対策・学習21分で読める

2026年10月のサイバー攻撃・情報漏えいまとめ：悪用された脆弱性36件と大規模な漏えい

2026年10月の情報漏えい・サイバー攻撃まとめ。米CISAのKEVに入った36件、国内で件数の大きかった漏えい、サービス提供元・暗号資産・AI基盤の事案、11月にやることを整理します。

本文を読む

#情報漏洩 #脆弱性 #KEV #月次まとめ #サプライチェーン #暗号資産 #AIセキュリティ #公開環境

公開日: 2026-11-01
更新日: 2026-11-01
最終確認: 2026-11-01

対象：自社のサーバー、VPN装置、会員データ、外部サービスを管理している担当者と、会員として登録しているサービスの漏えいが気になる人。本記事は当サイトが10月に公開した記事と米CISAの公開情報をまとめたもので、攻撃の手順は扱いません。

10月に起きたこと：数字で見る

36件

10月にKEVへ追加された脆弱性（9月は43件）

11件

うち境界機器・リモートアクセス製品

5件

うち10月8日に同時に入った、2015〜2023年公表の古い脆弱性

115本

当サイトが10月に出した事件・脆弱性の第1報（当サイトの記事数）

「115本」は当サイトの記事の本数です

当サイトが10月に公開した第1報の記事だけを数えたものです（上の事案のうち11月1日公開の記事は含みません）。国内の事件65、海外の事件28、国をまたぐ事件4、脆弱性18の合計です。取り上げなかった事件は入っておらず、国や機関が集計した統計ではありません。前の月と比べて「事件が増えた」と読むための数字としては使えません。

悪用が確認された脆弱性：KEV 36件の中身

KEVは、米CISAが「すでに悪用が確認された」と判断した脆弱性の一覧です。2026年10月1日から31日の追加は36件で、一覧全体では1,766件になりました。製品の種類で分けると、次のとおりです。

境界機器・リモートアクセス製品　11件

Plex・PHP・Ahsay・Zammad　10件

そのほか（Windows・Linuxカーネル・GitLabなど）　10件

2015〜2023年公表の古い脆弱性　5件

10月にKEVへ追加された36件の内訳（製品の種類ごと）。境界機器・リモートアクセス製品が最も多い。

当サイトに解説のあるものは、リンクを付けました。解説のない項目は、KEVの記載のとおりの一覧です。

種類	製品とCVE	追加日	当サイトの解説
境界機器	Ivanti Connect Secure CVE-2026-104935	10月13日	境界機器の脆弱性まとめ
境界機器	Ivanti Connect Secure CVE-2026-111357・CVE-2026-118527	10月30日	Ivanti Connect Secure 続報
境界機器	Palo Alto Networks PAN-OS CVE-2026-0322	10月14日	境界機器の脆弱性まとめ
境界機器	Fortinet CVE-2025-61624（FortiOSなど）	10月16日	境界機器の脆弱性まとめ
境界機器	Fortinet FortiMail CVE-2026-104286	10月1日	なし
境界機器	Cisco Secure Email Gateway CVE-2026-76519	10月14日	境界機器の脆弱性まとめ
境界機器	Cisco Secure Firewall ASA CVE-2026-76418	10月29日	Cisco ASA・FTDのVPN
境界機器	Citrix NetScaler CVE-2026-88779	10月4日	CVE-2026-88779の解説
境界機器	Arista VeloCloud Orchestrator CVE-2026-114625	10月23日	VeloCloud Orchestrator
境界機器	BeyondTrust Remote Support CVE-2026-102764	10月16日	なし
古い脆弱性	ISC BIND CVE-2015-5477、ProFTPD CVE-2015-3306、Apache Struts CVE-2016-3081、ONLYOFFICE Docs CVE-2021-3199、Strapi CVE-2023-22894	10月8日（5件同時）	なし
同種の製品	Plex Media Server CVE-2026-96652・96654・96655・96656	10月20日	Plex Media Server
同種の製品	PHP CVE-2026-109618・CVE-2026-109619	10月26日	PHPの重大な修正リリース
同種の製品	Zammad CVE-2026-102489・CVE-2026-102490	10月2日	DIVD不正アクセスとZammad
同種の製品	Ahsay AhsayCBS CVE-2026-105133・CVE-2026-105134	10月14日	なし
そのほか	SiteGuard Server Edition（国産）CVE-2026-106931	10月20日	SiteGuard Server Edition
そのほか	Linuxカーネル CVE-2026-46300	10月28日	Linuxカーネル CVE-2026-46300
そのほか	VMware ESX CVE-2026-41709	10月28日	VMware ESXのログ不備
そのほか	GitLab CVE-2026-97229	10月29日	GitLabの重要な修正
そのほか	Adobe Commerce CVE-2026-48356	10月27日	Adobe Commerce
そのほか	Google Brotli CVE-2026-111497	10月27日	Brotli
そのほか	Collabora Online CVE-2026-110447	10月23日	Collabora CODE
そのほか	Microsoft Windows CVE-2026-96951、Atlassian CVE-2026-21589、Siemens Software Center CVE-2026-110936	10月13日・15日・20日	Atlassianのみ境界機器の脆弱性まとめ

