10/21 サイバーセキュリティ 3選、CVE-2026-106931, CVE-2026-96652,4,5,6, CVE-2026-110936

サイバーセキュリティ｜今日は重要な更新あり by AI

昨日10月20日にCISAが新たに6件をKEVへ追加しました。 すべて実際の悪用証拠に基づく追加です。 [cisa.gov]

1. SiteGuard Server Edition：CVE-2026-106931

• OS Command Injection。10/20にKEVへ追加されました。 [cisa.gov]
• JPCERT/CCもこの脆弱性について独立した注意喚起を出しています。 [jpcert.or.jp]
• 日本企業との関連性を踏まえると、今日の最優先確認候補と考えます。

2. Plex Media Server：4件

• CVE-2026-96652：SSRF
• CVE-2026-96654：Encoded URI処理
• CVE-2026-96655：SSRF
• CVE-2026-96656：外部からのファイル名/パス制御
  4件すべて10/20にKEV追加です。 [cisa.gov]
• 企業ITで利用していなければ対象外ですが、Plexを個人・部門サーバー等で運用している場合は確認価値があります。

3. Siemens Software Center：CVE-2026-110936

• Uncontrolled Search Path Element脆弱性。こちらも10/20新規KEVです。 [cisa.gov]
• Siemens製品を利用するOT/製造環境では対象製品の有無を確認する価値があります。後半は私の優先度判断です。

CISA 10月20日KEV追加・公式 [cisa.gov]

＋「一般企業として見落としたくないもの」

• Windows CVE-2026-96951：Microsoft自身が実悪用を確認済み。IPAは**「至急、セキュリティ更新プログラムを適用してください」**と明記しています。 [ipa.go.jp]
• またJPCERT/CCは、国内外のWebサービスへの最近の攻撃で、攻撃者がAIを利用して既知脆弱性のスキャンやAPI経由の攻撃を行っていたことを確認しています。 [blogs.jpcert.or.jp]
• IPA Microsoft 10月セキュリティ更新 [ipa.go.jp]
• JPCERT/CC 攻撃手法調査 [blogs.jpcert.or.jp]

今朝のニュース全般、4点だけ

• 市場: 米10年債は約**5.11%**へ低下。S&P +0.28%、NASDAQ横ばい、Dow +1.02%。 [nexqual.com], [markets.ft.com]
• 原油: 約**$98**と依然高水準。世界経済にとって中東情勢→エネルギー→インフレの経路は引き続き要注意です。 [nexqual.com], [imf.org]
• AI: 中国勢によるNVIDIAへの350億ドル超の発注は、輸出規制下でもAI計算能力への需要が極めて強いことを示す出来事です。 [reuters.com]
• ByteDance、Alibaba、Tencentが、輸出規制に適合する RTX PRO 5500を合計300万枚超、総額350億ドル超発注したとReutersが報道。NVIDIAは需要が計画生産量を大幅に上回り、全量供給を保証できないとしています。 [reuters.com]
• Reuters NVIDIA中国向けGPU [reuters.com]
• サイバー: 今日は過去数日のFortinet/Ivanti/BeyondTrustよりも、10/20に新規KEV入りしたSiteGuard、Plex、Siemensを新着としてチェックする意味があります。特にSiteGuardはJPCERT/CCも個別注意喚起しており、日本企業では見落としたくない案件です。 [cisa.gov], [jpcert.or.jp]

10/20 サイバーセキュリティ、CVE-2025-61624, CVE-2026-102764他、+先週の振り返り

貴方の関心分野を考えると、今日はインターネット境界・リモートアクセス系を最優先で挙げます。

Fortinet：CVE-2025-61624

• CISAが10/16に KEV（実悪用確認済み）へ追加。Fortinet複数製品のPath Traversal脆弱性です。 [cisa.gov]
• 以前確認されていたFortiGate/RASの件とも製品系列が重なるため、今朝もっとも目を留めておく価値があります。
• CISA公式 [cisa.gov]

BeyondTrust Remote Support：CVE-2026-102764

• 同じく10/16にCISA KEVへ追加。Authentication Bypass by Spoofingで、実悪用の証拠に基づく追加です。 [cisa.gov]
• CISA公式 [cisa.gov]

境界機器のKEV追加が相次ぐ

• この1週間にはIvanti Connect Secure CVE-2026-104935もKEV入りしており、CISAは未認証リモート攻撃者による任意コマンド実行が可能としています。10/13追加、対処期限10/16と記載されています。 [cisa.gov]
• CISA KEV Catalog [cisa.gov]

