情報セキュリティの分野において、ブラック・オクトーバー（）とは、複数の重大なセキュリティインシデントや脆弱性の公表が相次いだ2026年10月に与えられた通称である。一連のインシデントは、脆弱性調査における人工知能（AI）の利用拡大と、AIの幅広く利用されているソフトウェアやインターネットインフラにもたらす影響について、注目を集めた。

この期間には、PHP2Shell脆弱性の公表、LiteLLMを標的としたソフトウェアサプライチェーン攻撃、そしてeMudhraが運用する中間認証局の鍵が侵害されるといった事案が発生した。また、Node.jsに関するセキュリティアップデートも行われ、Brotli展開処理の実装における悪用可能な欠陥を含む、複数の脆弱性が修正された。さらに、GitLabの深刻な脆弱性も修正され、その詳細が公開された。

主なインシデント

eMudhra認証局の侵害

2026年10月17日、セキュリティ研究者が、インドのデジタル・トラスト・プロバイダーであるeMudhraが運用する8つの中間認証局（CA）証明書に関連する秘密鍵について、暗号学的に脆弱であることを報告した。これらの鍵は、2025年4月に鍵生成を行った際、十分な乱数を用いずに生成されていた。そのため、鍵を復元することが可能となり、脆弱なクライアントから信頼されてしまう不正な証明書を作成できる状態にあった。

この発見を受け、主要なブラウザベンダー各社は緊急対応に乗り出した。Google Chromeは「CRLSet」メカニズムを通じて影響を受ける公開鍵をブロックし、MozillaはOneCRLを通じてFirefoxユーザーに失効情報を配布した。これらの保護措置は、ブラウザの即時再起動を要することなく適用された。

eMudhraは、影響を受けた中間認証局からエンドエンティティ証明書が発行された事実は見つかっておらず、同社のインフラストラクチャや顧客データが侵害された証拠も見つかっていないと述べた。

10月22日、eMudhraは、今回のインシデントと、それに伴う大手テクノロジー企業からの信頼喪失を受けて、グローバルSSL/TLS証明書事業から撤退すると発表した。

PHP2Shell脆弱性

2026年10月21日、PHP開発チームは、PHP2Shellと総称される2つの重大な脆弱性（CVE-2026-109618およびCVE-2026-109619）に対処する緊急セキュリティアップデートをリリースした。これらの脆弱性はPHPのコアインタープリタに影響を及ぼすものであり、認証されていない攻撃者が、脆弱なWebサーバー上で任意のコードを実行できる可能性がある。

Wizの研究者らは、PHPにおけるメモリ管理の不備（解放済みメモリの再利用や、リクエスト間における無効な内部状態の残存など）に起因する脆弱性を報告した。研究者らは、WordPress、Drupal、Joomlaのインストール環境に対して、リモートコード実行（RCE）が可能であること、および機密性の高いプロセス上のメモリ内容が漏洩し得ることを実証した。

この調査では、AIを活用した脆弱性の発見およびエクスプロイトの開発が行われた。PHPは広く普及しているため、ウェブサイトやウェブアプリケーションが危険にさらされる可能性が懸念されている。

PHPプロジェクトは10月21日、修正を適用したバージョン8.2.35、8.3.36、8.4.27、および8.5.12をリリースした。アメリカ国家安全保障局（NSA）も、影響を受けるシステムに対して緊急のパッチ適用を推奨する勧告を出した。

LiteLLMのサプライチェーン攻撃

2026年10月21日、複数の大規模言語モデル（LLM）プロバイダーにアクセスするためのオープンソースのゲートウェイであるLiteLLMのリリースインフラが、ソフトウェア・サプライチェーン攻撃によって侵害された。攻撃者は、悪意のあるバージョン1.107.0をPython Package Index（PyPI）に公開し、侵害されたコンテナイメージをDockerレジストリを通じて配布した。

この悪意のあるリリースには、認証情報を窃取するソフトウェアと、リモートアクセス機能が含まれていた。調査担当者によると、このマルウェアは、ブラウザに保存された認証情報、クラウドサービスのシークレット、開発者用認証トークン、およびAIサービスで使用されるAPIキーを標的にしていたという。

LiteLLMのインシデントレポートによると、侵害されたPyPIパッケージは、2026年10月21日の11:39から13:23（UTC）の間に利用可能な状態となっていた。影響を受けたDocker Hubイメージは、同日の11:46から14:20（UTC）頃にかけて配布されていた。侵害されたパッケージは、その後削除または置き換えられた。

その後の調査により、攻撃者が開発者の認証情報を入手し、プロジェクトのリリースワークフローを操作して悪意のある成果物を公開していたことが判明した。LiteLLMは、影響を受けたユーザーに対し、侵害された環境を再構築し、漏洩した可能性がある認証情報をローテーションするよう推奨した。

GitLabのリモートコード実行 10月21日、GitLab Inc.は、特定の条件下において、攻撃者がセルフマネージドのGitLabインスタンス上でリモートコード実行を行えるようになる脆弱性に対する修正をリリースした。 GitLabは、具体的にどの条件で可能になるのかについては明言していない。

関連項目

永遠の9月

出典