いまの状況 これから 確かめること 社員の皆さんへ おかしいと思ったら 一次情報の新着 ことばの言い換え いまの状況 2026-10-24（土）の報道／10月の公表 GMOグループの2社で、不正アクセスの被害 GMOリサーチ&AI は、アンケートサイト「infoQ」がソフトウェアの弱点を突かれて入り込まれ、最大 94万8,498件の会員情報（氏名・住所・電話番号・生年月日・メールアドレスなど）が持ち出されたと公表しました。一部の会員のポイントも、本人の意思によらず交換されています。
読売新聞によると、同じグループの別のクラウドサービス（FX の自動売買向け）でも、利用者のログインのための情報が見られ、70を超える証券会社などの口座で不正な操作が行われた可能性があり、会社は攻撃者とみられる相手から金銭を求められ、応じなければ情報を公開すると脅されていると明らかにした、と報じられています。
起こりうること 被害に遭った会社を装うメール・SMS・電話が届くことがあり、infoQ のお知らせでも注意が呼びかけられています。
2026-10-23（金）更新／10-08（木）公開 国内で、不正アクセスによる漏えいが相次いでいます JPCERT/CC（日本で、セキュリティ事故の連絡や調整を担う専門機関）は、9月前後から国内の組織で漏えいの被害が相次いでいるとして、10/8 に注意を呼びかけ、10/23 に情報を追加しました。共通の穴がひとつあるのではなく、相手の会社ごとに、知られている弱点を探して入り込もうとしている可能性があり、ソフトの弱点でなくても、設定やバックアップのファイルを盗むなど、管理の行き届かないところを突く攻撃もあります。お客さま向けのアプリだけでなく、社員向けの管理画面や BI ツールなど、限られた人だけが使うつもりのシステムも被害に遭っています。
起こりうること JPCERT/CC は新しい情報が分かればページを更新するとしており、会社ごとに古い弱点や置きっぱなしのファイルを探す攻撃は、続くものとして備えておくのが自然です。
2026-10-23（金） 拠点と拠点を結ぶネットワークの管理製品の弱点が、悪用された一覧に 米国の政府機関 CISA は、「実際に悪用された弱点の一覧」に、拠点と拠点を結ぶネットワークを管理する製品「Arista VeloCloud Orchestrator」（自社に置いて使う版）の弱点を加えました。この製品では、7月以降3件目です。
起こりうること 米国の政府機関には 10/26（月）までの 3 日間での対応が求められており、この製品を使っている会社では、更新の状況を確かめる対象になります。
2026-10-22（木）／10-21（水）公表 ウェブサイトの土台「PHP」に、外から操られるおそれのある弱点 PHP は、ウェブサイトを動かす土台のひとつです。10/21 に、外からサーバーを操られるおそれのある弱点が公表され、JPCERT/CC は 10/22、国内で広く使われているとして、速やかな更新と、入られた跡がないかの調査を呼びかけました。IPA も 10/21 に修正版の公開予定を前もって知らせ、10/22 に対策を案内しています（IPA はこの件を「PHP2shell」と呼んでいます）。
起こりうること PHP 8.1 以前には修正版が出ないため、そのまま動いているサイトは、版を上げるまで弱点が残ります。
2026-10-20（火）／10-14（水）注意喚起 ウェブサイトを守るソフト「SiteGuard Server Edition」の弱点が、実際に悪用されました 国内で使われているウェブサイトの防御ソフト「SiteGuard Server Edition」の弱点について、JPCERT/CC が 10/14 に注意を呼びかけていました。10/20、米国の政府機関 CISA が、実際に悪用されたとして「実際に悪用された弱点の一覧」に加えました。
起こりうること 守るための道具も更新が要る対象で、使っている場合は、更新済みかを確かめることになります。
2026-10-20（火） Chrome の新しい版（156）で、353件の修理 Google は Chrome の 156 版を出し、353件の修理を入れました。そのうち、最も重い区分（緊急）が 6 件、次に重い区分（重要）が 61 件です。
起こりうること 再起動して新しい版に切り替えるまでは、直る前の版のまま使うことになります。
2026-10-14（水）ほか（10月前半からの続き） 10月前半の更新も、引き続き当てておきたいものです Windows：10/14 の 10月の定期の更新に、すでに悪用された不具合の修理が入っています。
iPhone：9/28（月）の更新で、悪用が確認された不具合が直っています（iOS 27.0.1 または 26.7.1 以降）。
10月は、VPN・ファイアウォール・メールの防御装置（Fortinet・Palo Alto・Cisco・Ivanti・Citrix など）でも、悪用が確認された弱点が相次いで CISA の一覧に載りました。
起こりうること 更新していない端末や装置は、すでに入られた例のある弱点を抱えたまま動き続けます。
これから起こりうること（2026-10-25 時点の見通し） 出典のある範囲だけを書いています。
続報がありえます。 JPCERT/CC は、新しい情報が分かれば注意喚起を更新するとしています。会社ごとに古い弱点や置きっぱなしのファイルを探す攻撃は、続くものとして備えておくのが自然です。
次の Windows の定期の更新は、11/11（水）です（日本時間）。 毎月第2火曜（米国時間）に出る定期の更新の流れに沿った日付です。
http のままのホームページには、Chrome で確認の画面が出る方向です。 Google は 2025年10月、Chrome 154（2026年10月の予定）から「常に安全な接続を使用する」設定を標準にし、暗号化されていない（http の）公開サイトを初めて開く前に確認の画面を出すと発表していました。http のままの会社のホームページは、お客さまや取引先の画面で、開く前に確認の画面が出る方向です。
