株式会社GENZが運営する技術ブログです。

※ 本記事は2026年10月31日時点での情報を元に作成しています。

1. はじめに（今月の動向）

2026年10月は、国内企業による大規模な情報漏えい事案や、その可能性に関する公表が相次ぎました。GMOインターネット株式会社の「お名前.com デスクトップクラウド」では、顧客情報の外部持ち出しが確認されました。ユミルリンク株式会社のメール配信サービス「Cuenote FC」では、複数のシステムで情報漏えいが確認されています。良品計画やソースネクストからも、大規模な情報漏えいの可能性について発表がありました。

技術面では、PHPの重大な脆弱性「PHP2Shell」が大きな話題となりました。また、海外ではBinanceから約63億ドル相当の暗号資産が窃取され、FBIが北朝鮮による攻撃と発表しました。各事案の原因や攻撃手法は異なり、PHPの脆弱性とこれらの侵害を一括して結び付ける根拠はありません。今月は、発生した事実・影響が疑われる範囲・調査中の事項を区別し、システムのセキュリティと品質の観点から整理します。

2. 今月の深掘りトピック（メイン解説 4選）

トピック1：PHP2Shell — 任意コード実行につながる重大な脆弱性と追加の問題

事象の解説

10月21日、The PHP Groupは、PHPの重大な脆弱性2件に対応したセキュリティ更新を公開しました。対象はCVE-2026-109618とCVE-2026-109619で、これらは「PHP2Shell」と呼ばれています。The PHP Groupによると、認証を必要とせず、遠隔から任意のコードを実行される可能性があります。

• CVE-2026-109618：メモリ不足（OOM）時の処理に起因する問題。
• CVE-2026-109619：解放済みメモリに関連する内部状態が、後続リクエストに残る問題。

対象にはPHP-FPM、Apacheのmod_php、php-cgi、FrankenPHP、LiteSpeedなど、Webリクエストを扱うPHP環境が含まれます。The PHP Groupはmod_phpについて、アプリケーションコードが実行される前に攻撃が成立する実証例があるとして、とりわけ注意を促しています。

PHPの系列	10月21日に公開された修正版
8.2	8.2.35
8.3	8.3.36
8.4	8.4.27
8.5	8.5.12

PHP 8.1以前はPHP本家による更新の対象外です。The PHP Groupは、ディストリビューション提供元によるバックポートの確認や、サポート対象版への更新を案内しています。また、PHP 8.2は2026年12月31日にサポート終了予定であり、継続利用の際は移行計画が必要です。

10月26日には、米国のCISAが2件をKnown Exploited Vulnerabilities（KEV）カタログに追加しました。これは実際の悪用が確認された脆弱性であることを意味します。ただし、攻撃の試行や研究者による実証を、個別企業への侵害成功と同一視することはできません。JPCERT/CCは10月29日の更新で、特定の製品に対して侵害成功を示唆する痕跡があるとの第三者報告も紹介しています。

さらに10月23日には、別の脆弱性CVE-2026-115560に関する案内が公開されました。こちらは、特定のセッション設定とアプリケーションコードが組み合わさる場合に成立する問題です。The PHP Groupは通常の修正サイクルで対応する方針を示し、修正までの暫定策としてsession.upload_progress.enabled=0を案内しています。なお、この設定はCVE-2026-109619に対しては確認済みの攻撃経路を塞ぐ部分的な緩和策にとどまり、CVE-2026-109618への対策にはならないため、修正版への更新が前提です。また、アップロード進捗表示の機能が無効になるため、該当機能を使うアプリケーションでは動作確認が必要です。この3件は発生条件と修正状況が異なり、同一の問題として扱うべきではありません。

時系列： 10月21日に2件の重大な脆弱性と修正版を公表 → 10月23日にCVE-2026-115560を案内 → 10月26日にCISAが先の2件をKEVに追加 → 10月29日にJPCERT/CCが注意喚起を更新。