「境界機器」「同種の製品」「そのほか」の区分は、当サイトが付けたもので、KEVの区分ではありません。

当サイトの見方：10月のKEVで目立つのは、新しい種類の弱点ではなく、境界機器と、更新が止まりがちな古い製品です。10月8日に同時に入った5件は、公表から3〜11年たっています。使っていなくても、古いまま動き続けている環境がないかを確かめる合図になります。優先順位の付け方はCVEの直す順番の決め方（CVSS・EPSS・KEV）にあります。

下の表は、当サイトの記事にある公式発表の数字をそのまま並べたものです。「件」は記録の数、「人」は重複を除いた人数の概数です。「可能性」と書かれたものは、流出が確定したとは発表されていません。単位と確度が違うため、件数の大きさの順位としては読めません。日付は各社の発表日です。10月に発表された事案の一部（クラブツーリズム、ティンパンアレイ、Northflank、Chainalysis、Linux CVE-2026-98432）は、当サイトの記事の公開が11月1日です。

組織・サービス	発表日	数字（発表の単位）	確度（発表の書き方）	当サイトの記事
Eストアー（ショップサーブ）	10月16日（最終報）	約2,335万6,000人	漏えいした（購入者・店舗運営者・アフィリエイターの合計、重複を除いた概数）	ショップサーブ
良品計画（MUJIアプリ）	10月30日	最大約2,726万件	流出した可能性（退会者を含む）	MUJIアプリ
クラブツーリズム	10月31日（第1信）	約432万件	流出した可能性	クラブツーリズム
花キューピット	10月28日	最大4,238,242件	漏えいした（対象は「該当する可能性のあるお客様」）	花キューピット
松屋フーズホールディングス（松屋公式アプリ）	10月30日	2,377,127件ほか（アプリ会員2,000件、最大3,000件）	漏えいした	松屋
ソニーネットワークコミュニケーションズ（So-net）	10月27日	So-net会員2,141,986件、plala（Sコース）会員443,495件	漏洩を確認した	So-net
エイチ・ツー・オーリテイリング（H2O ID）	10月19日	約126万件	漏えいした（ほぼ全てのH2O ID会員の一部の情報）	H2O ID
ワールド（子会社ティンパンアレイ）	10月30日	延べ約120万件	流出した可能性	ティンパンアレイ

漏れた項目は事案ごとに違います。たとえばMUJIアプリはメールアドレス・生年月日・性別で、氏名や住所は含まれないと発表されています。花キューピットはユーザーID・暗号化されたパスワード・メールアドレスです。自分の項目は、各記事で確かめてください。

件数と、自分が対象かどうかは別です

「件」は記録の数なので、人数とは一致しません。退会者が含まれる事案も多くあります。対象かどうかは、各社が個別に送るとしている連絡と、公式サイトのお知らせで確かめます。

10月の5つの流れ

(a) サービス提供元・SaaSを通した漏えい

自社に落ち度がなくても、顧客名簿を預けた先で漏れることがあります。10月は、メール配信、防災メール、航空会社の予約の委託先、IT管理の基盤で事案が出ました。

ブラストメール：全契約者の会社名・担当者名などと、345契約の配信先リストなどの漏えいが確認された
SpeeCAN RAIDEN：自治体の防災メール等に使われるサービスで、メールアドレス最大約313.6万件（推定）などが漏えいした可能性
JAL・ANAの予約の委託先：JAL・JTAは約92,000名、ANAは約37,800名の予約情報が、委託先経由で参照された形跡があると公表された
ConnectWise Cloud Backup：アプリの認証情報への不正アクセスでサービスが止まり、クラウド事業者は2,250超のテナントへのサインイン試行を公表した

(b) 会員・アプリのデータベース

小売・外食・通信の会員データベースやアプリの管理システムからの漏えいが、10月の後半に続きました。上の表のほか、10月中に当サイトが記事にした事案が複数あります。

MUJIアプリ（最大約2,726万件の可能性）
松屋公式アプリの管理システム（2,377,127件ほか）
花キューピット（最大4,238,242件）
H2O ID（約126万件）

(c) 暗号資産の流出

9月下旬から10月末にかけて、取引所と関連サービスの事案が重なりました。数字は各社の発表のとおりで、原因の多くは調査中です。

Binance：10月29日の不正な出金の影響額を約63億ドルと見積もり、損失は同社が負担すると発表した
Bitget：第三者のセキュリティ製品のゼロデイを突かれ、約3.875億ドルが流出したと発表した（事案は9月下旬で、当サイトの記事は10月に公開）
Bithumb：社内モバイルグループウェアへの不正アクセスで、顧客844名の個人情報が露出したと報じられている
Polymarket：第三者の提供元が侵害されたとして取引を一時停止（スクリプト経由と報じられている）し、利用者に補償すると説明した