範囲を貴方の関心分野」に限定せず、10月13～16日に新規KEV入りしたもの＋一般企業で広く使われそうな製品まで広げて確認しました。

結論として、「該当なし」ではありません。追加で3点とも挙げる価値があります。
特に1と2は、先ほどの3件と比べても無視できません。

追加① Microsoft Windows：CVE-2026-96951

重要度：高。先ほどの3件と同列に近い扱いを推奨

• 10月13日にCISA KEV入りした Microsoft Windows の脆弱性です。つまり単なる脆弱性公表ではなく、実環境での悪用が確認された側です。直近1週間のKEV一覧にも掲載されています。 [senserva.com]
• VPN製品ほど「Internet Gatewayを直接奪われる」という種類ではありませんが、Windowsの普及度を考えると、IT部門だけでなく一般ユーザー端末まで資産範囲が非常に広くなり得ます。
• したがって企業ITの観点では「Windows Update/パッチ配布が通常運用で確実に反映されていること」を確認する対象だと考えます。後半は私のリスク判断です。

CISA KEV Catalog [cisa.gov]

追加② Palo Alto Networks PAN-OS：CVE-2026-0322

重要度：高。Fortinet/Ivantiとかなり近いカテゴリー

• CISAが10月14日にKEVへ追加した PAN-OS Code Injection 脆弱性です。CISAは実際の悪用証拠に基づき追加したと明記しています。 [cisa.gov]
• 話題になっているFortiGateと同じく、Palo Altoはネットワーク境界で使われ得る製品なので、**「自社にPalo Alto製品はないか」「Internet-facingなPAN-OS機器はないか」**という資産確認対象には十分値します。これは製品カテゴリーを踏まえた私の優先度判断です。
• したがって、先ほどのFortinet / Ivanti / BeyondTrustに加えて、Palo Alto Networksまでは「境界系KEV」として同じ箱でウォッチするのがよいと思います。

CISA 10月14日KEV追加 [cisa.gov]

追加③ Cisco Secure Email Gateway：CVE-2026-76519

重要度：中～高。ただし利用していなければ当然対象外

• 同じ10月14日の新規KEV。Cisco Secure Email GatewayのRelative Path Traversalです。これもCISAが実悪用の証拠に基づいて追加しています。 [cisa.gov]
• メールゲートウェイはInternet-facingになりやすい種類の設備なので、企業ネットワーク運用側としては製品有無を確認する価値があります。後半は私のリスク判断です。
• なおJPCERT/CCの10月15日Weekly ReportでもCisco製品の脆弱性が主要項目に含まれています。 [jpcert.or.jp]

CISA 10月14日KEV追加
JPCERT/CC Weekly Report 10月15日 [cisa.gov] [jpcert.or.jp]

私なら今回の6件をこう整理します

最優先群

1. Fortinet CVE-2025-61624
2. BeyondTrust Remote Support CVE-2026-102764
3. Ivanti Connect Secure CVE-2026-104935
4. Palo Alto PAN-OS CVE-2026-0322
5. Windows CVE-2026-96951

該当製品があれば優先 

　　　 6. Cisco Secure Email Gateway CVE-2026-76519

この順位はCISAによる公式ランキングではなく、**「実悪用済みか」「企業内で遭遇しやすいか」「Internet-facingになりやすいか」**を重視した私の実務上の整理です。CISA自身もKEVを脆弱性管理の優先順位付けに使うよう推奨しています。 [cisa.gov]

なお、AhsayCBS CVE-2026-105133 / 105134も10月14日にKEV入りしており、後者はコマンドインジェクションです。 ただ、今回の「一般企業のIT部門・エンドユーザーが気にすべき3点」という条件なら、Windows/PAN-OS/Cisco SEGを先に挙げます。 [cisa.gov]

なお、

10/19にIPAが更新したICS情報では

CISAのネットワーク分析ツール Malcolm に複数脆弱性（最高CVSS 8.1）、Eclipse Miloに複数脆弱性（最高8.2）、EseeCloudに最高9.8の脆弱性が掲載されています。ただしMalcolmについては攻撃コード未確認、EseeCloudについても攻撃コード未確認とされているため、上記KEV群より優先度を上げる根拠はありません。

IPA・制御システム脆弱性情報 [ipa.go.jp] [ipa.go.jp]

SBI証券のFXで“誤ロスカット"

再委託先IIJが作業ミス、システムでも検知できず 779口座が対象 (10/14)

