この期間には、PHP2Shell脆弱性の公表、LiteLLMを標的としたソフトウェアサプライチェーン攻撃、そしてeMudhraが運用する中間認証局の鍵が侵害されるといった事案が発生した。また、Node.jsに関するセキュリティアップデートも行われ、Brotli展開処理の実装における悪用可能な欠陥を含む、複数の脆弱性が修正された。さらに、GitLabの深刻な脆弱性も修正され、その詳細が公開された。
主なインシデント
eMudhra認証局の侵害
2026年10月17日、公開鍵基盤の認証局であるインドのeMudhraが運用する8つの中間認証局（CA）証明書に用いられる秘密鍵が、暗号学的に極めて脆弱であることがセキュリティ研究者により報告された。これらの鍵は、2025年4月に鍵生成が行われた際に十分な乱数を用いずに生成されており、公開鍵から秘密鍵を容易に復元することが可能となっていた。eMudhraは各ブラウザやOSなどに広く信頼された認証局であったため、クイアントから信頼されてしまう不正な証明書を誰も作成できる状態にあった。(事実、この報告は当該CAの秘密鍵で署名されてた。)
この発見を受け、主要なブラウザベンダー各社は緊急対応に乗り出した。Google Chromeは「CRLSet」メカニズムを通じて影響を受ける公開鍵をブロックし、MozillaはOneCRLを通じてFirefoxユーザーに失効情報を配布した。これらの保護措置は、ブラウザの即時再起動を要することなく適用された。
eMudhraは、影響を受けた中間認証局からエンドエンティティ証明書が発行された事実は見つかっておらず、同社のインフラストラクチャや顧客データが侵害された証拠も見つかっていないなどと述べている。
10月22日、eMudhraは、今回のインシデントと、それに伴う大手テクノロジー企業からの信頼喪失を受けて、グローバルSSL/TLS証明書事業から撤退すると発表した。
PHP2Shell脆弱性
2026年10月21日、PHP開発チームは、PHP2Shellと総称される2つの重大な脆弱性（CVE-2026-109618およびCVE-2026-109619）に対処する緊急セキュリティアップデートをリリースした。これらの脆弱性はPHPのコアインタープリタに影響を及ぼすものであり、認証されていない攻撃者が、脆弱なWebサーバー上で任意のコードを実行できる可能性がある。
Wizの研究者らは、PHPにおけるメモリ管理の不備（解放済みメモリの再利用や、リクエスト間における無効な内部状態の残存など）に起因する脆弱性を報告した。研究者らは、WordPress、Drupal、Joomlaのインストール環境に対して、リモートコード実行（RCE）が可能であること、および機密性の高いプロセス上のメモリ内容が漏洩し得ることを実証した。
この調査では、AIを活用した脆弱性の発見およびエクスプロイトの開発が行われた。PHPは広く普及しているため、ウェブサイトやウェブアプリケーションが危険にさらされる可能性が懸念されている。
PHPプロジェクトは10月21日、修正を適用したバージョン8.2.35、8.3.36、8.4.27、および8.5.12をリリースした。アメリカ国家安全保障局（NSA）も、影響を受けるシステムに対して緊急のパッチ適用を推奨する勧告を出した。
LiteLLMのサプライチェーン攻撃
2026年10月21日、複数の大規模言語モデル（LLM）プロバイダーにアクセスするためのオープンソースのゲートウェイであるLiteLLMのリリースインフラが、ソフトウェア・サプライチェーン攻撃によって侵害された。攻撃者は、悪意のあるバージョン1.107.0をPython Package Index（PyPI）に公開し、侵害されたコンテナイメージをDockerレジストリを通じて配布した。
この悪意のあるリリースには、認証情報を窃取するソフトウェアと、リモートアクセス機能が含まれていた。調査担当者によると、このマルウェアは、ブラウザに保存された認証情報、クラウドサービスのシークレット、開発者用認証トークン、およびAIサービスで使用されるAPIキーを標的にしていたという。
LiteLLMのインシデントレポートによると、侵害されたPyPIパッケージは、2026年10月21日の11:39から13:23（UTC）の間に利用可能な状態となっていた。影響を受けたDocker Hubイメージは、同日の11:46から14:20（UTC）頃にかけて配布されていた。侵害されたパッケージは、その後削除または置き換えられた。
その後の調査により、攻撃者が開発者の認証情報を入手し、プロジェクトのリリースワークフローを操作して悪意のある成果物を公開していたことが判明した。LiteLLMは、影響を受けたユーザーに対し、侵害された環境を再構築し、漏洩した可能性がある認証情報をローテーションするよう推奨した。
GitLabのリモートコード実行
2026年10月21日、GitLab Inc.は、特定の条件下において、攻撃者がセルフマネージドのGitLabインスタンス上でリモートコード実行を行えるようになる脆弱性に対する修正をリリースした。 GitLabは、具体的にどの条件で可能になるのかについては明言していない。
BrotliのHTTP2Shell脆弱性
2026年10月26日、Googleが開発した汎用データ圧縮アルゴリズムBrotliのC言語実装において、リモートから認証なしで悪用可能な極めて深刻な脆弱性（CVE-2026-111497、通称HTTP2Shellなど）が確認された。この問題は圧縮データを復元するデコーダー処理の境界外書き込みに起因しており、攻撃者が細工した圧縮データを処理させることで、プロセスメモリの破壊や情報漏洩、DDos攻撃、さらには任意コードの実行に至る危険性がある。Webトラフィックの高速化に不可欠な基盤技術であるため、影響範囲は単体のライブラリにとどまらず、Brotliを内部で利用するNode.js、Bun、.NET、Pythonなどの各種ランタイムやWebサーバー群にまで広範に及んでいる。
LinuxカーネルのTCP接続のハンドシェイク処理に起因する脆弱性
2026年11月2日、LinuxカーネルのIPv4ネットワークスタックにおいて、TCP接続のハンドシェイク処理に起因する深刻な脆弱性（CVE-2026-98432）が報告された。これはTCP接続要求の再送処理やソケットの移行処理が並行して実行される際の競合状態により、解放済みメモリへのアクセス（Use After Free）が発生するというものである。外部に公開されたポート宛てに細工したパケットを送信することで、事前の認証なしにリモートからカーネルパニックを誘発できるほか、特定条件下ではカーネル空間内での任意コード実行に至る危険性が示されている。影響範囲はLinuxカーネル 4.4以降の幅広いバージョンに及び、多くのディストリビューションで重大なセキュリティ脅威と位置づけられている。特に研究報告では、MPTCP（Multipath TCP）を待ち受ける環境等において細工を重ねることでroot権限の奪取が可能である実証例が示されている。
日本での個人情報流出
日本では、個人情報の流出が相次いだ。日本政府はサイバー対応特設サイトを開設した。
関連項目
永遠の9月