【まとめ】シェミハザと振り返るネット安全（10/26〜10/31）見破りクイズ4問付き

こんにちは！守護者（センチネル）、シェミハザです。10月26日から31日までの1週間を振り返ります。

この1週間の「ネット安全」— 5つの止まる場所

10/26　「ポイント」「還付金」のリンクからアプリを入れたら｜「ユーザー補助」を許可しない

JC3（日本サイバー犯罪対策センター）が2026年10月15日に公開した「偽アプリの導入による金銭被害」が題材です。ポイントや還付金をうたうメールのリンクや、「18+」を付けた正規アプリ名のSNS広告から偽アプリを入れさせ、スマホを遠隔操作して金銭を盗む手口です。
被害の件数や金額は、JC3のページに載っていません。
だから、リンクからアプリを入れず、「ユーザー補助（アクセシビリティ）」のような高い権限を求められたら、許可する前に止まってください。入れてしまったら、すぐ削除して警察へ。

10/27　パソコンに警告音と電話番号が出たら｜電話せず、ESCキーを長押し

IPAが2026年10月23日に公表した、7〜9月の相談状況が題材です。相談の総数3,369件のうち、「ウイルス検出の偽警告」が1,160件（34.4%）で手口別の最多でした。4〜6月の1,428件から減りましたが、1年前の同じ時期（647件）の約1.8倍です（この倍率は当サイトの計算）。
この数字は相談件数で、被害の件数や金額ではありません。
だから、画面に出た番号には電話せず、ESCキーを長押しして閉じてください。画面が出ているだけなら、ウイルスには感染していません（IPA）。

10/29　著名人が勧める投資グループに誘われたら｜個人名義の口座へ振り込む指示が出た時点で詐欺

国民生活センターが2026年9月1日に出した注意喚起と、警察庁が10月2日に公表した8月末の暫定値が題材です。警察庁の統計では、SNS型投資詐欺は7,097件、被害額は937.4億円でした。国民生活センターは、株やFXの本物の取引で、個人名義の口座に投資資金を振り込むことはない、と書いています。
数字は暫定値で、今後変わることがあります。
だから、振込先が個人名義の口座になった時点で止まってください。「出金には手数料や税金が先に必要」と言われても、追加では払いません。

10/30　断ったのに海産物が代引で届いたら｜受け取りを拒否して代金は払わない

国民生活センターが2026年10月28日に出した、海産物の電話勧誘販売・送り付けトラブルへの注意喚起が題材です。相談は年末に増える傾向があり、契約した本人は70歳代以上が目立つ、と書いています。
国民生活センターのページから、この記事で使った細かい件数をこのまとめでは取り直していません。件数は10月30日の記事を確認してください。
だから、断ったのに代引で届いたら、宅配業者に事情を話して受け取りを拒否し、代金は払わないでください。送り主の名称と所在地をメモし、迷ったら消費者ホットライン188です。

10/31　宅配の「不在連絡」SMSが届いたら｜URLを押さず、荷物は公式アプリか注文履歴で確認

ヤマトホールディングスが2026年8月14日付で出した「不審な電話」への注意と、フィッシング対策協議会が10月19日に公表した9月の月次報告が題材です。協議会は、SMSから誘導するフィッシングの報告は減っているものの、宅配業者をかたる文面を9月も受けている、と書いています。
宅配業者をかたるSMSだけの件数は、報告書から分かりません。9月の報告件数94,661件は、メールやSMSなどを合わせた全体の数字です。
だから、SMSのURLは押さず、荷物は公式アプリか注文履歴で確認してください。「+」で始まる番号の自動音声は、「1を押して」と言われても押さずに切ります。

エンジニア向け：この1週間のセキュリティアラート（11月1日時点の続報つき）

CVE 5件（記事4本）を扱いました。CISAのKEV（悪用が確認された脆弱性のカタログ）には、5件すべてが載っています（2026年10月30日版のカタログ（1,766件）で確認）。CISAの評価（SSVC）は、5件とも悪用状況が「active」、技術的影響が「total（全面的）」です。
NVDの状態は、Collabora・Fragnesiaが「Analyzed（分析済み）」、PHPの2件が「Undergoing Analysis（分析中）」、GitLabが「Modified」でした（11月1日に取り直し）。
各製品の修正版や緩和策は、このまとめでは取り直していません。対処は、それぞれの記事を確認してください。PHPの版の調べ方は、10月26日の確認ガイドにまとめています。