GENZ視点の専門考察

今回の問題は、アプリケーションのソースコードだけでなく、実行基盤や依存製品の脆弱性管理も重要であることを考えさせる事例です。自社で稼働するPHPの系列・バージョンと、PHPを組み込む製品を把握することが対応の出発点となります。緊急更新の前後には、更新対象の確認に加え、主要機能の回帰テストや外部連携の動作確認を行うことが重要です。パッチ適用と並行して、ログなどによる侵害兆候の調査も検討すべきです。

検証の現場では、パッチ適用の完了報告だけで判断しないことが重要です。たとえば、コマンドラインで確認したPHPのバージョンと、Webリクエストを実際に処理しているPHP-FPMやmod_phpのバージョンが一致しないことがあります。更新後はWebサーバー経由で稼働バージョンを確認し、すべてのワーカーが再起動されていることを確かめたうえで、ファイルアップロードやセッションを使う主要機能から回帰テストすることをおすすめします。

参考ソース

• 一次情報：The PHP Group：2026年10月21日のセキュリティアドバイザリと10月23日の追加案内
• 一次情報：IPA：PHPの脆弱性対策について
• 一次情報：カナダ・サイバーセキュリティセンター：PHPの脆弱性に関する更新情報
• 一次情報：JPCERT/CC：PHPにおける複数の脆弱性に関する注意喚起
• 報道：The Register：CISAによるPHP2Shellの悪用確認
• 報道：The Register：追加のPHP脆弱性と修正方針

トピック2：GMOインターネット「お名前.com デスクトップクラウド」— 情報持ち出しを確認、取引口座への影響を調査

事象の解説

GMOインターネット株式会社は10月20日、「お名前.com デスクトップクラウド」の一部顧客サーバーに不正プログラムが設置されていることを確認しました。同サービスはクラウド上のWindowsデスクトップ環境を提供しています。同社によると、顧客が保存していた証券・FX取引口座のログイン情報などが、第三者に取得され不正利用された可能性があります。個別の取得状況や不正利用の有無は、引き続き調査中です。

10月23日の第3報では、影響を受けた可能性があるサーバーは26,739件と公表されました。これは対象となり得るサーバー数であり、すべてのサーバーへの侵入や情報取得が確認された件数ではありません。

10月24日の第4報では、顧客情報が外部に持ち出された事実を確認したと公表しました。また、一部顧客から、取引口座に身に覚えのない取引があるとの報告を受けています。ただし、報告された取引のすべてが、本件に起因する不正取引と認定されたわけではありません。

GMOインターネットは、お客様の決済情報（クレジットカード情報を含む）を本サービスのサーバー上では保有していないと説明しています。一方、顧客自身がサーバー内に保存した認証情報などは、影響範囲に含まれます。

攻撃者とみられる者による情報公開

10月27日12時30分、同社は攻撃者とみられる者が、同社や顧客に関する情報と称する内容を公開したことを確認しました。同社は公開内容の確認を続けており、事実と異なる内容が含まれるおそれもあるとしています。攻撃者が掲載した内容は、確認済みの被害件数や漏えい項目として採用できません。

また、10月27日13時55分時点で、同社はランサムウェア攻撃を確認していないと説明しました。10月28日には、当該情報が掲載されていたサイトのドメインが停止されたことを確認しています。ただし、ドメインの停止は、情報の回収や完全削除を意味するものではありません。

補償・代替サービスの条件

同社が10月24日に公表した支援策は次のとおりです。

• お見舞金5,000円：本サービスを現在利用しているすべての顧客に、金銭的被害の有無にかかわらず支払うとしています。
• 代替サービスの6か月間無償提供：当時の契約者のうち、引き続きWindowsデスクトップ環境の利用を希望する顧客が対象です。顧客の同意なく移行することはありません。
• 不正取引による損失の補償：同社の調査で本件に起因する不正取引と認定された取引の実現損失が対象です。取引の差損や手数料等を含みますが、市場変動による損失、得られたはずの利益、間接損害などは対象外としています。取引所等による返金があった場合は、その金額を差し引く条件です。

※10月27日の第12報では、攻撃者による情報公開が確認された顧客向けに、公開された情報の区分に応じて10,000円・15,000円・25,000円の特別お見舞金（1公開につき上限300万円）を、第4報のお見舞金とは別に支払うと発表しています。

