要点（3行）
- 10月1日から22日までに出た脆弱性を、拾えるだけ拾ったら61件になった。
- 大手の定例の更新は、13日と20日に多く出ていた。13日が Microsoft・SAP・Adobe、20日が Oracle・Atlassian・Chrome。
- PHP と GitLab には、ログインなしでサーバーを乗っ取られる穴が出ていた。
発表が多すぎる
10月に入ってから、脆弱性のニュースをやたらと見る。Microsoft の月例更新は直した件数が約1,400件で過去最多だったし、20日の Oracle の定例更新では Java だけで55件が直った。21日には PHP と GitLab に、ログインなしで乗っ取られる穴が見つかっている。JVN や JPCERT/CC の一覧も毎日のように増えている。
それで、発表された日の新しい順に並べてみた。日付はそれぞれの出どころに載った日で、メーカーが発表した日とずれていることがある。22日時点でネットに出ていた記事を集めただけなので、信憑性は知らん。分からなかった欄は空けてある。表の深刻度は CVSS の点数で、10.0 が一番重い。
一覧（新しい順）
| 日付 | プロダクト | 何が起きるか | 対象の版 | 修正版・やること | 出どころ |
|---|---|---|---|---|---|
| 10月22日 | Fortinet FortiOS / FortiManager / FortiAnalyzer | 重大な穴をまとめて直す臨時の更新。中身は11月10日に公表される | FortiOS は 8.0.2 / 7.6.8 / 7.4.13 / 7.2.14 | Fortinet | |
| 10月22日 | ISC BIND（DNS サーバー） | 穴が複数 | ISC の告知の版 | JVN | |
| 10月22日 | LINE の LIFF SDK | ページに細工したスクリプトを埋め込まれる | JVN | ||
| 10月21日 | PHP（Web サーバーで動くプログラム言語） | ログインなしで外からサーバー上のプログラムを動かされる（CVE-2026-109618 / 109619） | 5.4 以降すべて | 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35 に上げて、PHP を再起動する。8.1 以前は公式の更新版が出ない | PHP（21日）、IPA・JVN（22日） |
| 10月21日 | GitLab（自社に置いたもの） | ログインなしでサーバー上のプログラムを動かされる（CVE-2026-110264、深刻度 10.0） | 7.0 以降、修正版より前のすべて | 19.5.1 / 19.4.3 / 19.3.6 / 19.2.9 / 19.1.9 / 19.0.10 / 18.11.13。12日の更新（別の深刻度 10.0 の穴 CVE-2026-97229 を直したもの）で止まっていると、今回の穴が残る。GitLab.com は対応済み | GitLab |
| 10月21日 | Apache Tomcat | 穴が8件 | Apache の告知の版 | JVN | |
| 10月21日 | Xerj Console API | ログインをすり抜けられる | JVN | ||
| 10月20日 | Oracle Java SE（JavaFX、GraalVM も対象） | 55件。うち49件はログインなしでネットワーク越しに突ける。パソコンを乗っ取られたり、アプリが落ちたりする | 27 / 26.0.2 / 25.0.4.1 / 21.0.12.1 / 17.0.20.1 / 11.0.32.1 / 8u503 | 27.0.1 / 25.0.5 / 21.0.13 / 17.0.21 / 11.0.33 / 8u511。26 系は Oracle の告知を見る。直後に、版の番号の後ろに .0.2 が付いた追加の修正が出たと報じられている | Oracle（20日）、IPA（21日） |
| 10月20日 | Atlassian の Data Center 製品（10月の定例） | 部品として使っている他社ソフトの穴。176件（うち重大14件） | Atlassian の告知の版 | Atlassian | |
| 10月20日 | Google Chrome | Chrome 156 で353件を直した（うち重大6件）。その前の Chrome 155 でも重大な穴を1件直している（CVE-2026-110922） | Chrome 156（Windows は 156.0.8078.47 / .48） | ||
| 10月20日 | Mozilla Firefox | Firefox 158 で複数の穴（サンドボックスを抜けられるものを含む） | Firefox 158.0.1 / ESR 153.5.1 / ESR 115.43.1 | Mozilla（13日・20日） | |
| 10月20日 | Plex Media Server（動画の配信サーバー。家庭の NAS でもよく使われている） | 4件の穴をつないで、ログインなしで乗っ取られる（CVE-2026-96652 ほか） | 1.43.3.10861 より前 | 1.43.3.10861 以降。Linux・NAS・Docker は手で更新する | CISA |
| 10月20日 | Siemens Software Center | ファイルを読み込むときの探し方を悪用される（CVE-2026-110936） | Siemens の告知を見る | CISA | |
