サイバーセキュリティ

Weekly Report: JPCERT/CCが2026年7月から9月分の「JPCERT/CC 四半期レポート」を公開

JPCERT/CCは2026年10月28日、10月18日〜24日分のセキュリティ関連情報13件を紹介する週間レポートを公開しました。VeloCloud OrchestratorのSQLインジェクション脆弱性や、PHPの複数のリモートコード実行につながる脆弱性（CVE-2026-109618、CVE-2026-109619）に関する注意喚起などが含まれます。あわせて、2026年7月から9月分の四半期レポートと脆弱性関連情報の届出状況も公開されました。

最終確認日: 2026-10-28

この発表の要点

10/18〜10/24に確認されたセキュリティ関連情報は13件で、PHPの脆弱性（CVE-2026-109618、CVE-2026-109619）はリモートコード実行につながるとされている
VeloCloud Orchestratorの脆弱性は、Aristaが悪用を確認しているとされ、オンプレミス版は修正済みバージョンへの更新が案内されている
2026年7月から9月分の四半期レポートおよび脆弱性関連情報の届出状況が公開された

企業・自治体への影響

IT・ソフトウェア分野を中心に、社内で利用しているサーバーソフトウェア、Webアプリケーション、開発基盤、メールシステム等を管理する情報システム部門に影響します。特にPHP、VeloCloud Orchestrator、Cisco製品、Oracle製品などを利用している場合は、対象範囲の確認と更新作業が必要になる可能性があります。

対応すべきこと

情報システム部門で、自社が利用する製品（PHP、VeloCloud Orchestrator、Cisco、GitLab、Oracle等）が本レポートの対象に該当するかを確認する
PHPを利用している場合は、利用バージョンがサポート終了していないかを確認し、修正版への更新計画を立てる
オンプレミス版のVeloCloud Orchestratorを利用している場合は、各公式情報で修正済みバージョンを確認して更新する
詳細は公式出典（JPCERT/CC、開発者の公式情報）で確認し、対応状況を関係部門で共有する

対象部門： 情シス経営者

対応期限：速やかに確認

基本データ

企業・団体	JPCERT/CC
業界	IT・ソフトウェア
発表日	2026-10-28
分類	サイバーセキュリティ

発表された内容

JPCERT-WR-2026-1028
JPCERT/CC
2026-10-28

<<>>
■10/18(日)〜10/24(土) のセキュリティ関連情報
目次

【1】VeloCloud OrchestratorにSQLインジェクションの脆弱性

【2】ISC BINDに複数の脆弱性

【3】複数のCisco製品に脆弱性

【4】GitLabに複数の脆弱性

【5】Apache Tomcatに複数の脆弱性

【6】Google Chromeに複数の脆弱性

【7】複数のAtlassian製品に脆弱性

【8】複数のMozilla製品に脆弱性

【9】LaravelのTokenGuardに認証回避につながる脆弱性

【10】Roundcube Webmailに複数の脆弱性

【11】MOVEit Transferに複数の脆弱性

【12】複数のOracle製品に脆弱性

【13】PHPにおける複数の脆弱性（CVE-2026-109618、CVE-2026-109619）に関する注意喚起

【14】JPCERT/CCが2026年7月から2026年9月分の「ソフトウェア等の脆弱性関連情報に関する届出状況」を公開

【15】JPCERT/CCが2026年7月から9月分の「JPCERT/CC 四半期レポート」を公開

※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/

【1】VeloCloud OrchestratorにSQLインジェクションの脆弱性

情報源

Security Advisory 0199 - Arista

October 22, 2026 VeloCloud Orchestrator (VCO) on-prem has a security issue where this issue may allow a remote attacker ...

概要
Aristaが提供するVeloCloud Orchestratorには、SQLインジェクションの脆弱性があります。Aristaは、今回修正された脆弱性を悪用した攻撃を確認しているとのことです。ホスト型はすでに修正済みです。オンプレミス版の利用者は、当該製品を修正済みのバージョンに更新してください。詳細は、開発者が提供する情報を参照してください。

【2】ISC BINDに複数の脆弱性

情報源

JVNVU#91196958: ISC BINDにおける複数の脆弱性（2026年10月）

Japan Vulnerability Notes

概要
Internet Systems Consortiumが提供するBINDには、複数の脆弱性があります。この問題は、当該製品を修正済みのバージョンに更新することで解決します。詳細は、開発者が提供する情報を参照してください。
関連文書

List of BIND Security Advisories

This is a complete list of all BIND security advisories, both current and historical. Advisories apply only to particula...

【3】複数のCisco製品に脆弱性

情報源

Cisco Expressway Series Remote Code Execution Vulnerability

A vulnerability in the database service feature of Cisco Expressway Series could allow an unauthenticated, remote attack...

概要
複数のCisco製品には、脆弱性があります。この問題は、当該製品を修正済みのバージョンに更新することで解決します。詳細は、開発者が提供する情報を参照してください。
関連文書

Security Advisories

【4】GitLabに複数の脆弱性

情報源

GitLab Critical Patch Release: 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10, 18.11.13 | GitLab Docs

Learn more about GitLab Critical Patch Release: 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10, 18.11.13 for GitLab Com...

概要
GitLabには、複数の脆弱性があります。この問題は、当該製品を修正済みのバージョンに更新することで解決します。詳細は、開発者が提供する情報を参照してください。

【5】Apache Tomcatに複数の脆弱性

情報源

JVNVU#93110597: Apache Tomcatにおける複数の脆弱性（2026年10月20日）

Japan Vulnerability Notes

概要
Apache Tomcatには、複数の脆弱性があります。この問題は、当該製品を修正済みのバージョンに更新することで解決します。詳細は、開発者が提供する情報を参照してください。
関連文書

Pony Mail

【6】Google Chromeに複数の脆弱性

情報源

Stable Channel Update for Desktop

?? The Chrome team is delighted to announce the promotion of Chrome 156 to the stable channel for Windows, Mac and Linux...

