https://utm.hinoshiba.com/feed-updates.xml 公開された資料をもとに、セキュリティ事象の経緯・影響・対応を出典付きで記録しています。 2026-11-08T00:00:00+09:00 @hinoshiba https://utm.hinoshiba.com/2026/11/teamspirit-development-server-unauthorized-access/ 2026-11-08T00:00:00+09:00 2026-11-08T00:00:00+09:00

チームスピリットの2026年11月6日の発表によると、第三者がソフトウェア開発用サーバーに不正ログインし、保管されていた認証情報でクラウド環境からデータを取得したことを10月27日に確認した。流出した個人情報等は、「TeamSpirit」の顧客（過去の契約を含む）の担当者・利用ユーザー、資料請求や問い合わせをした人、従業員（退職者を含む）のもので、確認できた範囲で重複を除き28,824件である。

https://utm.hinoshiba.com/2026/11/rohto-mail-order-phone-system-unauthorized-access/ 2026-11-08T00:00:00+09:00 2026-11-08T00:00:00+09:00

ロート製薬の2026年11月6日の発表によると、通信販売の顧客対応に使う電話システムに第三者が不正にアクセスし、電話システムを経由して顧客管理システムの情報も不正に取得された。顧客管理システムで漏えい等の対象となった顧客は2,797,545人で、通話音声データのうち9,715人分にはクレジットカード番号と有効期限が含まれていた。個人情報を用いた不正利用等の二次被害は確認されていないとした。

https://utm.hinoshiba.com/2026/11/netmile-unauthorized-access/ 2026-11-08T00:00:00+09:00 2026-11-08T00:00:00+09:00

ウィルズの2026年11月2日の発表によると、広告事業で運営する「ネットマイル」のシステム環境に第三者による不正アクセスがあり、会員の個人情報の一部が外部に漏洩した可能性がある。対象となる可能性がある人数は最大約549万人で、退会した会員の情報を含む最大数とした。二次被害の防止とセキュリティ対策のため、「ネットマイル」と「すぐたま」のサイトを止めている。

https://utm.hinoshiba.com/2026/11/smbc-consumer-finance-guarantee-system-unauthorized-access/ 2026-11-07T00:00:00+09:00 2026-11-07T00:00:00+09:00

SMBCコンシューマーファイナンスの2026年11月5日の発表によると、カードローンなどの保証業務に使うシステムが第三者の不正アクセスを受け、外部に送信されたデータに最大320,118名の個人情報が含まれていた。同社は保証システムを一時停止し、安全性の確認と必要なメンテナンスを続けている。

https://utm.hinoshiba.com/2026/11/jnsa-security-literacy-check-unauthorized-access/ 2026-11-07T00:00:00+09:00 2026-11-07T00:00:00+09:00

日本ネットワークセキュリティ協会（JNSA）の2026年11月6日の第一報によると、協会が運営する情報セキュリティ理解度チェックサービスが第三者から不正アクセスを受け、利用者の個人情報が漏えいした可能性があり、対象者は最大15,128件と見込まれる。JNSAは被害の拡大を防ぐためにサービスを止め、外部専門事業者の協力を得て原因と影響範囲を調べている。

https://utm.hinoshiba.com/2026/11/aioi-nissay-dowa-customer-data-leak/ 2026-11-07T00:00:00+09:00 2026-11-07T00:00:00+09:00

あいおいニッセイ同和損保の2026年11月6日の発表によると、「ご契約者さま専用ページ」への不正アクセスで、ページに登録した顧客の情報が約44.4万件漏えいした。同じグループの三井住友海上も同じ日に、同名のページへの不正アクセスで約3.7万件の漏えいを確認したと発表した。両社とも、漏えいした情報が不正使用された事実は現時点で確認されていないと説明した。

https://utm.hinoshiba.com/2026/11/arara-message-unauthorized-access/#updated-2026-11-07 2026-11-06T00:00:00+09:00 2026-11-07T00:00:00+09:00

アララの2026年11月6日の第3報によると、メール配信サービス「アララメッセージ」は、共用環境とサービスのサーバーを経由した契約企業の環境に加え、別のクラウド上の環境Bからもメールアドレスを持ち出されていた（持ち出された恐れを含む）。サービスは提供をすべて止めたままで、11月6日の案内でも再開の時期は未定とした。

https://utm.hinoshiba.com/2026/11/linux-kernel-cve-2026-98432/#updated-2026-11-07 2026-11-01T00:00:00+09:00 2026-11-07T00:00:00+09:00

LinuxカーネルCVEチームが2026年10月15日に告知したCVE-2026-98432は、IPv4 TCPの接続処理のuse-after-freeである。Anthropicは10月27日、ClaudeがMPTCPのリスナーを持つサーバーで遠隔からrootのコマンドを動かす攻撃コードを書いたと公表した。Red Hatは11月1日にRHEL 8・9・10を修正し、Ubuntuの修正版は試験中である。

https://utm.hinoshiba.com/2026/11/binance-unauthorized-withdrawals/#updated-2026-11-07 2026-11-01T00:00:00+09:00 2026-11-07T00:00:00+09:00

Binanceの初期調査の報告書によると、2026年10月29日、攻撃者は社内でウォレットの署名を担うサービスに不正に入り込み、通常の出金処理を通らない取引を始め、約63.4億米ドル相当のデジタル資産が影響を受けた。Binanceは11月4日の第7報で、影響額の約98%を補填したと説明した。出金は11月1日から段階的に再開し、11月6日の第9報でも対象の資産を広げた。

https://utm.hinoshiba.com/2026/10/france-retail-refrigeration-remote-operation/#updated-2026-11-07 2026-10-26T00:00:00+09:00 2026-11-07T00:00:00+09:00

フランスの食品小売チェーンで、2026年10月11日夜から12日にかけ、冷凍冷蔵設備がサイバー攻撃を受けた。ANSSI（国家情報システムセキュリティ庁）のCERT-FRは、DanfossのAK-SM・AK-SCシリーズと、Copeland・Dixellのxwebの遠隔コントローラーで、多数の侵害を把握している。11月2日にかけての夜には、ベルギーなどの店が、冷蔵の温度を遠隔で上げられたと報告した。

https://utm.hinoshiba.com/2026/10/atlink-obstetrics-system-unauthorized-access/#updated-2026-11-07 2026-10-26T00:00:00+09:00 2026-11-07T00:00:00+09:00

メドレーの2026年10月23日の発表によると、医療機関業務支援システム「@link（アットリンク）」などへの第三者の不正アクセスで、登録された個人情報が外部に漏えいした。10月15日の適時開示では、漏えいの対象となる可能性のある医療機関は最大でアットリンク等を利用する全医療機関（787件）とした。10月28日には、一部の医療機関で「@link クラウド β版」のテスト利用を始めた。

https://utm.hinoshiba.com/2026/11/openssh-musl-password-auth-bypass/ 2026-11-06T00:00:00+09:00 2026-11-06T00:00:00+09:00

Alpine Linuxの2026年11月5日の勧告では、PAMを使わずに動くsshdで、条件がそろうと、パスワード欄が「*」のアカウントに257〜1,024バイトの任意のパスワードでログインできる。OpenSSHは11月5日、sshd側でこの問題を避ける10.6p2を公開した。

https://utm.hinoshiba.com/2026/11/kyushu-td-electricity-data-unauthorized-access/ 2026-11-06T00:00:00+09:00 2026-11-06T00:00:00+09:00