| 10月20日 | Lenovo 製のタブレット（複数） | 起動時の改ざん検知に、公開済みのテスト用の鍵が使われていた | JVN | ||
| 10月20日 | アツミ電氣製の DVR | 説明書に載っていない隠れた機能を悪用される | JVN | ||
| 10月20日 | UnRTF | 決められた範囲の外にデータを書き込まれる | JVN | ||
| 10月19日 | ヤマハ VOCALOID6 Editor | 外部のファイルを読み込ませられる | JVN | ||
| 10月17日 | 認証局 eMudhra の証明書 | 鍵が弱い中間証明書が見つかり、ブラウザ各社が無効にした | Firefox・Chrome は17日、Apple は19日に対応済み | 各社 | |
| 10月16日 | BeyondTrust Remote Support（遠隔サポートのソフト） | ログインなしで入られる（CVE-2026-102764） | 26.2.3 以前（自社に置いたもの。クラウド版は対応済み） | パッチ BT26-05-RS を当てる。24.3.1 より古い場合は先に版を上げる | CISA |
| 10月16日 | Fortinet の複数の製品（FortiOS ほか） | コマンド画面から、決められたフォルダの外を触られて権限を上げられる（CVE-2025-61624） | メーカーの告知 FG-IR-26-122 を見る | CISA | |
| 10月16日 | Linux カーネル（PwnEscape） | 仮想マシンの中から、親のサーバー（ホスト）を乗っ取られる（CVE-2026-99999） | 5.10.272 / 5.15.223 / 6.1.190 / 6.6.159 / 6.12.113 / 6.18.57 / 7.2.11 以降。仮想マシンの中ではなく、ホストのカーネルを上げる | Linux の各配布元 | |
| 10月15日 | SonicWall Network Security Manager（自社に置くもの） | 穴が複数 | 4.3.1 以前 | 4.3.1 より新しい版 | カナダのサイバーセキュリティセンター |
| 10月15日 | Google BoringSSL ほか複数の TLS ライブラリ | 証明書の名前の制限をすり抜けられる | 各ライブラリの告知 | JVN | |
| 10月15日 | Creema のスマホアプリ | 別のサイトへ飛ばされる | JVN | ||
| 10月15日 | 車検証閲覧アプリ | 送るデータに、見られては困る情報が入っていた | JVN | ||
| 10月15日 | ゲオアプリ | 穴が複数 | JVN | ||
| 10月15日 | Bisheng | ログインをすり抜けられる（複数） | JVN | ||
| 10月14日 | SiteGuard Server Edition（EGセキュアソリューションズ。国内で広く使われている Web サーバーの防御ソフト） | 外から命令を実行され、管理者の権限を取られる（CVE-2026-106931） | Ver2.20 以降〜Ver8.00 Update 5 より前（FreeBSD 版は Ver7.00 Update 6 より前）。統計機能が有効なもの（初期設定で有効） | Ver8.00 Update 5（FreeBSD 版は Ver7.00 Update 6）に上げる。上げる前に管理画面から「診断情報」を保存する。すぐに上げられないなら統計機能を止める | JVN・JPCERT/CC |
| 10月14日 | Palo Alto PAN-OS（ファイアウォール） | 管理画面から装置の中でプログラムを動かされる（CVE-2026-0322） | 修正版より前の各系列 | 12.2 は 12.2.4 以降、11.1 は 11.1.16-h3 以降。ほかの系列はメーカーの告知を見る。管理画面を社外に出さない | CISA |
| 10月14日 | Cisco Secure Email Gateway（メールの防御装置） | 細工した添付ファイルで、ログインなしに装置へファイルを書き込まれる（CVE-2026-76519） | Cisco の告知を見る | CISA | |
| 10月14日 | AhsayCBS（バックアップサーバー） | ログインをすり抜けられ、そのまま命令を実行される（CVE-2026-105133 / 105134） | 修正版より前 | v10 は v10.3.4.45、v7〜v9 は v9.15.2.70。v7 / v8 は 9.15.0.0 に上げてから当てる。先に出た v10.3.4.0 と v9.15.2.59 では直っていない | CISA |
| 10月14日 | EC-CUBE4 の AmazonPay プラグイン | 書き換えられないはずの値を、外から書き換えられる | JVN の告知の版 | JVN（評価は「緊急」） | |
| 10月14日 | Go / OpenSSL / Apple / LibreSSL / pyca / wolfSSL | 証明書の名前の制限（名前制約）の確かめ方が食い違う | 各ライブラリの告知 | JVN | |
| 10月14日 | 楽天モバイルのスマートフォン（複数） | 起動時の改ざん検知に、公開済みのテスト用の鍵が使われていた | JVN | ||
| 10月14日 | Siemens の製品（10月の定例） | 穴が複数 | Siemens の告知 | JVN | |
| 10月14日 | Komodo の Periphery | 外から命令を実行される | JVN | ||
