【週間トップ10】2026-11-01締め

2026-11-01T20:00:00+09:00

今週の傾向

今週は掲載84件（新規82件＋続報のみ2件）のうち国内が60件で、そのうち58件が不正アクセス・情報漏えいでした。メール配信（Cuenote・ブラストメール・アララ）、EC構築（futureshop・ショップサーブ）、予約システム委託先（アマデウス）など、委託先や共通基盤を経由した漏えい（サプライチェーン関連11件）が目立ちます。
脆弱性では、PHP2Shell・HTTP2Shell（Brotli）・Ivanti・GitLab関連がCISAのKEV（悪用確認済み脆弱性カタログ）に入り、KEVに言及する問題は計18件。海外ではBinanceの推定約63億ドルの被害が最大の話題で、国内ではGMOの続報（総務省が「犯人サイト」のブロッキングを要請と報道）が続きました。

トップ10

🌐 PHP「PHP2Shell」がKEV入り、FW24台が乗っ取られる
[危険度緊急／悪用あり／CISA KEV／続報]
選定理由: 悪用が確認され、続報は6回。今週最大の動き。
PHPの未認証リモートコード実行がKEV入り。関連のLinux脆弱性Fragnesiaも追加され、日本を含む4か国でFW24台が乗っ取られた。PAN-OSの管理画面も標的に。
対応: PHPを修正版（8.5.12／8.4.27／8.3.36／8.2.35）へ更新。PAN-OSは管理画面を公開せず、ログで侵害の有無を確認。
🇯🇵 お名前.comデスクトップクラウドでFX口座の不正取引
[危険度緊急／悪用あり／続報]
選定理由: 実害が出て、総務省のブロッキング要請（報道）にまで発展。
利用者のFX・証券口座で不正取引が発生。攻撃者は約80億円を要求し、GMOは応じない方針。全サーバーが停止中で、影響の可能性は26,739サーバー。
対応: ID・パスワードを別の端末で変更し、二要素認証を有効にして、取引履歴を確認。
🌐 Binanceで推定約63億ドルの被害、過去最大
[危険度高／悪用あり／新規]
選定理由: 世界最大の取引所で、過去最大とみられる被害額。
ホットウォレットから不正出金があり、被害は推定約63億ドル。開発担当者のPC侵害が原因の可能性。北朝鮮のTraderTraitorとの見方があり（Binanceは未特定）、出金は一時停止。
対応: 公式告知で再開状況を確認し、便乗フィッシングに注意。2FAとAPIキーを見直す。
🇯🇵 Cuenote FCから延べ約5,163万件、JRや野村證券にも波及
[危険度高／悪用あり／新規]
選定理由: 今週最大級の件数で、第1報の約900万件から拡大。
メール配信サービスの49システムから、延べ51,628,280件のメールアドレス等が出力された。ライブラリの脆弱性が原因。JR3社、野村證券、毎日新聞社などが公表。16システムは調査中。
対応: 各社を装うフィッシングに注意。利用企業は自社が対象かを提供元に確認する。
🇯🇵 佐川急便の問い合わせサービスで最大約5,323万件流出か
[危険度高／悪用あり／新規]
選定理由: 今週最大の件数。住所と結びつき、詐欺に悪用されやすい。
6/21〜9/30の送り状データ（氏名・住所・電話番号）と会員情報が流出した可能性。最大約5,323万件（重複含む）。カード情報とパスワードは含まれず、二次被害は未確認。
対応: 不在通知や住所確認を装うSMS・メールのリンクは開かず、公式サイトやアプリで確認。
🌐 Ivanti Connect Secureで認証なしroot、3件がKEV入り
[危険度緊急／悪用あり／CISA KEV／新規]
選定理由: 入口のVPN装置で認証なしroot。対応期限が極めて短い。
認証回避・権限昇格・ファイルアップロードの3件が連鎖し、認証なしでroot権限のコマンド実行が可能。3件ともKEV入りで、権限昇格の期限は11/2。10/3ごろから侵害の報告も。
対応: 25.1.1.3／22.8R2.6へ更新（10/13の修正済み装置も）。侵害の疑いがあれば再構築し、パスワードを変更。
🌐 Brotli「HTTP2Shell」、Node.jsなど広範囲に影響しKEV入り
[危険度緊急／悪用あり／CISA KEV／新規]
選定理由: 影響するソフトが非常に多く、悪用の試みも観測された。
Google Brotliのデコーダで、細工した圧縮データによりメモリを書き換えられる。Node.js・Bun・Envoyなどが影響を受け、条件によっては遠隔コード実行。CVSS 9.2、KEV期限は11/10。
対応: Node.js 22.23.4／24.22.1／26.12.1、Bun 1.4.4、Brotli 1.2.1などへ更新し、コンテナも作り直す。
🌐 GitLabにCVSS 10.0の脆弱性、関連の問題は実攻撃も
[危険度緊急／悪用あり／CISA KEV（関連CVE）／新規]
選定理由: 自己管理版の全バージョンが対象で、同じ原因の問題が実際に攻撃された。
正規表現処理の整数オーバーフローで、認証なしの任意コード実行のおそれ（7.0以降の自己管理版）。同じ原因の別の脆弱性はKEV入りし、Alpine Linuxが攻撃を受けた。
対応: 公開しているGitLabから優先して、修正版（19.5.1など）へ更新。
🌐 UpdraftPlus開発元が侵害、400万サイト超にバックドア
[危険度緊急／悪用あり／新規]
選定理由: 有効インストール400万超。正規の管理キーが悪用された。
開発元のTeamUpdraftが不正アクセスを受け、遠隔管理サービスの接続キーが盗まれた。10/18〜19（UTC）に多数のサイトへバックドアが設置された。
対応: 1.26.13／2.26.13へ更新し、接続キーを全削除。不審なユーザー・プラグインを確認し、管理者パスワードを変更。
🇯🇵 JAL・ANAの委託先アマデウスで計約13万名の予約情報
[危険度高／悪用あり／新規]
選定理由: 委託先経由で、国内航空2社グループに拡大。
JAL・JTAの約9万2千人分に続き、ANAも約3万7,800名分の予約情報が参照された。一部はパスポート番号・国籍を含む。カード番号・パスワードの漏えいはなし。
対応: 航空会社を装うメール・SMS・偽サイトに注意。連絡は公式窓口で確認。

次点: Arista VeloCloud Orchestratorにゼロデイ脆弱性（CVE-2026-114625）実際に悪用、CISA KEVに追加攻撃元IPは日本 / AI用ライブラリ「LiteLLM」1.107.0にマルウェア混入 PyPIとDockerイメージで配布、認証情報を窃取 / Cursorの拡張機能マーケットプレイスで「Claude Code」拡張の改ざん版（2.1.313）が配布、SSHバックドアを仕掛ける最大5,000人に影響 / 無印良品の「MUJIアプリ」・ネットストアに不正アクセス、最大約2,726万件が流出の可能性 MUJI Cardのカード番号（全桁）約109万件も対象に / Apple「iOS 27.2」などを公開、163件の脆弱性を修正 iPhone XS/XRなど旧機種にも悪用済み脆弱性（CVE-2026-86950）の修正を配信

週間トップ10ページで読む →

セキュリティアラートちゃん（週刊まとめ）

【週間トップ10】2026-11-01締め

今週の傾向

トップ10