10/27 サイバーセキュリティ 3選、Arista VeloCloud Orchestrator、Collabora Online Built-in CODE Server、PHP

関心分野外でも新規KEVは優先します。

1. Arista VeloCloud Orchestrator：CVE-2026-114625

• 10/23にCISA KEVへ新規追加、実悪用確認済み。
• SQL Injectionで、CVSS 9.9。 [it-mikata....elayer.com], [osintsights.com]
• VeloCloudはSD-WAN管理系なので、Fortinet/Ivanti等と同様、ネットワーク基盤側で利用有無を確認する価値の高い案件と私は判断します。
• 補足　Arista VeloCloud Orchestratorはアリスタネットワークス（Arista Networks）の「VeloCloud SD-WAN」環境を一括で管理・制御するための中央管理ツール（マネジメントプレーン）です。

2. Collabora Online Built-in CODE Server：CVE-2026-110447

• 同じく10/23新規KEV、実悪用確認済み。OS Command Injection、CVSS 9.2。 [it-mikata....elayer.com], [osintsights.com]
• Collabora OnlineをNextcloud等との組み合わせで利用している環境が対象になり得ます。 [osintsights.com]
• 補足　Collabora Online Built-in CODE Server（アプリID: richdocumentscode）とは、オンラインストレージの「Nextcloud」上で、WordやExcel、PowerPointなどのオフィス文書をブラウザから直接共同編集できるようにするための組み込み型ドキュメント編集サーバーアプリです。 [1, 2, 3]

3. PHP：CVE-2026-109618 / 109619

• 前回報告した2件ですが、一般Web基盤への波及可能性から引き続き上位です。
• ただし、Web上の二次情報には**「実悪用あり」とする報道と「KEV未掲載、広範な悪用未確認」**とする報道が混在しており、今回取得したCISAページでは裏付けられませんでした。したがって、現時点でKEV入りとは扱いません。 [pbcsnyc.com], [cyberrecaps.com]
• 脆弱性自体についてはCVE-2026-109618がCritical（CVSS 9.8）として報告されています。 [infosecnexus.com]
• その後、KEVに掲載された

CISA Adds Two Known Exploited Vulnerabilities to Catalog

10/26/2026 7:00 PM EDT

CISA has added two new vulnerabilities to its Known Exploited Vulnerabilities (KEV) Catalog and updated the PHP Alert, Critical Vulnerabilities in PHP Require Immediate Patching.

• CVE-2026-109618 – PHP Memory Corruption Vulnerability
• CVE-2026-109619 – PHP Stale Internal Request-State Vulnerability

＋追加ウォッチ

• Node.js関連の新しいRCE情報が複数の10/25サイバー情報サイトに出ていますが、今回確認した一次情報では裏付けが取れなかったため、今日は主要項目には採用しません。 [pbcsnyc.com], [cyberrecaps.com]
• 従来のFortinet/BeyondTrust/Ivantiは引き続き重要ですが、今日は10/23に実悪用確認で新規KEV入りしたArista VeloCloudとCollaboraを新着として上位にしました。 [it-mikata....elayer.com]

10/23 サイバーセキュリティ 追加ウォッチ案件

上位3件は先日既出のため、AIの主張する"追加ウォッチ"案件を挙げます。

 ＋一般企業ITとして追加ウォッチ

前にご指定いただいた基準で確認しました。

• ISC BIND：10/22にJPCERT/CCが複数脆弱性情報を掲載。DNS基盤なので、該当組織では確認対象です。 [jpcert.or.jp]
• Apache Tomcat：10/21に複数脆弱性情報。Java Web基盤を運用している場合に確認対象です。 [jpcert.or.jp]
• Edge / Chrome：10/21 JPCERT/CC Weekly Reportに双方の複数脆弱性が掲載されています。 [jpcert.or.jp]

ただし、この3点をSiteGuardやKEV案件より上位に置く根拠は、今回取得した公式情報からはありません。

10/22 サイバーセキュリティ 3選、Oracle、Internet-facing製品、Windows CVE-2026-96951

今日は前回のFortinet/Ivanti中心ではなく、10/21に出た情報を優先します　by AI（タロウ注、PHPの件は多分明日）

1. Oracle Java 10月セキュリティ更新

• 10/21公開の新着。 IPAが「攻撃が行われた場合の影響が大きいため、早急にセキュリティ更新プログラムを適用」と注意喚起しています。 [ipa.go.jp]
• 対象にはJava SE 27、26.0.2、25.0.4.1、21.0.12.1、17.0.20.1、11.0.32.1、8 Update 503などが含まれます。 [ipa.go.jp]
• IPA・Oracle Java 10月更新 [ipa.go.jp]

