← ニュース一覧

のニュース

主要ニュース

Webで広く使われる「PHP」に、認証なしで外部から乗っ取られるおそれのある脆弱性2件　修正版が公開

PHPの開発チームは10月21日、Webサイトの仕組みに広く使われているプログラミング言語「PHP」の重大な脆弱性2件（CVE-2026-109618、CVE-2026-109619、深刻度はいずれもCVSS v4.0で9.2）を修正したPHP 8.5.12、8.4.27、8.3.36、8.2.35を公開しました。悪用されると、認証なしの通信だけでサーバー上で任意のコードを実行されるおそれがあります。PHP-FPM、Apacheのmod_php、php-cgi、FrankenPHP、LiteSpeedなど、Webのリクエストを処理するすべての環境が対象で、特にmod_phpの危険が大きいとしています。設定変更による軽減策も示していますが、完全な対策は更新だけだとしています。CERT-EUは、攻撃の実証コードが出回り始めていると注意を呼びかけています。国内では公開前の21日夜から、予防のために一時停止やメンテナンスに入るWebサービスが相次ぎました。Webサイトを見るだけの人が自分で操作することはありませんが、使っているサービスが停止や再開を案内している場合があります。

記事掲載日
発生・公表日
（PHPの修正版公開日（UTC 21日、日本時間21日23時ごろ）。公開の予告は20日）

出典

「カーセンサーnet」などへの不正アクセス、漏えいした可能性のある個人情報は最大370万9551件

リクルートは10月21日、中古車情報サイト「カーセンサーnet」と販売店向けの業務支援サービス「C-MATCH」への不正アクセスで、最大3,709,551件の個人情報が漏えいした可能性があると公表しました。17日に不審なアクセスを検知し、関連する全サービスを止めていました。対象の多くは、カーセンサーnet（アプリを含む）で販売店に問い合わせた人の氏名と住所（原則として市区町村まで）で、一部は問い合わせ内容、電話番号、メールアドレスなども含みます。口コミを投稿した人、C-MATCHに登録している販売店の担当者などの情報も対象です。クレジットカードなどの決済情報とログインパスワードは含まれていないとしています。21日時点で二次被害は確認されていませんが、同社を装う不審な連絡に注意するよう呼びかけています。

記事掲載日
発生・公表日
（不審なアクセスを検知し、サービスを止めた日。漏えいした可能性のある件数の公表は21日）
発生・被害地域
不明

出典

画像共有サービス「Gyazo」の不正アクセス、約2362万アカウント分の情報が流出　最終調査結果を公表

Helpfeelは10月21日、画像共有サービス「Gyazo」が9月に受けた不正アクセスについて、外部の専門家による調査を踏まえた最終報告を公表しました。動画などを変換する処理の脆弱性を突かれてサーバー上で命令を実行され、データベースの情報が外部に送られていました。流出したのは約2,362万アカウント分の利用者情報（メールアドレス登録ありは約562万）と、画像のメタデータ約4.9億件、削除済み画像のメタデータ約1.74億件などです。パスワードは元に戻せない形に変換されたもので、決済情報は含まれていません。画像そのものの大量取得の記録はありませんが、133人の画像432件は第三者に見られたか取得されたことを確認し、本人に連絡済みです。同社は、事件後にパスワードを変えていない人に変更を求め、同じパスワードを使う他のサービスも変えるよう呼びかけています。

記事掲載日
発生・公表日
（不正アクセスがあった日。外部の調査結果を受けた最終報告（第三報）の公表は10月21日）
発生・被害地域
不明

出典

「お名前.com デスクトップクラウド」に不正アクセス、一部の利用者サーバーに不正なプログラム　全プランを停止

GMOインターネットは10月21日、仮想デスクトップ（Windowsサーバー）サービス「お名前.com デスクトップクラウド」で第三者による不正アクセスがあり、一部の利用者のサーバー環境に不正なプログラムが設置されたと公表しました。影響の可能性があるサーバーは26,739件で、サーバー内に保存されていた情報が見られた可能性があるとしています。預かっている個人情報の漏えいや悪用は確認されておらず、クレジットカードなどの決済情報は同社では持っていないとしています。被害の拡大を防ぐため、21日4時から全プランのサーバーを順次止めており、再開時期は未定です。同社は、サーバー内にIDやパスワードを保存・利用していた場合は変更するよう求めています。