九州電力送配電の2026年11月5日の発表では、同社の一部システムが不正アクセスを受け、保有する電力量情報の一部4,139件が社外に漏えいした可能性がある。そのシステムをネットワークから切り離しており、それに伴って「電力量・料金照会サービス」を止めている。

https://utm.hinoshiba.com/2026/11/docomo-online-shop-unauthorized-access/ 2026-11-06T00:00:00+09:00 2026-11-06T00:00:00+09:00

NTTドコモの2026年11月5日の第二報によると、ドコモオンラインショップとMy docomoに外部から不正なアクセスがあり、緊急メンテナンス以前のアクセスで最大約30万件の「お客さま情報」が流出した。両サービスの緊急メンテナンスは続いており、復旧の見込みは未定である。

https://utm.hinoshiba.com/2026/11/studio-unauthorized-access/#updated-2026-11-06 2026-11-01T00:00:00+09:00 2026-11-06T00:00:00+09:00

Studio社の2026年10月16日の第一報によると、同社が利用するクラウド環境への第三者の不正アクセスで、Studioに登録するすべての顧客の情報が外部に流出した可能性がある。暗号化して保存していた情報も、復号に必要な鍵が同じ不正アクセスで読み出されたため、内容を知られた可能性があるとした。Studio社は11月4日、個人情報保護委員会への連名の報告の申し込みを受け付け始めた。

https://utm.hinoshiba.com/2026/10/php-cve-2026-109618-109619/#updated-2026-11-06 2026-10-25T00:00:00+09:00 2026-11-06T00:00:00+09:00

PHPの2026年10月21日のアドバイザリでは、CVE-2026-109618とCVE-2026-109619はWebリクエストを処理するすべてのPHPで認証なしの遠隔コード実行を許しうる。PHP Foundationによると、前日にCVE番号が出回り、PHPは公開を10月22日から10月21日に早めた。CISAは2件を10月26日に、悪用が確認された脆弱性の一覧（KEV）に加えた。

https://utm.hinoshiba.com/2026/10/omu-ransomware-system-outage/#updated-2026-11-06 2026-10-25T00:00:00+09:00 2026-11-06T00:00:00+09:00

大阪公立大学の2026年10月6日の発表によると、10月2日未明から仮想化基盤システムで大規模な障害が起き、学内の多くの情報システムが利用できない状況になった。大学はこの障害を、ランサムウェア攻撃によるものと判断している。10月21日の第5報では、基盤システムの保守・運用を委託するNECから、再委託先が持つ正規のアカウントで大学のシステムに不正にアクセスされたことが原因との報告を受けたとした。

https://utm.hinoshiba.com/2026/08/cve-2026-64564-sctphantom-linux/#updated-2026-11-06 2026-08-13T00:00:00+09:00 2026-11-06T00:00:00+09:00

LinuxカーネルのCNAが2026年8月4日に公開したCVE-2026-64564は、SCTP実装のASCONFチャンクのDEL-IP処理にあるuse-after-freeである。Tencent Zhuque Labの技術解説によると、Corvus AIが最初の発見を再現できる脆弱性に仕上げ、試験したシステムでローカルの権限昇格とコンテナからホストへの脱出を実証した。

https://utm.hinoshiba.com/2026/08/cve-2026-64600-refluxfs-linux-privilege-escalation/#updated-2026-11-06 2026-08-06T00:00:00+09:00 2026-11-06T00:00:00+09:00

Qualysの2026年7月22日の勧告によると、Linuxカーネルでは、reflink対応で作ったXFS上で、権限の無いローカルユーザーが読めるファイルのディスク上の内容を書き換えられる。QualysはこのCVE-2026-64600をRefluXFSと呼び、知る限りでは2017年2月のコミットで入ったとした。CISAの評価では、悪用（Exploitation）はnoneである。

https://utm.hinoshiba.com/2026/07/cve-2026-53359-januscape-kvm-escape/#updated-2026-11-06 2026-07-11T00:00:00+09:00 2026-11-06T00:00:00+09:00

LinuxカーネルのCVEチームの2026年7月4日のCVE記録では、KVM（x86）のシャドウページングのuse-after-free（CVE-2026-53359）が修正された。発見者は7月6日に「Januscape」の名で公表し、Intel・AMDのx86ホストのKVMでゲストがホストへ脱出できると説明した。Google Cloudは、本番環境で顧客への悪用の証拠を観測していないとした。

https://utm.hinoshiba.com/2026/05/cve-2026-48095-7-zip/#updated-2026-11-06 2026-05-27T00:00:00+09:00 2026-11-06T00:00:00+09:00

GitHub Security Labの2026年5月22日のアドバイザリによると、7-Zip 26.00のNTFSアーカイブ処理にヒープバッファオーバーフロー（CVE-2026-48095）があり、任意のコード実行やアプリのクラッシュに悪用されうる。別のアドバイザリは、SquashFS・UDF・UEFI・WIM・Arなどの処理とサンプルアプリの問題8件を挙げた。修正は26.01に含まれている。

https://utm.hinoshiba.com/2026/05/cve-2026-31635-dirtydecrypt/#updated-2026-11-06 2026-05-21T00:00:00+09:00 2026-11-06T00:00:00+09:00

The Hacker Newsは2026年5月19日の記事で、Linuxカーネルの権限昇格の攻撃コード「DirtyDecrypt」（別名DirtyCBC）の対象を、NVDのCVE記録にこのコードへのリンクがあることからCVE-2026-31635とした。影響を受けるのは、CONFIG_RXGKを有効にしたFedora・Arch Linux・openSUSE Tumbleweedなどの配布版だけである。

https://utm.hinoshiba.com/2026/05/cve-2026-46300-fragnesia/#updated-2026-11-06 2026-05-15T00:00:00+09:00 2026-11-06T00:00:00+09:00

V12の2026年5月13日の公表文では、FragnesiaはLinuxのXFRM ESP-in-TCPの論理バグを使うローカル権限昇格で、競合状態を要さずに読み取り専用ファイルのページキャッシュへ任意のバイトを書き込める。Dreamは、PHP2Shellと連ねた悪用で25台のサーバーがrootを取られたと報告した。CISAはCVE-2026-46300をKEVに登録した。

https://utm.hinoshiba.com/2026/05/cve-2026-31431-copy-fail/#updated-2026-11-06 2026-05-03T00:00:00+09:00 2026-11-06T00:00:00+09:00

発見したTheori（Xint）の2026年4月29日の公表によると、Linuxカーネルの論理的な欠陥CVE-2026-31431（通称「Copy Fail」）は競合状態もカーネル固有のオフセットも要らず、同じ732バイトのPythonスクリプトで2017年以降に出た全Linuxディストリビューションのrootを取れる。Red HatとSUSEは、アドバイザリで状態を「Resolved」とした。

https://utm.hinoshiba.com/2026/04/anthropic-mcp-code-execution/#updated-2026-11-06 2026-04-26T00:00:00+09:00 2026-11-06T00:00:00+09:00

