【セキュリティニュース】2026年10月14日号｜Microsoft月例更新で過去最多1,413件修正(悪用済みゼロデイCVE-2026-96951)／自治体防災メール「SpeeCAN RAIDEN」最大約313万件漏えいか／GitLab CVSS10.0脆弱性(CVE-2026-97229)
公開
JPCERT/CC（at260031）・IPA ｜ 2026年10月14日公表（更新プログラムは米国時間10月13日公開）
Microsoftが10月の月例更新で1,413件の脆弱性を修正――CVEが初めて4桁に、悪用確認のゼロデイ（CVE-2026-96951）も1件
Microsoftは米国時間2026年10月13日（日本時間14日）の月例セキュリティ更新で、自社製品全体で1,413件の脆弱性（CVE）を修正しました。月例更新でCVE件数が4桁に達したのは初めてで、過去最多の規模です。このうちWindows関連が1,102件を占め、深刻度が最上位の「緊急（Critical）」に分類されたものは76件あります。JPCERT/CCとIPAは10月14日、速やかな更新適用を呼びかける注意喚起を公表しました。
今回のうちCVE-2026-96951（Windowsシェルのセキュリティ機能回避、深刻度「重要」）は、すでに実際の攻撃で悪用されていることが確認されています。インターネットから入手したファイルに付く警告（Mark of the Web）を回避され、ユーザーが安全と誤認してファイルを開いてしまうおそれがあります。このほか、Office関連134件、SharePoint36件、Exchange Server7件、SQL Server22件、.NET／.NET Framework45件など、業務でよく使う製品に広く修正が及んでいます。
あわせて、Windows 11 24H2のHome／Proエディションは、今回の更新がサポート上の最後の月例更新となりました。該当バージョンを使い続ける場合は、以後セキュリティ更新が提供されない点に注意が必要です。
Windows PCやMicrosoft Office、Microsoft 365を使っている企業はすべて対象です。悪用が確認済みのCVE-2026-96951は「メールやダウンロードで届いたファイルを開く」という日常的な操作が突破口になるため、特定の高度な設定をしていない一般的な環境でも被害につながり得ます。更新が1台でも漏れると、そこを足がかりに社内ネットワーク全体へ攻撃が広がるリスクが残ります。
- Windows Updateを手動で実行し、全PCで10月分の更新が適用済みかを確認する（設定→Windows Update）
- Microsoft Office／Microsoft 365、Exchangeサーバーを自社運用している場合は、それぞれの更新も適用する
- Mark of the Web回避（CVE-2026-96951）は実被害が出ているため、心当たりのない添付ファイル・ダウンロードファイルを開かない運用を改めて周知する
- Windows 11 24H2のHome／Proを使っている場合は、サポート継続版（Enterprise／Educationや上位エディション、または新しいバージョン）への移行計画を検討する
アルカディア公表／NHK・ScanNetSecurity ほか ｜ 2026年10月13日公表
自治体向け防災メールシステム「SpeeCAN RAIDEN」に不正アクセス――最大約313万6,000件のメールアドレスが漏えいした可能性
システム開発会社のアルカディア（大阪府箕面市）は2026年10月13日、同社が運営する自治体向けの災害情報メール・防災アプリ配信システム「SpeeCAN RAIDEN」が第三者による不正アクセスを受けた疑いがあると公表しました。全国の自治体が住民向けの防災情報配信に利用しているシステムで、影響範囲が広い点が特徴です。
同社の公表によると、漏えいした可能性があるのは登録者のメールアドレス最大で約313万6,000件、電話番号最大で約10万5,000件、FAX番号最大で約1万5,000件です。いずれも最大の推定値として示されており、実際に外部へ持ち出されたかを含め、被害の詳細は調査中とされています。
流出の可能性があるのは連絡先情報が中心で、現時点でパスワードやクレジットカード情報が対象に含まれるとの公表はありません。ただし大量のメールアドレスが流出した場合、それらを宛先にしたフィッシングメールや、自治体を装った偽の防災情報メールに悪用されるおそれがあります。
自社でメール配信サービスや顧客向けアプリの基盤を外部ベンダーに委託している中小企業にとって、「委託先のシステムが攻撃され、自社が預けた連絡先が漏れる」という典型的なパターンです。自社のセキュリティが堅牢でも、預け先の一か所が破られれば顧客の連絡先が流出します。また、住民・顧客側から見れば「登録した覚えのある組織名」で届くフィッシングは見破りにくく、二次被害が広がりやすい点にも注意が必要です。