同社は顧客に対して、取引口座のパスワード変更に加え、ログイン中の全セッションの切断を求めています。パスワード変更後も既存の接続が維持される場合があるためです。

時系列： 10月19日に顧客からの問い合わせを受けて調査開始 → 10月20日に不正プログラムを確認 → 10月21日4時00分から全プランのサーバーを順次停止 → 10月24日に外部持ち出しと支援策を公表 → 10月27日に攻撃者とみられる者による情報公開を確認 → 10月28日に関連サイトのドメイン停止を確認。

GENZ視点の専門考察

確認した公式発表では、最初の侵入経路や悪用されたCVE番号は確定していません。そのため、PHP2Shellや特定の設定不備が原因だったと推測することは避ける必要があります。クラウド型デスクトップ環境では、顧客環境の分離、管理権限の制限、機密情報の取り扱い、異常操作の監視などを設計・検証の観点として見直すことが重要です。加えて、認証情報の変更だけでなく、既存セッションを失効させる運用手順の検証も検討すべきです。

参考ソース

• 一次情報：GMOインターネット：第3報（10月23日）
• 一次情報：GMOインターネット：第4報（10月24日）
• 一次情報：GMOインターネット：第10報（10月27日）
• 一次情報：GMOインターネット：第12報（10月27日）
• 一次情報：GMOインターネット：第13報（10月28日）
• 報道：BleepingComputer：お名前.com デスクトップクラウドの不正アクセス

トピック3：ユミルリンク「Cuenote FC」— 49システムで情報漏えいを確認、延べ5,162万件超に漏えいのおそれ

事象の解説

ユミルリンク株式会社は10月26日、メール配信サービス「Cuenote FC」などに対する不正アクセスについて、第2報を公表しました。同社は、プログラムのライブラリの脆弱性が悪用されたと説明しています。調査では、サポート・品質管理担当者の認証情報の取得、不正プログラムの設置、データベースからのデータ出力、他システムへの認証試行などを確認しました。セッション情報を利用した不正ログインも確認しています。

Cuenote FCでは、49システムで情報漏えいの痕跡が確認されています。漏えいのおそれがある件数は51,628,280件（延べ件数）です。この数字は実人数ではなく、配信先メールアドレスや顧客企業ごとの登録情報などを含む延べ件数です。10月26日時点では、16システムの件数が調査中であり、今後増える可能性があるとしています。

別の顧客管理システム「Cuenote BASE」では、契約者情報190件（企業名、氏名、電話、メールアドレス）が閲覧可能な状態でした。同社は、他のユーザー情報について閲覧記録も確認したと報告しています。一方、Cuenote SR-S、SMS、Auth、Survey、Push、安否確認サービスについては、情報漏えいなどの影響はないと公表しました。

ユミルリンクは10月26日の第2報時点で、漏えいした個人情報が不特定多数に公開された事実や、本事案に起因する個人情報の不正利用は確認していないと説明しています。これは、情報漏えい自体がなかったという意味ではありません。

時系列： 10月16日6時49分に担当者がアカウント異常を発見 → 同日10時10分に脆弱性を利用した攻撃を特定し、不審IPからのアクセスを遮断 → 同日20時46分に対策プログラムを適用 → 10月19日に第1報 → 10月26日に第2報を公表。

GENZ視点の専門考察

本件では、脆弱性の悪用に加え、管理・サポート用の認証情報やセッション情報が他システムへのアクセスに利用されたと説明されています。SaaSでは、顧客ごとのデータアクセス制御と管理者の権限範囲を検証することが重要です。セッションの無効化、不正なデータ出力の検知、利用ライブラリの脆弱性管理も検証対象となります。また、委託先サービスで問題が発生した際の影響調査や顧客通知の手順も、運用面の重要な確認項目です。

参考ソース

• 一次情報：ユミルリンク：不正アクセスに関する第2報（10月26日）
• 一次情報：NTTPCコミュニケーションズ：Cuenote FC利用に伴う情報漏えいの可能性

