脆弱性まとめ2026年10月｜PHP・Chrome・Windowsほか、誰が何を直すか

脆弱性まとめ（2026年10月）：先に結論と確認日時

2026年9月末から10月にかけて、日本の IPA（情報処理推進機構）と JPCERT/CC、米国の CISA（サイバー防衛機関）が、緊急の脆弱性（ソフトの弱点）への注意を相次いで出しました。ばらばらに読むと、自社に関係があるのかが見えません。この記事は、それを「誰の問題か」「直すのは誰か」の表にまとめた速報です。一次資料は2026年10月27日 9時時点で確認しました。

先に結論です。

• 全社員のパソコン：Chrome は10月20日に156が安定版になりました。Windows の10月の更新には、Microsoft が悪用を確認した弱点が1件あります。更新して再起動します。
• サイトを持つ会社：PHP の2件は、10月26日に CISA が KEV（悪用の確認済みの一覧）へ加えました。WordPress 本体にも緊急の更新がありました。制作会社に版を聞きます。
• 機器や自社ツールがある会社：NetScaler など、悪用が確認された機器の更新があります。Node.js は、使っている会社だけが対象です。

状況は変わりえます。最新の情報は、IPA と JPCERT/CC の公式ページ、契約先のお知らせで読み直してください。

目次

国内の公的機関が呼びかけていること：相次ぐ不正アクセス

最初に、個別の製品とは別の話です。JPCERT/CC は10月8日（10月23日更新）の注意喚起で、2026年9月前後に国内の組織で個人情報などの漏えいが相次いでいると伝えています。把握できている情報は「限定的かつ断片的」としています。IPA（10月9日）は、特定の製品の脆弱性を狙った攻撃とは断定されていないと書き、外部に公開しているアプリケーションやサービス、アカウントの侵害が起点とみられるとしています。国家サイバー統括室と経済産業省も、10月9日に同じ状況を受けた注意喚起を出しています。

IPA が経営者に求めている点検は、次の3つです。たとえるなら、会社の鍵の棚卸しです。

1. 外部に公開しているものを洗い出す：ホームページ、予約・会員の仕組み、API など。ログに異常がないか、更新していない部品がないかを見ます。
2. 使っている外部サービスを洗い出す：クラウドや VPN など。作った覚えのないアカウントが動いていないかを見ます。
3. 持っているデータを見直す：不要な情報は持たない、という原則です。

異常が見つかった場合、IPA は専門のセキュリティ会社への調査依頼を強く推奨しています。委託先の管理は、外部ベンダーの記事にあります。

対応表：誰の問題で、直すのは誰か

ここからが本題です。次の表は、10月の注意喚起を宛先で分けた当社の整理です。期限の目安は、読み始めてからの長さで、公的機関が決めた期限ではありません（例外：CISA が米国の連邦機関に求める PHP の期限は10月29日です）。

全社員のパソコン：Chrome・Windows・Java の更新（1日以内）

Chrome と Edge

ブラウザは、いわば会社の外と中をつなぐ窓口です。Google の公式告知（Chrome Releases）によれば、Chrome 156 が10月20日に安定版になり、353件のセキュリティ修正が入りました。深刻度が最も高い「Critical」は6件です。この告知に、悪用が確認されたという記載は見当たりませんでした。

ただ、2026年は悪用が確認された Chromium 系の弱点が続き、CISA の KEV には7件が載っています（当社が一覧から数えました）。直近の2件（CVE-2026-85046、CVE-2026-87491）は9月で、Google 自身が、悪用するコードが出回っていると把握していると書いています。CISA は、Edge など Chromium を使うほかのブラウザも影響を受けうるとしています。

更新は、Google の公式ヘルプのとおりです。右上の「その他」アイコンから「ヘルプ」、「Google Chrome について」を開き、「再起動」を選びます。Edge は、Microsoft の公式案内（英語）に、Settings and more → Help and feedback → About Microsoft Edge の順で確認すると書かれています。更新の確認は、車の点検のようなものです。開きっぱなしの人ほど、再起動までが更新の一部です。

Windows

IPA（10月14日、緊急）と JPCERT/CC によれば、Microsoft の10月の更新のうち、Microsoft が悪用を確認したと公表したのは CVE-2026-96951（Windows シェルの保護機能を回避される弱点）の1件です。CISA も10月13日に KEV へ加えました。Windows 11 なら、「スタート」の「設定」から「Windows Update」を開き、「更新プログラムの確認」を選びます。完了には再起動が必要です（Microsoft 公式）。