Cloud Security Allianceの研究ノートによると、AnthropicのModel Context Protocol（MCP）の公式SDKは、STDIOトランスポートで渡されたコマンドを、サブプロセスが正当なMCPサーバーかを検知する前に実行する。MCPプロジェクトはセキュリティポリシーの現行版で、SDKのstdioトランスポートはサンドボックスではないとしている。

https://utm.hinoshiba.com/2026/04/cve-2026-39813-fortisandbox-api/#updated-2026-11-06 2026-04-18T00:00:00+09:00 2026-11-06T00:00:00+09:00

CNAのFortinetが2026年4月14日に公開したCVEレコードによると、FortiSandboxのパストラバーサルの脆弱性CVE-2026-39813は、細工したHTTPリクエストにより攻撃者に権限の昇格を許しうる。観測主体のPrevidianは、センサーがこの脆弱性を狙う試行を60回観測したと記載し、CISAのKEVには載っていないとした。

https://utm.hinoshiba.com/2026/11/wordpress-core-update-race-rce/ 2026-11-05T00:00:00+09:00 2026-11-05T00:00:00+09:00

WordPressの2026年10月28日のリリース告知によると、更新の時間帯にリモートでのコード実行に至りうる更新処理の弱点を7.1.4で直し、修正を4.7までの系列にバックポートした。米CISAはこの脆弱性CVE-2026-119977をKEVカタログに加え、悪用の状況の評価は「active」だった。

https://utm.hinoshiba.com/2026/11/nodejs-november-2026-security-releases/ 2026-11-05T00:00:00+09:00 2026-11-05T00:00:00+09:00

Node.jsの2026年11月3日の予告によると、26.x・24.x・22.xの各系列の新しい版を11月11日かその後まもなく出し、脆弱性を修正する。各系列で修正する問題のうち最も深刻なものの深刻度は、いずれもHIGHである。

https://utm.hinoshiba.com/2026/11/cve-2026-99999-pwnescape-linux-kernel-guest-to-host/ 2026-11-05T00:00:00+09:00 2026-11-05T00:00:00+09:00

PWNAI Researchが公表したLinuxカーネルの脆弱性CVE-2026-99999（通称PwnEscape）は、仮想マシンのゲストから送った細工パケットで、ホストのカーネルメモリの漏えいや停止を起こせ、研究者の自前環境ではホストのroot権限での実行に至った。さくらインターネットは新規申し込みを一時停止し、さくらのVPSは2026年10月30日の追記でも一部を再開していない。

https://utm.hinoshiba.com/2026/11/cve-2026-111585-teamviewer-viewer-side-flaw/ 2026-11-05T00:00:00+09:00 2026-11-05T00:00:00+09:00

TeamViewerの2026年10月27日の告知によると、リモートコントロールの画面処理の整数オーバーフローCVE-2026-111585（CVSS 8.8）は、攻撃者の管理する接続先ホストが閲覧側のクライアントをクラッシュさせ、プラットフォームによってはコードを実行できる可能性があり、15.83で修正された。告知の公開時に、TeamViewerは悪用が野外で行われている事実を把握していない。

https://utm.hinoshiba.com/2026/04/cve-2026-34197-apache-activemq/#updated-2026-11-05 2026-04-18T00:00:00+09:00 2026-11-05T00:00:00+09:00

Apache ActiveMQには、認証済みの攻撃者が任意のコードを実行できる脆弱性CVE-2026-34197がある。米CISAは、2026年4月16日にこの脆弱性を悪用が確認された脆弱性のカタログ（KEV）に加えた。Apacheは、この修正を回避できる脆弱性CVE-2026-40466とCVE-2026-45505も告知した。

https://utm.hinoshiba.com/2026/11/mofa-external-network-unauthorized-access/ 2026-11-04T00:00:00+09:00 2026-11-04T00:00:00+09:00

時事通信の2026年10月30日の配信によると、外務省の外部とのやりとりが可能なネットワークに不正アクセスがあり、氏名やメールアドレスなど約3600件の個人情報が漏えいした可能性がある。このうち外務省員以外の情報は約900件である。これまでに個人情報の悪用など2次被害は確認されていない。

https://utm.hinoshiba.com/2026/10/yandex-datacenter-outage/#updated-2026-11-04 2026-10-25T00:00:00+09:00 2026-11-04T00:00:00+09:00

ロシアのYandexがサソボ、カルーガ、ウラジーミルに持つデータセンターが、2026年10月7日の夜から11日にかけて無人機（БПЛА）の攻撃を受けた。Yandex Cloudでは可用性ゾーンのru-central1-bとru-central1-aが使えなくなった。Yandexの10月29日の発表では、利用者向けと法人向けのすべてのサービスが復旧し、主要な機能が使える。

https://utm.hinoshiba.com/2026/10/denmark-cpr-register-breach/#updated-2026-11-04 2026-10-25T00:00:00+09:00 2026-11-04T00:00:00+09:00

デンマークの研究・教育・デジタル化省の2026年10月5日の発表によると、中央個人登録簿（CPR）を照会する民間企業1社の正規のアクセスを第三者が悪用した。登録された約880万人分の氏名・住所・CPR番号などにアクセスした。データ保護庁（Datatilsynet）は10月23日に正式な調査を始め、CPR-administrationenとCharity Guard ApSに回答を求める書簡を送った。

https://utm.hinoshiba.com/2026/10/commune-unauthorized-access/#updated-2026-11-04 2026-10-25T00:00:00+09:00 2026-11-04T00:00:00+09:00

コミューンの2026年10月9日の発表によると、コミュニティのサービス「Commune」「Commune for Work」が外部の第三者から不正アクセスを受け、一部のコミュニティで会員情報の一部が漏えいした。10月21日の続報では、漏えいの対象は16万6,505人で、うちメールアドレスを含む情報が漏えいした会員は12万5,601人だった。第三者機関によるフォレンジック調査に向けて準備を進めている。

https://utm.hinoshiba.com/2026/10/openai-office-bugging-device-arrest/#updated-2026-11-04 2026-10-17T00:00:00+09:00 2026-11-04T00:00:00+09:00

米国司法省の2026年10月13日の発表によると、OpenAIのサンフランシスコの建物の役員会議室で隠しの録音装置が見つかり、同社のエンジニアが逮捕・訴追された。OpenAIの公式Xの投稿（Impress Watch掲載の写し）によると、同社は自社のモデルで装置とその出所を把握し、特定の従業員が数日前に設置したと突き止めた。連邦判事は10月19日、自宅軟禁での釈放を求めた弁護側の請求を退けた。

https://utm.hinoshiba.com/2026/09/timescar-website-unauthorized-access/#updated-2026-11-04 2026-09-29T00:00:00+09:00 2026-11-04T00:00:00+09:00

タイムズモビリティの2026年10月23日の第5報によると、運営するカーシェアリングサービス「タイムズカー」のWebシステムへの不正アクセスで、氏名や住所など6,628,007件に外部送信の痕跡が確認された。暗号化した本人確認書類の画像にも1,464,800件の外部送信の痕跡があり、関連してタイムズクラブWebシステムへの不正アクセスも確認された。

https://utm.hinoshiba.com/2026/09/keio-ransomware-system-outage/#updated-2026-11-04 2026-09-29T00:00:00+09:00 2026-11-04T00:00:00+09:00

