ニュース＆アップデート

PHPの重大な脆弱性によりオランダの公共サービスが停止

2026年10月21日、PHP開発チームは2件の重大な脆弱性、CVE-2026-109618 と CVE-2026-109619 を公開しました。いずれもCVSSスコアは9.2で、遠隔からのコード実行を可能にし、PHP 5.4以降のすべてのバージョンが影響を受けます。オランダでは DigiD、MijnOverheid、下院、国家サイバーセキュリティセンター自身、スキポール空港、六つの病院が予防措置としてサービスを停止しました。製造者にとって問題は二点です。この構成要素は自社製品に含まれているか、そしてどのバージョンか。さらに、報告義務はあるか。実際に悪用されている脆弱性は24時間以内に報告する必要があり、それが自社のコードではなく同梱した構成要素にある場合も同様です。既知であってもまだ悪用されていない脆弱性には、この期限は適用されません。PHP 7.4を使用している場合、修正を適用するか待つかという選択肢はありませんでした。このバージョンは2022年11月にサポートが終了しており、修正は提供されません。

詳細な分析を読む  ·  悪用時の報告義務

フランスの数百店舗のスーパーで冷却設備が遠隔から加熱される

2026年10月11日から12日の夜、攻撃者がフランスの推定250〜350店舗のスーパーマーケットの冷却設備を常時デフロスト状態にし、温度は摂氏50度近くまで上昇しました。影響を受けたチェーンにはIntermarché、Netto、Coopérative U、Leclerc、Carrefour Market、Monoprixが含まれます。アルザス地方の1店舗は22万ユーロを超える損害を報告し、全国規模では被害は数百万ユーロに達します。デンマークのメーカーDanfossの制御パネルは、保守会社が遠隔で調整できるようインターネットから到達可能であり、被害を受けた機器は古いファームウェアで稼働していました。CISAは2025年5月の時点でAK-SM 8xxAシリーズの認証バイパス（CVE-2025-41450）を警告していました。冷却コントローラは目立たない機器に見えますが、デジタル要素を備えた製品です。CRAは安全な初期設定、遠隔アクセス時の認証、セキュリティ更新を伴うサポート期間、そして実際に悪用された脆弱性の報告を求めています。この事案は、その土台を欠いた場合の代償を示しています。データ漏えいではなく、数日分の売上、傷んだ在庫、そして営業停止です。

CRAが製品に求めるもの  ·  悪用時の報告義務

ENISAの報告プラットフォームが稼働開始

ENISAのシングル・レポーティング・プラットフォームは2026年9月11日から portal.cra-srp.enisa.europa.eu で稼働しています。授権代理人向けのマニュアル、チュートリアル動画、入力項目の用語集が提供されています。APIはなく、登録と報告は手作業で行います。最終報告の期限は2種類ある点にご注意ください。脆弱性の場合は是正措置または緩和措置が利用可能になってから14日以内、重大なインシデントの場合は72時間通知から1か月以内です。オープンソース・スチュワードの義務は2027年12月11日からで、任意の報告はまだ利用できません。

SRPに登録する  ·  通知を提出する

CRAの報告義務が2026年9月11日から適用

CRAのインシデントおよび脆弱性の報告義務は、2026年9月11日からENISA単一報告プラットフォームを通じて適用されます。ENISAは、FAQ、2ページの概要資料、登録および通知提出に関する手順ガイドを公開しました。さらにENISAは、製品ライフサイクル全体をカバーする22の実践的プレイブックからなる「Secure by Design and Default Playbook」を公開し、国際パートナーは2026年版のソフトウェア部品表（SBOM）最小要素を公表しました。

SRPに登録する  ·  通知を提出する

欧州委員会がCRA実施に関する公式ガイダンスを公表

欧州委員会は、サイバーレジリエンス法（CRA）の実施に関する公式ガイダンスを公表しました。製品の適用範囲（リモートデータ処理ソリューションやフリー／オープンソースソフトウェアを含む）、「実質的な変更」の定義、サポート期間の適用方法、報告義務およびリスク評価要件を明確化しています。中小企業・零細企業向けに、67の実践例、ユースケース、フローチャートが含まれています。

ENISA、CRA報告のFAQを更新し安全な更新に関する意見募集を開始

ENISAは、CRA単一報告プラットフォームに関するFAQを更新し、第14条に基づくインシデント報告で製造者が記入すべきデータ項目を示しました。また、中小企業向けの安全なアップデートの仕組みに関する技術勧告案について、2026年7月10日まで公開協議を実施しています。

OpenSSF、EU サイバーセキュリティ法改訂へのフィードバックを提出

OpenSSFはコミュニティを代表し、EU の2つの公開協議（サイバーセキュリティ法改訂およびNIS2指令の修正）へのフィードバックを提出しました。また、SME向けENISA「セキュア・バイ・デザイン」プレイブックへの意見も提供しました。

ENISA、SME向け「セキュア・バイ・デザイン」プレイブックを公開

ENISAは、SMEが設計段階からセキュリティを製品に組み込む支援を目的とした草案プレイブックを公開しました。エンジニアリング・製品・リリースプロセスへの実践的なステップが含まれています。

サイバーレジリエンス法が正式に発効

CRAは2024年12月10日に発効しました。デジタル要素を含む製品のメーカー、輸入業者、販売業者は2027年12月11日までに新たな要件を遵守する必要があります。