トラストバンクは10月20日、運営するふるさと納税サイト「ふるさとチョイス」の会員情報に不正アクセスがあり、寄附者の個人情報4,454,097件が外部に流出したと公表しました。19日に通常と異なるアクセス傾向に気づいて調べたところ、17日の不正アクセスを確認したとしています。流出したのは氏名、メールアドレス、住所、電話番号、ハッシュ化されたパスワード、寄附控除の試算額です。同社は19日15時50分に関連サービスを停止しており、再開時期は未定です。個人情報保護委員会には20日に報告し、21日に警察へ被害を申告する予定としています。同じメールアドレスとパスワードを他のサービスでも使っている場合は、そちらのパスワードを変更するよう呼びかけています。
NECは10月20日、システム開発・保守を委託している企業が9月下旬にサイバー攻撃を受け、盗まれた正規アカウントの認証情報が悪用されて、NECの顧客で不正アクセスの被害や個人情報を含む情報の漏えいが起きたと公表しました。顧客のシステム環境には委託先の端末から正規アカウントで侵入され、サーバー内のファイルが暗号化されて各種システムが使えなくなりました。また、NECが関係者との情報共有に使っていたクラウドストレージのファイルが漏えいし、顧客が持つ個人情報やシステム関連情報が含まれていたとしています。影響を受けた複数の顧客には個別に連絡済みで、漏えいした個人情報の詳細は判明しだい報告するとしています。顧客名や件数は公表されていません。
日本郵政は10月19日、「ゆうゆうポイント」の公式サイトで、外部で漏えいしたIDとパスワードのリストを使った「ゆうID」へのなりすましログインがあったと公表しました。15日に不審なアクセスを検知し、16日からサイトを停止しています。不正にログインされた可能性のあるアカウントは249件で、氏名、住所、生年月日、性別、電話番号、メールアドレスのほか、登録していれば勤務先や家族状況、住所録の情報が閲覧された可能性があります。同社のシステムからの情報漏えいは現時点で確認されていないとしています。対象者には電話などで順次連絡し、パスワードの再設定やパスキー設定、二段階認証の必須化の案内を送るとしています。
Plexは10月19日（UTC）、Plex Media Server 1.43.3で修正した4件の脆弱性（CVE-2026-96652、-96654、-96655、-96656）の詳細を公表し、広く悪用されていると明らかにしました。組み合わせると、認証なしで外部からサーバーの権限でコードを実行できます。16日に実証コードが公開されて以降、更新していないネット公開サーバーへの攻撃が相次ぎ、暗号資産の採掘やプロキシソフトの実行に使われたとしています。1.43.3.10861以降は影響を受けません。同社は、それより古い版をネットからアクセスできる状態で動かしていた場合は侵害されたものとみなすよう求めています。米CISAも20日、4件を悪用が確認された脆弱性のカタログに追加しました。
Globeeは10月20日、運営する英語学習サービス「abceed」の関連システムが設定などを悪用した不正アクセスを受け、10,834アカウントのメールアドレスとハッシュ化されたパスワード（うち90アカウントはユーザー名も）が漏えいした可能性があると公表しました。17日に検知し、侵入経路の遮断や該当機能の停止、認証情報の変更をしたとしています。対象者にはメールで個別に連絡しています。
ハノワは10月19日、歯科医療人材のマッチングサービス「ハノワ」で、クラウド上の保存領域の閲覧制限が適切に設定されておらず、一部の個人情報や提出書類の画像が閲覧できる状態だったと公表しました。2020年6月以降はログインしていない第三者からも閲覧できたとしています。対象は重複を除き最大49,309人で、本人確認書類・免許証や口座確認書類の画像は最大10,311人分です。閲覧記録が残っておらず、第三者の閲覧の有無は確認できないとしています。14日に把握し、16日までに設定修正と画像の削除を終えました。
岩井コスモ証券は10月20日、ネット取引システムの運用を委託するトレードワークスへの不正アクセスについて第2報を出しました。通信記録を調べ直した結果、すでに公表した4,611人に加えて364人の情報の漏洩が判明し、対象は4,975人になりました。新たな不正アクセスではないとしています。また、不正アクセスがあった14日には売買管理システムも攻撃を受け、7口座で顧客の意図しない注文が出され、うち5口座で約定していたことを初めて公表しました。取引前の状態に戻す措置は済んでおり、顧客の負担はないとしています。
買取王国は10月19日、ECサイトやECモールの運用でシステム連携している外部ツールのサーバーが不正アクセスを受けたとの報告を受け、ECサイト「買取王国オンライン」の運用を全面的に緊急停止したと公表しました。再開時期は未定です。店頭買取や宅配買取など、それ以外のサービスでは不正アクセスや情報漏洩は確認されていないとしています。
芦屋大学などを運営する芦屋学園は10月19日、学内システムで14日に不正アクセスの形跡を確認したと公表しました。関連するデータベースサーバーを停止しており、一部のシステムが使えない状態です。影響範囲や情報漏えいの有無は専門事業者と調査中です。授業や保育は通常どおり行っているとしています。
仏OVHcloudは10月20日、GitHubで配布しているコマンドラインツール「ovhcloud-cli」のv0.11.0〜v0.15.0の配布ファイルが、19日の約1時間半にわたり、認証情報などを盗むマルウェア入りのものに差し替えられていたと公表しました。開発者のGitHubアカウントが悪用されたもので、ダウンロードは約250件です。盗む対象には、クラウドサービスの認証情報、SSH鍵、各種開発ツールやAIエージェントの設定・履歴が含まれます。ソースコードやビルドの仕組みに影響はなく、v0.16.0以降は影響を受けません。
Googleは10月20日（米国時間）、Windows・Mac・Linux向けのChrome 156（156.0.8078.47、Windows・Macは.47または.48）を安定版として公開しました。重要度「Critical」6件を含む353件のセキュリティ修正を含みます。数日から数週間かけて順次配信されます。
Oracleは10月20日（米国時間）、四半期ごとの定例パッチ（Critical Patch Update）を公開しました。Oracle Database、MySQL、Java SE、WebLogic Server、E-Business Suiteなど幅広い製品を対象に、1,295件のセキュリティ修正を含みます。認証なしで遠隔から悪用できる深刻度の高いものも含まれ、同社は速やかな適用を勧めています。次回の定例パッチは2027年1月19日の予定です。
米CISAは10月20日（米国時間）、EGセキュアソリューションズのWAF製品「SiteGuard Server Edition」のOSコマンドインジェクションの脆弱性（CVE-2026-106931）を、悪用が確認された脆弱性のカタログ（KEV）に追加しました。この脆弱性は10月14日にJVNで公開され、悪用の確認が公表されていました。同じ日にSiemens Software Centerの脆弱性（CVE-2026-110936）も追加されました。