京王電鉄の2026年9月26日の第一報によると、グループのサーバーへのランサムウェアによる攻撃の影響で一部グループ会社の営業システムに支障が生じており、鉄道の運行には支障はない。10月21日の第3報では、攻撃を行ったと名乗る組織がグループから窃取したと主張する情報が公開された旨の報告を外部専門家から受け、個人情報漏洩の可能性もあるとみて個人情報保護委員会へ報告した。

https://utm.hinoshiba.com/2026/09/plugin4shell-ai-coding-agent-plugin-rce/#updated-2026-11-04 2026-09-22T00:00:00+09:00 2026-11-04T00:00:00+09:00

Air Securityの2026年9月17日の報告によると、Claude Code・Codex・GitHub Copilot・Gemini CLIでは、信頼されたプラグインが気づかれずに悪性の版へ入れ替わり、SHAによる固定を越えて自動で導入される（Plugin4Shell）。Anthropic・OpenAI・Microsoftは修正し、GoogleはGemini CLIを非推奨にして修正しない。

https://utm.hinoshiba.com/2026/09/cve-2026-6471-postgresql-postgreshell/#updated-2026-11-04 2026-09-08T00:00:00+09:00 2026-11-04T00:00:00+09:00

PostgreSQLの論理デコーディングに、REPLICATION権限を持つ非スーパーユーザーがサーバーを実行するOSアカウントとして任意のコードを実行できる脆弱性CVE-2026-6471があった。PostgreSQL Global Development Groupは2026年8月13日に14〜18系で修正した。報告したCyeraは9月1日に「PostGREShell」と名付けた解説を出した。

https://utm.hinoshiba.com/2026/08/7-zip-code-execution-flaw/#updated-2026-11-04 2026-08-06T00:00:00+09:00 2026-11-04T00:00:00+09:00

7-Zipの更新履歴は、2026年6月25日の版26.02の項に、XZ展開でのヒープベースのバッファオーバーフローによるリモートコード実行の脆弱性CVE-2026-14266を挙げている。Trend MicroのZero Day Initiative（ZDI）は7月15日のアドバイザリZDI-26-444で、悪用には標的が悪意のあるページを訪れるか悪意のあるファイルを開く必要があると説明した。

https://utm.hinoshiba.com/2026/05/cve-2026-5403-wireshark/#updated-2026-11-04 2026-05-03T00:00:00+09:00 2026-11-04T00:00:00+09:00

Wireshark Foundationの2026年4月29日の勧告によると、WiresharkのSBC音声コーデックの脆弱性CVE-2026-5403は、Wiresharkのクラッシュか任意コードの実行に至ることがありうる。修正版の4.6.5のリリースノートは、この脆弱性を含む43件のセキュリティ勧告を挙げた。

https://utm.hinoshiba.com/2026/11/cairn-working-directory-attack-activity/#updated-2026-11-03 2026-11-02T00:00:00+09:00 2026-11-03T00:00:00+09:00

VULONEの2026年10月19日の報告によると、Cairnで組んだ攻撃基盤のサーバーが、/tmpをポート9000のHTTPで認証なしに公開していた。単独のオペレーターがLLMエージェントでアジアなどの政府・産業の標的に66の作戦を行い、その記録では48件が何らかのアクセスに達した。Daily CyberSecurityの10月22日の記事によると、被害者の公の確認は無く、誰も訴追されていない。

https://utm.hinoshiba.com/2026/11/php2shell-steal-my-bitcoin-contest/#updated-2026-11-03 2026-11-01T00:00:00+09:00 2026-11-03T00:00:00+09:00

James Pavurが開いた、賞金を懸けた侵入競技「Steal My Bitcoin」で、勝者がPHP2Shellの脆弱性を突き、サーバーに置かれたビットコインの鍵を取り出した。鍵は、ビットコインの入ったアドレスの導出パス上の親鍵で、勝者はこの鍵では資金を動かせなかった。競技サイトは、勝者が出た日時を2026年10月25日15時47分（UTC）と表示し、今はサーバーにビットコインは無いとしている。

https://utm.hinoshiba.com/2026/11/onamae-desktop-cloud-unauthorized-access/#updated-2026-11-03 2026-11-01T00:00:00+09:00 2026-11-03T00:00:00+09:00

GMOインターネットの2026年10月22日の発表によると、「お名前.com デスクトップクラウド」への不正アクセスで、サーバー内に保存されていた取引口座のログイン情報等が第三者に取得され、不正に利用された可能性がある。10月24日の第4報では、顧客の情報が外部に持ち出された事実を確認したと説明した。11月3日7時のサービスサイトの掲示でも、全プランのサーバーを止めたまま、再開時期は未定である。

https://utm.hinoshiba.com/2026/11/cursor-marketplace-claude-code-extension-tampered/#updated-2026-11-03 2026-11-01T00:00:00+09:00 2026-11-03T00:00:00+09:00

Cursorの2026年10月29日の告知では、Cursorの拡張機能のマーケットプレイスで、AnthropicのClaude Code拡張機能を悪意をもって改変した版が入手できる状態になり、永続的なSSHバックドアの設置を試みた。対象はWindowsとmacOS向けの2.1.312と2.1.313である。The Hacker Newsによると、Cursorは影響を最大5,000ユーザーとした。

https://utm.hinoshiba.com/2026/11/amadeus-passenger-service-system-unauthorized-access/#updated-2026-11-03 2026-11-01T00:00:00+09:00 2026-11-03T00:00:00+09:00

キャセイパシフィック航空がAmadeus IT Groupから受けた通知では、権限の無い者がAmadeusのシステムアカウントに割り当てられたログイン認証情報を使い、システム内の旅行予約データにアクセスした。Amadeusの声明では、同社が認識した旅行予約の表示環境に影響する脆弱性を通じて、一部の予約表示データがアクセス可能だった。調査は続いているが、決済・金融データがアクセスされた証拠は無い。

https://utm.hinoshiba.com/2026/11/ai-agent-hijack-download-instruction-file/#updated-2026-11-03 2026-11-01T00:00:00+09:00 2026-11-03T00:00:00+09:00

Forever Securityの2026年10月22日の報告によると、顧客の端末のダウンロードフォルダ（~/Downloads）に置かれた悪意あるAGENTS.mdに従い、コーディングエージェントが悪性のnpmパッケージfunction-colorを導入しようとした。同社はコードの実行前にこれを止め、攻撃全体をOpenAI CodexとClaude Codeの両方で再現した。

https://utm.hinoshiba.com/2026/10/hotel-room-hidden-pc-phishing-emails/#updated-2026-11-03 2026-10-31T00:00:00+09:00 2026-11-03T00:00:00+09:00

サンテレビの2026年10月16日の記事によると、神戸市内のホテルからクレジットカード会社を装った大量のフィッシングメールを送信した疑いなどで、神戸市に住む中国籍の男（39）が逮捕された。押収されたパソコンには約240万件のメールアドレスが保存され、フィッシングメール約48万件の送信履歴が見つかった。警察は、他にも事件に関与している人物がいるとみて詳しく調べている。

https://utm.hinoshiba.com/2026/10/iwaicosmo-securities-unauthorized-access/#updated-2026-11-03 2026-10-26T00:00:00+09:00 2026-11-03T00:00:00+09:00

岩井コスモ証券の2026年10月20日の第2報によると、外部委託先のトレードワークスへの不正アクセスで顧客4,975名の情報が漏洩したほか、売買管理システムへの攻撃で7口座分の顧客の意図しない売買注文が発注され、うち5口座で約定した。トレードワークスの10月23日の開示によると、損失の見込額は約50百万円で、2026年12月期第4四半期に特別損失として計上する見込みである。

https://utm.hinoshiba.com/2026/10/cairn-ai-pentest-panel-attack-activity/#updated-2026-11-03 2026-10-26T00:00:00+09:00 2026-11-03T00:00:00+09:00

