今日は3本を取り上げます。1本目は、画像共有サービス「Gyazo」が不正アクセスを受け、ユーザー情報約2362万件とパスワードのハッシュ値などが流出した事案。パスワードの使い回しがある人は、他サービスも直ちに変更が必要です。2本目は、多くの中小企業が使うSynology製NASの基本ソフト「DSM」に、認証なしでファイルを読み書きされうる深刻な脆弱性が見つかった件。データ保管とバックアップの要が狙われます。3本目は、GitLabのCVSS10.0の脆弱性（CVE-2026-85706）が公開翌日に悪用され、米CISAが緊急対応を求めた件。使っている製品ごとに「更新する・漏れた鍵を作り直す」対応が問われます。
NEWS 01
Helpfeel公表（ITmedia・INTERNET Watch報道）｜ 2026年9月16日
画像共有「Gyazo」に不正アクセス、ユーザー情報約2362万件とパスワードのハッシュ値が流出
Helpfeelは2026年9月16日、同社が運営する画像共有サービス「Gyazo」が第三者による不正アクセスを受け、ユーザーに関するデータ約2362万件と、画像に関するメタデータ約4.9億件が外部に流出したと公表しました。不正アクセスは9月11日に発生し、Gyazoの画像アップロードサーバーに存在した脆弱性を悪用され、攻撃者が同社システム上で任意のコマンドを実行できる状態にされていたとしています。同社は9月11日夜に不審な挙動を検知し、翌12日未明までに侵入経路を遮断、原因となった脆弱性の修正も完了したとしています。
流出したユーザー情報には、名前・ニックネーム、メールアドレス、パスワードのハッシュ値、利用者ID、端末ID、ログインセッションID、X（旧Twitter）連携用トークン、Google SSOのメールアドレス、プロフィール情報などが含まれます。画像メタデータには、画像ID、アップロード元のIPアドレス、User-Agent、EXIFの位置情報、OCRで読み取ったテキスト、画像タイトル、取得元URL、非公開画像のパスフレーズのハッシュ値などが含まれるとされています。Helpfeelは二次被害防止のため、9月14日に一部の画像配信サーバーを停止する緊急メンテナンスを実施し、対策完了後にアップロードされた画像から順次配信を再開しています。同社はユーザーにパスワードの変更を呼びかけ、他サービスで同一または類似のパスワードを使っている場合はそちらも変更するよう求めています。
▌中小企業への影響
Gyazoは資料や画面キャプチャの共有で業務利用している人も少なくありません。今回の流出でパスワードのハッシュ値が漏れており、総当たり解析や、他サービスへのログイン試行（パスワードリスト攻撃）に発展する余地が残ります。従業員が同じパスワードを社内システムやクラウドサービスで使い回していれば、Gyazo経由で盗まれた認証情報が社内アカウントの侵入口になりかねません。また、セッションIDや連携トークンが流出しているため、パスワード変更だけでなく連携解除やログインし直しも必要です。
▌推奨対応
- Gyazoを利用している従業員に、Gyazoのパスワードを直ちに変更するよう周知する
- 同一・類似のパスワードを社内システムや他のクラウドで使い回している場合は、そちらも変更する
- GyazoとXやGoogleの連携を見直し、不要な連携は解除・再認証する
- 重要な業務アカウントには多要素認証（MFA）を設定し、パスワード頼みの防御から脱却する
- 業務での画像・資料共有に外部サービスを使う際は、機密情報や個人情報を載せない運用ルールを定める
NEWS 02
Synology公表（Synology_SA_26_13）｜ 2026年9月
Synology製NASの基本ソフト「DSM」に深刻な脆弱性、認証なしでファイルの読み書きが可能
NAS（ネットワーク接続型ストレージ）大手のSynologyは、同社NASの基本ソフト「DiskStation Manager（DSM）」に複数の脆弱性が見つかったとして、修正版を公開しました。特に深刻なのがCVE-2026-13639で、ログイン処理の乱数（エントロピー）が不十分な脆弱性を悪用されると、遠隔の攻撃者が認証を経ずに任意のファイルの読み書きやサービス妨害（DoS）を行える可能性があるとしています。このほか、SCGIの出力処理の不備（CVE-2026-13684）や、LDAP APIの権限設定の不備（CVE-2026-13673）など、複数の脆弱性が併せて修正されています。
影響を受けるのは、DSM 7.2.1-69057-12、7.2.2-72806-9、7.3.2-86009-4、7.4-90075より前のバージョンです。Synologyは、これらより新しい修正済みバージョンへのアップデートを強く推奨しています。NASは社内のファイル共有やバックアップの保存先として中小企業に広く普及しており、しかもインターネットからアクセスできる状態で運用されているケースが少なくありません。認証なしで悪用されうる脆弱性が公開された以上、外部公開しているNASは早急な対応が必要です。
▌中小企業への影響
NASは「社内の重要データが集約される場所」であり、同時にバックアップの保存先でもあります。ここが侵害されると、情報漏えいとバックアップ喪失が同時に起こり、ランサムウェア被害からの復旧手段まで失う最悪の事態になりかねません。特に、外出先からアクセスするためにNASをインターネットに直接公開している場合、認証を回避される脆弱性は致命的です。「動いているから触らない」という運用のまま古いDSMを放置しているNASほど、狙われるリスクが高くなります。
▌推奨対応
- 社内のSynology製NASのDSMバージョンを確認し、修正済みの最新版にアップデートする
- NASをインターネットに直接公開している場合は、公開の必要性を見直し、VPN経由などに切り替える