2. Internet-facing製品群をJPCERT/CCがまとめて警告

10/21のJPCERT/CC Weekly Reportには、BeyondTrust Remote Support、Palo Alto Networks、Cisco Secure Email Gateway、Fortinet、Ivanti Connect Secure、SiteGuard Server Editionがまとめて掲載されています。BeyondTrustについてはベンダー自身が悪用した攻撃を確認したとされています。 [jpcert.or.jp]

JPCERT/CC Weekly Report 10/21 [jpcert.or.jp]

3. Windows CVE-2026-96951は引き続き優先

• Microsoft自身が更新公開前から実悪用されていたことを確認。早急なアップデートを求めています。 [microsoft.com], [ipa.go.jp]
• 10月更新にはWindows 11/Server、Office、SharePoint、Exchange、SQL Server、.NET等の修正も含まれます。 [microsoft.com]
• Microsoft公式 10月セキュリティ更新 [microsoft.com]

＋追加ウォッチ：今回は該当あり

• Edge / Chrome：JPCERT/CCの10/21 Weekly Reportが双方の複数脆弱性と修正版への更新を案内しています。広範なエンドユーザー環境という意味でIT部門が確認する価値があります。 [jpcert.or.jp]
• NGINX：同じく複数の脆弱性について修正版への更新を案内。Web基盤として利用している場合は確認対象です。 [jpcert.or.jp]
• PHP：10/21にCVE-2026-109618/109619のCritical脆弱性情報が出ています。検索結果ではCISAは即時パッチを強く推奨する一方、その時点では悪用を観測していないとされています。KEV入りは確認できません。※非監査用 [rescana.com]

今朝の要点

• IT： AI GPUだけでなく、TIの決算から産業・アナログ半導体にも需要回復の兆候が見えます。 [reuters.com]
• サイバー： 今日の新着ではOracle Javaを追加確認すべきです。一方、Fortinet/BeyondTrust/Ivanti/PAN-OS/Windowsについては既報でも重要性が低下したわけではなく、JPCERT/CCの10/21号でも引き続き対象になっています。 [jpcert.or.jp], [ipa.go.jp]

10/21 サイバーセキュリティ 3選、CVE-2026-106931, CVE-2026-96652,4,5,6, CVE-2026-110936

サイバーセキュリティ｜今日は重要な更新あり by AI

昨日10月20日にCISAが新たに6件をKEVへ追加しました。 すべて実際の悪用証拠に基づく追加です。 [cisa.gov]

1. SiteGuard Server Edition：CVE-2026-106931

• OS Command Injection。10/20にKEVへ追加されました。 [cisa.gov]
• JPCERT/CCもこの脆弱性について独立した注意喚起を出しています。 [jpcert.or.jp]
• 日本企業との関連性を踏まえると、今日の最優先確認候補と考えます。

2. Plex Media Server：4件

• CVE-2026-96652：SSRF
• CVE-2026-96654：Encoded URI処理
• CVE-2026-96655：SSRF
• CVE-2026-96656：外部からのファイル名/パス制御
  4件すべて10/20にKEV追加です。 [cisa.gov]
• 企業ITで利用していなければ対象外ですが、Plexを個人・部門サーバー等で運用している場合は確認価値があります。

3. Siemens Software Center：CVE-2026-110936

• Uncontrolled Search Path Element脆弱性。こちらも10/20新規KEVです。 [cisa.gov]
• Siemens製品を利用するOT/製造環境では対象製品の有無を確認する価値があります。後半は私の優先度判断です。

CISA 10月20日KEV追加・公式 [cisa.gov]

＋「一般企業として見落としたくないもの」

• Windows CVE-2026-96951：Microsoft自身が実悪用を確認済み。IPAは**「至急、セキュリティ更新プログラムを適用してください」**と明記しています。 [ipa.go.jp]
• またJPCERT/CCは、国内外のWebサービスへの最近の攻撃で、攻撃者がAIを利用して既知脆弱性のスキャンやAPI経由の攻撃を行っていたことを確認しています。 [blogs.jpcert.or.jp]
• IPA Microsoft 10月セキュリティ更新 [ipa.go.jp]
• JPCERT/CC 攻撃手法調査 [blogs.jpcert.or.jp]