NorForgeの2026年10月19日の報告によると、外部にさらされたCairn（AIによるペネトレーションテストの基盤）の管理パネル20件超が、悪意ある活動に関連するとみられる。Reutersによると、サイバーセキュリティの研究者はこの2週間ほど、中国語を話すハッカーが100社超のサイトに侵入するのを見ていた。NorForgeは被害者への通知をReutersと進め、パネルの停止も試みている。

https://utm.hinoshiba.com/2026/10/nec-contractor-unauthorized-access/#updated-2026-11-03 2026-10-25T00:00:00+09:00 2026-11-03T00:00:00+09:00

NECが2026年10月20日に出した発表文によると、システム開発と保守の業務を委託する企業がサイバー攻撃を受け、窃取された正規アカウントの認証情報が悪用されたことにより、NECの顧客で不正アクセスによる被害の発生や、個人情報を含む情報の漏えいを確認した。委託元の大阪大学は10月21日、確認されている漏えいの対象者が重複を除いて77,851人だと発表した。

https://utm.hinoshiba.com/2026/10/wordpress-core-cve-2026-87902/#updated-2026-11-03 2026-10-25T00:00:00+09:00 2026-11-03T00:00:00+09:00

WordPressの2026年9月22日のリリース告知によると、7.1.2で修正したCVE-2026-87902はCriticalの脆弱性で、サーバー環境と有効なテーマの両方の前提条件がそろうとリモートでのコード実行に至る。米CISAは9月25日、活発な悪用の証拠に基づいてこの脆弱性をKEVカタログに加えた。Previdianの10月24日更新のページでは、試行の最後の観測は10月21日だった。

https://utm.hinoshiba.com/2026/10/shintec-hozumi-trade-secret-leak/#updated-2026-11-03 2026-10-25T00:00:00+09:00 2026-11-03T00:00:00+09:00

共同通信によると、トヨタ自動車の子会社シンテックホズミの元社員2人が2026年10月5日、同社の無人搬送車充電装置の原価に関する営業秘密を漏えいしたとして、不正競争防止法違反（営業秘密領得、開示）の疑いで愛知県警に逮捕された。中日新聞によると、岡崎区検は10月15日に2人を不正競争防止法違反の罪で略式起訴した。岡崎簡裁は同じ日に、それぞれに罰金50万円の略式命令を出した。

https://utm.hinoshiba.com/2026/10/etax-system-outage/#updated-2026-11-03 2026-10-25T00:00:00+09:00 2026-11-03T00:00:00+09:00

国税庁が2026年9月24日に国税システムを更改した後、e-Taxではログインや納付などの機能に不具合が出て、税務署の窓口では手続に相当の時間を要する状況になった。デイリースポーツの記事によると、国税庁は10月2日、e-Taxで79人分の贈与税申告書などが本人以外にも閲覧可能になっていたと発表した。国税庁は10月19日に窓口の告知を改め、各種手続に「通常より時間を要する場合があります」とした。

https://utm.hinoshiba.com/2026/10/toyobo-mail-account-unauthorized-access/#updated-2026-11-03 2026-10-25T00:00:00+09:00 2026-11-03T00:00:00+09:00

東洋紡の2026年9月25日の発表によると、グループ会社の東洋紡せんいの従業員のメールアカウントが不正アクセスを受け、そのアカウントから不審なメール約1,500件が社内・社外のアドレス宛に送られた。東洋紡エムシーの9月30日の発表では、このメールを受信した自社の従業員2名にもフィッシング被害が確認され、そのメールアカウントも第三者の不正アクセスを受けていた。

https://utm.hinoshiba.com/2026/10/scala-communications-unauthorized-access/#updated-2026-11-03 2026-10-25T00:00:00+09:00 2026-11-03T00:00:00+09:00

スカラコミュニケーションズの2026年10月6日の発表によると、FAQシステム「i-ask」への不正アクセスで、利用企業最大5社の問い合わせ情報が漏えいした可能性がある。件数は問い合わせ単位の延べで最大713,126件とし、実際の対象人数は名寄せ作業を進めている。大和証券、シチズン時計、損害保険ジャパン、オリックス生命保険は、委託先への不正アクセスで顧客の情報が漏えいした可能性があると発表した。

https://utm.hinoshiba.com/2026/10/cve-2026-0322-pan-os-management-rce/#updated-2026-11-03 2026-10-17T00:00:00+09:00 2026-11-03T00:00:00+09:00

Palo Alto Networksの2026年10月14日のアドバイザリによると、PAN-OSの管理インターフェースに遠隔コード実行の脆弱性CVE-2026-0322があり、ネットワークから到達できる認証済みの攻撃者がファイアウォール上でroot権限の任意のコードを実行できる。同社は、管理インターフェースを狙うごく限られた悪用が観測されたとも記した。

https://utm.hinoshiba.com/2026/09/cve-2026-76461-cisco-secure-email-gateway/#updated-2026-11-03 2026-09-18T00:00:00+09:00 2026-11-03T00:00:00+09:00

Ciscoの2026年9月14日のアドバイザリによると、Cisco Secure Email GatewayのAsyncOS Softwareのメール解析に、未認証の遠隔の攻撃者がroot権限で任意のコマンドを実行しうるSQLインジェクションの脆弱性CVE-2026-76461があり、Cisco PSIRTが9月に悪用を把握した。Ciscoは10月31日に、15.5.5-014の修正の更新版を出している。

https://utm.hinoshiba.com/2026/09/cve-2026-59346-vmware-workstation-fusion/#updated-2026-11-03 2026-09-08T00:00:00+09:00 2026-11-03T00:00:00+09:00

VMware WorkstationとFusionの仮想ネットワークアダプタVMXNET3に整数オーバーフローの脆弱性CVE-2026-59346があり、VMXNET3を持つ仮想マシン上でローカル管理者権限を持つ悪意のある者が、ホスト上でコードを実行しうる。SecurityOnlineの2026年10月8日の記事によると、報告者がPoCを公開したが、実際の悪用は報告されていない。

https://utm.hinoshiba.com/2026/06/cve-2026-53435-jenkins-rce-exploited/#updated-2026-11-03 2026-06-16T00:00:00+09:00 2026-11-03T00:00:00+09:00

Jenkins Projectの2026年6月10日のアドバイザリによると、Jenkins（core）には、攻撃者が送ったconfig.xmlからcoreかプラグインで定義された任意の型をデシリアライズさせられる脆弱性CVE-2026-53435がある。6月15日にはDaily CyberSecurityが、この脆弱性の実環境での悪用を報じた。CISAのKEVカタログの11月3日版には載っていない。

https://utm.hinoshiba.com/2026/05/7-eleven-personal-data-breach/#updated-2026-11-03 2026-05-31T00:00:00+09:00 2026-11-03T00:00:00+09:00

マサチューセッツ州消費者問題・事業規制局が掲載した7-Elevenの2026年5月1日付の通知書の見本によると、権限の無い第三者が、フランチャイジーの書類を保存する7-Elevenの一部のシステムにアクセスした。書類には、フランチャイズの申請時に提供された氏名や住所などが含まれていた。インディアナ州司法長官事務所の一覧では、影響を受けた人の総数は3,001である。

https://utm.hinoshiba.com/2026/05/github-internal-repositories-vscode-extension/#updated-2026-11-03 2026-05-21T00:00:00+09:00 2026-11-03T00:00:00+09:00

