートフォン4機種、既知のテスト鍵を使用
JVNは、Rakuten Mini、Rakuten Hand、Rakuten Hand 5G、Rakuten BIGsのAndroid Verified Bootに既知のテスト鍵が使われていると公表しました。端末への物理的なアクセスがある場合に改変されたシステムイメージを導入される可能性があります。対象機種はサポート終了のため利用停止と代替への移行が案内されています。
- 記事掲載日
- 発生・公表日
- （JVNの公開日。個別の悪用事案は公表されていない）
出典
Microsoft月例更新、悪用確認済みの脆弱性への対応を呼びかけ
IPAは10月のMicrosoft製品更新について注意喚起し、CVE-2026-96951の悪用が確認されていると案内しました。対象製品の利用者には、Microsoftが提供する更新プログラムの適用を求めています。
- 記事掲載日
- 発生・公表日
- （IPAの注意喚起公開日。悪用開始日は不明）
出典
Microsoftなど、詐欺用サービスYAM Store・CoGUI・Iron Manを妨害
MicrosoftとHealth-ISACは、詐欺を支える3つのサービスのインフラを妨害したと公表しました。Microsoftは、2026年1月以降、これらのサービスが世界150以上の国で75,000超の組織を対象とする10億件超の悪質メッセージを可能にしたと推計しています。これは確認された侵害組織数ではありません。
- 記事掲載日
- 発生・公表日
- （Microsoftの措置・発表日。関連する詐欺行為の開始日は別）
出典
米司法省、北朝鮮の偽装リモートIT就労に関する一斉措置を発表
米司法省は、北朝鮮のリモートIT就労工作に関する捜査と司法措置を発表しました。米国企業への偽装就労や端末の中継拠点が問題とされ、FBIも仲介者の利用拡大について注意喚起しています。発表にある捜査対象や押収数を、単一の被害件数とは扱いません。
- 記事掲載日
- 発生・公表日
- （米司法省とFBIの発表日。関係する行為は継続的）
出典
短報
Siemens製品の脆弱性情報をJVNが更新
JVNはSiemensの産業用製品に関する脆弱性情報を公表・更新しました。対象製品と対策は個別のアドバイザリで異なるため、利用者は該当機種を確認する必要があります。
- 記事掲載日
- 発生・公表日
- （JVNの公開・更新日）
出典
Rockwell Automation、1732E ArmorBlock I/Oの脆弱性2件を修正
Rockwell Automationは1732E ArmorBlock I/Oについて、管理用パスワードの不正変更やサービス妨害につながる脆弱性2件を公表しました。ソフトウェア3.013で修正しています。ベンダー表示の公表日は10月13日で、日本時間の公開時刻は確認できていません。
- 記事掲載日
- 発生・公表日
- （ベンダー表示の公開日。日本時間への換算時刻は未確認）
出典
Chrome 155安定版、37件のセキュリティ修正
Googleはデスクトップ版Chromeの安定版を更新し、37件のセキュリティ修正を含むと発表しました。ANGLEのバッファオーバーフローなどが対象です。Googleの表示日は10月13日で、日本時間の公開時刻は確認できていません。
- 記事掲載日
- 発生・公表日
- （Googleブログ表示の公開日。日本時間への換算時刻は未確認）
出典
Adobe、ColdFusion向けセキュリティ更新を公開
AdobeはColdFusionの脆弱性に対応する更新を公表しました。ベンダー表示の初回公表日は10月13日、更新日は10月14日です。対象バージョンと修正版はAdobeの案内で確認してください。
- 記事掲載日
- 発生・公表日
- （Adobe表示の初回公表日。10月14日に更新）
出典
Komodo Periphery、認証済み利用者による権限昇格の脆弱性
CERT/CCはKomodo Periphery Agentの脆弱性を公表しました。所定の権限を持つ認証済みの非管理者が、サーバー上でコマンドを実行できる可能性があります。修正版2.3.0が案内されています。原文の公開日は米国表示で10月13日です。
- 記事掲載日
- 発生・公表日
- （CERT/CC表示の公開日。更新時刻は日本時間10月14日に相当）
出典
Lowcoder Query Library API、テナント間の認可回避の脆弱性
CERT/CCはLowcoder Query Library APIでテナント間のデータにアクセスできる可能性がある脆弱性を公表しました。JVNも10月14日に情報を公開しています。公開情報は影響の可能性を示すもので、実際のデータ流出件数は示していません。
- 記事掲載日
- 発生・公表日
- （JVNの公開日。CERT/CCの初回公表日は米国表示で10月13日）
出典
Ivanti Connect Secureの脆弱性悪用、Volexityが調査結果を公表
Volexityは、Ivanti Connect Secureの複数の脆弱性を連鎖させた攻撃を調査したと公表しました。認証回避と遠隔コード実行に関係するCVE-2026-104935は10月13日のパッチで修正されましたが、連鎖した権限昇格の修正は今後の提供予定としています。公開された事例から全利用組織の被害数や被害地域を推定することはできません。
- 記事掲載日
- 発生・公表日
- （Volexityの公表日。個別攻撃の発生日は本文の調査事例ごとに異なる）
出典
Cisco Secure Email Gateway、悪用確認済みの重大な脆弱性を修正
CiscoはSecure Email Gatewayのファイル書き込み脆弱性CVE-2026-76519を公表しました。条件を満たす装置では遠隔からroot権限でコマンドが実行される可能性があります。Ciscoは修正版を提供し、悪用を確認したと説明しています。初回公開は10月14日16時GMTで、日本時間では15日1時です。
- 記事掲載日
- 発生・公表日
- （Ciscoの初回公開日時を日本時間に換算。悪用開始日は不明）