【緊急】Nextcloud「Collabora Online - Built-in CODE Server」CVE-2026-110447（CVSS v4.0: 9.2 CRITICAL）— KEVは10月23日に追加

10月26日の記事から、NVDの評価が変わっていました。記事には「NVD自身のスコアは10月24日の更新時点でも付いていない（Deferred）」と書きましたが、今は状態が「Analyzed」で、NISTがCVSS v3.1で9.8（CRITICAL）を付けています（10月30日更新）。記事に表示したv4.0の9.2は、採番側（MITRE）の値です。CISAの評価は、自動化がyesです。
対処は変わりません。richdocumentscodeを26.4.303以上へ更新するか、アプリを削除します。「無効」にするだけでは足りません。

【緊急】PHP CVE-2026-109618・CVE-2026-109619（CVSS v4.0: 9.2が2件）— KEVは10月26日に追加

NVDの状態が、「Analyzed」から「Undergoing Analysis（分析中）」に変わっていました（10月30日更新）。10月27日の記事には、10月26日に「Analyzed」だったと書きました。状態が戻った理由は、NVDの画面から分かりません。NISTのCVSS v3.1は、CVE-2026-109618が9.8（CRITICAL）、CVE-2026-109619が8.1（HIGH）のまま載っています。v4.0の9.2は、採番元のPHPグループの値です。CISAの評価は、2件とも自動化がnoです。
対処は変わりません。8.5.12／8.4.27／8.3.36／8.2.35へ更新します。

【緊急】Linuxカーネル「Fragnesia」CVE-2026-46300（CVSS v3.1: 7.8 HIGH）— KEVは10月28日に追加

NVDの状態は「Analyzed（分析済み）」で、評価は変わっていません。NIST・Red Hat・CVE.orgのいずれも、v3.1で7.8（HIGH）です。CISAの評価は、自動化がnoです。
対処は変わりません。ディストリビューションのカーネル更新を入れて、再起動します。PHPを使うサーバーは、PHPとカーネルの両方を更新してください（10月29日の記事より。CISAのKEVの説明が、この2つをつなげた攻撃に触れています）。

【緊急】GitLab CVE-2026-97229（CVSS v3.1: 10.0 CRITICAL）— KEVは10月29日に追加

NVDの状態は「Modified」で、最終更新は10月31日です。NIST自身のスコアは、まだ付いていません。載っているのは、GitLab自身（CNA）のv3.1の10.0だけです。CISAの評価は、自動化がyesです。米国の連邦民間機関への対処期限は、11月1日とされています。
対処は変わりません。自分で運用しているGitLab（セルフマネージド）は、最新のパッチ版へ更新します。10月12日の版では足りません（同じ種類の別のCVE-2026-110264が、10月21日に修正されています）。

今回の見破りクイズ — 力試し4問

この1週間の記事を読んでいれば見破れるはずです。前半3問はご家族と、最後の1問は仕事仲間と一緒にどうぞ。

この1週間の記事一覧

家族に送るならこの3行

• ▸「番号に電話して」「個人名義の口座へ振り込んで」「代金は代引で」「URLを押して」「高い権限を許可して」と言われたら、その場で一度止まって。今週扱った5つの手口は、どれも止まる場所が1つに決まっていました。
• ▸画面の番号、SMSのURL、届いた荷物の送り主の連絡先は使わず、自分で公式を開いて確かめて。パソコンの偽警告はESCキーの長押しで閉じられます。
• ▸迷ったら、一人で決めず自分から相談して。警察相談専用電話 #9110、お金の支払いや契約のことは消費者ホットライン 188（局番なし）へ。（#9110、188は日本国内の番号です）

困ったときは

「しまった！」と思ったら、落ち着いて順番に対処すれば大丈夫です。恥ずかしいことではありません。

お金を払ってしまった・請求で困っている → 消費者ホットライン 188（局番なし）
詐欺や犯罪かもしれない・相談先が分からない → 警察相談専用電話 #9110
アカウントを乗っ取られた・怪しいものを開いてしまった → 下の「被害別・緊急対応ガイド」に症状別の手順があります。