GitHubの2026年5月20日のブログによると、第三者が公開した不正なVS Code拡張機能で社員の端末が侵害され、GitHubは内部リポジトリだけが持ち出されたと評価した。攻撃者が主張する約3,800件のリポジトリは、これまでの調査とおおむね一致するとした。5月26日の更新では、攻撃を受けたリポジトリを考慮し、GitHub Enterprise Serverの署名鍵を含む鍵を差し替えている。

https://utm.hinoshiba.com/2026/11/cve-2026-110264-gitlab-unauthenticated-rce/#updated-2026-11-02 2026-11-01T00:00:00+09:00 2026-11-02T00:00:00+09:00

GitLabの2026年10月21日の発表では、GitLab CE/EEに、細工した正規表現のコンパイル時の整数オーバーフローにより、一定の条件の下で未認証の利用者がサーバー上で任意のコードを実行できるおそれのある脆弱性CVE-2026-110264があった。GitLabはセルフマネージドの全環境をただちに修正版へ更新するよう強く勧め、GitLab.comは修正済みの版で稼働している。

https://utm.hinoshiba.com/2026/10/emudhra-intermediate-ca-key-compromise/#updated-2026-11-02 2026-10-25T00:00:00+09:00 2026-11-02T00:00:00+09:00

Mozillaの2026年10月20日の発表によると、インドの認証局eMudhraの中間CA証明書8件に関連する秘密鍵が危殆化し、攻撃者が管理していないサイトの偽のHTTPS証明書を発行できるおそれがあった。Mozillaの調査では、秘密鍵はすべて256未満の整数で、ほぼ即座に復元できた。eMudhraは10月22日、グローバルのSSL/TLS証明書事業から自主的に撤退すると発表した。

https://utm.hinoshiba.com/2026/10/cve-2026-97229-gitlab-unauthenticated-rce/#updated-2026-11-02 2026-10-17T00:00:00+09:00 2026-11-02T00:00:00+09:00

GitLabの2026年10月12日の告知によると、GitLab CE/EEには、正規表現の検証が不十分なため、特定の条件下で未認証の利用者がCI/CD設定内の細工した正規表現を通じてGitLabサーバー上で任意のコードを実行しうる脆弱性があった。米CISAは10月29日、この脆弱性CVE-2026-97229を既知の悪用された脆弱性（KEV）のカタログに加えた。

https://utm.hinoshiba.com/2026/10/lawson-id-unauthorized-access/#updated-2026-11-02 2026-10-12T00:00:00+09:00 2026-11-02T00:00:00+09:00

ローソンの2026年10月8日の告知では、アカウントサービス「ローソンID」と「ローソンアプリ予約」が第三者による不正アクセスを受け、利用者の個人情報の一部が漏えいした。漏えいの対象はローソンIDで215万5,345件、ローソンアプリ予約で26件である。止めていた予約機能は10月19日に再開し、委託先での不正アクセスの検知を受けて停止した店舗検索も11月2日に再開した。

https://utm.hinoshiba.com/2026/08/cve-2026-69836-entra-id-rce/#updated-2026-11-02 2026-08-30T00:00:00+09:00 2026-11-02T00:00:00+09:00

Microsoft Entra IDの脆弱性CVE-2026-69836は、信頼できないデータの逆シリアル化により、権限の無い攻撃者がネットワーク経由でコードを実行できるもので、Microsoftが既に完全に緩和した。Microsoftは2026年8月20日にセキュリティ更新ガイドでこの脆弱性を公表し、Entra IDの利用者が取る対応は無いとした。

https://utm.hinoshiba.com/2026/06/cve-2026-11645-chrome-v8-zero-day/#updated-2026-11-02 2026-06-10T00:00:00+09:00 2026-11-02T00:00:00+09:00

Googleの2026年6月8日の発表によると、ChromeのV8にある範囲外メモリアクセスの脆弱性CVE-2026-11645の悪用コードが実環境に存在することを、同社は認識している。CVEレコードのCISAの記録とNVDによると、米国のCISAは6月9日にこの脆弱性をKEV（既知の悪用された脆弱性）カタログに加えた。

https://utm.hinoshiba.com/2026/11/skyticket-unauthorized-access/ 2026-11-01T00:00:00+09:00 2026-11-01T00:00:00+09:00

比較予約サイト「skyticket」を運営するアドベンチャーの2026年10月9日の第1報によると、skyticketのシステムが経路の異なる3件の不正アクセスを受け、顧客の個人情報が外部に流出したか、流出したおそれがある。10月28日の第3報でアドベンチャーは、自社サーバーへの不正アクセスで不正に取得された認証情報が悪用され、データベースの複製から返金先の銀行口座情報が流出したと説明した。

https://utm.hinoshiba.com/2026/11/niigata-nippo-mail-members-data-leak/ 2026-11-01T00:00:00+09:00 2026-11-01T00:00:00+09:00

UX新潟テレビ21の2026年10月22日の報道によると、新潟日報社が会員向けのメール配信に利用している企業が第三者の不正アクセスを受け、「パスポート会員」全員25万3000人分の個人情報が漏洩した。新潟日報社が事務局を務めるにいがた鮭プロジェクトは、会員約7000人の個人情報について、新潟日報社がメール配信などに使うラクスライトクラウドが漏えいを確かめた288件の契約に含まれていないと告知した。

https://utm.hinoshiba.com/2026/11/club-tourism-unauthorized-access/ 2026-11-01T00:00:00+09:00 2026-11-01T00:00:00+09:00

クラブツーリズムの2026年10月31日の発表（第1信）によると、サーバの一部への外部からの不正アクセスにより、インターネット会員として登録された情報約432万件が外部に漏えいした可能性がある。クラブツーリズムは被害拡大の防止と調査のため、ホームページを停止していた。

https://utm.hinoshiba.com/2026/11/capcom-customer-data-leak/ 2026-11-01T00:00:00+09:00 2026-11-01T00:00:00+09:00

カプコンの2026年10月22日の発表によると、ゲームやWEBサービスで使う共通アカウント「CAPCOM ID」に第三者が不正にアクセスし、メールアドレスとシステム固有の識別情報が全世界で11,774,247件外部に漏えいした。10月23日の第二報では、影響範囲の調査を終え、CAPCOM IDと関連サービスの監視を続けると説明した。

https://utm.hinoshiba.com/2026/11/blastmail-unauthorized-access/ 2026-11-01T00:00:00+09:00 2026-11-01T00:00:00+09:00

ラクスの2026年10月21日の第2報によると、子会社のラクスライトクラウドのメール配信システム「ブラストメール」が不正アクセスを受け、すべての契約者の情報が販売管理システムから持ち出された。一部の顧客については、配信先リストなどメール配信に関する情報の漏えいも確認した。サービスの停止は続いており、再開の日時は未定である。

https://utm.hinoshiba.com/2026/08/cve-2026-58644-sharepoint-rce-zero-day/#updated-2026-11-01 2026-08-06T00:00:00+09:00 2026-11-01T00:00:00+09:00