トピック4：Binance（バイナンス）— 約63億ドル相当の暗号資産窃取、FBIが北朝鮮の関与を発表

事象の解説

暗号資産交換業者のBinance（バイナンス）は10月30日、同社のホットウォレットが侵害され、暗号資産が不正に出金されたことを公表しました。同社の第2報によると、侵害の発生時刻は10月29日20時05分頃（UTC、日本時間10月30日5時05分頃）で、被害額は約63億ドル相当と推定されています。インターネットに接続されたホットウォレットからの資産窃取であり、顧客の個人情報漏えい件数を示す数字ではありません。

Binanceは、不正出金の拡大を防ぐため、出金サービスを一時停止し、影響を受けた権限を無効化したと説明しています。入金と影響を受けていないサービスは継続しました。また、10月30日の第2報では、業界関係者との協力により約30億ドル相当の資産をブロックチェーン上で凍結したと公表しました。ただし、資産の凍結と、被害資産の返還・回収完了は同じではありません。

侵入経路は引き続き調査中

10月30日の初期発表では、DevOpsエンジニアのノートPCが侵害され、攻撃者がサービスコンテナにアクセスして不正な出金処理を実行できた可能性を示しました。しかし、同日の第2報では、調査の結果、ほかにも侵害された箇所が見つかったと説明しています。最初のPCへの侵入が唯一の原因だったと確定したわけではありません。また、同社はウォレットの秘密鍵が漏えいした証拠は確認されていないとしています。これは秘密鍵の漏えいを完全に否定するものではありません。

北朝鮮による攻撃とのFBIの判断

ブロックチェーン分析企業TRM Labsは、北朝鮮系のTraderTraitorによる攻撃と高い確信度で評価しました。10月31日には米連邦捜査局（FBI）が北朝鮮による窃取だと公式に発表し、この活動をTraderTraitorと呼んでいます。FBIは、盗まれた資産が主としてEthereum（ETH）に変換されていると説明し、暗号資産関連事業者に対して、関連アドレスを介した取引の遮断を呼びかけています。

補填状況と利用者への影響

Binanceは利用者に損失を負担させず、ユーザー保護基金（SAFU）や同社資金などで対応する方針を表明しました。10月31日の更新では、被害資産に対する補充率が約90％に達したと公表しています。この90％は、盗まれた資産の90％を攻撃者から取り戻したという意味ではありません。また、10月31日時点では一部の流動性が低いトークンの補充が残っていると説明しています。

時系列： 10月29日20時05分頃（UTC）にホットウォレットが侵害される → 10月30日にBinanceが初期発表と第2報を公表 → ブロックチェーン分析企業TRM Labsが北朝鮮系TraderTraitorによる攻撃と高い確信度で評価 → 10月31日にFBIが北朝鮮への帰属を発表 → 同日にBinanceが資産補充率約90％と公表。

GENZ視点の専門考察

本件は、暗号資産の秘密鍵だけでなく、出金指示を実行する周辺システムや運用権限も検証対象になることを考えさせる事案です。侵入経路が未確定である以上、特定の認証不備やコードの欠陥を原因として断定することはできません。一般的な検証項目として、出金権限の最小化、承認フローの分離、異常な出金パターンの検知、操作ログの保全を検討できます。開発・運用端末が侵害された場合を想定し、認証情報やセッションの失効、出金停止から再開までの手順を訓練・確認することも重要です。

参考ソース

• 一次情報：Binance：セキュリティ事案の初期報告（10月30日）
• 一次情報：Binance：セキュリティ事案の第2報（10月30日）
• 一次情報：FBI：北朝鮮によるBinanceへの攻撃に関する声明（10月31日）
• 一次情報：Binance：被害資産の補充状況（10月31日）
• 一次情報：TRM Labs：Binanceへの攻撃をTraderTraitorによるものと評価
• 報道：SecurityWeek：Binanceの大規模暗号資産窃取（10月30日）

3. 今月の業界ヘッドラインニュース

◆ 国内

• 良品計画、MUJIアプリで最大約2,726万件の情報漏えいの可能性（良品計画）：10月30日、メールアドレス、生年月日、性別が外部に漏えいした可能性を公表しました。退会者も対象に含まれます。氏名、住所、電話番号、クレジットカード情報は対象外としています。外部への漏えい自体は公表時点で確定していません。