- メール配信・顧客管理などを外部に委託している場合、委託先に不正アクセスの検知体制とインシデント時の通知手順を確認する
- 委託先に預けている個人データの項目（メール・電話・氏名など）と件数を把握し、必要以上の情報を預けていないか見直す
- 自社の顧客・従業員に対し、「当社・自治体を名乗る不審なメールのリンクは開かない」よう平時から注意喚起しておく
- 自社が配信システムを運用している場合は、管理画面へのアクセス制限・多要素認証・アクセスログ監視を点検する
GitLab公表（Critical Patch Release） ｜ 2026年10月12日公開
GitLabにCVSS10.0の脆弱性（CVE-2026-97229）――認証なしで任意コード実行のおそれ、自社運用版は至急更新を
ソースコード管理・CI/CDプラットフォーム「GitLab」に、深刻度が最上位のCVSS 10.0と評価された脆弱性CVE-2026-97229が見つかり、GitLabは2026年10月12日に緊急の修正版を公開しました。CI/CD設定を処理する正規表現コンパイラの整数オーバーフローに起因し、特別に細工した正規表現を設定に含めることで、条件次第では認証されていない攻撃者がGitLabサーバー上で任意のコードを実行できるおそれがあります。
影響を受けるのは自社運用（Self-Managed）版のGitLab CE／EEで、19.2系は19.2.8未満、19.3系は19.3.5未満、19.4系は19.4.2未満が対象です。修正版は19.4.2／19.3.5／19.2.8で、GitLabはこれらへの速やかな更新を推奨しています。同じ修正では、構文ハイライトのクロスサイトスクリプティング（CVE-2026-92883）など複数の脆弱性もあわせて修正されています。
GitLabが提供するクラウド版（GitLab.com）はGitLab側で対応済みです。影響が大きいのは、社内サーバーやクラウド上に自前でGitLabを立てて運用しているケースです。
開発部門を持つ中小企業やソフトウェアを受託開発する事業者では、ソースコードや認証情報、CI/CDのデプロイ経路がGitLabに集約されていることが少なくありません。認証不要で任意コード実行が可能な脆弱性を突かれると、ソースコードの窃取だけでなく、ビルド・デプロイの仕組みを通じて本番環境や顧客向け製品にまで被害が波及するおそれがあります。自社運用版は自動更新されないため、放置されやすい点も危険です。
- 自社でGitLab（Self-Managed版）を運用しているか、運用していればバージョンを確認する（管理者画面またはサーバーで確認）
- 対象バージョンの場合は、19.4.2／19.3.5／19.2.8以降へ速やかに更新する
- 更新までの暫定対応として、インターネットからGitLabへ直接アクセスできる状態になっていないか（公開範囲・ファイアウォール）を点検する
- クラウド版GitLab.comのみを利用している場合は追加対応は不要だが、自社・委託先の開発基盤の構成を改めて棚卸しする
編集部まとめ
今号の優先順位は明確です。まずMicrosoftの10月更新を全PC・全サーバーで適用してください。1,413件と件数は多いものの、やるべきことはWindows UpdateとOffice／Microsoft 365の更新を漏れなく当てることに尽きます。悪用が確認済みのCVE-2026-96951は「怪しいファイルを開かない」という基本の徹底が効きます。
防災メールシステムの事案とGitLabの脆弱性は、いずれも「委託先・自社運用システムの管理」という共通の教訓を示しています。自社の対策だけでなく、預けている先・自前で立てた基盤まで含めて点検することが、連絡先流出やコード実行のような被害を防ぐ近道です。
参考情報
- JPCERT/CC 注意喚起 at260031「2026年10月 Microsoft 製品のセキュリティ更新プログラムに関する注意喚起」
- IPA「Microsoft 製品の脆弱性対策について(2026年10月)」
- 窓の杜「10月の『Windows Update』は初の脆弱性4桁で過去最多を更新」（2026年10月14日）
- アルカディア「SpeeCAN RAIDEN」不正アクセスに関する公表、NHK・ScanNetSecurity 報道（2026年10月13日）
- GitLab「Critical Patch Release: 19.4.2, 19.3.5, 19.2.8」（2026年10月12日、CVE-2026-97229 CVSS 10.0）