セキュリティニュース
Web サイトに関わる注目の脆弱性と攻撃をわかりやすく解説し、取るべき対策をまとめます。
CISA が PHP2Shell の悪用を確認、米政府機関に10月29日までの対応を指示
10月21日に修正された PHP コアの2件の脆弱性が CISA の「既知の悪用された脆弱性（KEV）」カタログに追加されました。JPCERT/CC も実証コードの公開と攻撃通信を確認しています。
Ivanti Connect Secure：悪用された VPN 攻撃チェーンの root 昇格脆弱性に修正、CISA が CVE-2026-111357 と CVE-2026-118527 を KEV に追加
パッチ適用済みの Connect Secure で root を奪うゼロデイ連鎖のうち、最後の脆弱性が修正されました。10月13日の修正では塞がれておらず、CISA は10月30日に悪用を確認済みとして登録しました。
Binance、63億ドル流出の発端はDevOpsエンジニアの侵害されたノートPCの可能性
Binance は10月29日の流出額を約63億ドルと推定し、DevOpsエンジニアの侵害されたノートPCを足がかりに攻撃者がサービスコンテナへ侵入し出金を実行した可能性があると発表しました。約30億ドルは凍結済みですが、全容は未確定です。
Binance、ホットウォレットから数十億ドル流出か 出金を一時停止
10月29日、Binance のホットウォレットから推定33億〜59億ドルが流出しました。Binance は調査中で損失は全額補償するとしていますが、原因と攻撃者は確認されていません。
GitLab の深刻な脆弱性 CVE-2026-97229、CISA が悪用確認リストに追加 GitLab の更新だけでは不十分な場合も
CISA は2026年10月29日、GitLab CI/CD の脆弱性 CVE-2026-97229（CVSS 10.0）を KEV カタログに追加しました。修正は10月12日に公開済みですが、原因は Ruby の正規表現エンジンにあるため、独自構築の環境では Ruby の更新も必要です。
GitLab を再度更新：19.5.3 で侵害された eMudhra の CA 証明書を信頼対象から除外（CVE-2026-111943）
10月21日の緊急パッチから約1週間、GitLab は10月29日に 19.5.3 など7バージョンを公開しました。秘密鍵が侵害された eMudhra の中間 CA 証明書8件を信頼しないようにする更新です。Runner と AI Gateway は別途更新が必要です。
EMBRACE：Cursor・VS Code・Codex・Copilot・Claude Desktop の内蔵ブラウザーにコード実行やファイル窃取、URL 偽装の脆弱性
Forever Security は10月29日、AI コーディングツール5製品の内蔵ブラウザーに関する脆弱性群「EMBRACE」を公表しました。Cursor のコード実行は修正済みですが、研究者によると VS Code と Codex のファイル読み取りの問題は未修正です。
Cursor の拡張機能マーケットで改ざん版 Claude Code 拡張が配布、開発者の端末に SSH バックドア
10月29日の約11時間、Cursor の拡張機能マーケットプレイスで攻撃者の SSH 鍵と永続化を仕込む改ざん版 Claude Code 拡張が配布されました。更新やアンインストールだけではバックドアは消えません。
VMware ESX のログ記録の脆弱性 CVE-2026-41709、中国系グループがゼロデイ悪用 CISA が悪用リストに追加
CrowdStrike によると、Warp Panda が ESXi のログ回避の脆弱性を2026年初めまでゼロデイとして悪用していました。Broadcom は7月に修正済みで、CISA は2026年10月28日に悪用リストへ追加しました。ESX を更新し、ESXi のログだけに頼らないでください。
WordPress 7.1.4、更新処理の欠陥によるコード実行の脆弱性を修正 公開から数時間で攻撃の試み
10月28日公開の WordPress 7.1.4 は、4.7〜7.1.3 に影響するコア更新処理の競合状態の脆弱性を修正しました。Wordfence は初日に数万件の攻撃を遮断しましたが、侵害成功の報告はありません。更新とあわせて wp-content/upgrade/ への Web アクセスを遮断してください。
Oracle E-Business Suite の RCE 脆弱性に対する攻撃の試みを観測
ハニーポット運用企業が CVE-2026-101767 を狙う探索的な攻撃を報告しました。侵害はまだ確認されていませんが、インターネットに公開された EBS から優先して修正を。
JPCERT/CC、国内組織で相次ぐ不正アクセス・情報漏えいについて注意喚起
9月以降、既知の脆弱性の探索、スマートフォンアプリから見つけた API の悪用、Metabase の SQL インジェクションなどにより個人情報が漏えいしています。
SiteGuard Server Edition に OS コマンドインジェクション、root 権限での悪用を確認
国内で広く使われる WAF の脆弱性が悪用されています。初期設定で影響を受けるため、アップデート前に診断情報を取得してください。
Microsoft 2026年10月の月例更新：1,411件の修正と3件のゼロデイ
過去最大規模の月例更新には、すでに悪用が確認された Windows シェルのセキュリティ機能バイパスなどが含まれています。