セキュリティブリーフィング：2026年10月

本文の内容は、2026年11月3日に Crystal Morinが投稿したブログ (https://www.sysdig.com/blog/security-briefing-october-2026) を元に日本語に翻訳・再構成した内容となっております。

サイバーセキュリティ意識向上月間のあいだ、攻撃者たちはまさに私たちのセキュリティのベストプラクティスを試していたかのようでした。日本ではクラウドリージョンがオフラインに追い込まれました。米国と欧州の食料品店は、一時的にオフラインになったり、商品を失ったりしました。AI エージェントが 2 件の脆弱性を連鎖させ、脆弱性開示を支援するために設立された組織に侵入しました。そして最後に、たった 1 日で 1,000 件をはるかに超える脆弱性パッチが公開されました。冗談ではありません。10月の脆弱性管理は、燃えているビルに足を踏み入れるようなものでした。 

それでは、今月のセキュリティニュースを見ていきましょう。

10月7日：ランサムウェアが日本のクラウドインフラを停止

• SoftBank の子会社である IDC Frontier は、10月7日に始まったランサムウェア攻撃を確認しました。この攻撃は約 500 の企業や地方自治体に影響を与えました。 
• 顧客には、3.6PB のデータが7 分間で暗号化されたと主張するメッセージが表示されたとされています。 
• ランサムウェアグループは、スナップショットを削除したと主張しています。
• これに加えて、10月には国内で他にも大規模な攻撃が発生しており、Burger King Japan、Nikkei、Capcom などが被害を受けました。
• 責任共有モデルには、自社のバックアップも含まれます。復元テストは、プロバイダー以外の場所で実施してください。 

10月11日：ハッカーがフランスの冷蔵庫を過熱

• 10月11日から12日にかけての夜間、ハッカーはフランス全土の数百店舗の食料品店で、冷蔵庫を強制的に連続除霜モードにしました。 
• 6 時間にわたり、冷凍・冷蔵設備は 50°C（122°F）の温度まで押し上げられました。 
• デンマークのメーカーである Danfoss は、これらの店舗が古いファームウェアを使用していたか、サポート終了に達していたため、機器がインターネットに露出していたと述べています。 
• この結果、火災が発生し、傷んだ食品による損失は数千万ドルに上る可能性があります。この事件の原因は運用機器の露出でしたが、サプライチェーン攻撃が物理世界に及ぼす影響について、世界中に警鐘を鳴らすものとなりました。 

10月20〜21日：6 件の Linux 脆弱性が一斉に公開

• Trend Micro の Zero Day Initiative（ZDI）は、5 件の Linux カーネルに関するレポートを Linux カーネルセキュリティチームに、1 件のレポートを ConnMan メーリングリストに送付しました。これらはいずれも、より広い公開メーリングリストにも配信されました。 
• ZDI-CAN-33367 は skb_zerocopy() におけるローカル権限昇格で、公開済みの概念実証（PoC）があります。これは 5 月の Dirty Frag の修正（CVE-2026-43284）に残された、新たな抜け穴です。 

10月21日：PHP2Shell

• PHP は 10月21日、CVE-2026-109618 と CVE-2026-109619 に対応する 2 件の緊急リリースを公開しました。 
• 認証されていない攻撃者が HTTP リクエストだけでコードを実行でき、リサーチャーは、130 万〜190 万台の公開ホストが脆弱である可能性があると推定しています。 
• 悪用はパッチが存在する前から始まっていました。Amazon は 10月17日に攻撃の試みを確認したと報告しています。組織は直ちにパッチを適用し、すべての PHP ワーカーを再起動し、不正アクセスの兆候を環境内でスキャンしながら、侵害を受けているものと想定する必要があります。 

10月21日：Node2Shell

• HTTP2Shell としても知られる Node2Shell は、Node.js が 10月21日に、同梱されている Brotli デコーダーの境界外書き込みを修正したことをきっかけに、各組織のレーダーに映るようになりました。 
• この CVE を追跡する最初の公開 GitHub リポジトリは、修正のわずか数時間後に登場し、悪用の試みも数日以内に確認されました。 
• このデコーダーは、Bun、Python の Brotli パッケージ、一部の Envoy 構成にも含まれています。