今朝のニュース全般、4点だけ

• 市場: 米10年債は約**5.11%**へ低下。S&P +0.28%、NASDAQ横ばい、Dow +1.02%。 [nexqual.com], [markets.ft.com]
• 原油: 約**$98**と依然高水準。世界経済にとって中東情勢→エネルギー→インフレの経路は引き続き要注意です。 [nexqual.com], [imf.org]
• AI: 中国勢によるNVIDIAへの350億ドル超の発注は、輸出規制下でもAI計算能力への需要が極めて強いことを示す出来事です。 [reuters.com]
• ByteDance、Alibaba、Tencentが、輸出規制に適合する RTX PRO 5500を合計300万枚超、総額350億ドル超発注したとReutersが報道。NVIDIAは需要が計画生産量を大幅に上回り、全量供給を保証できないとしています。 [reuters.com]
• Reuters NVIDIA中国向けGPU [reuters.com]
• サイバー: 今日は過去数日のFortinet/Ivanti/BeyondTrustよりも、10/20に新規KEV入りしたSiteGuard、Plex、Siemensを新着としてチェックする意味があります。特にSiteGuardはJPCERT/CCも個別注意喚起しており、日本企業では見落としたくない案件です。 [cisa.gov], [jpcert.or.jp]

10/20 サイバーセキュリティ、CVE-2025-61624, CVE-2026-102764他、+先週の振り返り

貴方の関心分野を考えると、今日はインターネット境界・リモートアクセス系を最優先で挙げます。

Fortinet：CVE-2025-61624

• CISAが10/16に KEV（実悪用確認済み）へ追加。Fortinet複数製品のPath Traversal脆弱性です。 [cisa.gov]
• 以前確認されていたFortiGate/RASの件とも製品系列が重なるため、今朝もっとも目を留めておく価値があります。
• CISA公式 [cisa.gov]

BeyondTrust Remote Support：CVE-2026-102764

• 同じく10/16にCISA KEVへ追加。Authentication Bypass by Spoofingで、実悪用の証拠に基づく追加です。 [cisa.gov]
• CISA公式 [cisa.gov]

境界機器のKEV追加が相次ぐ

• この1週間にはIvanti Connect Secure CVE-2026-104935もKEV入りしており、CISAは未認証リモート攻撃者による任意コマンド実行が可能としています。10/13追加、対処期限10/16と記載されています。 [cisa.gov]
• CISA KEV Catalog [cisa.gov]

範囲を貴方の関心分野」に限定せず、10月13～16日に新規KEV入りしたもの＋一般企業で広く使われそうな製品まで広げて確認しました。

結論として、「該当なし」ではありません。追加で3点とも挙げる価値があります。
特に1と2は、先ほどの3件と比べても無視できません。

追加① Microsoft Windows：CVE-2026-96951

重要度：高。先ほどの3件と同列に近い扱いを推奨

• 10月13日にCISA KEV入りした Microsoft Windows の脆弱性です。つまり単なる脆弱性公表ではなく、実環境での悪用が確認された側です。直近1週間のKEV一覧にも掲載されています。 [senserva.com]
• VPN製品ほど「Internet Gatewayを直接奪われる」という種類ではありませんが、Windowsの普及度を考えると、IT部門だけでなく一般ユーザー端末まで資産範囲が非常に広くなり得ます。
• したがって企業ITの観点では「Windows Update/パッチ配布が通常運用で確実に反映されていること」を確認する対象だと考えます。後半は私のリスク判断です。

CISA KEV Catalog [cisa.gov]

追加② Palo Alto Networks PAN-OS：CVE-2026-0322

重要度：高。Fortinet/Ivantiとかなり近いカテゴリー

• CISAが10月14日にKEVへ追加した PAN-OS Code Injection 脆弱性です。CISAは実際の悪用証拠に基づき追加したと明記しています。 [cisa.gov]
• 話題になっているFortiGateと同じく、Palo Altoはネットワーク境界で使われ得る製品なので、**「自社にPalo Alto製品はないか」「Internet-facingなPAN-OS機器はないか」**という資産確認対象には十分値します。これは製品カテゴリーを踏まえた私の優先度判断です。
• したがって、先ほどのFortinet / Ivanti / BeyondTrustに加えて、Palo Alto Networksまでは「境界系KEV」として同じ箱でウォッチするのがよいと思います。

CISA 10月14日KEV追加 [cisa.gov]

追加③ Cisco Secure Email Gateway：CVE-2026-76519

重要度：中～高。ただし利用していなければ当然対象外

• 同じ10月14日の新規KEV。Cisco Secure Email GatewayのRelative Path Traversalです。これもCISAが実悪用の証拠に基づいて追加しています。 [cisa.gov]
• メールゲートウェイはInternet-facingになりやすい種類の設備なので、企業ネットワーク運用側としては製品有無を確認する価値があります。後半は私のリスク判断です。
• なおJPCERT/CCの10月15日Weekly ReportでもCisco製品の脆弱性が主要項目に含まれています。 [jpcert.or.jp]

CISA 10月14日KEV追加
JPCERT/CC Weekly Report 10月15日 [cisa.gov] [jpcert.or.jp]

私なら今回の6件をこう整理します

最優先群

1. Fortinet CVE-2025-61624
2. BeyondTrust Remote Support CVE-2026-102764
3. Ivanti Connect Secure CVE-2026-104935
4. Palo Alto PAN-OS CVE-2026-0322
5. Windows CVE-2026-96951

