2026年10月、ウェブサイトや開発環境を支えるソフトウェアで重大な脆弱性の公表が相次ぎました。同じ時期には、ソフトウェアの配布経路やクラウドサービスが攻撃を受け、認証情報などが狙われる事件も発生しています。こうした一連の出来事は、セキュリティ業界や報道で「Black October（黒い10月）」と呼ばれています。
特に注目されたのは、ウェブサイトで広く使われるPHPの脆弱性「PHP2Shell」、AIサービスへの接続に用いられるLiteLLMへのサプライチェーン攻撃、電子証明書を発行する認証局eMudhraの秘密鍵の問題です。それぞれ原因も影響範囲も異なりますが、いずれも多くのサービスが共通して依存する基盤に関わる事案でした。
記事中の日付は、原則として各機関の公表日または公表資料に記載された日付です。この記事は2026年11月2日時点で確認できる情報に基づきます。
Black Octoberとは
Black Octoberは、2026年10月に重大なセキュリティ事案が相次いだことから使われるようになった呼び方です。ソフトウェアの脆弱性の発見や修正、不正アクセスによる被害など、10月に発生した様々な情報セキュリティ関連の出来事を指しています。
例えば、PHPの脆弱性「PHP2Shell」は、研究者が発見し、開発元と協力して修正を進めたうえで公表されました。一方、AIサービスとの接続に使われるソフトウェア「LiteLLM」では、攻撃者が配布経路を侵害し、不正なコードを含むソフトウェアを実際に配布してしまいました。
日本国内でも大量の情報漏洩が報告されており、連日様々な企業が情報漏洩のニュースで取り上げられています。国内の不正アクセス・情報漏洩事案の件数の推移を下図に示しますが、この10月には380件と異様な増加を見せています。
PHP2Shell：ウェブサイトの基盤に見つかった脆弱性
PHPは、ウェブページの生成やデータベースとの連携などに使われるプログラミング言語です。WordPress、Drupal、Joomlaなど、多くのウェブサイトを支えるソフトウェアでも使われています。
2026年10月21日、PHP開発チームは、PHP本体に存在する2件の重大な脆弱性、CVE-2026-109618とCVE-2026-109619を修正したバージョンを公開しました。これらは総称して「PHP2Shell」と呼ばれています。PHPの発表によると、影響を受ける環境では、認証されていない攻撃者が遠隔から任意のコードを実行できる可能性があります。
問題の一つは、PHPが使用できるメモリを使い切った際に内部の処理が不完全な状態になることに関係しています。もう一つは、ある要求を処理した後の内部状態が、次の要求まで不適切に残る問題です。攻撃者がこれらの問題を利用できた場合、サーバー内の情報を読み取ったり、不正なプログラムを実行したりするおそれがあります。
発見に関わったWiz Researchは、WordPress、Drupal、Joomlaを用いた環境で遠隔からのコード実行を実証したと説明しています。問題はPHP本体にあるため、特定のアプリケーションだけに限られるものではありません。
PHP開発チームは同日、PHP 8.2.35、8.3.36、8.4.27、8.5.12を公開しました。米国のサイバーセキュリティ・インフラセキュリティ庁（CISA）は10月26日、この2件を実際に悪用された脆弱性の一覧に追加しました。Wizは10月27日時点の分析で、自社が捕捉した攻撃の試行では一連の処理が完了しなかったと報告しています。
PHP2Shellでは、脆弱性の調査にAIが使われたことも注目されました。Wizによると、研究チームは8月19日にWiz Atlasと複数のAIモデルを用いて最初の問題を発見し、その後、複数のアプリケーションで攻撃が成立することを検証しました。8月24日にPHPのセキュリティチームへ報告し、10月21日の修正版公開に合わせて詳細が公表されています。
この事例では、AIは研究者による脆弱性の発見や検証を支援するために使われました。長年使われてきたソフトウェアでも、複雑な処理を調べる手段の進歩によって、これまで見つかっていなかった問題が明らかになることを示しています。
LiteLLM：正規の配布経路から不正プログラムを配布
LiteLLMは、複数の大規模言語モデルやAIサービスを共通の形式で利用するためのオープンソースソフトウェアです。2026年10月21日、このLiteLLMの配布工程が侵害され、不正なプログラムを含むバージョンが公開されました。
LiteLLMの報告によると、Pythonのパッケージ配布サイトPyPIでは「litellm 1.107.0」が協定世界時の11時39分ごろから13時23分まで配布されました。Docker Hubなどで配布された一部のコンテナイメージも影響を受けています。
不正なプログラムには、認証情報を盗み、遠隔からコードを実行するためのツールを読み込む機能が含まれていました。公式の配布経路を利用するソフトウェアに不正なコードを混入させ、その利用者へ影響を広げる手口は「サプライチェーン攻撃」と呼ばれます。
LiteLLMは問題のある配布物を取り下げ、調査後には攻撃経路の詳細を公表しました。正規のソースコードそのものと、攻撃者が配布した成果物は区別されています。
eMudhra：電子証明書の信頼を支える秘密鍵に問題
ウェブサイトとの暗号化通信では、接続先が正しい相手であることを確認するために電子証明書が使われます。証明書を発行する認証局の仕組みでは、その信頼を支える秘密鍵の安全性が欠かせません。
Googleの発表によると、10月17日、インドの認証局eMudhraに関連する8件の中間認証局の証明書について、秘密鍵に問題があるとの報告が寄せられました。鍵を生成する際の乱数が不十分だったため、秘密鍵を推定できる状態になっていました。