• GMOリサーチ＆AI「infoQ」、894,082件の個人情報持ち出しを確認（GMOリサーチ＆AI）：10月14日の第2報で、個人情報894,082件の外部持ち出しを確認しました。第1報の最大948,498件から修正しています。また、本人の意思によらないポイント交換611件、計2,869,500円相当を確認しています。サイトで使用していたソフトウェアの脆弱性の悪用が原因と説明しています。GMOインターネットの事案とは別件です。

• ソースネクスト、会員情報22,519,960件に漏えいの可能性（ソースネクスト）：10月9日10時頃から会員情報取得APIが不正利用され、10月13日に不正アクセスを確認、同日13時36分までに封じ込めました。流出した可能性のある情報には、メールアドレス、パスワード、氏名、住所、電話番号などが含まれます（登録状況により項目は異なります）。カード情報は対象システムに保存されていませんでした。公式発表ではパスワードの保存形式は示されていません。同社は漏えい対象に含まれるパスワードを無効化し、再設定と、同じパスワードを使っている他サービスでの変更を求めています。（よくある質問）

• Eストアー「ショップサーブ」、約2,335万6,000人を対象とする最終報告（Eストアー）：10月16日、過去に公表した不正アクセスについて最終報告しました。漏えい対象者は約23,356,000人で、そのうち約2,096,900人についてカード名義、カード番号の一部、有効期限が含まれます。完全なカード番号とセキュリティコードは対象外です。侵害が確認された期間は5月21日から8月1日であり、10月に新たに発生した事件ではありません。

• カプコン「CAPCOM ID」、11,774,247件の情報漏えいを確認（カプコン）：10月22日、メールアドレスなど11,774,247件の漏えいを公表しました。このうち196件でパスワードが不正に変更されました。10月23日の第2報では、その196件のうち19件で「イーカプコン」の追加情報も漏えいしたと説明しています。

• トラストバンク「ふるさとチョイス」、4,454,097件の寄附者情報が漏えい（トラストバンク）：10月20日、氏名、メールアドレス、住所、電話番号、ハッシュ化されたパスワード、寄附控除試算額などの情報漏えいを公表しました。10月17日に不正アクセスを受け、19日に異常を確認したと説明しています。

• So-net、会員情報と一部メール認証情報の漏えいを確認（So-net）：10月27日、So-net会員情報2,141,986件、plala（Sコース）会員情報443,495件などの漏えいを公表しました。別途、一部メールサービスのメールアドレス・パスワード計54,401アドレス分、銀行口座情報16件、パスワード再設定用通知書情報7件の漏えいも確認しています。種類の異なる件数を実人数として単純に合算することはできません。

• futureshop、利用店舗1店舗の会員情報3,147,469件が漏えい（フューチャーショップ）：10月17日にサーバーで使用していたソフトウェアの脆弱性が悪用され、翌18日に対象店舗の会員情報が取得されました。10月23日の第1報で公表しています。クレジットカード情報は同社サーバーを経由せず、保存もしていないと説明しています。

• 「焼肉きんぐ」公式アプリ、会員情報10,788,963件の漏えいを確認（焼肉きんぐ）：10月5日、公式アプリの会員管理システムへの不正アクセスを公表しました。会員番号、登録名、メールアドレス、電話番号などが含まれ、ログインパスワードや保有ポイントを含む店舗利用履歴などは対象外としています。

• 花キューピット、最大4,238,242件の会員情報が漏えい対象となる可能性（花キューピット）：10月28日、ユーザーID、メールアドレス、パスワードのハッシュ値などが対象となる可能性を公表しました。氏名、住所、電話番号、クレジットカード番号などは漏えいしていないと説明しています。

• 日本航空、Amadeusのシステムで約92,000名の予約情報に参照の形跡（日本航空）：10月23日に委託先のAmadeusから報告を受け、10月30日付で公表しました。参照された形跡がある期間は2023年8月10日から2026年9月23日です。約90,000名では予約番号・氏名など、別の約2,000名ではパスポート番号なども対象です。カード番号・パスワードの漏えいや運航への影響はないとしています。

