AI Infrastructure Trinity
更新版：2026年11月9日 第26版の統合報告を読む。このページ内の個別脆弱性レポートは過去時点の資料を含みます。現在の対処は統合版と提供元の最新情報で確認してください。
SECURITY / JAPAN

国内動向
基盤言語・GMO事案・生活者

同じ「PHPの脆弱性」でも、Garoonは当事者、kintoneとCGI製品は非該当。基盤言語で当たり方が変わります。2026.10.26

総覧言語ランタイム基盤・開発基盤供給網国内動向法規制・支援高深刻度CVE一覧（10/31）

国内で今月起きたことは、「基盤言語の緊急修正が、自社コードを触らないまま当日やってくる」という一点に集約されます。クラウド版GaroonはPHP修正版の公開前後に緊急メンテを実施し、kintoneはJava、サイボウズ Officeとdesknet's NEOはCGI——当たるパッチの系統が違うのです。並行して、GMO「お名前.com デスクトップクラウド」では70超の証券・FX口座が不正操作されました。

1. 国内グループウェア ― 基盤言語で当たり方が変わる確認済み

製品基盤言語php2shell 該当根拠
サイボウズ GaroonPHP（パッケージ版・クラウド版とも）該当。クラウド版は10/21〜22の緊急メンテで対応。パッケージ版は利用者側で基盤PHPの更新が必要公式ヘルプに「PHPのエラー（PHP0009x）」専用ページ。KBに php.ini 関連の不具合情報
サイボウズ kintoneJava（Kotlin／Spring Boot／Go、基盤はKubernetes）非該当（PHPを用いない）。ただしJava基盤のCVEは追跡対象公式エンジニアブログ・採用情報
サイボウズ OfficePerl（CGI方式）非該当（PHPを用いない）公式FAQがCGI実行ファイル（ag.exe）の設定を案内
desknet's NEO ほかCGI方式（公式に言語の明示なし）非該当 — 同社が10/22に「標準製品はPHP不使用」と公表ネオジャパン公式リリース（2026-10-22）
クラウド版Garoonの緊急メンテ（推定を含む）

10/21 21:00に開始、10/21 22:40頃にPHP修正版が公開、10/22 3:01に完了・再開。公式は理由を「セキュリティ上の予防的な措置」としか述べていませんが、基盤がPHPであることとIPA予告後・修正版公開前後の時間帯から、php2shell修正パッチの予防適用とみられます（これは分析上の推定で、公式が明示したものではありません）。公式は本件に起因する不正アクセス・情報漏えいは確認されていないと明言しています。

AIfrontierの見解 ここから持ち帰るべきは「自社アプリを書いた言語」ではなく「その製品が動くランタイムの言語」でパッチを分類するという原則です。SaaSでも基盤言語の緊急修正は、利用者から見えない形で当日発生しうる。重要業務のSaaS利用計画には、緊急メンテの時間帯リスクを織り込む余地があります。

2. CGI方式の歴史（サイボウズ Office／desknet's NEO）確認済み

CGIは言語ではなく「リクエストごとに外部プログラムを起動し、環境変数で情報を渡す実行方式」で、実行方式そのものが被弾経路になった事故が繰り返されています。

事例（年）内容
Shellshock（2014）CGIがHTTPヘッダを環境変数経由でbashへ渡す構成で、ヘッダ注入によりRCE（CVE-2014-6271／7169）。Webサーバー上のCGIが最大の被弾経路
HTTPoxy（2016）Proxy: ヘッダがCGI環境変数 HTTP_PROXY として混入し、アプリの送出リクエストが中間者攻撃に晒される。サイボウズも公式注意喚起
PHP-CGIモードのRCE（2024）Windows環境のPHP-CGI実行で引数注入による任意コード実行（php2shellとは別系統）

個別製品の脆弱性（XSS・パストラバーサル等）は言語を選ばない実装バグですが、Shellshock・HTTPoxy・php2shellは「ランタイム／実行方式を共有する全アプリが一斉に当事者になる」型です。CGIの時代にも同じ構図が起きていました。

3. GMO「お名前.com デスクトップクラウド」事案確認済み

日付経緯（同社公式発表 10/24 11:50時点）
10/19利用者の問い合わせを受け調査開始
10/20不正なプログラムの設置を確認。新規申込とコントロールパネルを停止
10/21 4:00被害拡大防止のため全プランのサーバーを順次停止（第1報）。以降、利用者から取引口座の身に覚えのない操作の報告
10/22警察に相談
10/24補償方針を公表し、政府へ「能動的サイバー防御」の適用を緊急要請