大手で起きた事故。犯人捜しで終わらせず、さらにかみ砕いた原因分析や解決方向性について、Geminiに訊いてみた。以下 Geminiの弁。

ご提示いただいた記事の事例において、IIJ（インターネットイニシアティブ）の担当者が「人に頼って手動で処理を行っていた（あるいは行う必要があった）」背景には、金融システムのバッチ処理やデータ連携における定常的な運用管理・例外対応の仕組みが関係しています。

統制目的としての確認・承認という側面もありつつ、システム的な制約や実務上の都合が大きく影響しています。主な理由は以下の通りです。

1. 定期データの遅延・例外発生時の「手動リカバリ（例外対応）」

今回のトラブルは、本来なら土曜日（10月10日）の未明に届くはずの「代用有価証券情報ファイル」が、予定より遅れて届いたことが発端でした。

本来、定時・自動で流れるはずのデータが遅れたり、形式やタイミングがズレたりした場合、システムがそのまま自動で正しく取り込めないケースが多くあります。そのため、運用担当者が「ファイルが遅れて到着した」「これをシステムに手動で取り込ませる必要がある」という例外的な判断と手動の再処理を行う運用になっていました。

2. データ連携の自動化における「人による判断」の限界

システムのデータ連携やバッチ処理は完全自動化されているのが理想ですが、外部から送られてくるファイルや、休日を挟むスケジュール（今回は10月10日土曜日）の処理などでは、以下のような理由であえて「人の手による確認・キック（指示）」を挟んでいるケースがよくあります。

• スケジュールの変則性: 休日や祝日、臨時のメンテナンスなどが絡むと、システムの自動判定だけでは「この遅延は待つべきか、エラーとして処理すべきか」の判断が難しいため、担当者が状況を目視・判断して処理を指示する設計にしている。
  
  
• 安全弁としてのオペレーター: 自動処理で一気にデータを流すと、万が一異常なファイルだった場合に大規模な障害へ直結するリスクがあるため、重要なステップで人間が介在（あるいは確認）する運用フローをあえて残している場合があります。
  
  

3. 今回のケースにおける「致命的な矛盾」

ただし、今回の事例で問題視されているのは、「人に頼っていた（手動処理だった）にもかかわらず、肝心の運用管理やシステム設計に不備があった」という点です。

• 担当者の勘違い: 担当者が「別の処理」と勘違いしてファイルを取り込ませる再処理を飛ばしてしまった。
  
  
• システム側の設計不備: 必要なファイルが揃っていない（欠損している）状態であるにもかかわらず、システムがそれを検知できず、次の後続処理をそのまま実行してしまった。
  
  

本来、「人が確認・介入するプロセス」は、システムのエラーや異常を防ぐための防波堤（チェック機能）として機能するはずです。しかし、今回のケースでは担当者の誤認を防げず、さらにシステム側も自動でそれを弾く仕組みになっていなかったため、結果として大元のデータが反映されないまま誤ロスカットへと繋がってしまいました。

したがって、人に頼っていた理由は「イレギュラーなデータ遅延などの例外処理を、状況に合わせて手動で正しくコントロールするため（運用上の例外対応）」でしたが、それが人為的ミスとシステム側のチェック機能の欠落によって裏目に出てしまった形と言えます。

Androidに四半期に一度の大規模セキュリティ更新

～致命的なもの多数、悪用の兆候も - 窓の杜 (06/03) 

『メーカーからパッチが提供され次第、速やかに適用を

今月は四半期に一度（3月、6月、9月、12月）の大規模アップデートで、深刻度が4段階中最高の「Critical」が18件含まれる。また、深刻度の評価は「High」にとどまるものの、 限定的な標的型攻撃で悪用されている兆候がある脆弱性（CVE-2025-48595） も対処された。』

今更というか、しっかり追えてなかった。

CVE-2025-48595 (NIST 06/02)

『 ADP:  CISA-ADP

Base Score:8.4 HIGH』

KEVカタログにも掲載あり。 (CISA 06/02)

『Android Framework contains an integer overflow vulnerability that allows for code execution that could allow for local privilege escalation.』

Androidアプリのセキュア設計・セキュアコーディングガイド — Androidアプリのセキュア設計・セキュアコーディングガイド 2026-09-16 ドキュメント (09/16)

一般社団法人日本スマートフォンセキュリティ協会（JSSEC）という組織があるのですね。

FortiBleed

》 FortiBleed: Default Credential Exploitation and Mass Fortinet Compromise 

(Cloud Security Alliance AI Safety Initiative, 6/20)。 DeepL AI 訳:

