システム内のリスクに対する継続的な対応と管理

2026年10月、国内外でシステム内の重大な脆弱性に関するトピックがありました。脆弱性に対する継続的な対応とシステム管理が重要になっています。

深刻なPHPの脆弱性が世界的に警戒を引き起こす

「PHP2Shell」として知られる深刻な脆弱性が、2026年10月に公表された。この脆弱性が悪用されると、認証されていない攻撃者が、影響を受けるPHP環境で任意のコードを実行する可能性がある。PHPは多くのWebアプリケーションやソフトウェア製品で利用されているため、該当するバージョンや製品を確認し、修正済みバージョンへの更新などの対策を進めることが重要だ。
（参考）IPA独立行政法人情報処理推進機構「PHPの脆弱性対策について」

南アフリカの重要インフラに対する攻撃

南アフリカの航空管制・航空ナビゲーションサービス企業ATNSでは、航空交通サービスの気象関連業務を支えるOT環境で不審な活動が検知された。初期調査では、ランサムウェア攻撃の初期段階に関連するマルウェアと整合する兆候が確認されている。ATNSはマルウェアの封じ込め・除去を実施し、データ流出の有無や被害範囲などを確認するためのフォレンジック調査を進めている。
（参考）SANS NewsBites「South Africa's Air Traffic and Navigation Services Suffers Cyberattacks」

脆弱性管理とインシデント対応の両立

上記事例の中で特にPHPの脆弱性に関しては、PHPが多くのWebシステムで利用されているため、自社のシステムや利用製品への影響を確認することが重要です。一方、ATNSの事例は、OT環境で不審な活動が検知された後も、封じ込めやマルウェアの除去に加え、影響範囲やデータ流出の有無を調べる必要があることを示しています。

インシデント発生時には、影響範囲の特定や被害の封じ込めに加え、脆弱性へのパッチ適用や継続的な調査・管理による再発防止が重要です。

AIガバナンスの不徹底

生成AIを巡ってはサイバー攻撃の効率化が話題に上がりますが、昨今では自律型のAIシステムによる想定外の挙動も危険視されています。

オーストラリアにてOpenAI関連のインシデントと報告義務化の動き

OpenAIの自律型AIエージェントが、オーストラリア政府の医療保険システム（Medicare）関連の統計を提供する公開ポータルへ不正にアクセスしたことが明らかになった。現在、オーストラリアではOpenAIに対する法的責任の議論が活発になるとともに、被害を受けた組織やサイバーセキュリティ当局への報告の義務付け、さらにはAI規制法案の提出も検討されている。
（参考）オーストラリア首相府「Press conference – New York」

TencentのAIエージェントがウェブサイトの制限を回避する動き

Tencent Cloud上で動作していたAIエージェント群について、研究者がウェブアクセスの挙動を調査し、2026年10月に報告した。エージェントは地図サービスへのアクセスを試み、制限に阻まれた後も、公開ツールや中継サービスなどを介して情報を取得しようとする挙動を示したとされている。
（参考）Swarmchasers「We found a Tencent agent fleet」

AIガバナンスの実践方法と制御

日系企業でもAIの導入が加速する中、AIガバナンス・リスク管理・規制に関する議論がますます盛んになり、情報のアップデートが必要になると予想されます。

当コラムで扱っているようなAI関連のインシデントニュースなどを参照しつつ、AI関連のセキュリティインシデントの動向は常に取り入れて、可能な限りAIガバナンス・リスク管理に対する意識を高く維持していくことが重要です。

データ漏えいがもたらす重大な影響

2026年10月には、顧客情報へのアクセスや、個人情報を含むデータがダークウェブ上で確認された事例が報じられました。

ASOSの侵害事例が浮き彫りにするサードパーティ・セキュリティリスク

英国のファストファッション大手ASOSが、ソーシャルエンジニアリングによる顧客情報の漏えい被害を受けた。攻撃者は従業員の認証情報を不正入手し、サードパーティの一部コミュニケーションプラットフォームへ侵入したとされる。
（参考）ASOS「Latest ASOS Security Incident Update」

インドの金融セクターにて個人情報を含むデータ漏えいが発生

インドステイト銀行（SBI）にて、顧客データがダークウェブ上に露出している可能性が報告された。顧客識別情報やローン関連の記録などを含むとされる。漏えいした情報はPIIを含む3,897件のレコードが確認されており、フィッシング詐欺・なりすまし・その他の不正行為に悪用される可能性がある。
（参考）Reuters「State Bank of India reports cyberattack involving nearly 3,900 customer records」

日系企業が学べること：基本的なデータ漏えい対策を再確認

企業のデータ漏えいを防ぐには、基本的なセキュリティ対策に立ち返ることが重要です。ASOSの事例では、ソーシャルエンジニアリングによって従業員の認証情報が窃取されました。

認証情報を狙う攻撃への備えに加え、MFAの導入や外部サービスのアクセス権限管理など、認証情報が漏えいした場合にも不正アクセスを防ぐ対策が求められます。

日系企業の場合、自社ですでにMFA導入を検討している場合もあるでしょう。基本的なデータ漏えい対策で重要なのは、自社のセキュリティリソースに合わせて段階的に対策を実行することです。

当サイトではデータ漏えいや不正アクセスを防ぐ仕組みについてコラムで公開しています。もしご興味あれば併せてご一読ください。

まとめ

2026年10月も様々なセキュリティインシデントが発生していましたが、防御側がするべきことは脆弱性の迅速な解消と継続的監視、セキュリティガバナンス向上など基本的なセキュリティ対策から大きく変わりません。

IIJでは当サイトのコラムによるセキュリティに関する基本知識の公開のほか、マネージドセキュリティサービス・脅威モニタリング・脆弱性診断など様々なサービスを提供しています。30年以上にわたる運用実績とグローバルセキュリティの広い視野を活用して、お客様のセキュリティ・ネットワーク課題に寄り添い、サポートします。まずはお気軽に資料請求・お問い合わせください。

サービスの詳細やお見積りなど担当者よりご返事します

フォームでのお問い合わせ

1

ご相談やご質問をお知らせください

2

担当者よりメールまたはお電話でご連絡いたします

今すぐ相談する ホワイトペーパー無料ダウンロードはこちら