Sysdig TRT のその他の調査結果

AI エージェントが 2 件の脆弱性を連鎖させ、脆弱性開示プログラムを攻撃

• 10月2日、Sysdig TRT は、9月21日に発生したオランダの脆弱性開示機関（DIVD）への侵害について、最初のブログを公開しました。
• 攻撃者は、オープンソースのヘルプデスクツール Zammad の 2 件の脆弱性を悪用しました。これらは、リモートコード実行の脆弱性である CVE-2026-102489 と、ローカル権限昇格の脆弱性である CVE-2026-102490 として特定されています。 
• 当初はゼロデイと考えられていましたが、Zammad は、侵害が発生する前の 8 月に CVE-2026-102489 に関する報告を受けていたと述べています。

Pickle のバイパス

• 10月27日、Sysdig TRT は、機械学習におけるモデル読み込みの防御策を pickle でバイパスする手法について、分析を公開しました。
• 文書化されている 6 件の CVE のバイパスが、PyTorch の weights_only、Keras の safe_mode、picklescan を突破しました。いずれの場合も、チェック側とローダー側で、そのファイルが何であるかの判断が食い違っていました。
• pickle ファイルを読み込むと、その中のコードが実行されます。これはパッチで修正できるバグではなく設計上の欠陥であり、対策はフォーマットにあります。可能な限り safetensors に切り替え、pickle が読み込まれた後に何が起きるかをランタイムで検知してください。

その他のニュース

• Microsoft が過去最多の 1,411 件の脆弱性を修正：脆弱性の発見ペースが、セキュリティチームの修正対応能力を急速に上回りつつあります。KrebsOnSecurity は、前月の過去最多記録である 972 件の修正でさえ「通常」の Microsoft のパッチ量の 10 倍であり、10月はそれをさらに大きく上回ったと伝えています。この増加は、Microsoft 製品内の脆弱性を見つけるために、社内で AI プラットフォームを活用していることが理由です。セキュリティチームは、到達可能性と悪用状況を優先する必要があります。今月は、実際に悪用されているゼロデイが 1 件（CVE-2026-96951）、公開済みのゼロデイが 2 件、そして重大な脆弱性が 70 件含まれていました。 
• 米国と欧州の食料品店の業務が混乱：Ahold Delhaize は、10月11日に封じ込めのためシステムをオフラインにしたうえで、10月12日にサイバーセキュリティインシデントを確認しました。影響を受けた店舗には、Albert Heijn、Etos、Gall & Gall、Delhaize、Stop & Shop などがあります。 
• 国家支援の脅威アクターがエージェント型 AI を活用：中国と関係のある脅威グループ Storm-0940 は、エージェントを使って ConnectWise の顧客を侵害しました。これは 10月21日の Microsoft の発表によるものです。このグループは、オープンソースの ARTEX フレームワークを使用して、2,250 を超えるテナントへのサインインを試みました。複数のケースで、攻撃者は標的選定から特権的なクラウドアクセスの取得まで、3 時間足らずで到達しました。 

まとめ

今月の時計に注目してください。PHP2Shell は、パッチが出る 4 日前から悪用されていました。Node2Shell は、数時間以内に公開リポジトリに PoC が登場しました。Storm-0940 は、標的選定から特権的なクラウドアクセスまで 3 時間足らずで到達しました。まずは妥当なものから、妥当な期間内にパッチを適用してください。ただし、エクスプロイトが知られた後に何が起きるかにも目を光らせてください。攻撃者は、その挙動を隠すことはできません。 

そして、サイバーセキュリティ意識向上月間が終わったばかりです。ほんの少しだけ脆弱性から離れて一息つきたい方は、侵害を避けるために毎日実践すべき簡単なことのリストをご覧ください。

月次のまとめの合間に最新情報を知りたい方は、ブログで Sysdig TRT の最新情報を確認するか、LinkedIn で私の隔週のセキュリティニュースレターのつぶやきをフォローしてください。

‍