メール配信サービス「アララ メッセージ」を運営するアララは10月29日、配信用サーバーの1つが不正アクセスを受け、そこを使っていた利用企業が持つメールアドレス約301万件が外部に持ち出されたと発表しました。10月28日に確認し、サーバーをネットワークから切り離しています。原因はWebサーバーの脆弱性、つまりソフトの欠陥を第三者に悪用されたことだとしています。企業がメルマガや通知を送るのに使うサービスなので、その企業からメールを受け取っていた人のアドレスが含まれうることになります。10月29日に伝えた鹿児島の決済サービス「Payどん」も、メール送信をアララに任せていました。アララは、心当たりのないメールが届いたら本文のURLを開かず、返信や添付ファイルの開封、IDやパスワードの入力もせずに削除するよう呼びかけています。
NELは10月29日、データ分析ツールの脆弱性を悪用した不正アクセスで、個人情報が外部に流出したと公表しました。見つけたのは10月14日で、個人情報保護委員会への速報では対象を235,329人としています。osina会員では、氏名、住所、電話番号、生年月日、口座名義を含む銀行口座情報、報酬額、SNSのアカウント名とSNS連携用の認証情報などが対象です。取引先の担当者や問い合わせをした人の情報も含まれます。メールアドレスとパスワード、カード情報は持っていないため対象外としています。SNS連携の認証情報が使われると、第三者が本人のSNSで投稿などをするおそれがあるとして、各SNSの「連携アプリ」の設定でosinaとの連携を確かめ、身に覚えのない投稿があれば連携を解除するよう求めています。会社や銀行を名乗って口座情報の再登録や振込を求める連絡にも注意が必要です。
CNポイントを運営するクラブネッツは10月29日、周辺のサテライトシステムが不正アクセスを受け、会員の個人情報が流出した可能性があると発表しました。対象は、会員IDと氏名が16,936件、これに加えてメールアドレス、電話番号、住所を含むものが2,857件で、それぞれ別のデータベースの件数です。パスワードの流出は確認されていないとしています。CNエクスチェンジ、CNコンテンツ、CNモニターを止めていて、ポイントの仕組み本体は動いています。対象者には順に個別の連絡をするとしています。同社は、パスワードの変更と、不審な電話・メール・SMSへの警戒を求めていて、電話やメールでパスワードを聞くことはないとしています。
JPCERT/CCは10月29日、10月21日に公表されたPHPの重大な脆弱性2件、通称PHP2Shellの注意喚起を更新しました。攻撃の調査で、あるファイアウォール製品の特定の版が侵害されたことを示す痕跡が見つかったと報告されています。攻撃者は、このPHPの欠陥とLinuxカーネルの権限昇格、つまり管理者の権限を奪う欠陥を組み合わせた攻撃コードを作り、侵入した機器から社内のネットワークへ広がろうとした形跡もあるとしています。一部の製品メーカーも攻撃を観測したとして情報を更新しました。米CISAは10月28日、組み合わせて使われたとされるLinuxカーネルの欠陥CVE-2026-46300を、悪用が確認された脆弱性の一覧に加えています。PHPはWebサイトのほか、ネットワーク機器などの製品にも組み込まれています。管理する機器やサーバーがあれば、PHPの修正版への更新と、侵害の有無の調査を進めることが勧められています。
Ciscoは10月28日、ファイアウォールのSecure Firewall ASAとFTDのリモートアクセスSSL VPNに、認証なしで外から機器を再起動させられる欠陥CVE-2026-76418があると公表しました。SSL VPNを有効にし、トンネルグループで二要素目の認証にあたる二次認証を設定している場合が対象です。10月に実際の悪用を把握したとしていて、米CISAも29日に悪用が確認された脆弱性の一覧に加えました。修正版はASAが9.18.4.96や9.20.4.50など、FTDが7.2.13や7.4.9などで、版ごとに異なります。
米CISAは10月29日、GitLabの欠陥CVE-2026-97229を、悪用が確認された脆弱性の一覧に加えました。CI/CDの設定に細工した正規表現を入れると、認証なしでGitLabのサーバー上で命令を実行される欠陥で、深刻度は最大の10.0です。GitLabは10月12日に修正版の19.4.2、19.3.5、19.2.8を公開していて、GitLab.comは対応済みです。自社でGitLabを動かしている場合は、修正版になっているかを確かめてください。
Googleは10月28日、ChromeOSとChromeOS Flexの安定版を16836.30.0に更新しました。ブラウザは156.0.8078.77です。深刻度が最も高い「緊急」のFileAPIの欠陥1件と、「高」の8件の修正を含みます。パソコン版Chrome 156と同じく、細工したページを開くだけで悪用されうる種類の欠陥が含まれます。Chromebookを使っている場合は、更新が届いたら再起動して適用してください。