国の情報ダイジェスト 10月30日 相談窓口の特設サイト・PHP注意喚起ほか3件

事故が起きた日に、どこへ相談すればよいか。その答えが1ページにそろいました。国家サイバー統括室が10月30日に公開した「サイバー対応特設サイト」です。警察庁、経済産業省、IPAなどの相談窓口と、10月に出た注意喚起が並んでいます。事業者向けには9機関、個人向けには消費者庁と警察庁の注意喚起が載っています。

29日・30日の国の発表は、新しい義務を課すものより、相談先と点検の目安を整えるものが中心でした。情シスに関係するのは次の5件です。

国家サイバー統括室・消費者庁

サイバー対応特設サイトを公開（10月30日）

国家サイバー統括室は、相次ぐ不正アクセスと情報漏えいを受けて、関係機関の相談窓口、発表、注意喚起を1ページに集めました。ページは随時更新されます。

編集部がこのページに価値があると考えるのは、窓口の住み分けが一目で分かる点です。IPAだけでも、事業者向けの窓口が2つ、個人向けが1つあり、用途が違います。10月9日に各機関が一斉に注意喚起を出したときは、それぞれのサイトを回らないと全体が見えませんでした。

ページの説明をもとに、場面ごとの窓口を並べると次のようになります。

窓口は、届け出と技術の相談で分かれています。この表の形で、インシデント対応の連絡表に書いておくと迷いません。

不正アクセスによる個人情報の漏えい等に関する注意喚起（10月29日）

消費者庁は、漏えいした情報の悪用を防ぐため、利用者に向けて、IDとパスワードの変更、使い回しをやめること、多要素認証とパスキーの利用、カードの利用明細の確認、メールやSMSのURLを開かないことなどを呼びかけました。困ったときの相談先として、消費者ホットライン188を挙げています。

中身は、これまでの注意喚起と同じ一般的な助言です。ただ、編集部は情シスにとっての使い道が1つあると考えます。自社が漏えいを公表するとき、客への案内から国の注意喚起へつなげられる点です。自社で作る文面よりも中立に見え、相談先まで書いてあります。

個人情報保護委員会

ガイドライン（通則編）などの改正案の意見募集（10月29日〜11月27日）

個人情報保護委員会は、個人情報保護法のガイドライン（通則編）と、マイナンバーのガイドラインの改正案を示し、意見の募集を始めました。締め切りは11月27日です。安全管理措置の手法の例に、多要素認証、特権のアカウントの限定、記録（ログ）の保管などを加えます。中身は個人情報保護法のガイドライン改正案 多要素認証やログの保管を例示、施行は前倒しにまとめています。

委員会は、新しい決まりを設けるものではないと説明します。それでも、例示が増える意味は小さくないと編集部はみています。漏えいが起きたあと、自社の安全管理措置が十分だったかを説明するとき、ガイドラインに並ぶ例が比べる物差しになるからです。委員会は施行を前倒しする方針を示しましたが、日付はまだ示していません。多要素認証とログの保管は、今のうちに現状を一覧にしておけます。

JPCERT/CC・IPA（JVN）

PHPの脆弱性の注意喚起を更新（10月29日）

JPCERT/CCは、PHPの脆弱性（CVE-2026-109618、CVE-2026-109619）の注意喚起を更新しました。あるファイアウォール製品の特定の版で、侵害の成功を示す痕跡が報告されたこと（Dreamの報告）と、一部の製品のメーカーが攻撃の観測を受けて勧告を更新したことを加えています。Dreamはメーカーの名前と版を公表しておらず、JPCERT/CCも勧告を更新したメーカーの名前を挙げていません。参考情報には、影響を受けうる製品の一覧をまとめたオランダのNCSC-NLのリポジトリーも加わりました。

JPCERT/CCは、PHPを組み込んだ製品の管理者に向けて、自社の製品が影響を受けるか、その製品への攻撃や侵害の報告がないかを確認し、侵害の調査まで進めるよう求めています。10月22日の公開時は、PHPそのものの更新が中心でした。つまり今回の更新で、点検の対象は、社内のサーバーから、PHPで管理画面を動かす機器へ広がったと読めます。サーバーのPHPを上げ終えた会社も、ファイアウォールやNAS、複合機などの管理画面が、PHPを組み込んでいないかを確かめる段階です。各社の観測はCERT/CCがPHPの脆弱性2件を公開、認証なしの攻撃に備え更新をで追っています。修正版の公開の経緯は、TECHNOVAのPHPの「緊急」の脆弱性2件、修正版が公開にもあります。

Struts 2のRESTプラグイン、7.4.0に上げたあとも設定が要る（10月29日）

JVNは、Struts 2のRESTプラグインで、@JsonAnySetterを付けた所に、許可していない値が入るのを止める確認が行われない問題を公表しました（JVN#82782759）。対象は7.2.1〜7.3.0で、@StrutsParameterを有効にしているときだけです。7.4.0以降に上げたうえで、追加の設定と、any-setterへのアノテーションの付与を求めています。

2.5系と6系は対象外です。注意したいのは、7.4.0に上げるだけでは、この確認が働かない点です。10月のS2-075〜078のために7.4.0へ上げる作業を委託先と進めている会社は、作業の範囲に設定の追加が入っているかを聞いておきます。経緯はApache Strutsの脆弱性4件（S2-075〜078）、修正版は7.4.0と6.12.0に書き足しました。同じ日の更新を確認する22件を図解でも、上げたあとに手間が残る製品として取り上げています。

影響する会社ごとの急ぎ度と、今週やること

条件で急ぎ度が分かれるのはPHPの件だけです。Strutsの件は、Struts 7を使うシステムがある会社だけが対象です。

最初の2行のどちらに当たるかは、機器のメーカーの勧告を開かないと分かりません。今日のうちに、攻撃の観測を理由に更新されていないかを1社ずつ見ておきます。特設サイトの窓口は、事故の前に入れておけば足りるので、今週で間に合います。

2026年10月31日 訂正：書き出しの「10月に8つの機関が出した注意喚起」を、特設サイトの一覧に合わせて「事業者向けが9機関、個人向けが消費者庁と警察庁」に直しました。題の「ほか5件」は「ほか3件」に直し、相談窓口に首相官邸のサイトの案内を足しました。