セキュリティブリーフィング:2026年10月

これはdivブロック内のテキストです。

TRTをメールで受け取る

Threat Research Teamのセキュリティブリーフィングを受け取る

新たな攻撃キャンペーン、攻撃者の手法、検知のためのガイダンスをメールでお届けします。

購読する

サイバーセキュリティ意識向上月間の10月、攻撃者はまるで私たちのセキュリティ対策の実践度を試すかのように動きました。日本ではクラウドリージョンがオフラインに追い込まれ、米国と欧州の食料品店ではシステムが一時停止したり、生鮮食品が失われたりしました。AIエージェントは2つの脆弱性を連鎖させ、脆弱性開示を支援するために設立された組織に侵入しました。さらに、1日だけで1,000件をはるかに超える脆弱性パッチが公開されました。冗談ではありません。10月の脆弱性管理は、燃え盛る建物に足を踏み入れるようなものでした。

それでは、今月のセキュリティニュースを見ていきましょう。

10月7日:ランサムウェアが日本のクラウド基盤をダウンさせる

ソフトバンクの子会社であるIDCフロンティアは、10月7日にランサムウェア攻撃が始まったと確認しました。約500の企業や自治体が影響を受けています。
顧客には、わずか7分で3.6PBのデータが暗号化されたとするメッセージが表示されたとされています。
ランサムウェアグループは、スナップショットを削除したと主張しています。
10月には、バーガーキング・ジャパン、日本経済新聞、カプコンなど、国内で他にも大規模な攻撃が相次ぎました。
責任共有モデルには、自社のバックアップも含まれます。プロバイダー以外の場所で復元をテストしておきましょう。

10月11日:ハッカーがフランスの冷蔵庫を過熱

10月11日から12日にかけての夜間、ハッカーは冷蔵庫を強制的に連続除霜モードにし、フランス全土の数百の食料品店に影響を与えました。
6時間にわたり、冷蔵設備は50°C(122°F)まで加熱されました。
デンマークのメーカーであるDanfossによると、対象の店舗は古いファームウェアを使用しているか、サポート終了(EOL)を迎えた機器を使っており、それらがインターネットに露出していました。
この攻撃で火災が発生し、食品の廃棄による損失は数千万ドルに上る可能性があります。原因は運用機器の露出でしたが、サプライチェーン攻撃が物理世界に及ぼす影響を世界に突きつける出来事となりました。

10月20~21日:6件のLinux脆弱性が一斉に公開

Trend MicroのZero Day Initiative(ZDI)は、Linuxカーネルのセキュリティチームに5件のLinuxカーネル関連レポートを、ConnManのメーリングリストに1件のレポートを送付しました。いずれも、より広い公開メーリングリストにも配信されています。
ZDI-CAN-33367は、skb_zerocopy()に存在するローカル権限昇格の脆弱性で、概念実証(PoC)コードが公開されています。5月のDirty Fragの修正(CVE-2026-43284)で残されたもう1つの抜け穴です。

10月21日:PHP2Shell

PHPは10月21日、CVE-2026-109618とCVE-2026-109619に対応する緊急リリースを2回公開しました。
認証されていない攻撃者がHTTPリクエストだけでコードを実行できます。研究者は、脆弱性の影響を受ける可能性のある公開ホストが130万~190万台に上ると推定しています。
悪用はパッチの公開前から始まっていました。Amazonは10月17日に攻撃の試みを確認したと報告しています。組織はただちにパッチを適用し、すべてのPHPワーカーを再起動したうえで、侵害を受けている前提で環境内に不正アクセスの痕跡がないかスキャンする必要があります。

10月21日:Node2Shell

HTTP2Shellとも呼ばれるNode2Shellは、10月21日にNode.jsが同梱のBrotliデコーダーにある境界外書き込みの脆弱性を修正したことで、各組織の注目を集めました。
このCVEを追跡する最初の公開GitHubリポジトリは、修正のわずか数時間後に登場しました。悪用の試みも数日以内に確認されています。
このデコーダーは、Bun、PythonのBrotliパッケージ、一部のEnvoy構成にも含まれています。

