# PHP、Node.js、証明書に相次ぐセキュリティ警告。AI 時代、企業に残された対応時間は？

資料整理・分析：Protico Community Intelligence — PHP、Node.js、証明書に相次ぐセキュリティ警告。AI 時代、企業に残された対応時間は？ · 資料確認日: 2026-10-22 · https://labs.protico.io/enterprise-cybersecurity/php-nodejs-certificate-vulnerabilities/ja/

公開脆弱性データ、最近の事例、企業の費用を整理し、対応時間と、サービス上の約束・連絡体制・利用者保護の見直しを考える特集です。

## 調査スナップショット

- 完全な月次データ: 2024-01 → 2026-09 (33)
- 月途中の集計: 2026-10-01 → 2026-10-21
- CVE snapshot: 2026-10-22T07:01:20.491Z
- KEV latest catalog entry: 2026-10-20
- Reference date: 2026-10-22

## 引用できる数値

| 数値の整理方法 | 2025-10-01 → 2025-10-21 | 2026-10-01 → 2026-10-21 | YoY |
| --- | ---: | ---: | ---: |
| 公開された CVE | 2,719 | 12,543 | +361.3% |

IDC の 2026 年 3 月の予測では、世界のセキュリティ支出は 2026 年に 3,080 億米ドル、2029 年に 4,300 億米ドルです。どちらも 2026 年 3 月版の予測です。 [IDC](https://www.idc.com/resource-center/press-releases/wwsecuritysg/)

M&S は 2026 年 3 月期に 1 億 3,130 万ポンドの事件関連費用を計上し、保険金は別に記載しました。費用の範囲はシステム対応、復旧、外部専門家の支援で、営業への影響は決算で別途説明されています。 [M&S](https://corporate.marksandspencer.com/newsroom/press-releases/full-year-results-52-weeks-ended-28-march-2026)

## 数値の整理方法

CVE は公開月、KEV は登録月で集計。それぞれ公開と目録更新のペースを示します。

- CVE は 2026-10-22 に取得した NVD 公式 API 応答を使用します。UTC の公開日で照会し、noRejected で却下済み記録を除外した totalResults を件数に用います。元の応答は研究データパッケージに保存しています。
- KEV は CISA の dateAdded ごとに月次集計し、既知の悪用記録が目録に追加された時期を示します。
- CVE 公式四半期統計は独立した参考系列として示しています。

## 数値と一緒に伝えたいこと

- 前年同月比較は 2025 年と 2026 年の 10 月 1〜21 日を対象にし、両年とも 21 日間にそろえています。図は完了した 33 か月と、2026 年 10 月 21 日までの途中集計を分けて示します。
- AI モデルの日付は背景情報です。増加への AI の寄与を調べるには、各脆弱性の調査ツール、発見者、その他の要因の情報が必要です。
- 世界の支出予測、調査平均、企業の決算は、それぞれの通貨、期間、集計範囲を保って示しています。

## 台湾から世界へ。企業のサービスをつなぐ共通のリスク。

91APP は商取引データベースへの攻撃を報告しました。Zeabur の調査は複数地域の運用環境に及び、Railway は環境変数へのアクセスの可能性を公表しています。台湾の企業に身近なサービスからクラウド基盤まで、企業データ、認証情報、関連サービスのつながりが見える事例です。

### 91APP · 2026年10月16日

91APP は Commerce Cloud データベースへの自動攻撃と、一部情報の取得を公表しました。

外部調査を開始し、影響を受けた顧客にメールで通知して対応を案内しています。 [91APP](https://91app.com/blog/91app-202610-security/)

### Zeabur · 2026年10月14〜15日

Zeabur は環境変数とアカウント情報へのアクセスを確認。内部認証情報の更新不足が判明しました。

事件は複数地域の運用環境に及び、関連サービスの認証情報や API キーにも関係しています。 [Zeabur](https://zeabur.com/blogs/october-2026-security-incident)

### Railway · 2026年10月21〜22日

Railway の調査では、第三者が一部環境変数の復号内容を取得した可能性が示されています。

10月22日の続報：Railway はバケット認証情報をリセット。利用者にはバケットサービスの再デプロイ、GitHub の再接続、Railway から削除されたレジストリトークンを GitHub 側で失効させる対応が求められています。 [Railway](https://blog.railway.com/p/security-disclosure-wednesday-october-21st)

10月21日夜、高市早苗首相は X で、PHP を使っているか確認し、更新に備えるよう呼びかけました。普段はエンジニアが担うソフトウェアの更新について、首相自ら注意を促した形です。 [X](https://x.com/takaichi_sanae/status/2112890642590564386)