Microsoftの公告によると、CVE-2026-58644はMicrosoft Office SharePointでの信頼できないデータの逆シリアル化により、認可されていない攻撃者がネットワーク経由でコードを実行できる脆弱性で、悪用が確認されている。Microsoftは、この脆弱性のセキュリティ更新は公開済みだったが、CVEが2026年6月のリリースから誤って漏れていたと説明した。

https://utm.hinoshiba.com/2026/06/greatxml-bitlocker-bypass-zero-day/#updated-2026-11-01 2026-06-12T00:00:00+09:00 2026-11-01T00:00:00+09:00

研究者Nightmare Eclipseの2026年6月10日のブログ投稿によると、Defenderのオフラインスキャンを一度でも使おうとした端末は、手法GreatXMLによるBitLockerの回避に自動的に脆弱になる。Rapid7とCrowdStrikeは、7月の月例更新で出たCVE-2026-50661がGreatXMLの修正である可能性を挙げ、確認はされていないとした。

https://utm.hinoshiba.com/2026/10/speecan-raiden-unauthorized-access/ 2026-10-31T00:00:00+09:00 2026-10-31T00:00:00+09:00

アルカディアの2026年10月13日の発表によると、同社が運営するSpeeCAN RAIDENで第三者による不正アクセスが行われ、個人情報が漏洩した可能性がある。アルカディアのシステムからは、不正なプログラムによって不正なメール1,423,428通が外部に配信された。10月23日の説明資料と報告書では、全サービスを漏えいの可能性の対象とした。

https://utm.hinoshiba.com/2026/10/security-event-remote-control-software-requirement/ 2026-10-31T00:00:00+09:00 2026-10-31T00:00:00+09:00

Cybleによると、TOKEN2049の関連イベント「Don't Get Played」の参加者の1人が、主催者にコンピューターを遠隔操作させるソフトの導入を迫られたとして、シンガポール警察に申告した。Elastic Security Labsは、Web3アクセラレーターを装う「Apex Accelerator」が悪性のnpmパッケージを公開し、TOKEN2049に姿を見せて信用を築こうとしたと報告した。

https://utm.hinoshiba.com/2026/10/nifty-unauthorized-access/ 2026-10-31T00:00:00+09:00 2026-10-31T00:00:00+09:00

INTERNET Watchの2026年10月19日の記事によると、ニフティの回線申込・受付管理システムに外部から不正アクセスがあり、回線の申込者の個人情報が漏えいした可能性がある。ニフティの第2報では対象が絞り込まれ、件数は第1報の最大54万2513件から最大1万8000件になった。

https://utm.hinoshiba.com/2026/10/jfa-passport-unauthorized-access/ 2026-10-31T00:00:00+09:00 2026-10-31T00:00:00+09:00

日本サッカー協会（JFA）の公式アプリ「JFA Passport」に、2026年10月17日3:25頃から19:00頃まで第三者による不正アクセスがあり、JFAはアプリの機能の一部を一時的に停止した。10月21日の第2報でJFAは、調査の結果「本件に起因する個人情報の漏えいは確認されませんでした」と説明した。アプリは10月22日に全ての機能で再開した。

https://utm.hinoshiba.com/2026/10/hachijuni-nagano-bank-phishing-account-breach/ 2026-10-31T00:00:00+09:00 2026-10-31T00:00:00+09:00

八十二長野銀行の職員1名が2026年10月7日にフィッシングメールを受信して認証操作を行い、その職員のメールアカウントが第三者から不正アクセスを受けた。同行の10月19日の第2報では、アカウント内の一部の電子メール情報等が第三者に漏えいした可能性があることが判明した。不正利用による被害の申し出は無く、同行は監視を続けている。

https://utm.hinoshiba.com/2026/10/aeon-group-websites-unauthorized-access/ 2026-10-31T00:00:00+09:00 2026-10-31T00:00:00+09:00

イオンの2026年10月21日の発表によると、グループ各社の一部のWebサイトで第三者による不正アクセスを検知し、安全確認を実施している。個人情報の流出などについても調査を進めている。

https://utm.hinoshiba.com/2026/10/sagawa-tracking-service-unauthorized-access/#updated-2026-10-31 2026-10-04T00:00:00+09:00 2026-10-31T00:00:00+09:00

佐川急便のWebサイトの「お荷物問い合わせサービス」への第三者による不正アクセスで、送り状データなどの個人情報が最大約5,323万件（重複を含む件数）流出した可能性がある。佐川急便は2026年10月23日の第5報でこの件数を示し、同じ日にお荷物問い合わせサービスを再開したが、ほかのWebサービス8件は停止を続けている。

https://utm.hinoshiba.com/2026/10/ozmall-unauthorized-access/#updated-2026-10-30 2026-10-04T00:00:00+09:00 2026-10-30T00:00:00+09:00

スターツ出版の2026年10月1日の第2報によると、同社が運営する「オズモール」が海外から大量の不正アクセスを受け、会員と一部の退会者のメールアドレス、一部の方の氏名と住所（都道府県まで）が最大442,779名分漏えいした可能性がある。第2報では、二次被害が発生した事実は確認されておらず、対象者には会員登録時のメールアドレス宛てに順次連絡している。

https://utm.hinoshiba.com/2026/10/eplus-refund-system-unauthorized-access/#updated-2026-10-30 2026-10-04T00:00:00+09:00 2026-10-30T00:00:00+09:00

イープラスの2026年9月29日の発表によると、電子チケット「スマチケ」の管理システムのうち、公演中止・延期等に伴う払戻し情報を管理するシステムが第三者の不正アクセスを受け、顧客の個人情報を含む1,463件の情報が漏えいした。このシステムは会員情報やチケット購入に関する情報を保管するデータベースとは独立しており、会員のクレジットカード情報やパスワードなどは漏えいの対象に含まれていない。

https://utm.hinoshiba.com/2026/08/eraberu-e-gift-unauthorized-access/#updated-2026-10-30 2026-08-30T00:00:00+09:00 2026-10-30T00:00:00+09:00

全日空商事の2026年8月24日の発表によると、法人向けデジタルギフトサービス「選べるe-GIFT」の管理運用システムに第三者の不正アクセスがあり、一部の契約企業の担当者の個人情報が漏えいした可能性があるほか、一部の利用者のギフトが第三者に不正に交換された。10月30日の告知で全日空商事は、8月とは侵入経路と手口が異なる外部からの不正アクセスを確認したと説明し、全サービスの停止を続けている。

https://utm.hinoshiba.com/2026/08/shieldbreak-defender-zero-day/#updated-2026-10-30 2026-08-16T00:00:00+09:00 2026-10-30T00:00:00+09:00

Microsoftの2026年8月14日の公表によると、Microsoft Defenderのエンジンに「ShieldBreak」と公に呼ばれる権限昇格の脆弱性CVE-2026-69414がある。修正の回避をうたう実証コード（PoC）「ShieldCrash」は再現試験で主張どおりの機能を示さず、試験したCyderesのHowler Cellは動作するゼロデイかどうかを確認も否定もしなかった。

https://utm.hinoshiba.com/2026/08/claude-shared-chats-search-indexed/#updated-2026-10-30 2026-08-13T00:00:00+09:00 2026-10-30T00:00:00+09:00