| 10月14日 | Lowcoder | 権限の確認をすり抜けられる | JVN | ||
| 10月14日 | Shopware | ページに細工したスクリプトを埋め込まれる | JVN | ||
| 10月13日 | Microsoft の月例更新（Windows ほか） | 約1,400件。Windows でネットから落としたファイルに出る警告をすり抜けられる穴（CVE-2026-96951）のほか、修正前から知られていた穴が .NET Framework（CVE-2026-108398）と MessagePack-CSharp（CVE-2026-92707）の2件ある | 10月13日の月例更新を入れる。Windows 11 24H2 の Home / Pro はこれが最後の更新 | Microsoft（13日）、IPA・JPCERT/CC（14日） | |
| 10月13日 | Ivanti Connect Secure（社外から社内に入る VPN 装置） | ログインなしで乗っ取られる（CVE-2026-104935） | 25.1.1.1 以前 / 25.1.2.2 以前 / 22.8R2.4 以前 | メーカーの最新版に更新する。乗っ取られていないかも確かめる。メーカーの点検ツールでは見逃すことがある | CISA |
| 10月13日 | SAP の定例更新 | SAP Cloud SDK for Python で、ログインなしに認証用の情報を攻撃者のサーバーへ送らせられる（CVE-2026-89111、深刻度 10.0）。ほかに NetWeaver Visual Composer、S/4HANA、MII で権限の確認漏れや命令の流し込み（深刻度 9.1〜9.9） | SAP Cloud SDK for Python は 0.45.2 より前 | SAP Cloud SDK for Python は 0.45.2 以降。ほかは SAP の告知のパッチを当てる | SAP |
| 10月13日 | Adobe ColdFusion / Experience Manager / Commerce | 定例更新で174件を直した。いちばん重いものは深刻度 10.0 | Adobe の告知の版 | Adobe | |
| 10月13日 | Fortinet FortiSandbox / FortiSIEM | FortiSandbox はログインをすり抜けられる（深刻度 9.6）。FortiSIEM はログインなしでプログラムを動かされる（深刻度 9.4） | メーカーの告知を見る | Fortinet | |
| 10月13日 | AssetView | 大事なファイルの権限の設定が甘い | JVN | ||
| 10月13日 | Thelia | 穴が複数 | JVN | ||
| 10月8日 | Metabase（社内データの集計・グラフ化ツール。自社に置いたもの） | パスワード再設定の窓口から、ログインなしでデータベースへの命令を流し込まれる（CVE-2026-72898） | 修正版より前。クラウド版は対応済み | 0.58.24 / 0.59.21 / 0.60.17 / 0.61.11 / 0.62.9 / 0.63.5 と報道されている。別の番号を挙げる出典もあるので GitHub の告知を見る | JPCERT/CC |
| 10月7日 | VMware Workstation / Fusion | 仮想マシンの中からホスト側でプログラムを動かされる（CVE-2026-59346、深刻度 9.3 ほか） | 26H1u1 より前 | 26H1u1 | Broadcom |
| 10月7日 | Movable Type | 穴が複数 | シックス・アパートの告知の版 | JVN・IPA | |
| 10月6日 | SonicWall SMA1000（社外から社内に入る装置） | ログインなしで、装置から別のサーバーへ勝手に通信させられる（CVE-2026-102255、深刻度 10.0） | 6210 / 7210 / 8200v | メーカーの告知の修正版に上げる | SonicWall |
| 10月6日 | チケット流通センターの Android アプリ | 穴が複数 | JVN | ||
| 10月6日 | MCC の uldaq（Linux 用ライブラリ） | 決められた範囲の外にデータを書き込まれる | JVN | ||
| 10月5日 | Atlassian の Data Center 製品（Jira・Confluence など8製品。自社に置いたもの） | ログインなしで、Web アプリの置き場所の中にあるファイルを読まれる（CVE-2026-21589）。読んだファイルから Jira の管理者を取れることも研究者が示している | 修正版より前のすべて。クラウド版は対応済み | Confluence は 9.2.26 / 10.2.19、Jira Software は 9.12.40 / 10.3.26 / 11.3.12、Jira Service Management は 5.12.40 / 10.3.26 / 11.3.12 | Atlassian |
| 10月5日 | Android | 25件（重大7件）。いちばん重いのは、操作なしで端末の権限を取られる穴 | セキュリティパッチレベル 2026-10-01 以降 | ||
| 10月5日 | GROWI | アクセス制限の漏れ | GROWI の告知の版 | JVN | |