概要
Google Chromeには、複数の脆弱性があります。この問題は、当該製品を修正済みのバージョンに更新することで解決します。詳細は、開発者が提供する情報を参照してください。

【7】複数のAtlassian製品に脆弱性

情報源

Security Bulletin - October 20 2026 | Atlassian Support | Atlassian Documentation

概要
複数のAtlassian製品には、脆弱性があります。この問題は、当該製品を修正済みのバージョンに更新することで解決します。詳細は、開発者が提供する情報を参照してください。

【8】複数のMozilla製品に脆弱性

情報源

Security Vulnerabilities fixed in Firefox 158.0.1

概要
複数のMozilla製品には、脆弱性があります。Firefox、Firefox ESR、Thunderbird、Firefox for Androidが影響を受けます。この問題は、当該製品を修正済みのバージョンに更新することで解決します。詳細は、開発者が提供する情報を参照してください。
関連文書

Mozilla Foundation Security Advisories

【9】LaravelのTokenGuardに認証回避につながる脆弱性

情報源

Token-based API guard Auth Bypass

Laravel's built-in TokenGuard, **when configured with a standard token-based API guard**, may be bypassed to authenticat...

概要
Laravelに標準搭載されているトークン認証機構「TokenGuard」には、特定の構成において認証回避につながる脆弱性があります。この問題は、当該製品を修正済みのバージョンに更新することで解決します。詳細は、開発者が提供する情報を参照してください。

【10】Roundcube Webmailに複数の脆弱性

情報源

Security updates 1.6.20 and 1.7.5 released

Free and open source webmail software for the masses, written in PHP

概要
Roundcube Webmailには、複数の脆弱性があります。この問題は、当該製品を修正済みのバージョンに更新することで解決します。詳細は、開発者が提供する情報を参照してください。

【11】MOVEit Transferに複数の脆弱性

情報源

Progress Customer Community

概要
Progress Softwareが提供するMOVEit Transferには、複数の脆弱性があります。この問題は、当該製品を修正済みのバージョンに更新することで解決します。詳細は、開発者が提供する情報を参照してください。

【12】複数のOracle製品に脆弱性

情報源

Oracle Critical Patch Update Advisory - October 2026

概要
複数のOracle製品には、脆弱性があります。対象となる製品およびバージョンは多岐にわたります。この問題は、Oracleが提供するセキュリティパッチを適用することで解決します。詳細は、開発者が提供する情報を参照してください。

【13】PHPにおける複数の脆弱性（CVE-2026-109618、CVE-2026-109619）に関する注意喚起

情報源

PHPにおける複数の脆弱性（CVE-2026-109618、CVE-2026-109619）に関する注意喚起

概要
PHPには、複数のリモートコード実行につながる脆弱性があります。本脆弱性を悪用できると主張する実証コードが多数公開されているほか、本脆弱性の悪用を試みる通信を観測したとの報告も相次いでいます。この問題は、バージョンアップを実施することで解決します。ただし、すでにサポートが終了したバージョンに関しては修正版はリリースされません。詳細は、開発者が提供する情報を参照してください。

【14】JPCERT/CCが2026年7月から2026年9月分の「ソフトウェア等の脆弱性関連情報に関する届出状況」を公開

情報源

https://www.jpcert.or.jp/pr/2026/vulnREPORT_2026q3.pdf

概要

出典: www.jpcert.or.jp
URL: https://www.jpcert.or.jp/wr/2026/wr261028.html#15

時系列

2026-10-18　週間レポートの対象期間（10/18(日)〜10/24(土)）の開始日
2026-10-24　週間レポートの対象期間（10/18(日)〜10/24(土)）の終了日
2026-10-28　JPCERT/CC WEEKLY REPORT 2026-10-28として、セキュリティ関連情報および四半期レポート等を公開

主な数値

紹介したセキュリティ関連情報の件数	13件
対象期間	10/18(日)〜10/24(土)期間
PHPの脆弱性識別子	CVE-2026-109618、CVE-2026-109619CVE番号
四半期レポートの対象期間	2026年7月から9月分期間

この事例から確認すべきポイント

本レポートは、10月18日〜24日に確認されたソフトウェアの脆弱性情報を一覧化したものです。特にPHPの脆弱性については、リモートコード実行につながるものとされ、実証コードの公開や悪用を試みる通信の観測報告が相次いでいると記載されています。また、VeloCloud Orchestratorについては、Aristaが修正済みの脆弱性を悪用した攻撃を確認しているとされ、ホスト型は修正済み、オンプレミス版は修正済みバージョンへの更新が案内されています。ほかの製品についても、基本的に修正済みバージョンへの更新で解決するとされています。一方、取得した本文では、各脆弱性の影響範囲、対象バージョン、深刻度などの詳細は確認できませんでした。詳細は各開発者の公式情報をご確認ください。自社で利用している製品が対象に含まれるかを確認し、必要に応じて更新計画を立てることが実務上の基本となります。

公式出典

更新履歴

公開日: 2026-10-28 ／最終確認: 2026-10-28

執筆・確認主体

この記事は、上記の公式出典を一次情報として PRaze編集部（株式会社スキルマーク）が構造化・要約したものです。要約と分類の生成にはAIを使用しています。

数値・日付・組織名・金額は公式発表の原文から転記しており、原文に記載のない事項を補って書くことはしていません。内容の正確性は公式出典をご確認ください。

編集・公開: PRaze編集部（株式会社スキルマーク）／出典確認日: 2026-10-28