• アサヒグループ、一部WebサービスをPHP脆弱性対策のため予防停止（アサヒグループホールディングス）：10月22日、PHPの脆弱性に対応するため、安全性を確認できていない一部のWebサイトとシステムを停止しました。同社は、この脆弱性による不正アクセスや情報漏えいの被害を確認していないとしています。

• 日本航空、一部WebサービスをPHP脆弱性対策のため予防停止（日本航空）：10月26日付の公式告知で、PHPの重大な脆弱性への予防措置として一部Webページ・サービスを停止し、安全性の確認後に順次再開していると案内しました。予約・発券や搭乗に関するサービスは通常どおり利用可能としています。Amadeusの事案とは別に扱う必要があります。

• トレジャー・ファクトリー、案件管理システムから顧客情報が不正取得される（トレジャー・ファクトリー）：10月23日、「出張買取」「トレファク引越」の案件管理システムへの不正アクセスを公表しました。同社はデータベースへのアクセスに関する脆弱性が悪用されたと説明しています。10月に公表されたPHPの脆弱性とは関連がないと明示しています。

• NTTPCコミュニケーションズ、Cuenote FC利用に伴う情報漏えいの可能性を公表（NTTPCコミュニケーションズ）：10月27日、委託先のメール配信サービスで生じた不正アクセスに伴い、一部顧客情報が影響対象となったことを公表しました。ユミルリンクの事案に伴う影響であり、独立した攻撃として件数を加算すべきではありません。

◆ 海外

• 英国政府、PHPの脆弱性対策で32サービスが停止、4サービスが一部利用不可（英国議会）：10月22日の英国議会上院で、政府サービス32件が利用不可、4件が一部利用不可と説明されました。主としてセキュリティ更新や緩和策を適用するための予防措置によるものであり、32件の攻撃被害が確認されたという意味ではありません。

• ASOS、従業員へのなりすましによる認証情報の窃取を説明（BleepingComputer）：10月8日の報道によると、ASOSは、信頼できる連絡先になりすました第三者が従業員のログイン情報を取得し、外部サービス上の情報にアクセスしたと顧客向け通知で説明しています。氏名や連絡先などが影響対象ですが、決済カード情報とアカウントパスワードは含まれないとしています。

• ConnectWise Cloud Backupのアプリケーション認証情報が悪用され、顧客環境にも影響（ConnectWise）：ConnectWiseは10月17日、Cloud Backupに関連するアプリケーションIDへの不正アクセスを確認し、接続を停止しました。同社は、保管済みの暗号化バックアップアーカイブに侵害の兆候はないと説明しています。一方、顧客のMicrosoft 365環境への影響は別問題です。BleepingComputerは、Huntressが自社の監視対象で少なくとも162テナントの侵害を確認したと報じています。これはConnectWiseが発表した全被害件数ではありません。（BleepingComputerの報道）

• 米国土安全保障省、4万人超の職員情報の公開を巡り対応（Reuters）：10月29日のReuters続報によると、情報公開団体が前日に4万人超の職員情報を公開し、ICE（米国移民・関税執行局）の委託を受けた事業者ZeroFoxが、ホスティング事業者に削除・アクセス制限を求めました。DHS報道官は潜在的な侵害を認識し対応中と説明しています。公開データの範囲と、実際に第三者に取得された情報の範囲は区別する必要があります。

4. おわりに（総括とGENZからのメッセージ）

2026年10月は、情報漏えいが確認された事案、漏えいの可能性が公表された事案、脆弱性対応のためサービスを予防停止した事案に加え、巨額の暗号資産窃取も発生しました。これらは事実の確定度も原因も異なります。一方で、脆弱性への更新対応だけでなく、認証情報とセッションの保護、アクセス権限の管理、異常な取引の監視、委託先との連携、復旧手順など、運用を含む幅広い視点での対策が求められます。

株式会社GENZでは、ソフトウェアテスト、システムの品質検証、脆弱性診断などを通じて、お客様の課題に合わせた検証を支援しています。新規開発時の機能確認に加えて、既存システムの更新・改修時の回帰テストや、運用中のセキュリティリスクの点検も重要です。システムの構成やリスクに応じた検証方法について、ぜひご相談ください。

ソフトウェアセキュリティや品質に関するご相談はこちら