Sysdig TRTによるその他の調査結果

AIエージェントが2つの脆弱性を連鎖させ、脆弱性開示プログラムを攻撃

10月2日、Sysdig TRTは、9月21日に発生したオランダの脆弱性開示機関DIVD(Dutch Institute for Vulnerability Disclosure)への侵害について、最初のブログを公開しました。
攻撃者は、オープンソースのヘルプデスクツールZammadの2件の脆弱性を悪用しました。リモートコード実行の脆弱性CVE-2026-102489と、ローカル権限昇格の脆弱性CVE-2026-102490です。
当初はゼロデイ脆弱性と考えられていましたが、Zammadは侵害の前にあたる8月に、CVE-2026-102489に関する報告を受けていたと説明しています。

Pickleによる回避

10月27日、Sysdig TRTは、機械学習のモデル読み込み時の防御をpickleで回避する手法について、分析結果を公開しました。
文書化された6件のCVEの回避手法が、PyTorchのweights_only、Kerasのsafe_mode、picklescanを突破しています。いずれのケースでも、チェック機構とローダーでファイルの解釈が食い違っていました。
pickleファイルを読み込むと、その中のコードが実行されます。これは設計上の欠陥であり、パッチで修正できるバグではありません。そのため、対策はフォーマットの側にあります。可能な限りsafetensorsに切り替え、pickleの読み込み後に何が起きるかをランタイムで検知してください。

その他のニュース

Microsoftが過去最多の1,411件の脆弱性を修正:脆弱性の発見は、セキュリティチームの対処能力をはるかに上回る速さで進んでいます。KrebsOnSecurityによると、前月の記録である972件の修正でさえ、Microsoftの「通常」のパッチ量の10倍でしたが、10月はそれをさらに大きく上回りました。この増加は、Microsoftが自社製品の脆弱性発見に社内でAIプラットフォームを活用していることが要因です。セキュリティチームは、到達可能性と悪用状況を基準に優先順位を付ける必要があります。今月は、実際に悪用されているゼロデイ脆弱性が1件(CVE-2026-96951)、公開済みのものが2件、深刻度が「緊急」の脆弱性が70件含まれていました。
米国と欧州で食料品店の業務が混乱:Ahold Delhaizeは、10月11日にシステムをオフラインにして封じ込めを図った後、10月12日にサイバーセキュリティインシデントを確認したと発表しました。Albert Heijn、Etos、Gall & Gall、Delhaize、Stop & Shopなどの店舗が影響を受けました。
国家支援の攻撃者がエージェント型AIを利用:10月21日のMicrosoftの発表によると、中国と関係のある脅威グループStorm-0940は、エージェントを使ってConnectWiseの顧客を侵害しました。このグループはオープンソースのARTEXフレームワークを使い、2,250を超えるテナントへのサインインを試みました。複数のケースで、攻撃者は標的の選定から特権クラウドアクセスの獲得まで、3時間足らずで到達しています。

おわりに

今月の時間軸に注目してください。PHP2Shellはパッチ公開の4日前から悪用されていました。Node2Shellは、数時間以内にPoCが公開リポジトリに登場しました。Storm-0940は、標的の選定から特権クラウドアクセスの獲得まで3時間もかかりませんでした。まずは妥当な範囲のものから、妥当な期間内にパッチを適用しましょう。そのうえで、脆弱性が悪用可能と判明した後に何が起きるかに目を光らせてください。攻撃者も、その振る舞いまでは隠せません。

そして、サイバーセキュリティ意識向上月間が終わりました。少し息抜きをして、しばらく脆弱性から離れたい方は、侵害を避けるために毎日実践すべき簡単なことのリストをご覧ください。

月次まとめの合間にも最新情報を入手するには、ブログでSysdig TRTの情報をチェックするか、LinkedInで隔週配信している私のセキュリティニュースレターをフォローしてください。

‍

翻訳元: https://webflow.sysdig.com/blog/security-briefing-october-2026