## Protico の見解

セキュリティ事件は、企業と利用者の責任や信頼にも関わります。Protico は、利用規約、プライバシーの説明、社内手順がこうした変化にどう対応するかに注目しています。NIST、CISA などの公開指針から、通知、役割分担、支援窓口に関する五つの観点を整理しました。

### 顧客・利用者と、インシデント対応方針を改めて確認する。

顧客や利用者と、問題が起きたときの標準的な対応手順を再確認します。対応を始める条件、担当者、連絡方法、続報の時期を共有し、サービス停止中も窓口を確認できるようにして、影響範囲と対応状況を伝えます。

### それぞれがすることを、具体的に伝える。

会社が担う更新、アカウント保護、データ管理を説明します。利用者が端末の更新、認証情報の再設定、不審なログインの確認を行う場面も、身近な例で示します。

### 外部ツールのセキュリティ要件と基準を継続的に把握する。

外部サービスや AI ツールのセキュリティ要件、データの利用目的、アクセス権限、インシデント通知、支援体制を定期的に確認します。提供元が機能、規約、安全対策を変更した際は、現在の利用方法への影響を確認し、社内ルールと対応手順を見直します。

### 困った人が、すぐに相談先を見つけられるように。

アカウント復旧、データの開示・訂正・削除の申請方法や苦情窓口を、見つけやすい場所にまとめます。規約を変える際も、利用者の法的な権利を守ります。

### 同僚と一緒に、対応を一度やってみる。

不審なメッセージ、アカウント乗っ取り、取引先からの警告を想定します。サポート、製品、法務、セキュリティの担当者で対応を試し、誰が引き継ぐかを確認して、滞る部分を直します。

Protico Community Intelligence は、コミュニティに分散する兆候を企業が追える情報に整理し、担当者による確認と対応を支えます。利用者への約束を日々の業務につなげるためです。

## コンテンツの利用許諾

Protico が制作した文章、分析、図表は、商用メディアを含め、引用・翻訳・編集してご利用いただけます。「Protico Community Intelligence」と原文のリンク、資料の日付を記載し、翻訳や変更がある場合はその旨を添えてください。この範囲であれば個別の申請は不要です。

この許諾は Protico の独自制作部分のみが対象です。第三者の報告書、データセット、投稿のスクリーンショット、ロゴは、それぞれの許諾や適法な利用の条件に従います。資料パックでは出典へのリンクを示しており、第三者の権利を許諾するものではありません。

翻訳、抜粋、変更がある場合は明記してください。

[利用条件を読む](https://labs.protico.io/enterprise-cybersecurity/php-nodejs-certificate-vulnerabilities/media-kit/license.txt)

## 出典と関連資料

- [構造化 JSON をダウンロード](https://labs.protico.io/enterprise-cybersecurity/php-nodejs-certificate-vulnerabilities/media-kit/reference.json)
- [編集可能な SVG 図表をダウンロード](https://labs.protico.io/enterprise-cybersecurity/php-nodejs-certificate-vulnerabilities/media-kit/chart-ja.svg)
- [Research data kit](https://labs.protico.io/enterprise-cybersecurity/php-nodejs-certificate-vulnerabilities/response-gap-data.zip)
- [Original research and source notes](https://labs.protico.io/enterprise-cybersecurity/php-nodejs-certificate-vulnerabilities/research.json)
- [Original source manifest](https://labs.protico.io/enterprise-cybersecurity/php-nodejs-certificate-vulnerabilities/source-manifest.json)