(d) AI開発基盤とAIを使った攻撃

AIのAPIキーを預かる基盤、AI向けの開発ツール、ホスト型AIで事案が出ました。AIの能力を使う攻撃の報告も続いています。

Northflank：保存された環境変数すべてを、復号されたものとして扱うよう案内。AI APIキーの不正利用が報告された
OpenCode：一部の利用者が連携した外部AI事業者のAPIキーに影響
Zeabur：環境変数3,218,965件と321,810アカウントの情報が読み取られたと公表
Cursorの拡張機能：改ざん版の「Claude Code」拡張機能が、マーケットプレイスで約11時間配布された
Chainalysis：同社が "offensive agentic techniques" と呼ぶ手法で不正にアクセスされたと公表
Cloudflare Workers AI：他の顧客のリクエストのデータが応答に混ざる事象が155件あったと公表

別の話として、Linuxカーネルの CVE-2026-98432 は、AI企業の研究チームが実験環境でリモートコード実行を実演したと報じられています。同社自身の報告にもとづく話で、報道機関は検証していません。確認した範囲では、実際の攻撃は確認されておらず、KEVにも入っていません。全体像はAIを使った攻撃と守る順番にまとめています。

(e) 境界機器

KEVの11件に加え、Ivanti Connect Secureは10月13日と30日の2回、別の脆弱性で追加されました。更新だけでは、更新の前に入られた場合の痕跡は消せません。

11月にやること

KEVに入った境界機器を先に直す

VPN装置・ファイアウォール・メールゲートウェイの製品名と版の一覧を作り、KEVに入ったものは数日以内に修正版へ上げます。更新の前にログを保存し、管理画面に届く送信元を管理用ネットワークに絞ります。

顧客名簿を預けている外部サービスを棚卸しする

メール配信、予約、会員管理、バックアップなど、顧客のメールアドレスや氏名を預けているサービスを一覧にします。契約を終えたあとにデータが残っていないかも確かめます。

基盤の事案があったら、預けた鍵を入れ替える

クラウドやAI開発基盤で事案が公表されたら、そこに保存した環境変数・APIキー・トークンを入れ替え、利用状況に身に覚えのない記録がないかを確かめます。

侵害を公表した企業を名乗るメールに備える

漏えいの公表後は、その企業を名乗るメールが増えやすいです。メールのリンクからはログインや入力をせず、公式サイトのお知らせと照らし合わせます。対象かもしれない人は、同じパスワードを使い回していないサービスから順にパスワードを変えます。

メールの見分け方はフィッシングとはにあります。

出典

米CISA「Known Exploited Vulnerabilities Catalog」（JSONフィード。2026年10月1日〜31日の追加分を当サイトが集計） — cisa.gov
当サイトの記事：境界機器の脆弱性まとめ、ショップサーブ、MUJIアプリ、クラブツーリズム、花キューピット、松屋、So-net、H2O ID、ティンパンアレイ（各記事に公式発表の出典があります）
第1報の本数は、当サイトの日本語記事のうち、2026年10月に公開した速報の記事を数えたものです

次に読む

よくある質問

Q2026年10月に悪用が確認された脆弱性は何件ですか？

米CISAのKEV（悪用が確認された脆弱性の一覧）に、2026年10月1日から31日の間に36件が追加されました。9月は43件でした。当サイトが11月1日に取得した時点で、一覧全体の登録数は1,766件です。

Q10月の国内の情報漏えいで、件数が大きかったのはどれですか？

当サイトの記事にある公式発表の数字では、MUJIアプリが最大約2,726万件（流出した可能性）、ショップサーブが約2,335万6,000人（最終報）、クラブツーリズムが約432万件（流出した可能性）、花キューピットが最大4,238,242件、松屋が2,377,127件ほかです。単位が件と人で異なり、「可能性」と「確認」も混ざるため、順位としては比べられません。

Q「件」と「人」は同じ意味ですか？

同じではありません。「件」は記録（レコード）の数で、同じ人が複数のサービスや複数の登録で数えられることがあります。「人」は重複を除いた人数の概数です。発表がどちらで数えているかは、記事ごとの表で確かめてください。

Qこの記事の「第1報115本」は、日本の事件の件数ですか？

いいえ。当サイトが10月に出した記事の本数です。当サイトが取り上げなかった事件はここに入っておらず、国や機関が集計した統計でもありません。件数の増減をそのまま「事件が増えた」と読むことはできません。

Q11月に、まず何をすればよいですか？

次の4つです。KEVに入った境界機器（VPN装置・ファイアウォールなど）の修正版を先に当てる。顧客名簿や会員データを預けている外部サービスの一覧を作る。AIやクラウドの基盤で事案があったら、そこに預けた鍵を入れ替える。侵害を公表した企業を名乗るメールのリンクからは入力しない。

Q古い脆弱性がKEVに入るのは、なぜ重要ですか？

10月8日には、2015年から2023年に公表された5件が同時に追加されました。古い製品や、更新されないまま残った機器・ソフトが今も狙われていることを示しています。使っていなくても、動いたままの古い環境がないか確かめる理由になります。