Ivanti Connect Secureでゼロデイ3件を連鎖した攻撃、修正済みは2件のみ
Volexityによると、攻撃者はIvanti Connect Secureのゼロデイ脆弱性3件を連鎖させ、ログインせずにroot権限でコマンドを実行していました。Ivantiは2件の修正を公開し、該当バージョンの利用者に「直ちに対応する」よう求めています。残る1件はまだ修正されていないため、パッチを当てたあとも次の修正の公開を追う必要があります。
セキュリティ・脆弱性の最新ニュース（2026-10-14）
Ivanti Connect Secure（ICS）でゼロデイ脆弱性3件が連鎖して悪用されました。修正済みは2件で、残る1件はまだ修正されていません。同じ日にMicrosoftの月例更新が過去最多の1,400件超となり、GitLabやSAPではCVSS 10の脆弱性が公表されました。Docker Hubとnpmでは他人になりすましてイメージやパッケージを公開できる問題が見つかり、国内では自治体も使う一斉同報サービスの侵害や数百万件規模の漏えいが続きました。
Microsoftが10月の月例更新を公開、過去最多の1,411件を修正しゼロデイ3件を含む
2026年10月のPatch Tuesdayで、Microsoftは1,411件の脆弱性を修正しました。悪用が確認されたゼロデイが1件、事前に公開されていたゼロデイが2件含まれます（集計はSANS ISCだと1,417件）。Windows 11向けにはKB5127648とKB5126653、Windows 10の拡張セキュリティ更新（ESU）向けにはKB5126657が出ており、件数が多いぶん検証と適用の計画を早めに立てる必要があります。
GitLab CE/EEにCVSS 10.0の脆弱性、認証なしでサーバ上のコード実行のおそれ
GitLabは、Community Edition（CE）とEnterprise Edition（EE）にある最大深刻度の脆弱性を修正しました。特定の条件下では、認証されていないユーザーがCI/CDに関わる細工した正規表現を使い、GitLabサーバ上で任意のコードを実行できた可能性があります。GitLabを自社で運用している組織は、修正版が出ているか確認してください。
自治体も使う防災情報配信サービス「SpeeCAN RAIDEN」に不正アクセス、2サービスを緊急停止
アルカディアは、一斉同報サービス「SpeeCAN RAIDEN」が不正アクセスを受け、個人情報が漏えいした可能性があると公表しました。10月11日に不審な挙動を確認し、13日11時から侵入経路となった2サービスを止めています。対象はraiden3.ktaiwork.jpを使うSpeeCAN RAIDENと、s2.ktaiwork.jpを使うライデン・スクールで、復旧日時は決まっていません。岡山市など導入自治体にも連絡が届いており、利用している組織は同社からの続報を確認する必要があります。
Ghostscriptに深刻なヒープバッファオーバーフロー（CVE-2026-39919）、細工されたPDFでリモートコード実行のおそれ
PDFやPostScriptを処理するGhostscriptで、深刻なヒープバッファオーバーフローの脆弱性CVE-2026-39919が見つかりました。細工されたPDFを処理させると、リモートからコードを実行される可能性があります。Security NEXTによると、詳細が公開された複数の脆弱性は2026年9月のアップデートで修正済みです。アップロードされたPDFのサムネイル作成や変換を裏側でGhostscriptに任せているサーバは、影響を受けるか確認してください。
SAP Cloud SDK for PythonにCVSS 10の脆弱性、OAuth2クライアント認証情報が外部に送られるおそれ
SAPは10月のセキュリティ更新で20件の脆弱性に対処しました。最も深刻なのはCloud SDK for Pythonの問題で、アプリケーションのOAuth2クライアント認証情報が攻撃者のサーバに送られる可能性があります。対象はこのSDKを使うSAP Business Technology Platform（BTP）上のマルチテナントアプリで、悪用には攻撃者がテナントのサブドメインを制御できることが条件です。
Docker Hubに約2年間残っていた脆弱性（CVE-2026-105445）、他人としてイメージのpush・削除が可能だった
Docker Hubで、個人アカウントを組織に変換する機能に不備がありました。これを突くと、パーソナルアクセストークン（PAT）を使って別のユーザーのリポジトリでイメージをpush・pull・削除できました。Dockerは9月30日に修正済みで、悪用の証拠は見つかっていないと説明しています。Docker Hubのイメージを本番で使っている場合、公開元を信頼する前提そのものが揺らいだ事例です。
npmのtrusted publishingに不備、1,500以上のパッケージが乗っ取り可能な状態に
研究者が、npmのtrusted publishingの設定を悪用すれば、認証情報を盗まなくても他人のパッケージの新バージョンを公開できることを示しました。影響を受ける状態だったパッケージは1,500件を超えます。GitHubは対策として、作成から48時間たっても一度も公開に成功していない設定を失効させる方式に変えました。trusted publishingを設定しただけで使っていないパッケージの管理者は、設定の状態を確認してください。
AnyDeskの深刻な脆弱性、6月の更新で修正済みだが実証コードが公開
リモートデスクトップソフト「AnyDesk」で深刻な脆弱性が明らかになりました。修正は6月の更新に含まれていましたが、当初の公開情報では触れられていませんでした。すでに実証コードが公開されているため、6月より前のバージョンを使い続けている端末がないか確認が必要です。
Google Chromeのセキュリティ更新、クリティカルを含む脆弱性37件を修正
Googleは、Chromeのセキュリティアップデートで37件の脆弱性を修正しました。深刻度「クリティカル」のものも含まれます。企業で自動更新を止めて配布を管理している場合は、配布を急いでください。
ブックオフグループホールディングスの子会社に不正アクセス、最大約643万件の会員データが漏えい
ブックオフグループホールディングスの子会社が不正アクセスを受け、最大で約643万件の会員データが漏えいしました。国内の小売サービスとしては大規模な漏えいです。会員本人は、同社を名乗る連絡や、漏えいしたデータを使ったフィッシングに注意してください。
第一興商の委託先・日本コロムビアグループでマルウェア感染、約8,724,000件の情報漏えいのおそれ
第一興商の委託先である日本コロムビアグループで、マルウェア感染が起きました。約8,724,000件の情報について、漏えいしたおそれを否定できないとしています。委託先の侵害が発注元の大量データに及んだ例で、委託先のセキュリティ管理を見直すきっかけになります。