- NIST National Vulnerability Database — [monthly-cve](https://nvd.nist.gov/developers/vulnerabilities)
- CISA — [kev](https://github.com/cisagov/kev-data/blob/fd12990e9c566a1ad3060e1a2073129778f438cc/known_exploited_vulnerabilities.csv)
- CVE Program — [official-quarterly-cve](https://github.com/CVEProject/cve-website/blob/f2b4f05012bbbe22905587c6d0c48e23767b1822/src/assets/data/metrics.json)
- IDC — [Global Security Spend to Exceed $300 Billion in 2026 as the Adoption of AI-Driven Security Platforms Gains Momentum](https://www.idc.com/resource-center/press-releases/wwsecuritysg/) · 2026-03-03
- IDC — [IDC IT Security Summit, 2027 Series](https://www.idc.com/mea/events/become-a-sponsor/it-security/)
- Gartner — [Forecast Analysis: Information Security, Worldwide, 2026](https://www.gartner.com/en/documents/7408930) · 2026-02-05
- Gartner — [Forecast: Information Security, Worldwide, 2024-2030, 3Q26](https://www.gartner.com/en/documents/8422113) · 2026-09-24
- Gartner — [Gartner Forecasts the Market for Securing AI Will Reach $4.8 Billion in 2027](https://www.gartner.com/en/newsroom/press-releases/2026-08-26-gartner-forecasts-the-market-for-securing-ai-will-reach-almost-5-billion-in-2027) · 2026-08-26
- IBM / Ponemon Institute — [IBM Study: One in Four Malicious Breaches are AI-Enabled, Costing Companies $6 Million on Average](https://newsroom.ibm.com/2026-07-29-ibm-study-one-in-four-malicious-breaches-are-ai-enabled,-costing-companies-6-million-on-average) · 2026-07-29
- IBM — [IBM Report: UK Sees Drop in Breach Costs as AI Speeds Detection](https://uk.newsroom.ibm.com/2025-cost-of-data-breach-UK) · 2025-07-30
- Marks & Spencer Group plc — [Full Year Results for the 52 Weeks Ended 28 March 2026](https://corporate.marksandspencer.com/newsroom/press-releases/full-year-results-52-weeks-ended-28-march-2026) · 2026-05-20
- JLR — [JLR Q3 Performance Impacted by Previously Indicated Challenges](https://www.jlr.com/news/2026/02/jlr-q3-performance-impacted-previously-indicated-challenges) · 2026-02-05
- JLR — [Annual Report 2026](https://www.jlr.com/annual-report-2026)
- FBI Internet Crime Complaint Center — [2025 IC3 Annual Report](https://www.ic3.gov/AnnualReport/Reports/2025_IC3Report.pdf) · 2026-04
- PwC — [2027 Global Digital Trust Insights: C-suite playbook and findings](https://www.pwc.com/us/en/services/consulting/cybersecurity-data-tech-risk/library/global-digital-trust-insights.html) · 2026-10-01
- [PHP / PHP2Shell](https://www.php.net/archive/2026.php)
- [PHP / PHP2Shell](https://calif.io/php2shell/)
- [PHP / PHP2Shell](https://cert.europa.eu/publications/security-advisories/2026-018/)
- [PHP / PHP2Shell](https://openai.com/index/coordinated-disclosure-of-critical-vulnerabilities/)
- [PHP / PHP2Shell](https://www.wiz.io/blog/php2shell-php-rce)
- [eMudhra intermediate certificates](https://blog.mozilla.org/security/2026/10/20/protecting-firefox-users-following-the-compromise-of-emudhra-intermediate-certificates/)
- [eMudhra intermediate certificates](https://blog.cloudflare.com/emudhra-certificate-compromise/)
- [Node.js October security release](https://nodejs.org/en/blog/vulnerability/october-2026-security-releases)
- [Zeabur October incident](https://zeabur.com/blogs/october-2026-security-incident)
- [Zeabur October incident](https://zeabur.com/blogs/august-2026-security-incident)
- [Zeabur October incident](https://status.zeabur.com/)
- [91APP Commerce Cloud](https://91app.com/blog/91app-202610-security/)
- [Railway environment variables](https://blog.railway.com/p/security-disclosure-wednesday-october-21st)
- [Railway environment variables](https://blog.railway.com/p/security-disclosure-recommendation-redeploy-buckets-and-reconnect-github-after-the-credential-reset)
- [Japan prime minister PHP warning](https://x.com/takaichi_sanae/status/2112890642590564386)
- NIST — [NIST SP 800-61 Rev. 3 — Incident Response Recommendations](https://csrc.nist.gov/pubs/sp/800/61/r3/final) · 2025-04-03
- NIST — [NIST Cybersecurity Framework 2.0](https://doi.org/10.6028/NIST.CSWP.29) · 2024-02-26
- CISA — [U.S. and International Partners Publish Secure-by-Design and -Default Principles and Approaches](https://content.govdelivery.com/accounts/USDHSCISA/bulletins/354a744) · 2023-04-13
- NIST — [NIST AI 600-1 — Generative Artificial Intelligence Profile](https://doi.org/10.6028/NIST.AI.600-1) · 2024-07
- 全國法規資料庫 — [台灣個人資料保護法：第 3、8、12 條及生效狀態](https://law.moj.gov.tw/LawClass/LawOldVer.aspx?pcode=I0050021) · 2023-05-31
- UK National Cyber Security Centre — [Effective steps to cyber exercise creation](https://www.ncsc.gov.uk/guidance/effective-steps-to-cyber-exercise-creation)