該当製品があれば優先 

　　　 6. Cisco Secure Email Gateway CVE-2026-76519

この順位はCISAによる公式ランキングではなく、**「実悪用済みか」「企業内で遭遇しやすいか」「Internet-facingになりやすいか」**を重視した私の実務上の整理です。CISA自身もKEVを脆弱性管理の優先順位付けに使うよう推奨しています。 [cisa.gov]

なお、AhsayCBS CVE-2026-105133 / 105134も10月14日にKEV入りしており、後者はコマンドインジェクションです。 ただ、今回の「一般企業のIT部門・エンドユーザーが気にすべき3点」という条件なら、Windows/PAN-OS/Cisco SEGを先に挙げます。 [cisa.gov]

なお、

10/19にIPAが更新したICS情報では

CISAのネットワーク分析ツール Malcolm に複数脆弱性（最高CVSS 8.1）、Eclipse Miloに複数脆弱性（最高8.2）、EseeCloudに最高9.8の脆弱性が掲載されています。ただしMalcolmについては攻撃コード未確認、EseeCloudについても攻撃コード未確認とされているため、上記KEV群より優先度を上げる根拠はありません。

IPA・制御システム脆弱性情報 [ipa.go.jp] [ipa.go.jp]

SBI証券のFXで“誤ロスカット"

再委託先IIJが作業ミス、システムでも検知できず 779口座が対象 (10/14)

大手で起きた事故。犯人捜しで終わらせず、さらにかみ砕いた原因分析や解決方向性について、Geminiに訊いてみた。以下 Geminiの弁。

ご提示いただいた記事の事例において、IIJ（インターネットイニシアティブ）の担当者が「人に頼って手動で処理を行っていた（あるいは行う必要があった）」背景には、金融システムのバッチ処理やデータ連携における定常的な運用管理・例外対応の仕組みが関係しています。

統制目的としての確認・承認という側面もありつつ、システム的な制約や実務上の都合が大きく影響しています。主な理由は以下の通りです。

1. 定期データの遅延・例外発生時の「手動リカバリ（例外対応）」

今回のトラブルは、本来なら土曜日（10月10日）の未明に届くはずの「代用有価証券情報ファイル」が、予定より遅れて届いたことが発端でした。

本来、定時・自動で流れるはずのデータが遅れたり、形式やタイミングがズレたりした場合、システムがそのまま自動で正しく取り込めないケースが多くあります。そのため、運用担当者が「ファイルが遅れて到着した」「これをシステムに手動で取り込ませる必要がある」という例外的な判断と手動の再処理を行う運用になっていました。

2. データ連携の自動化における「人による判断」の限界

システムのデータ連携やバッチ処理は完全自動化されているのが理想ですが、外部から送られてくるファイルや、休日を挟むスケジュール（今回は10月10日土曜日）の処理などでは、以下のような理由であえて「人の手による確認・キック（指示）」を挟んでいるケースがよくあります。

• スケジュールの変則性: 休日や祝日、臨時のメンテナンスなどが絡むと、システムの自動判定だけでは「この遅延は待つべきか、エラーとして処理すべきか」の判断が難しいため、担当者が状況を目視・判断して処理を指示する設計にしている。
  
  
• 安全弁としてのオペレーター: 自動処理で一気にデータを流すと、万が一異常なファイルだった場合に大規模な障害へ直結するリスクがあるため、重要なステップで人間が介在（あるいは確認）する運用フローをあえて残している場合があります。
  
  

3. 今回のケースにおける「致命的な矛盾」

ただし、今回の事例で問題視されているのは、「人に頼っていた（手動処理だった）にもかかわらず、肝心の運用管理やシステム設計に不備があった」という点です。

• 担当者の勘違い: 担当者が「別の処理」と勘違いしてファイルを取り込ませる再処理を飛ばしてしまった。
  
  
• システム側の設計不備: 必要なファイルが揃っていない（欠損している）状態であるにもかかわらず、システムがそれを検知できず、次の後続処理をそのまま実行してしまった。
  
  

本来、「人が確認・介入するプロセス」は、システムのエラーや異常を防ぐための防波堤（チェック機能）として機能するはずです。しかし、今回のケースでは担当者の誤認を防げず、さらにシステム側も自動でそれを弾く仕組みになっていなかったため、結果として大元のデータが反映されないまま誤ロスカットへと繋がってしまいました。

したがって、人に頼っていた理由は「イレギュラーなデータ遅延などの例外処理を、状況に合わせて手動で正しくコントロールするため（運用上の例外対応）」でしたが、それが人為的ミスとシステム側のチェック機能の欠落によって裏目に出てしまった形と言えます。