10月21日に、国の機関が出した情報から、情シスに関係する8件をまとめます。目立つのは、IPAのOracle Javaの脆弱性対策と、PHPの重大な脆弱性の事前準備のお願いです。PHPの修正版はその夜に出ていて、すぐの更新が要ります。
機関ごとのまとめ
IPA(情報処理推進機構)
Oracle Java の脆弱性対策について(2026年10月)(10月21日): Oracleの10月の定例更新を受け、Java SEの脆弱性への対策を呼びかけました。悪用されると、プログラムが止まったり、パソコンを乗っ取られたりする恐れがあるとして、早めの更新を求めています。対象は、Java SE 27、26.0.2、25.0.4.1、21.0.12.1、17.0.20.1、11.0.32.1、8 Update 503などです。商用で使う会社には、ライセンスの確認も求めています。JDK 21は今回からライセンスが変わる点を含め、Oracle定例更新で1295件修正 JDK 21は今回からライセンスが変わるにまとめました。
【事前準備のお願い】PHPのセキュリティリリース公開予定について(10月21日): PHPの重大な脆弱性2件(CVE-2026-109618・109619)の修正版の公開を前に、PHPを使うプログラムの棚卸しと、すぐ当てる準備を求めました。製品や機器の中でPHPが使われている場合もあるとして、開発元の情報を確かめるよう呼びかけています。修正版のPHP 8.5.12・8.4.27・8.3.36・8.2.35は同じ日の夜に出ました。10月22日8時40分の時点で、IPAのページは「事前準備」のままです。修正版と、上げられないときの緩和策は、PHPの重大な脆弱性「php2shell」 各国が警戒、攻撃も観測 すぐ更新をにまとめています。
JPCERT/CC・IPA(JVN)
Apache Tomcatにおける複数の脆弱性(2026年10月20日)(10月21日): Apache Tomcatの8件の脆弱性の修正版、11.0.27・10.1.61・9.0.123を紹介しました。HTTP/2の要求と応答の取り違えや、JNDIRealmの認証の確かめの抜けなどです。中身はASF、Apache Tomcatの脆弱性8件を公表、認証・通信設定を確認で取り上げています。
Xerj Console APIにおける認証回避の脆弱性(10月21日): AIエージェント向けの検索の仕組みのオープンソース「Xerj」で、パスキーで認証した場面でしか作れないはずのAPIのトークンを、普通のトークンから作れてしまう問題です(CVE-2026-97406)。もとのトークンを取り消しても、作られたトークンは残ります。米CERT/CCによると、開発元と連絡がつかず、修正版は出ていません。社内のAIの仕組みで使っている場合は、トークンの棚卸しと、外からの接続の制限を考えます。
CISA ICS Advisory / ICS Medical Advisory(2026年10月20日)(10月21日): 米CISAの制御システムの注意4件と更新1件を紹介しました。PEAK-SystemのPCANのWindowsのドライバー、MoxaのAIG-302、日立エナジーのMicroSCADA X SYS600とRTU500です。工場や設備で使っている会社は、機種と版を確かめます。
JPCERT/CC
JPCERT/CC WEEKLY REPORT 2026-10-21(10月21日): 1週間の主なセキュリティの情報24件をまとめました。悪用が確認されたBeyondTrust Remote Supportの認証回避、Ivanti Connect Secureの認証回避、SiteGuard Server Editionの脆弱性のほか、JPCERT/CCの「連続不正アクセス事案の攻撃手法に関する調査」の公開も入っています。調査の中身はJPCERT/CCが攻撃元を調査 Androidアプリ解析とAPI攻撃の痕跡で取り上げました。
デジタル庁
機械可読性ルール適合チェックツール「Harunobu」(10月21日): Excel・CSV・TSVのファイルが、行政のデータの機械可読性のルールにどれだけ合っているかを、100点満点で採点する道具を、GitHubで公開しました。手元のパソコンで動き、ファイルの中身は外に送られません。ただし、任意の「AIによる判定補助」を有効にすると、自分で設定した外部のAIのサービスにデータが送られます。自治体や、行政に報告のデータを出す会社が使う場合は、この機能を有効にするかを社内の決まりで決めておきます。
総務省
G7デジタル・技術大臣会合の開催結果(10月21日): 10月20日にオンラインで開いたG7の会合で、「AIセキュリティ」と「デジタル空間の青少年の保護」を議論しました。議長声明では、最先端のAIのモデルの提供者がとれる対策や、AIに関わるリスクと事案の情報共有について、G7で歩調を合わせる必要があるとしています。社内でAIを使う決まりを作るときの、国際的な流れの参考になります。
