情シス・社内SEに関係する国の機関の発表を、公式情報からまとめました。今回は、2026年10月14日から15日にかけて出たものを中心に取り上げます。相次ぐ不正アクセスを背景に、悪用がすでに確認された脆弱性の注意喚起や、攻撃の手口の分析がそろいました。
機関ごとのまとめ
国家サイバー統括室
各機関の注意喚起をまとめたページを公開。 幅広い事業者で不正アクセスによる個人情報の漏えいが相次いでいることを受け、国家サイバー統括室が、警察庁・個人情報保護委員会・金融庁・総務省・経済産業省・IPA・NICT・JPCERT/CCの注意喚起と対策情報を1ページに集約しました。個別の対策というより、各機関の情報を横断して確認できる入口です。自組織に関係する注意喚起を一度に見渡したいときに役立ちます。
JPCERT/CC
SiteGuard Server Editionに悪用確認済みの脆弱性(CVE-2026-106931)。 国産のWAF(Webアプリケーションを守る仕組み)「SiteGuard Server Edition」に、OSコマンドインジェクションの脆弱性が見つかりました。深刻度はCVSS 4.0で基本値8.5の「緊急」で、悪用されると、機器のroot/SYSTEM権限で任意のコマンドを実行される恐れがあります。既定で有効な統計機能が有効な場合が対象で、ベンダーは悪用をすでに確認しています。対策は修正版への更新で、難しい場合はパッチの適用か統計機能の無効化、更新前には管理画面から診断情報を取得して痕跡を保全するよう案内されています。
Microsoftの2026年10月更新の至急適用を呼びかけ。 JPCERT/CCとIPAが、Microsoftの月例更新について注意喚起を出しました。IPAは「緊急」とし、実際に悪用が確認された脆弱性(Windowsシェルのセキュリティ機能バイパス、CVE-2026-96951)を含むことから、至急の適用を求めています。対象の製品・版を確認し、更新を進めてください。
連続する不正アクセスの攻撃手法を分析。 JPCERT/CCは、国内で相次ぐ不正アクセス事案の手口を調べた分析を公開しました。攻撃者が、AIで既知の脆弱性を探しながらWeb APIを狙うこと、公開されているAndroidアプリを逆コンパイルしてAPIの接続先や埋め込まれた秘密情報を取り出すこと、SSRF(サーバーに意図しない通信をさせる手口)を試み、MySQLやJenkins、メールゲートウェイも狙うことなどを挙げています。対策として、アプリに長期間有効な秘密情報を埋め込まないこと、サーバー側で認証・認可を必ず行うこと、通信の宛先の検証などを求めています。
JPCERT/CC・IPA(JVN)
EC-CUBEのAmazonPayプラグインに脆弱性(CVE-2026-103671)。 ネットショップ構築ソフトEC-CUBEの4系で使う「AmazonPayプラグイン」に、本来は変わらない前提のWebパラメータを外部から制御できる脆弱性が公表されました。該当するプラグインを使っている場合は、開発元(株式会社イーシーキューブ)が提供するパッチの適用が必要です。
楽天モバイルの旧端末でテスト用の鍵がそのまま使用(CVE-2026-107153)。 楽天モバイルの一部スマートフォン(Rakuten Mini、Rakuten Hand、Rakuten Hand 5G、Rakuten BIGs)で、起動時の改ざん検知(Android Verified Boot)に、本来は差し替えるべき既知のテスト用の鍵がそのまま使われていました。いずれもサポートが終了した端末で、対策は利用を止めて後続の製品へ移行することとされています。社用端末に残っていないか確認します。
警察庁
フィッシングと犯罪インフラへの対応。 警察庁は、従業員向けのフィッシングメール注意喚起(サイバー警察局便り)を公開したほか、マイクロソフトやJC3と連携して、フィッシングに使われていた犯罪インフラの実態解明を進め、テイクダウン(無力化)に至ったと報告しています。社内のフィッシング対策の啓発資料として活用できます。