記事掲載日
発生・公表日
（一部のサーバー環境で不正なプログラムの設置を確認した日。公表とサーバー停止は21日）
発生・被害地域
不明

出典

短報

フィルタリング製品のデジタルアーツ、クラウドサービスの運用環境に不正アクセス　利用企業に全パスワードの変更を依頼

デジタルアーツは10月21日、クラウドサービスの運用に使う認証情報が盗まれ、運用環境と社内環境に不正アクセスがあったと公表しました。10月9日にAIを使った総点検で痕跡を見つけ、古いものは2025年7月ごろにさかのぼるとしています。i-FILTER@Cloud、m-FILTER@Cloud（Modern Edition）、m-FILTER MailAdviser Microsoft 365対応版、FINAL CODE@Cloud、z-FILTER、Deskの一部利用者の情報が閲覧された可能性があります。21日正午時点で情報の持ち出しや悪用は確認されていません。これらのクラウドサービスを使うすべての利用者に、管理者用と利用者用のパスワードの変更を求めています。自社環境に入れるソフトウェア版は対象外です。

記事掲載日
発生・公表日
（AIを使った総点検で不正アクセスの痕跡を見つけた日。痕跡は2025年7月ごろまでさかのぼる。公表は21日）
発生・被害地域
不明

出典

イオングループの一部Webサイトに不正アクセス、安全確認のためメンテナンス

イオンは10月21日、グループ各社の一部のWebサイトで第三者による不正アクセスを検知し、安全確認のためのメンテナンスをしていると公表しました。個人情報の流出の有無や原因は調査中で、結果がわかりしだい同社サイトで知らせるとしています。

記事掲載日
発生・公表日
（イオンの公表日。不正アクセスを検知した日時は公表資料に書かれていない）
発生・被害地域
不明

出典

京王電鉄のランサムウェア被害、攻撃者を名乗る組織が盗んだとする情報を公開　個人情報漏えいの可能性で国に報告

京王電鉄は10月21日、9月26日に確認したランサムウェア攻撃の第3報を公表しました。攻撃を名乗る組織が同社グループから盗んだと主張する情報を公開したと、外部の専門家から報告を受けたとしています。公開された情報の内容や影響範囲は調査中ですが、個人情報が漏えいした可能性もあるとみて個人情報保護委員会に報告しました。影響を受けた人には個別に知らせるとしています。

記事掲載日
発生・公表日
（ランサムウェア攻撃を確認した日。情報が公開されたとの報告を受けた第3報は10月21日）
発生・被害地域
不明

出典

通販サイト構築サービス「futureshop」のサーバーに不正アクセス、4台を止めて調査

フューチャーショップは10月21日、通販サイト構築サービス「futureshop」で運用するサーバーの一部（c02、c05、c12、g06）に不正なアクセスがあったと公表しました。同日11時30分から対象サーバーをメンテナンス状態にし、その間は通販サイト、管理画面、FTP・APIが使えなくなっています。影響範囲は調査中で、対象の店舗には個別に連絡しています。店舗に対し、管理画面のパスワードを他のサービスでも使っていれば変えること、同社や店舗を装う不審なメール・電話・SMSに注意することを求めています。

記事掲載日
発生・公表日
（不正なアクセスを確認した日（10時14分ごろ）。同日11時30分から対象サーバーをメンテナンス状態に）
発生・被害地域
不明

出典

メール配信サービス「ブラストメール」で不審なアクセス、サービスを緊急停止

ラクスは10月21日、子会社のラクスライトクラウドが提供するメール配信システム「ブラストメール」でシステムへの不審なアクセスを検知し、同日0時30分からサービスを緊急停止したと公表しました。原因と影響範囲は調査中で、再開時期は未定です。個人情報保護委員会などに報告したとしています。