こうした鍵を使って偽の証明書が作成され、それを信頼する環境で通信が誘導された場合、利用者が正規のサイトと信じて偽サイトに接続するおそれがあります。GoogleやMozillaは、問題のある証明書を信頼しないための対応を進めました。
eMudhraの説明によると、鍵を生成するスクリプトの誤りが原因で、同社は10月30日に独立した外部レビューを行う担当としてKPMGを任命しました。
この問題は、鍵の生成に使われた乱数の不備によって生じたもので、ウェブサイトのプログラム自体の脆弱性とは性質が異なります。暗号化通信は、暗号方式だけでなく、鍵の生成や証明書を検証する仕組みにも支えられています。
GitLab、Node.js、Oracle製品でも脆弱性を公表
2026年10月には、企業向けソフトウェアでも多数のセキュリティ更新が公開されました。Oracleは10月の定例更新で、幅広い製品を対象に1,295件の新しいセキュリティパッチを提供しました。Microsoftの月例更新についても、セキュリティ企業Tenableは、1,407件の脆弱性に対応したと集計しています。
修正件数が増加している背景には、AIを利用した脆弱性の調査があります。Microsoftは、AIによる発見の加速を踏まえ、従来より多くの脆弱性が月例更新で公開される見通しを示しています。Oracleも、セキュリティテストやコード解析にAIを活用していると説明しています。
修正件数の増加は、直ちに同じ数の攻撃が発生したことを意味するわけではありません。Microsoftの10月の更新では、公開前に実際の悪用が確認されていたWindowsシェルの脆弱性も含まれていました。
以下は参考情報です。
ソースコードの管理やソフトウェア開発に用いられるGitLabでは、特定の条件下で、認証されていない利用者がサーバー上で任意のコードを実行できる可能性のある脆弱性、CVE-2026-110264が修正されました。GitLabの発表では、特殊な正規表現を処理する際の整数オーバーフローが原因と説明されています。
JavaScriptの実行環境であるNode.jsでは、データの圧縮・展開に使われるBrotliの処理に、メモリの想定範囲外へ書き込む脆弱性、CVE-2026-111497が見つかりました。Node.jsの説明によると、攻撃者が用意した圧縮データを対象のアプリケーションが展開する場合、異常終了や情報漏えい、コードの実行につながるおそれがあります。カナダのサイバーセキュリティ当局によると、CISAは10月27日にこの脆弱性を実際に悪用された脆弱性の一覧へ追加しました。
企業向け業務ソフトウェアのOracle E-Business Suiteでも、認証されていない攻撃者がネットワーク経由で製品を侵害できる脆弱性、CVE-2026-101767が公表されました。Oracleの10月の情報では、影響を受ける範囲と修正に関する情報が示されています。
さらに、コンピューターをネットワーク経由で起動するためのEDK IIの処理にも、OSの起動前にコードを実行される可能性のある問題が報告されました。TianoCoreの公表資料によると、影響するネットワーク起動機能を使うシステムで、細工された通信を受け取ることが攻撃の条件になります。
AI開発基盤を狙った攻撃
10月には、AIモデルの利用やアプリケーションの開発を支えるクラウドサービスへの攻撃も相次ぎました。Wizの10月30日のまとめは、この月に少なくとも9つのAI開発基盤がセキュリティ事案を公表したとしています。
クラウド開発基盤のZeaburでは、10月14日から15日にかけて攻撃者が内部の認証情報を利用し、サービスのデータベースなどへアクセスしました。同社の調査報告によると、32万1,810件のアカウントに関係する情報と、約322万件の環境変数のレコードが読み取られたことが確認されています。環境変数には、アプリケーションから外部サービスを利用するためのAPIキーなどが保存される場合があります。
Zeaburは、攻撃者が特にAIサービスのAPIキーを探していたとみられる行動も確認しています。APIキーを他人に使われると、所有者の契約に基づいてAIサービスを利用されたり、利用料金が発生したりする可能性があります。
アプリケーションのホスティングサービスRailwayも、10月21日の公表で、利用者が保存した認証情報に関わるセキュリティ事案を説明しました。こうした事例では、サービス自体への侵入に加え、そこに預けられた鍵を使って別のサービスへ影響が及ぶ点が問題になります。
まとめ
Black Octoberと呼ばれた2026年10月には、ウェブサイトを動かすPHPから、ソフトウェアの配布経路、電子証明書、AI開発基盤まで、インターネットを支えるさまざまな領域で問題が相次ぎました。いずれも多くのサービスが利用する仕組みに関わっており、問題が生じた場所から、別のサービスやその利用者へ影響が広がり得ることを示しています。
PHP2Shellでは、長年利用されてきたソフトウェアの脆弱性を発見し、実際に利用できるか検証する過程でAIが使われました。AIはセキュリティ研究を進める手段として役立つ一方、攻撃に利用される可能性もあります。脆弱性の発見から修正、更新の適用までに必要な時間は、今後のセキュリティを考えるうえで大きな課題になりそうです。また、LiteLLMやZeaburの事例では、開発者が信頼して使う配布経路やクラウド基盤が侵害されました。多くのサービスが共通のソフトウェアや外部基盤に支えられる現在、その安全性は個々のサービスだけで完結せず、開発・配布・運用を担う組織の対応にも依存しています。
現在は、攻撃の進化に対してセキュリティ対策が後手に回る場面も見られますが、AIの進歩は防御の仕組みの改良や性能向上にも寄与するはずです。情報セキュリティでは、攻撃者が一つの弱点を狙えるのに対し、防御側は広い範囲を守る必要があります。いちユーザーとしては、今回のBlack Octoberを機に、抜本的なセキュリティ対策が進むことを期待したいと思います。