• 攻撃者は、脆弱性のあるデバイスから設定のバックアップファイルを体系的に抽出すると、保存されていたパスワードハッシュをオフラインで解読した。このプロセスが技術的に大規模に実行可能だったのは、多くのデバイスが、フォティネットが2025年後半に導入したより強力なPBKDF2アルゴリズムではなく、依然としてソルト付きSHA-256ハッシュとして認証情報を保存していたためである[3]。
  
  
  注、この事情をGeminiで深掘りししてみると・・・

記事に書かれている「FortiBleed」という大規模なサイバー攻撃の件において、SHA-256の名前が出ている理由は、SHA-256自体に欠陥（脆弱性）があったからではなく、製品の「使い方の古さ」が原因です。記事の背景にある技術的な理由をシンプルに整理すると、以下のようになります。

1. 「ソルト付きSHA-256」はパスワード保存にはもう不十分

SHA-256は今でも非常に強力なハッシュ関数ですが、計算速度が速すぎるという特徴があります。そのため、攻撃者が高性能なコンピューター（GPU）を使って、パスワードの候補を片っ端からハッシュ化して答え合わせをする「オフライン総当たり攻撃」を行うと、驚くほどのハイスピードで元のパスワードを割り出されてしまいます。現代のセキュリティ基準では、パスワードを保存する際は、わざと計算に時間がかかるように設計された「PBKDF2」や「bcrypt」「Argon2」といった、よりストレッチング（反復処理）が強力なアルゴリズムを使うことが推奨されています。

2. 何が問題だったのか？

今回のFortinet社の問題は、以下の通りです。

• 古い仕様のままだった：デバイス内のパスワード保存に、現代では不十分とされる「ソルト付きSHA-256」を使い続けていたこと。
• アップデートの限界：Fortinet社も2025年末に慌てて「PBKDF2」へ移行するアップデートを配信しましたが、システム管理者が「アップデート後に一度もログインしていないアカウント」や「バックアップファイル内」には古いSHA-256のハッシュがそのまま残ってしまっていたこと。

結論：SHA-256の信頼性は落ちていない

今回の件は「SHA-256が暗号として破られた（脆弱性が見つかった）」わけではなく、「パスワードの保存方法として、SHA-256のままでは（計算が速すぎて）防御力が足りない時代になった」 という、用途のミスマッチが原因です。データの改ざんチェック（ハッシュ値の比較）や、ブロックチェーンの仕組みなど、高速かつ一方向性が求められる分野において、SHA-256は現在も世界基準で最も安全な現役アルゴリズムです。どうぞ安心してください。

---------------

注、ではSHA-256の適切な使い分けとは　↓　Gemini解説

Webセキュリティの世界標準であるOWASPの「パスワード保存に関するチートシート」では、以下のように分類して開発者に強く注意を促しています。 [1]

• SHA-256などの「通常のハッシュ関数」：
• ファイルの改ざん検知（チェックサム）やデジタル署名のためのものであり、「パスワードのハッシュ化（保存）に使ってはならない」と明記されています。
• PBKDF2 / Argon2 / bcrypt などの「パスワード用ハッシュ関数」：
• パスワード保存にはこれらを必須（第一選択）として指定しています。
• さらに「PBKDF2を使う場合は、内部でSHA-256等を用い、反復回数（ストレッチング）を600,000回以上に設定すること」といった具体的な運用基準まで細かく記載されています。 [1, 2, 3, 4]

関連:

• CISA Urges Hardening Fortinet Devices After Reports of Credential Exposure (CISA, 6/22 更新)。DeepL AI 訳:

1. セッションを終了し、認証情報をリセットしてください。 すべてのアクティブなSSL VPNセッションおよび管理セッションを終了してください。特にインターネットに公開されているシステムにおいて、すべてのフォーティネットVPNおよび管理用パスワードをリセットし、強力なパスワードポリシーを適用してください。
2. 認証情報の安全な保存を確保してください。 組織において、管理者認証情報の保存にパスワードベースの鍵導出関数 2（PBKDF2）アルゴリズムが使用されていることを確認し、フォーティネットのガイダンスに従って、セキュリティレベルの低い従来のハッシュ関数を削除してください（参照：フォーティネットのテクニカル・ヒント： FortiOS v7.2.11 以降における管理者アカウントのハッシュ関数として PBKDF2 を強制適用するを参照）。

• Technical Tip: Enforcing PBKDF2 as hash function for administrator accounts in FortiOS v7.2.11 and later (Fortinet Community, 2025.12.25)。DeepL AI 訳:

  注：

  下位互換性を確保するため、デフォルトでは、パスワード設定がPBKDF2ハッシュに更新された後も、以前のSHA256ハッシュは非表示の「old-password」設定に引き続き保存されます。「old-password」設定は、ファイアウォールにログインしている管理者には表示されませんが、super_adminが取得した設定バックアップでは確認することができます。