記事掲載日
発生・公表日
（不審なアクセスを検知してサービスを止めた日（0時30分から））
発生・被害地域
不明

出典

沖縄ツーリスト、個人情報漏えいの可能性　レンタカーやホテルなどの新規予約を停止

沖縄ツーリスト（OTS）は10月21日、運営するサービスで顧客の個人情報が漏えいした可能性があると公表しました。社外からの問い合わせを受けて調べたところ、漏えいの可能性を確認したとしています。18日から該当サイトへの外部からのアクセスを遮断し、20日16時30分からOTSレンタカー、OTS HOTEL、OTS ACTIVITIES、デジタルDMOプラットフォーム、OTS Clubの新規予約受付を止めています。それまでに申し込んだ予約はそのまま使えます。対象の情報や原因は調査中です。

記事掲載日
発生・公表日
（該当サイトへの外部からのアクセスを遮断した日。新規予約の受付停止は20日16時30分、公表は21日）
発生・被害地域
不明

出典

日経への不正アクセス、日経BPのサービス利用者の情報も約80万件含まれる

日経BPは10月21日、日本経済新聞社が16日に公表した不正アクセスによる個人情報の漏えいに、日経BPのサービス利用者の情報が約80万件含まれていたと公表しました。そのうち約5万件は、識別子に加えて氏名、メールアドレス、住所、電話番号、生年月日のいずれかを含みます。残る約75万件は単体では個人を特定できない識別子だけです。クレジットカード情報は含まれていません。漏えいが確認された人には日本経済新聞社から個別に連絡するとしています。

記事掲載日
発生・公表日
（日本経済新聞社が不正アクセスを受けた日。日経BPの公表は10月21日）
発生・被害地域
不明

出典

Webサイト作成サービス「Studio」への不正アクセス、利用企業のフォーム情報も漏えいの可能性　エムスリーやネオキャリアが公表

Webサイト作成サービス「Studio」への不正アクセスを受け、サイトの作成に使っていた企業の公表が続いています。エムスリーは10月21日、「M3PSP」と「１人１円ファンド」のサイトの問い合わせフォームに入力された氏名、会社名、電話番号、メールアドレスなど計398人分が漏えいした可能性があると公表しました。ネオキャリアも20日、転職サービス「X-Tech Agent」と求人データベース「Bee」のフォームから登録・問い合わせた人の情報が流出した可能性があるとしています。両社とも、実際に取得された事実は確認されていないとしたうえで、便乗した不審なメールやSMS、電話に注意するよう呼びかけています。

記事掲載日
発生・公表日
（Studioのクラウド環境への不正アクセスが確認できている期間の初日。エムスリーの公表は10月21日、ネオキャリアは20日）
発生・被害地域
不明

出典

大阪公立大学のシステム障害、NECの再委託先へのサイバー攻撃が原因と大学が公表

大阪公立大学は10月21日、10月2日に起きた情報基盤システムの障害について、保守を委託しているNECから、NECの再委託先が9月下旬にサイバー攻撃を受け、その正規アカウントで大学のシステムに不正にアクセスされたのが原因だと報告を受けたと公表しました。NECが使っていたクラウドストレージから、大学に関する個人情報やシステム情報が漏えいしたことも確認されたとしています。内容や件数はNECに確認中です。10月5日に公表した教務システム関連の約13万件は別の基盤のもので、そちらの漏えいの有無は引き続き調べるとしています。

記事掲載日
発生・公表日
（NECの公表日。大阪公立大学の第5報は10月21日）
発生・被害地域
不明

出典

Firefox 158.0.1が公開、不正利用されたおそれのある認証局の証明書をブロック

Mozillaは10月20日（米国時間）、Firefox 158.0.1とFirefox ESR 153.5.1を公開しました。インドの認証局eMudhraの中間証明書が悪用されるおそれがある状態になったため、Firefoxが信頼しないよう、ブロックリストを製品自体に組み込んでいます。ブロックは17日に通常の仕組みで配信済みですが、企業の設定などでその配信が届かない環境でも確実に効くようにするためです。158.0.1ではほかに、重要度「高」を含む脆弱性3件も修正しています。

記事掲載日
発生・公表日
（Mozillaの公表日（米国時間）。問題の証明書のブロックは17日に配信済み）

出典

使っている製品・サービスからニュースを探す