無料相談
メニュー
IT NEWS / 2026-10-29

ITニュース：2026年10月29日

ソニー生命の約38.5万件、花キューピットの最大423万件など国内で不正アクセス・情報漏えいの発表が相次ぎ、ANAでも委託先経由で予約情報が参照された形跡が判明しました。脆弱性ではPHPの「PHP2Shell」が実際の侵害に使われた痕跡が報告され、Sophos UTMやCisco ASA/FTDなど境界装置の修正も急務となっています。

本日の主なトピック
  • 国内で不正アクセス・情報漏えいが続発：ソニー生命、花キューピット、グッドスマイルカンパニー、松屋、経産省のデントリネットなどで被害や停止が発表されました。
  • ANAも委託先Amadeus経由で予約情報に不正アクセス：前日のJALに続き、同じシステム提供元を経由した不正アクセスの形跡をANAが公表しました。
  • PHP2Shellの注意喚起が更新、実際の侵害痕跡も：JPCERT/CCは、ファイアウォール製品の侵害にPHPの脆弱性が悪用された痕跡が報告されたとして注意喚起を更新しました。
  • 境界装置・基盤ソフトの脆弱性が相次ぐ：Sophos UTMの深刻なRCE、悪用確認済みのCisco ASA/FTDのDoS、米CISAのKEV追加(LinuxカーネルとVMware ESX)が報じられました。
  • 生成AIアシスタント「Alexa+」が日本上陸：Amazonが早期アクセスを開始し、期間中は無料、終了後は月額3,000円(プライム会員は無料)の予定です。

1. セキュリティ・不正アクセス

ソニー生命に不正アクセス、個人情報約38.5万件が漏えい

ソニー生命の契約者向けサイトが不正アクセスを受け、同社が代理店として扱ったメディケア生命の契約者・被保険者の氏名、住所、契約内容など約38.5万件が漏えいしました。マイナンバーやカード情報は対象外で、同社は外部からのアクセスを遮断し、原因と範囲を調査中です。

出典：ITmedia NEWS

ANAの予約情報に不正アクセス、JALと同じ委託先経由

ANAは、旅客サービスシステムを提供するスペインのAmadeusからの報告で、一部顧客の個人情報を第三者が参照した形跡があると発表しました。人数や項目は未公表で、10月28日にはJALなども同じ委託先経由の不正アクセスを公表しています。

出典：ITmedia NEWS

花キューピットの会員情報が最大423万件漏えい

10月14〜15日の不正アクセスで、ECサイトと法人向けサービスの会員のユーザーID、ハッシュ化されたパスワード、メールアドレスが最大423万8242件漏えいしました。同社は利用者にパスワード変更とフィッシングメールへの注意を呼びかけています。

出典：ITmedia NEWS

グッドスマイルカンパニー、カード番号全16桁とセキュリティコードが流出か

直販サイトの脆弱性を突かれて管理者権限を奪われ、決済ページに不正プログラムが設置されました。顧客2800人分はカード番号全桁とセキュリティコードなど、下4桁と有効期限は40万枚超が流出した可能性があり、当初の「下4桁のみ」という説明から拡大しました。

出典：ITmedia NEWS

松屋の公式アプリ・Webサイトが不正アクセス検知で停止

松屋フーズは外部からの不正アクセスを検知し、公式アプリやWebサイトを停止しました。モバイルオーダーや弁当予約、宅配も使えなくなっており、原因と影響範囲を調査しています。

出典：ITmedia NEWS

経産省の電力・ガス事業者向け報告サイト「デントリネット」が停止

電力・ガス取引監視等委員会は、事業者が販売量などを提出する定期報告サイトが27日未明に不正アクセスを受け、システムを停止したと発表しました。情報流出の有無は確認中で、復旧までは電子メールで報告を受け付けます。

出典：ITmedia NEWS

PayPay連携銀行からの不正送金、入り口は公式外の不正アプリ

PayPayによると、マルウェア感染端末からの不正送金は8月ごろから増えており、公式ストア以外から入れた不正アプリで端末が遠隔操作されることが原因です。同社は公式ストア以外からのインストールを避け、遠隔操作につながる権限を許可せず、利用上限を設定するよう勧めています。