| 10月2日 | Citrix NetScaler ADC / Gateway（社外からの接続や負荷分散を受け持つ装置） | 外からプログラムを動かされる（CVE-2026-88771 / 88772 ほか） | 修正版より前 | 14.1-73.46 / 13.1-64.29 以降に上げる。最初に出た修正版では足りない場合がある | JPCERT/CC |
| 10月2日 | Apache HTTP Server 2.4 | 穴が複数 | Apache の告知の版 | JVN | |
| 10月2日 | InsydeH2O（パソコンの起動ファームウェア） | メモリに安全でない書き込みをされる | JVN | ||
| 10月1日 | Fortinet FortiMail（メールの防御装置） | 決められたフォルダの外にあるファイルまで読み書きされる（CVE-2026-104286） | 7.2.0〜7.2.9 / 7.4.0〜7.4.8 / 7.6.0〜7.6.6 / 8.0.0〜8.0.1 | 8.0.2 / 7.6.7 / 7.4.9 と報道されている。正確な版はメーカーの告知 FG-IR-26-175 を見る。7.2 系には修正版が出ないので 7.4 以降へ移る | CISA |
| 10月1日 | OpenSSL | 穴が1件 | 9月29日の更新版 | JVN | |
| 10月1日〜20日 | 工場や医療の制御機器 | 穴が複数 | 各メーカーの告知 | CISA の週ごとの告知（1日・6日・8日・13日・15日・20日）、JVN | |
| 10月 | Zimbra Collaboration Suite（メールサーバー） | ログインなしでメールボックスを乗っ取られたり、サーバーで命令を実行されたりする（重大4件。CVE-2026-93641 / 93642 ほか） | 報道（メーカーの告知は確かめていない） |
作業の前に気をつけること
⚠️ Warning:
- SiteGuard Server Edition：更新すると攻撃の跡が消える。上げる前に、管理画面から「診断情報」を保存しておく。
- AhsayCBS：先に出た修正版（v10.3.4.0 / v9.15.2.59）では直っていない。
- GitLab：10月12日の更新で止まっていると、10月21日の穴が残っている。
- NetScaler：最初に出た修正版（14.1-73.37 / 13.1-64.23）では足りない場合がある。
- Linux（PwnEscape）：仮想マシンの中ではなく、ホストのカーネルを上げる。
- PHP：PHP-FPM でも Apache の mod_php でも、動かし方を問わず対象になる。更新したあとの再起動を忘れない。
確かめられなかったこと
- Apple と Jenkins は、10月の告知を見つけられなかった。
- Zimbra の4件は、元の告知までは見ていない。発表された日も分からなかった。
- Fortinet の複数の製品の穴（CVE-2025-61624）と Cisco Secure Email Gateway、Siemens Software Center は、どの版で直るのか分からなかった。
- 件数や版の番号は、記事によって少しずつ違っていた。作業の前にメーカーの告知で確かめてほしい。
出典
- PHP：CISA / Tenable / CERT-EU
- Oracle Java：IPA / Oracle の告知 / Oracle Java SE のリリースノート / Yahoo!ニュース（ビジネス＋IT） / Charlie Arehart のブログ
- GitLab：The Hacker News / SecurityOnline
- CISA の告知：10月1日 / 10月13日 / 10月14日 / 10月20日 / 10月12日〜18日のまとめ（DEV Community） / 10月5日〜11日のまとめ（DEV Community）
- Ivanti：CISA
- BeyondTrust：CISA
- SiteGuard：Rescana / JVN
- Plex：Censys
- Windows / Microsoft：BleepingComputer / IPA 重要なセキュリティ情報
- NetScaler：JPCERT/CC / watchTowr
- PAN-OS / AhsayCBS：Palo Alto の告知 / Ahsay の告知
- FortiMail：tech-insider
- Atlassian：BleepingComputer / Atlassian の告知 / 10月20日の定例（SecurityOnline）
- Metabase：Horizon3.ai / Dataminr
- Metabase（JPCERT/CC の注意喚起）：piyolog
- SonicWall：SecurityWeek / カナダのサイバーセキュリティセンター
- SAP：SAP の告知 / Rescana
- Fortinet（FortiOS ほか）：Cybersecurity News / SecurityOnline / FortiGuard PSIRT
- Linux（PwnEscape）：The Register / AlmaLinux
- Adobe：Zero Day Initiative
- VMware：カナダのサイバーセキュリティセンター
- Chrome：Malwarebytes / Patch Observer
- Firefox：Mozilla の告知一覧
- Android：Android Security Bulletin / SecurityWeek
- Zimbra：Action1
- eMudhra の証明書：this week in security
- JVN に載ったもの：JVN 脆弱性レポート一覧