同社が不正アクセスと顧客情報の外部持ち出しを確認。サービス上のWindowsデスクトップ経由で、国内外70超の証券会社・FX会社の顧客取引口座が不正操作されました。侵入経路・脆弱性の詳細は未公表。攻撃者とみられる者から金銭を要求され、拒否すれば情報公開・ランサムウェア・口座不正操作の継続をすると脅迫されています（同社は応じないと表明）。

補償（自主対応）内容
お見舞金全利用者へ一律5,000円
代替サービス乗換えを6か月無償
実損補償不正取引による実現損失（差損・手数料）。市場変動損・逸失利益・間接損害は対象外、取引所等からの返金分は差し引き
攻撃者側の主張は未確認です：個人サイト等に転載された文面は、①ADで一元管理されたVPS群に単一の高権限サービスアカウント、②RDPのドライブリダイレクトが2019年以降既定で有効、③返答期限10/24 12:00——というもの。GMO公式は認めておらず真偽は未確認ですが、「全台に効く単一の管理アカウント」と「RDPドライブリダイレクトの既定有効」はDaaS/VDIで侵害が横展開する典型要因です。自組織の点検観点として有用（管理アカウントの分割・Tiering、ドライブ／クリップボード転送の既定無効化）。

AIfrontierの見解 教訓は3つ。①クラウド上の業務端末は、侵害されると端末で使う全外部サービスの認証情報とセッションが渡る。②事後費用は「お見舞金＋無償化＋実損補償＋調査・再構築」と多層になる（約款の免責があっても自主補償を迫られる）。③利用者側はパスワード変更・全セッション切断・多要素認証が必須。

4. JPCERT/CC の5類型 ― 国内で相次ぐ不正アクセス確認済み

10月8日公開・10月23日更新の注意喚起（JPCERT-AT-2026-0030）。一般向けアプリだけでなく、BIツールや従業員向け管理システムなど「不特定多数のアクセスを想定していないシステム」も被害に遭っています。

類型手口
ケースA既知脆弱性の探索・悪用。環境設定ファイルやバックアップファイルの窃取など管理不備も悪用
ケースBAPI経由の不正操作。公開スマホアプリを解析してエンドポイント・キーを特定し、内部APIで権限変更・不正アカウント作成。NoSQLインジェクションも
ケースCMetabase のSQLインジェクション（CVE-2026-72898）をAPI経由で悪用
ケースDWebシェル設置。WARファイルを置いてJSPの簡易Webシェルを実行
ケースE（10/23追加）AIペネトレーションテスト基盤の悪用。Cairn・CyberStrikeAI・ARTEX などを用いた脆弱性探索・悪用。公開Webアプリやインターネット公開のWSUSサーバーが標的

推奨対策は、APIのレート制限（ログイン・パスワードリセット・SMS送信・検索を個別に）、非公開APIを含む全エンドポイントのアクセス制御、トークンの最小権限・有効期限・即時失効、アクセス元の地域制限、不要な管理機能の公開停止、保存期間を過ぎたデータの削除。不審な送信元IP・User-Agent・TLSフィンガープリント（JA3/JA4）が公開されているので、自組織のログと突合してください。

ケースEは、当サイトがARTEX（韓国金融）で追ってきた「攻撃コストの低下」と直結します。AIのペネトレーションツールが、防御側の想定より先に実運用に入っている証拠です。

5. Tailscale SSH「Tailworm」― 未修正・CVE未採番第三者検証

研究者 Erica Windisch氏（Cyberdione Labs）が10月25日に公開。Tailscale 1.104.2 と headscale 0.29.5 を実験室で3日間検証し、SSHでポート転送が許可されている場合、ネットワーク内の1台が侵害されると、アクセスルールが許可する他のサーバーでrootを取れる可能性があるとしています。通常のSSH認証情報は不要——Tailscaleは「デバイス識別＋アクセスルール」で接続を許可するため、最初の1台から水平展開できます。

項目内容
現状10/25時点でCVE未採番・公告なし・修正版なし。TailscaleのVP Engineeringは「全員にTailscale SSHを無効化せよ」とは推奨していない
留意単独研究者の報告で第三者による再現は未実施。「wormable」という表現には異論もある
緩和策①アクセスルールを1対1のペアに限定 ②ポート転送を無効化（headscale 0.29.5では無効化できず、SSH許可は実質root付与） ③不要なapp connector権限・tailscale serve 転送を削除 ④node keyの有効期限を有効化 ⑤侵害疑いはコントロールプレーンで削除（コピー済み鍵は失効しない） ⑥SSH check mode・自動更新・Tailnet Lock