出典：ITmedia NEWS

PHP「PHP2Shell」の注意喚起を更新、ファイアウォール侵害の痕跡も

JPCERT/CCは、PHPの脆弱性(CVE-2026-109618、CVE-2026-109619)の注意喚起を更新し、Linuxカーネルの権限昇格と組み合わせてファイアウォール製品が侵害された痕跡が報告されたと追記しました。一方CrowdStrikeは、幅広い環境で動く汎用的な攻撃コードは当面作りにくいと分析しています。修正版はPHP 8.5.12/8.4.27/8.3.36/8.2.35です。

出典：JPCERT/CC、Security NEXT
当社コラム：PHP2Shellとは？中小企業がやるべきこと

Sophos UTMに深刻なRCE、Cisco ASA/FTDのDoSは悪用確認

サポート終了済みのSophos UTMで認証なしにroot権限でコマンドを実行できる脆弱性(CVSSv4.0 9.2)が見つかり、パッチは手動適用が必要です。Cisco ASA/FTDのSSL VPN機能のDoS脆弱性(CVE-2026-76418)は悪用が確認されており、更新が呼びかけられています。

出典：Security NEXT、Security NEXT

米CISA、LinuxカーネルとVMware ESXの脆弱性を悪用確認リストに追加

CISAはKEVカタログにLinuxカーネル(CVE-2026-46300)とVMware ESX(CVE-2026-41709)の脆弱性を追加しました。Linuxカーネルの件では侵害有無の調査も求められ、PHP2Shellと組み合わせた攻撃が懸念されています。

出典：Security NEXT
当社コラム：PHP2Shellとは？中小企業がやるべきこと

2. 生成AI・DX

生成AIで刷新したAmazon「Alexa+」が日本で早期アクセス開始

ウェイクワードなしの自然な会話やスマートホーム操作、メール送信などに対応し、現行Echo、Fire TV、ブラウザで使えます。早期アクセス中は無料で、終了後は月額3,000円の予定ですが、プライム会員は無料で利用できます。

出典：Impress Watch

オラクル、社員がAIで業務アプリを作れる「Oracle App Composer」を発表

チャットで指示するとOpenAIのCodexがコードを生成し、セキュリティチェックを経てOracle Cloudにデプロイ、URLで社内共有できます。情報部門が利用状況や類似アプリを管理し、使われないアプリを廃止できる仕組みも備え、2027年春に登場予定です。

出典：Publickey

OpenAIとAnthropicがLLM料金を値下げした理由

GPT-5.6 Lunaの80%値下げやClaude Opus 5.5の値下げなどを取り上げ、モデルの乗り換えやすさ、オープンウェイトモデルとの競争、推論の効率化が背景にあるとする分析を紹介しています。

出典：GIGAZINE

3. 製品・ハードウェア

Apple、初のタッチ対応「MacBook Pro」を発表

タンデムOLEDの「PROLED XDRディスプレイ」とM5 Pro/M5 Maxを搭載した14・16インチモデルで、Macで初めてタッチ操作に対応しました。国内価格は49万9800円からで、10月29日に予約を開始し、11月6日に発売します。

出典：ITmedia NEWS、ASCII.jp

中小企業が今日やるべきこと（株式会社情報システム室の視点）

  • PHPを使うWebサイトや社内システムがあれば、制作会社・ホスティング業者にPHPのバージョンを確認し、8.5.12/8.4.27/8.3.36/8.2.35以降への更新(できない場合は緩和策)を依頼する。
  • Sophos UTMやCisco ASA/FTDなどのファイアウォール・VPN機器を使っていれば、保守業者に該当有無とアップデート適用状況を確認する。サポート切れ機器は更新計画を立てる。
  • 情報漏えいを公表したサービス(花キューピット等)を使っている社員には、同じパスワードを使い回しているサービスも含めて変更させ、関連を装うフィッシングメールに注意を促す。
  • 社用スマートフォンでは公式ストア以外からのアプリ導入を禁止し、決済アプリには送金・チャージの利用上限を設定する。
  • 自社サイトや委託先のシステムが停止・漏えいした場合に備え、顧客への連絡手順と代替の受付手段(電話・メール等)を確認しておく。

情報ソース

掲載している要約は、各報道機関・公的機関の記事をもとに株式会社情報システム室が独自にまとめたものです。正確な情報・詳細は、必ず出典元の記事をご確認ください。各記事の著作権は、それぞれの配信元に帰属します。

ITニュース一覧へセキュリティ対策について相談する

最終更新日：

まだ疑問が残っていたら、直接ご相談ください。

「何から相談していいか分からない」状態でも問題ありません。IT環境の簡易診断・概算のお見積りは無料です。

お問い合わせフォーム（24時間受付）050-7119-3988（平日）