Fortuneの2026年7月27日の記事によると、Anthropicのチャットボット「Claude」で利用者が「share」の機能を使ったチャットが、前の週末にGoogleの公開の検索結果に出ていた。Claudeの中で作るArtifactsも検索結果に出ていた。Anthropicは10月30日に更新したヘルプ記事で、共有チャットのページはすべてnoindexの指示を持つと説明した。

https://utm.hinoshiba.com/2026/10/rideon-express-cyberattack-site-suspension/#updated-2026-10-29 2026-10-17T00:00:00+09:00 2026-10-29T00:00:00+09:00

ライドオンエクスプレスホールディングスの2026年10月13日の発表によると、『銀のさら・釜寅・すし上等』の公式サイト・公式アプリに登録された情報を保管していたサーバーがサイバー攻撃を受け、最大約650万件の個人情報が漏えいした可能性がある。同社は10月29日の適時開示で、サーバーのシステム障害に伴い、公式サイトと公式アプリの稼働を停止していると説明した。

https://utm.hinoshiba.com/2026/09/bigdiskbuster-defender-update-block/#updated-2026-10-29 2026-09-29T00:00:00+09:00 2026-10-29T00:00:00+09:00

研究者MSNightmareが2026年9月19日にGitHubで公開したPoC「BigDiskBuster」は、LevelBlueによると、空き容量を使い切らせてMicrosoft Defenderの更新を失敗させ、サービスは動いたままにする。LevelBlueの10月5日の報告では、BigDiskBusterにはCVEの割り当ても、パッチやMicrosoftのアドバイザリも無い。

https://utm.hinoshiba.com/2026/09/cve-2026-90894-parallels-desktop-root/#updated-2026-10-29 2026-09-18T00:00:00+09:00 2026-10-29T00:00:00+09:00

JFrogが2026年9月14日に公開したCVE記録によると、Parallels Desktopがrootで動かすprl_disp_serviceを通じて、管理者でないローカルの利用者がrootでプログラムを実行できる脆弱性CVE-2026-90894がある。Parallelsは10月20日に更新したセキュリティ更新の一覧で、27.0.0 (58628) と26.5.0 (57613) を修正版としている。

https://utm.hinoshiba.com/2026/09/sality-botnet-takedown/#updated-2026-10-29 2026-09-05T00:00:00+09:00 2026-10-29T00:00:00+09:00

米国司法省の2026年9月1日の発表によると、米国・ブルガリア・ハンガリー・ルーマニアでの措置を含む多国間の作戦で、P2P型のボットネットSalityを妨害し、その基盤を停止させた。作戦に加わったCrowdStrikeは、ボットネットはもはや運営者の管理下に無いが、感染した機器にすでに入っているマルウェアは動き続けており、除去が要ると説明した。

https://utm.hinoshiba.com/2026/06/http2-bomb-dos/#updated-2026-10-29 2026-06-06T00:00:00+09:00 2026-10-29T00:00:00+09:00

Califが公表した「HTTP/2 Bomb」は、主要なWebサーバーの多くに対するリモートからのサービス妨害の手口である。nginx、Apache httpd、Microsoft IIS、Envoy、Cloudflare Pingoraの既定のHTTP/2設定で成立する。国内ではさくらインターネット、お名前.com、エックスサーバーなどがHTTP/2を一時的に無効にし、修正を当てた後に再び有効にした。

https://utm.hinoshiba.com/2026/09/cve-2026-85706-gitlab-path-traversal/#updated-2026-10-28 2026-09-14T00:00:00+09:00 2026-10-28T00:00:00+09:00

GitLabが2026年9月10日に公開したGitLab CE/EEの修正版は、リポジトリのコミットAPIで、一定の条件下に認証の無い利用者がサーバーの任意のファイルを読めたパストラバーサルの脆弱性CVE-2026-85706を直した。GitLabによると、GitLab.comとGitLab Dedicatedを含む同社が管理する基盤は修正済みである。

https://utm.hinoshiba.com/2026/08/boston-scientific-cyberattack/#updated-2026-10-28 2026-08-30T00:00:00+09:00 2026-10-28T00:00:00+09:00

Boston Scientificの2026年8月26日の米証券取引委員会（SEC）への報告書によると、同社は8月25日に一部の情報技術システムに影響するサイバーセキュリティインシデントを特定し、受注の処理と出荷を含む業務が世界的に混乱した。9月22日に公開されたCrowdStrikeの調査の要約では、顧客や患者のデータを含め、データへのアクセスや持ち出しの証拠は見つからなかった。

https://utm.hinoshiba.com/2026/07/cve-2026-0288-pan-os-code-execution/#updated-2026-10-28 2026-07-11T00:00:00+09:00 2026-10-28T00:00:00+09:00

Palo Alto Networksの2026年7月8日のアドバイザリによると、PAN-OSのUser-ID Terminal Server Agent（TSA）の構成要素に複数のバッファオーバーフローの脆弱性があり、ネットワークにアクセスできる認証されていない攻撃者が、細工したネットワークトラフィックを送ってサービス拒否を起こすか、任意のコードを実行しうる。同社は、悪意ある悪用を把握していないとした。

https://utm.hinoshiba.com/2026/05/cve-2026-0257-pan-os-globalprotect-auth-bypass/#updated-2026-10-28 2026-05-31T00:00:00+09:00 2026-10-28T00:00:00+09:00

PAN-OSとPrisma AccessのGlobalProtectにある認証回避の脆弱性CVE-2026-0257で、攻撃者は不正なVPN接続を確立できる。Palo Alto Networksは2026年5月29日にアドバイザリを改め、未修正で緩和策のない機器への限定的な悪用の試みを把握したとした。10月19日にUnit 42が、QilinとIncなどのランサムウェアの運用者による悪用の試みを追記した。

https://utm.hinoshiba.com/2026/05/cve-2026-0300-pan-os-zero-day/#updated-2026-10-28 2026-05-10T00:00:00+09:00 2026-10-28T00:00:00+09:00

Palo Alto Networksの2026年5月5日のアドバイザリによると、PAN-OSのUser-ID Authentication Portalにバッファオーバーフローの脆弱性CVE-2026-0300があり、認証を経ない攻撃者が細工したパケットを送ってroot権限で任意のコードを実行できる。同社のUnit 42は、国家の支援を受けた可能性の高い活動の集団CL-STA-1132による悪用を報告した。

https://utm.hinoshiba.com/2026/10/dai-ichi-life-portal-unauthorized-access/#updated-2026-10-27 2026-10-04T00:00:00+09:00 2026-10-27T00:00:00+09:00

第一ライフグループと第一生命の2026年10月27日の調査結果によると、両社が利用する従業員向け人事システムへの不正アクセスで、従業員と退職者の約12.4万名分の個人情報が第三者に閲覧され、外部へ流出した可能性がある。保険契約者等のお客さま情報への不正アクセスは確認されず、不正アクセスに起因する二次被害も引き続き確認されていない。

https://utm.hinoshiba.com/2026/10/cve-2026-92370-teamviewer-session-access/#updated-2026-10-27 2026-10-04T00:00:00+09:00 2026-10-27T00:00:00+09:00

TeamViewerの2026年9月29日のセキュリティ情報TV-2026-1010によると、Full ClientとHostには、認証されたリモートの攻撃者がセッションの確立時に利用者の権限設定を回避できるアクセス制御の不備CVE-2026-92370がある。TeamViewerは同じ情報で5件の脆弱性を公表し、いずれも提供中の最新の版で解消したと説明した。