Oracle Java にも10月21日に更新が出ています（IPA。悪用の記載はありません）。Java で動く業務ソフトがある会社は、提供元に聞きます。

サイトを運営している会社：PHP・WordPress ほか（確認は1日以内）

PHP は、要点だけ

PHP の2件（CVE-2026-109618・109619）は、10月21日の修正版（8.5.12・8.4.27・8.3.36・8.2.35）で直ります。状況が進んだのは10月26日です。CISA は両方を KEV に加えました。JPCERT/CC も同日の更新で、悪用できると主張する実証コードが多数公開され、悪用を試みる通信の報告が相次いでいると書いています。調べ方は、PHP の緊急アップデートの記事にあります。WordPress の更新では直らず、サーバーの PHP の更新が要ります（WordPress 公式）。

WordPress 本体

9月22日の WordPress 7.1.2 は、WordPress 公式が「critical（緊急）」とした弱点（CVE-2026-87902）を直します。サーバーとテーマの条件がそろうと、外部から勝手にプログラムを動かされるおそれがある、と説明されています。CISA は9月25日に KEV へ加えました。10月6日には 7.1.3 が出て、10月27日の時点の最新です。自動更新が有効なら自動で適用され、そうでなければ管理画面から更新します（WordPress 公式）。

使っている会社だけ：Movable Type と SiteGuard

Movable Type は、10月7日の IPA の注意喚起で、任意の Perl コードや SQL コマンドを実行されるおそれのある弱点が示されました。修正版は 9.3.0・9.0.10・8.8.6・8.0.13 などです。悪用の有無は、IPA のページに記載がありません。

SiteGuard Server Edition（Web サーバー用の防火壁）は、提供元が悪用を確認したと JPCERT/CC（10月14日）が伝えています。Apache・Nginx・IIS 版は Ver8.00 Update5 より前で、統計機能が有効な場合が対象です。更新の前に、管理画面の「診断情報」を保存するよう案内されています。更新で侵入の痕跡が消えるおそれがあるためです。

ネットワーク機器・リモート接続：会社の正面玄関の鍵

VPN（社外から社内につなぐ通路）の機器やメールゲートウェイは、会社の正面玄関のようなものです。

NetScaler ADC・Gateway（旧 Citrix）は、9月28日の IPA と JPCERT/CC の注意喚起で、CVE-2026-88771・88772 の2件が、認証なしで任意のコードを実行されるおそれがあるとされました。提供元の Cloud Software Group は、対策していない環境への悪用を確認したと書き、JPCERT/CC はこの2件に回避策がないと伝えています。修正版は 14.1-73.37 以降、13.1-64.23 以降などです。Mandiant と Google の脅威情報グループは、9月29日に侵害の調査情報を公開しています。更新に加えて、侵害の有無の確認も保守業者に頼みます。

JPCERT/CC は、F5 BIG-IP APM（9月24日）と Cisco Secure Email Gateway（9月15日）についても、提供元が悪用を確認していると伝えています。CISA は10月に、Ivanti Connect Secure（13日）、Palo Alto Networks の PAN-OS（14日）、Fortinet の FortiOS など（16日）、BeyondTrust の Remote Support（16日）を KEV に加えました。使っている会社は、提供元の案内で版を確かめます。

自社ツールがある会社：Node.js の更新（1週間以内）

Node.js は、社内の自動化ツールや Web アプリの裏側で動く実行環境です。使っていない会社は、この章は関係ありません。

Node.js プロジェクトは、10月21日にセキュリティ更新を公開しました。修正版は 22.23.4・24.22.1・26.12.1 で、10件の弱点のうち4件が深刻度「high」です。その1つ（CVE-2026-111497）は、圧縮データ（Brotli 形式）を展開する部品の弱点で、細工されたデータにより、異常終了、情報の漏えい、コードの実行につながるおそれがあると書かれています。JPCERT/CC は10月26日に注意喚起を出し、影響を受ける製品として Node.js、Bun、Python 向けの Brotli パッケージを挙げています。Chrome は、そのページに記載がありません。

Node.js 20 は、公式の計画表で2026年4月30日にサポートが終わっています。Node.js 公式は、サポートの終わった版は、セキュリティ更新のたびに影響を受けると書いています。賞味期限の切れた食材のようなもので、直す手段がなくなります。版は、ターミナル（命令を入力する画面）で node --version と入力して確かめます（Node.js 公式のコマンド説明に記載）。自分で触らない会社は、開発担当か制作会社に聞きます。