  (中略)

  old-password に保存されている SH2 ハッシュを完全に削除するには、システムパスワードポリシーで「login-lockout-upon-weaker-encryption」設定を有効にしてください。設定変更の確認を求める警告が表示されます。FortiOS v7.2.x および v7.4.x では、これに相当する設定は「login-lockout-upon-downgrade」です。

• Technical Tip: Add Two-Factor Authentication for FortiGate Administrators using FortiToken (Fortinet Community, 4/24 更新)

• Are Your Passwords in the Green? (Hive Systems)

  2025年版が掲載されている。

• FortiBleedの攻撃者、認証情報盗むためカスタムFortiGateスニッファを使用か (machinarecord.com, 6/23)

10/15 サイバーセキュリティ 3選

  Palo Alto Networks PAN-OS：CVE-2026-0322

• CISAが10月14日、実際の悪用を確認したKEVへ追加。
• Code Injection脆弱性です。 [cisa.gov]
• 各機関の発表比較

• CVE-2026-0322 (CVE)
  認証済みでネットワークアクセス可能な攻撃者が、firewall上でroot権限の任意コードを実行できる。
  CVSS Score 8.6, 8.5
• CVE-2026-0322 (Palo Alto Networks)
  PAN-OS Management Interfaceの認証済みRCE脆弱性（CWE-94 Code Injection）
• Injection / Execution の違いについて
  「CVE.org にある Code Injection は脆弱性の原因・弱点タイプをCWEで分類したもの。Executionは結果。」と捉えると腑に落ちやすい。
• 「管理IF到達性」＋「認証済み高権限」＋「Code Injection」 → 「root RCE」
  
  

Cisco Secure Email Gateway：CVE-2026-76519

• 同じく10月14日にCISA KEV入り。
• Relative Path Traversal脆弱性で、CISAは実悪用の証拠に基づいてKEVへ追加しています。 [cisa.gov]

• CVE-2026-76519 (CVE)
  『Advanced Malware Protection (AMP) 機能の脆弱性により、認証されていないリモートの攻撃者が、OS上に任意のファイルを記述できる可能性があります。 この脆弱性は、ファイルレピュテーションサービスが有効になっている際に、電子メールの添付ファイルを不適切に処理したことに起因しています。攻撃者は、影響を受けたデバイスを介して作成された添付ファイルを含むメールを送信することで、この脆弱性を悪用する可能性があります。成功した悪用により、攻撃者は任意のファイルを作成し、基盤となるオペレーティングシステムに対してroot権限でコマンドを実行できる可能性がある。』 機械翻訳から抜粋
  
  

AhsayCBS：CVE-2026-105133 / CVE-2026-105134

• 前者が Improper Authentication、後者が Command Injection。
• 両方とも10月14日にCISA KEVへ追加されています。 [cisa.gov]

• メモ
  
  AhsayCBS（Ahsay Cloud Backup Suite）は、香港のAhsay Systems社が提供するバックアップ管理サーバーソフトウェアです [1, 2] 
  MSP（マネージドサービスプロバイダー）やシステムインテグレーター、企業が、顧客や社内のデータを効率よくバックアップ・管理するために使用します。 [1, 2]

• 主な特徴と機能

• 多様なバックアップ対象: Microsoft 365、Google Workspace、VMware、Hyper-V、各種データベース（SQL Server、Oracle、MySQL等）、NAS、ファイルサーバーなどに対応しています。 
• 保存先の柔軟性: 自社サーバー（ローカルストレージ）、FTP/SFTPサーバーのほか、Amazon S3、Microsoft Azure、Google Cloud Storage、Wasabiなどのパブリッククラウドにデータを保存できます。 [1, 2, 3]
• セキュリティ: AES 256ビット暗号化や2要素認証（2FA）、改ざんを防ぐイミュータブル（変更不可）バックアップなどをサポートしています。 [1]
• 最近の重要なお知らせ（セキュリティ脆弱性）
• 2026年10月、AhsayCBSに関して認証バイパス（CVE-2026-105133）とOSコマンドインジェクション（CVE-2026-105134）の脆弱性を悪用したサイバー攻撃が確認されています。 [1, 2]
• 外部から管理コンソールにアクセスできる状態のサーバーが標的となっています。
• 対策として、アクセス制限（VPNや信頼できるIPアドレスのみに限定）の適用や、最新のパッチ・緊急ホットフィックスへのアップデートが強く推奨されています。 [1, 2, 3]