PHP 8.1 以前のサイトは、版を上げるまで弱点が残ります。 修正版が出ないためです。
漏えいが起きたときは、報告の期限があります。 個人情報保護委員会へ速やかに報告します。不正な目的のおそれがある場合は、発覚した日から 60 日以内に、詳しい報告も必要です。
「振込先が変わりました」というメールに、引き続き注意が要ります。 取引先を装うビジネスメール詐欺では、取引先の本物のメールアカウントが乗っ取られて送られてくる例もあり、IPA が 2024年に公表した事例では、被害は1千万円を超えました。振込先の変更は、メール以外（以前から知っている電話番号など）で確かめます。
担当の方・システム会社に確かめること 管理部門の責任者の方、システムの担当の方、システムを任せている会社と一緒に、上から順に確かめていく一覧です。
順番は、二つの問いで決めます。
すでに悪用されている弱点か（壊れた窓から、すでに入られた例があるか） 会社の外（インターネット）から見えるか 両方に当てはまるものから手を付けると、少ない人手でも判断しやすくなります。
最初の一言の例（システムを任せている会社へ） 「うちで使っているもので、10月に悪用が確認された製品はありますか。更新は済んでいますか」 進み具合 0 / 12
数日のうちに 悪用が確認されていて、外から見えるもの
社員の皆さんへ 下の枠を、そのまま社内チャットに貼ったり、印刷して掲示したりしていただけます。「連絡先」の欄だけ、会社ごとに書き入れてください。
【社員の皆さんへ 情報の守りのお願い】
国内の会社で、外から入られて情報が持ち出される被害が続いています。会社とお客さま、そして皆さん自身の情報を守るために、次の五つをお願いします。
1. スマホ・パソコン・Chrome を最新にする
メーカーが配る修理（更新）は、当てるまで、壊れたところがそのまま残ります。私物でも、仕事のメールやチャットを入れていれば同じです。
Chrome は、右上の「︙」→「ヘルプ」→「Google Chrome について」→「再起動」で最新になります。
2. 仕事のアカウントに、二段階認証を付ける
パスワードという玄関の鍵に、もう一つ鍵を足すことです。同じパスワードの使い回しも、やめておきましょう。
3. リンクを押す前、添付を開く前に、一呼吸
被害に遭った会社や取引先を装った、メール・SMS・電話が届くことがあります。
4. 振込先や支払い方法の変更は、メール以外で確かめる
以前から知っている電話番号にかけて確かめます。取引先の本物のアドレスから届くこともあります（アカウントが乗っ取られた場合）。
5. お客さまの情報やパスワードを、AI に貼らない
「おかしいな」と思ったら
① その端末をネットから切り離す（Wi-Fi を切る・LAN ケーブルを抜く）
② 記録やファイルは、消さずにそのまま残す
③ 担当（連絡先：＿＿＿＿＿＿）に、その場で連絡する
攻撃者からの連絡や要求には、一人で応じずに、担当と一緒に対応します。 この文をコピー
「おかしいな」と思ったら（会社として） 迷ったときは、この三つの順で動きます。社員の皆さんにも、同じ三つをお伝えしています。
切り離す その端末をネットから切り離します（Wi-Fi を切る・LAN ケーブルを抜く）。 残す 記録やファイルは、消さずに残します。JPCERT/CC も、証拠を残したうえで切り離すよう案内しています。 連絡する 決めておいた担当へ、その場で連絡します。攻撃者からの連絡や金銭の要求には、一人で応じず、システムを任せている会社と一緒に対応します。 個人情報の漏えいが分かったら、個人情報保護委員会へ速やかに報告します。不正な目的のおそれがある場合は、発覚した日から 60 日以内に、詳しい報告も必要です。
一次情報の新着（自動） JPCERT/CC と IPA の注意喚起、米国 CISA の「実際に悪用された弱点の一覧」から、1 時間ごとに機械で見出しと日付とリンクを取ってきて、新しい順に並べています。
解説は付いていません。見出しは元の発表のまま（英語のものもあります）です。
御社に関わるかどうかは、上の解説と、リンク先の元の発表でお確かめください。上の解説は「最終更新」の日付の時点のものなので、この欄のほうが新しいことがあります。
JPCERT/CC 注意喚起 一次情報（自動取得） 取得 2026-10-25 13:17
IPA 重要なセキュリティ情報 一次情報（自動取得） 取得 2026-10-25 13:17
米 CISA 悪用が確認された脆弱性の一覧 一次情報（自動取得） 取得 2026-10-25 13:17
ことばの言い換え このページで使っている言葉を、日常の言葉に置き換えると、次のようになります。
脆弱性（ぜいじゃくせい） 建物でいえば、鍵や窓の壊れたところ
更新（パッチ） メーカーが配る修理。当てるまでは壊れたまま
悪用が確認された その壊れた窓から、すでに入られた例がある
API アプリとサーバーの間の受付窓口
http と https 封のないはがきと、封筒。https は「証明書」という身分証で、相手が本物かも確かめます
二段階認証 玄関の鍵（パスワード）に、もう一つ鍵を足すこと
VPN 社外から社内のネットワークにつなぐ通り道
ファイアウォール 会社のネットワークの門番
BI ツール 数字を集めて、グラフなどで見る道具
ドメイン ホームページやメールの住所
JPCERT/CC 日本で、セキュリティ事故の連絡や調整を担う専門機関
IPA 情報処理推進機構
CISA 米国の政府機関（サイバーセキュリティを担当） このページは、経営者の方が落ち着いて順番を決められるように、元の発表を読みやすい言葉に置き換えてまとめています。新しい発表が出るたびに、ここを書き足していきます。
世間はAIで効率。五次元経営はAIで、みんなを『ごきげん』にする会社です。