- 管理者アカウントに多要素認証を設定し、初期設定のポート・アカウント名のままにしない
- バックアップは「NASとは別の場所（オフライン・別媒体）」にも取り、単一障害点にしない
- 自動更新の設定を確認し、重要な更新が適用漏れにならない体制を整える
NEWS 03
GitLab公表・米CISA KEV追加（The Hacker News・Rapid7報道）｜ 2026年9月10日
GitLabにCVSS10.0の脆弱性（CVE-2026-85706）、公開翌日に悪用を確認しCISAが緊急対応を要求
ソースコード管理プラットフォームのGitLabは2026年9月10日、深刻度が最高のCVSS10.0と評価される脆弱性CVE-2026-85706を修正した19.3.2、19.2.6、19.1.8を公開しました。これはリポジトリのコミットAPIに存在するパストラバーサル（ディレクトリを遡る）の脆弱性で、認証されていない攻撃者が、1回のHTTPリクエストでGitLabサーバー上の本来アクセスできない任意ファイルを読み取れるというものです。影響を受けるのは、自社運用（セルフマネージド）のCommunity EditionおよびEnterprise Editionのうち、18.7から19.1.8より前、19.2から19.2.6より前、19.3から19.3.2より前のバージョンです。
この脆弱性は修正版公開の翌日（9月11日）にはインターネット全体で探索行為が観測され、米国のCISA（サイバーセキュリティ・インフラセキュリティ庁）は悪用の事実を確認したとして、既知の悪用された脆弱性（KEV）カタログに追加しました。攻撃が成功すると、SSH鍵、データベースの認証情報、デプロイトークン、CI/CDの変数といった機微な設定情報が読み取られる恐れがあります。これらの鍵や認証情報は他システムへの横展開に直結するため、パッチ適用だけでなく「読み取られた可能性のある秘密情報の作り直し（ローテーション）」までがセットの対応になります。
▌中小企業への影響
GitLabを自社サーバーで運用している開発チームを持つ中小企業は要注意です。認証不要かつ単純なリクエストで悪用でき、公開翌日には実際に狙われ始めたため、対応の猶予はほとんどありません。GitLabにはソースコードだけでなく、外部サービスへの接続鍵やパスワードが設定ファイルとして保管されていることが多く、それらが盗まれれば被害はGitLabサーバー内にとどまりません。なお、GitLab.com（SaaS版）を利用している場合は提供元側で対処されますが、社内やクラウド上に自前で立てたGitLabは自社での対応が必要です。
▌推奨対応
- 自社運用のGitLabを、19.3.2／19.2.6／19.1.8以降の修正済みバージョンへ直ちにアップグレードする
- 悪用されていた可能性を前提に、SSH鍵・デプロイトークン・CI/CD変数・DB認証情報などを作り直す（ローテーション）
- アクセスログを確認し、不審なファイル読み取りリクエストがなかったか点検する
- GitLabをインターネットに公開している場合は、アクセス元の制限やWAFの導入を検討する
- SaaS版（GitLab.com）か自社運用版かを把握し、自社運用版は自社で更新責任を負うことを社内で共有する
編集部まとめ
今日の3件は、いずれも「認証情報や鍵が漏れた後、どう二次被害を止めるか」という視点でつながっています。Gyazoの事案は、パスワードのハッシュ値やセッション、連携トークンが流出したことで、使い回しをしている人ほど被害が広がる構図です。パスワード変更に加えて、他サービスでの使い回しの棚卸しと多要素認証の導入が効きます。SynologyのNAS脆弱性は、社内データとバックアップの集約先が認証なしで狙われうるという点で影響が大きく、DSMの更新とインターネット直接公開の見直しが急務です。
GitLabのCVSS10.0脆弱性は、公開翌日に悪用が始まった典型的な「スピード勝負」の事例で、修正版へのアップグレードと、漏れた可能性のある鍵・トークンの作り直しまでを一続きの対応として進める必要があります。3件に共通するのは、「パッチを当てて終わり」ではなく、パスワードや鍵という認証情報そのものを更新するところまでが復旧だという点です。自社が使っているサービスと、そこに保管された認証情報の棚卸しから着手してください。来週号もお読みください。
参考情報
- Helpfeel「『Gyazo』への不正アクセスによる情報漏えいに関するお知らせとお詫び」（2026年9月16日）／「Gyazoに不正アクセス ユーザー情報約2362万件、画像メタデータ約4.9億件が流出」ITmedia NEWS／「画像共有サービス『Gyazo』に不正アクセス、ユーザー情報約2362万件・画像メタデータ約4.9億件が漏えい」INTERNET Watch
- Synology「Synology_SA_26_13」セキュリティアドバイザリ／「CVE-2026-13639: Synology DiskStation Manager (DSM)」Rapid7／National CSIRT-CY「Multiple Vulnerabilities in Synology DSM」（2026年9月）
- GitLab「Critical Patch Release: 19.3.2, 19.2.6, 19.1.8」（2026年9月10日）／「GitLab CVSS 10 File-Read Flaw Draws In-the-Wild Probes After Disclosure」The Hacker News／「CVE-2026-85706: Critical GitLab Path Traversal Exploited in the Wild」Rapid7／米CISA KEVカタログ
