AI・システム・セキュリティのニュースまとめ（2026年10月23日 8時）

2026年10月22日8時から23日8時までに公表されたニュースのうち、公式発表を確認できた5件をまとめました（AI 1件、システム・開発基盤 1件、セキュリティ 3件）。セキュリティでは、JPCERT/CCがPHPの脆弱性について注意喚起を出したほか、国内の会員サービスとメール配信サービスで不正アクセスによる情報流出が公表されています。

当サイトでは、各社・各機関の公式発表を開いて内容を照合したうえで掲載しています。数字や日付は各項目末尾の出典番号から確認できます。

AI

1. CISAとカナダ当局が、AIサービスのトークン消費を管理するための指針を公表

米CISAとカナダのサイバーセキュリティセンター（Cyber Centre）などは2026年10月22日、外部のAIサービスを使う際のトークン消費の管理についての共同指針「Managing AI Token Consumption for Operational Resilience」を公表しました [1]。トークン消費を管理しないと、費用が予測できなくなることや、利用量を膨らませて費用を負わせる攻撃（denial-of-wallet）につながると指摘しています [1]。対策として、トークンの割り当ての優先順位づけ、キャッシュや再利用できる文脈の活用、送信前のデータの絞り込み、消費量の継続的な監視などを挙げています [1]。

企業・担当者が確認すること： 業務で使っているAIサービスのトークン消費を月次などで把握できているか、上限や監視を設定しているかを確認してください。AIに依存する重要な業務がある場合は、サービスが使えないときの代替手段も決めておく必要があります [1]。

システム・開発基盤

2. NVIDIAが、AI基盤の運用監視（AIOps）プラットフォーム「Minerva」を発表

NVIDIAは2026年10月22日、GPUやネットワーク機器などのインフラ情報とAIの処理状況を組み合わせて分析し、障害の兆候を早く見つけるためのAIOpsプラットフォーム「NVIDIA Minerva」を発表しました [2]。機器と実行中の処理のつながりを図として持ち、遅い処理の原因となっている部品をたどれること、大量のアラートを原因ごとの1件にまとめること、自然言語で状況を問い合わせられることなどを特徴としています [2]。発表では、IRENが既に利用しており、IBM、Lambda、Teslaなどが導入を予定しているほか、Dell Technologies、Lenovo、Supermicroが自社の製品群で提供するとしています [2]。価格は、発表には記載されていません。

企業・担当者が確認すること： 自社でGPUサーバーを運用している、または導入を検討している場合は、利用中のサーバーメーカーやクラウド事業者が対応を予定しているかを確認するとよいでしょう。

セキュリティ

3. JPCERT/CCが、PHPの複数の脆弱性（CVE-2026-109618、CVE-2026-109619）について注意喚起

JPCERT/CCは2026年10月22日、PHPの複数の脆弱性に関する注意喚起（JPCERT-AT-2026-0033）を公表しました [3]。PHP Groupは10月21日に修正版を公開しています [3]。対象は、PHP 8.5.12より前の8.5系、8.4.27より前の8.4系、8.3.36より前の8.3系、8.2.35より前の8.2系です [3]。PHP 8.1以前には修正版が提供されないため、サポート中のバージョンへの移行が求められています [3]。注意喚起では、修正版への更新を対策とし、更新できない場合の緩和策は特定の攻撃経路にしか対処できず根本的な解決にならないとしています [3]。

企業・担当者が確認すること： 自社サイトや業務システムのPHPのバージョンを確認し、修正版へ更新してください。あわせて、異常に長いPHPSESSIDのCookie、不審なmultipart/form-dataのリクエスト、その前後のメモリ上限エラーやHTTP 500エラーがないかなど、注意喚起に挙げられた痕跡を確認することが推奨されています [3]。PHPを組み込んだ製品やLinuxディストリビューションのPHPも、各提供元の情報を確認する必要があります [3]。

4. カプコン、「CAPCOM ID」への不正アクセスで1,177万4,247件のメールアドレスなどが流出

株式会社カプコンは2026年10月22日、オンライン会員サービス「CAPCOM ID」への不正アクセスにより、全世界で1,177万4,247件のメールアドレスとシステム上の識別情報（アカウント作成日時、最終ログイン日時、ログイン回数、最終ログイン時のIPアドレス）が流出したと公表しました [4]。このうち43件では生年月日・性別・国／地域・ニックネームも流出し、196件ではパスワードが不正に変更されていました（変更されたパスワードはリセット済み）[4]。利用者が設定したパスワード自体の流出は確認されておらず、クレジットカード情報は含まれていないとしています [4]。 10月19日に不正アクセスの痕跡を確認し、10月21日に警察と個人情報保護委員会へ報告したとしています [4]。

企業・担当者が確認すること： 流出したメールアドレスを使い、カプコンや関係者を装った不審なメールが届くおそれがあるとカプコンは注意を呼びかけています [4]。社内でも、心当たりのないメールのURLや添付ファイルを開かないよう周知しておくとよいでしょう。

5. メール配信サービス「ブラストメール」で不正アクセス、全契約者の情報が持ち出される

ブラストメールを提供する株式会社ラクスライトクラウドは、10月22日17時00分、サービスの緊急停止と個人情報の漏えいについての報告を更新しました [5]。外部の第三者がAPI用のサーバー2台に侵入してコマンドを実行し、販売管理システムとサービスのデータベースからデータを持ち出したとしています [5]。販売管理システムからは全契約者の会社名・担当者名・電話番号・メールアドレス・請求先メールアドレス・契約と支払いの履歴が持ち出され、一部の契約者については配信先のリストなど配信に関する情報の漏えいも確認したとしています [5]。侵入経路は調査中です [5]。サービスは10月21日0時30分から緊急停止しており、再開の日時は未定です。10月22日14時頃から個別の案内を始めており、次回の報告は10月23日10時頃の予定としています [5]。

企業・担当者が確認すること： ブラストメールを利用している場合は、同社からの個別の案内と10月23日10時の続報を確認してください [5]。配信リストを預けていた場合は、配信先の個人情報の扱いについて自社の報告・通知の要否も検討が必要になります。

本記事は、各項目の出典に記載された内容のみをもとに作成しています。件数や原因は、今後の続報で変わる可能性があります。