6. 生活者向け ― 職場で配る「3行版」AIfrontierの見解

① ルーターは「初期パスワード変更・最新化・古い機種は買替え」。
② 「補償します」「再認証して」「投票して」のリンクは開かない — 公式アプリ・公式サイトを自分で開く。
③ 認証番号・アカウントは誰にも渡さない／売らない。送金を頼まれたら電話で本人確認。

背景には家庭用ルーターの乗っ取り（レジデンシャルプロキシ化）があります。警察庁・NICT・総務省が注意喚起を出しており、乗っ取られた機器が攻撃の踏み台にされます。加えて、タイムズカーの運転免許証等画像 約146万件の外部送信（見舞金3,000円相当）、HISタイ法人からのパスポート情報 最大627名分の流出可能性、PayPay・LINEの乗っ取り／詐欺が続いています。

本人確認書類が漏れた場合の自衛策は、本人申告制度（JICC等）の利用、新規与信時の本人確認の厳格化の申入れ、信用情報の定期開示請求、同一メール・パスワードの使い回し停止とMFA。被害に気づいたら #9110（警察相談専用電話）／188（消費生活センター）へ。

関連：法規制・支援 ／ ARTEX が韓国の銀行を襲った ／ AI事故・漏洩・ハッキング 特設 ／ PHP の詳細

出典

  • サイボウズ「【対応完了】『クラウド版 Garoon』緊急メンテナンスのお知らせ」（2026-10-21公開／10-22更新） https://cs.cybozu.co.jp/2026/013781.html
  • ネオジャパン「PHPの脆弱性に関する標準製品への影響について」（2026-10-22） https://www.neo.co.jp/news/20261022/
  • サイボウズ パッケージ版 Garoon 5 ヘルプ「PHPのエラー」 https://jp.cybozu.help/g5/ja/error/php.html
  • desknet’s NEO サーバー動作環境（CGI対応Webサーバー） https://www.desknets.com/neo/requirement/server.html
  • CISA Advisory「Shellshock」（2014-09-25） https://www.cisa.gov/news-events/alerts/2014/09/25/gnu-bourne-again-shell-bash-shellshock-vulnerability-cve-2014-6271-cve-2014-7169-cve-2014-7186-cve
  • JPCERT/CC「CGI等を利用するWebサーバの脆弱性（HTTPoxy）への注意喚起」 https://www.jpcert.or.jp/at/2016/at160031.html
  • GMOインターネットグループ「お客様へのお見舞金のお支払いと不正取引による損失の補償について」（2026-10-24） https://group.gmo/info/alert/20261024/
  • 日本経済新聞「能動的サイバー防御、GMOが政府に要請」（2026-10-24） https://www.nikkei.com/article/DGXZQOUA2425P0U6A021C2000000/
  • JPCERT/CC JPCERT-AT-2026-0030「直近で相次いでいる国内組織における不正アクセスに関する注意喚起」（10/8公開・10/23更新） https://www.jpcert.or.jp/at/2026/at260030.html
  • Tailworm — Tailscale Vulnerabilities（Erica Windisch、2026-10-25） https://tailworm.com/
  • The Hacker News「Unpatched Tailscale SSH Flaws Could Let a Hacked Device Take Over a Network」（2026-10） https://thehackernews.com/2026/10/unpatched-tailscale-ssh-flaws-could-let.html
  • 警察庁「情報流出に関する注意喚起」（2026-10-16） https://www.npa.go.jp/bureau/cyber/koho/caution/caution20261000.html
  • 警視庁「家庭用ルーターの不正利用に関する注意喚起」 https://www.keishicho.metro.tokyo.lg.jp/kurashi/cyber/notes/router.html
  • NICT「レジデンシャルプロキシに関するファクトシート」（2026-07-21） https://www.nict.go.jp/press/2026/07/21-1.html
  • パーク24「タイムズカーWebシステムへの不正アクセス」第5報（2026-10-23） https://share.timescar.jp/news/2026/1023/1825.html
  • エイチ・アイ・エス「子会社ファイルサーバへの不正アクセスによる個人情報流出の可能性」（2026-10-07） https://www.his.co.jp/assets/20261007.pdf
  • PayPay「アカウントの売買・譲渡を行わないでください」（2026-10-14） https://paypay.ne.jp/notice/20261014/s-01/
  • LINE ヘルプ「LINE乗っ取り・詐欺被害に遭わないために」（2026-10-02更新） https://help.line.me/line/smartphone/sp?contentId=20000293&lang=ja