1日・1週間・1か月でやること（担当別）

次の順番は、当社の整理です。悪用が確認されたものと、全員の端末に関わるものを先にしました。

最初の1日

1. 全員：Chrome・Edge と Windows を更新して、再起動します。
2. サイトがある会社：PHP と WordPress の版を、制作会社・サーバー会社に聞きます。更新の前のバックアップは、工事前の部屋の写真のようなものです。
3. VPN・メールゲートウェイなどの機器がある会社：保守業者に、版と侵害の有無の確認を頼みます。

1週間以内

1. 更新の完了を、画面で確かめます：サイトの表示、問い合わせフォーム、ログインを開きます。
2. 使っている会社は更新します：Node.js、Movable Type、SiteGuard Server Edition、WordPress 本体です。

1か月以内

1. IPA の3つの点検をします：API キーなどの扱いは、API キーとパスワードの扱いの記事にあります。
2. サポートの終わった版の移行計画を作ります：PHP 8.1 以前と Node.js 20 です。PHP 8.2 も、PHP 公式のサポート表では2026年12月31日で修正が終わります。
3. 保守の契約で、誰が更新するかを決めます：費用の見方は保守費用の記事に、
   社内の点検表はセキュリティチェックリストの記事にあります。

確認できなかったこと

公式の資料で確認できなかった点です。「書かれていない」ことは、「ない」ことではありません。

• 国内の個別の被害の内容（企業名や規模）と、実際に乗っ取られたサイトの数。公的機関の注意喚起には書かれていません。
• Microsoft の10月の更新の件数と、ほかの悪用済みの弱点。Microsoft の本体ページは読み込めず、IPA と JPCERT/CC が挙げる1件だけを書きました。
• Chrome 156 への悪用の有無。Google の10月20日の告知に記載は見当たりませんが、ないことの証明にはなりません。
• KEV に載った各製品の悪用の中身。CISA は、悪用の証拠を把握した事実を示すだけです。

よくある質問

まず何から始めればよいですか。

全員のパソコンの Chrome・Edge と Windows を更新して、再起動します。次に、サイトやネットワーク機器の版を、制作会社や保守業者に聞きます。

Chrome は自動で更新されませんか。

Google の公式ヘルプでは、「Google Chrome について」を開くと更新が確認され、適用には「再起動」を選ぶ手順です。開いたままだと更新が済んでいない場合があるため、画面で確かめます。

自社が NetScaler などの機器を使っているか分かりません。

契約書、請求書、ネットワークの構成図、保守業者への問い合わせで調べます。IPA は、利用している外部サービスやシステムを洗い出す点検を求めています。

PHP の件は、WordPress を更新すれば直りますか。

直りません。WordPress 公式は、WordPress の更新は不要で、サーバーの PHP を更新するよう書いています。

実際に攻撃されていますか。

確認した主体と内容は、それぞれ違います。CISA は PHP・Windows・NetScaler などを KEV に載せ、悪用の証拠を把握したとしています。JPCERT/CC は、国内でも不正アクセスが相次いでいると伝えています。個別の被害の内容は、この記事では扱いません。

まとめ

最初の一手は、全社員のパソコンの更新、サイトを持つ会社の PHP と WordPress の版の確認、機器がある会社の版と侵害の有無の確認です。直すのは誰か分からないときは、支払い先に聞きます。

参照元・出典

• 国内の機関：JPCERT/CC、IPA、国家サイバー統括室、経済産業省（相次ぐ不正アクセス）
• 個別の注意喚起：Microsoft（IPA）、Microsoft（JPCERT/CC）、Oracle Java、Movable Type、SiteGuard、NetScaler（IPA）、NetScaler（JPCERT/CC）、F5、Cisco、PHP、Brotli
• CISA：KEV カタログ、PHP の警告
• PHP・WordPress：PHP 公式、サポート表、WordPress の PHP 告知、7.1.3
• ブラウザ：Chrome Releases（10月）、同（9月・87491）、同（9月・85046）、Chrome ヘルプ、Edge、Windows Update
• Node.js 公式、計画表、Cloud Software Group

本記事は 2026年10月27日 9時の確認時点のものです。最新は、IPA と JPCERT/CC の公式ページ、契約先のお知らせでご確認ください。