2026年10月のセキュリティ事故まとめNext.js・PHP・Railway・AIキー漏えい、サイト運営者が確認すべきこと
2026年10月は、Next.jsとPHPの緊急の脆弱性、クラウド基盤Railwayの環境変数漏えい、AIのAPIキーを狙う攻撃が同じ時期に重なりました。何が起きたのか、自社サイトで何を確認すればよいのかを、サイト運営者向けに整理します。
2026年10月は、Webサイトを支える仕組みで深刻な問題が立て続けに起きています。Next.jsとPHPに緊急の脆弱性が見つかり、クラウド基盤のRailwayでは環境変数（APIキーなど）が読まれた可能性が公表されました。AIのAPIキーを狙う攻撃も相次いでいます。この記事では、それぞれ何が起きたのか、サイト運営者が何を確認すべきかを順番に整理します。
この記事でわかること
- 2026年10月に起きた主なセキュリティ事故と、その影響範囲
- Next.js・PHP・WordPressの修正版のバージョン
- クラウド基盤で漏えいが起きたときの、キーの差し替え方
- 自社サイトで今すぐ確認したい7つのこと
2026年10月、何が起きているのか？
2026年10月のセキュリティ事故とは、Webサービスの土台（フレームワーク、言語、クラウド基盤）で、同じ時期に複数の深刻な問題が起きたことを指します。主な出来事は次のとおりです。
| 時期 | 出来事 | 深刻度 | 対応 |
|---|---|---|---|
| 10月14日 | Next.jsにリモートコード実行の脆弱性2件 | CVSS 9.5 | 16.4.1以上（15系は15.5.28以上）へ更新 |
| 10月21日 | PHPの脆弱性「php2shell」2件 | CVSS 9.2 | 8.5.12・8.4.27・8.3.36・8.2.35へ更新 |
| 10月21日 | Railwayで環境変数に不正アクセスの可能性 | ― | Railwayに置いたキーをすべて作り直す |
| 10月中旬 | AIツールOpenCodeでAIのAPIキーが漏えい | ― | 登録したキーを作り直す |
| 10月7日〜 | WordPressプラグインBricksforgeの脆弱性が悪用 | CVSS 9.8 | 3.1.8.10以上へ更新 |
| 9月下旬〜 | 社内ネットワーク機器の脆弱性が相次いで悪用 | ― | 各社の修正を適用 |
CVSSは、脆弱性の深刻度を0〜10点で表す国際的な指標です。9.0以上は最も深刻な「Critical」に分類されます。つまり、今月は最高レベルの問題が複数重なっている状況です。
1. Next.jsの緊急の脆弱性（10月14日）
Next.jsで、ログインなしで外部からサーバー上のプログラムを実行される脆弱性が2件修正されました。どちらもCVSS 9.5です。
- 攻撃の経路：画像の最適化機能（
next/image）と、キャッシュの機能（use cache） - 修正版：16.4.1以上（15系は15.5.28以上）
- 悪用の状況：攻撃の手順が公開されており、英国NHSなどは今後悪用される可能性が高いと評価しています
Next.jsでは、8月と9月にも同じ深刻度の脆弱性が修正されています（9月は画像を生成するnext/ogの機能）。つまり、数か月前のバージョンのままのサイトは、複数の穴を抱えたままの可能性があります。
2. PHPの脆弱性「php2shell」（10月21日）
PHP本体に、外部から乗っ取られるおそれのある脆弱性が2件見つかりました。WordPressなど、PHPで動くサイトの多くが対象です。WordPressやプラグインを最新にしても直らず、PHP本体の更新が必要です。詳しくは「PHPの重大な脆弱性「php2shell」とは？サイト運営者が今すぐ確認すべき5つのこと」で解説しています。
3. Railwayの環境変数の漏えい（10月21日〜）
クラウド基盤のRailwayは10月21日、お客様の環境変数を保管するシステムで不審な動きを検知したと公表しました。暗号化された環境変数に第三者がアクセスし、一部は中身まで取られた可能性があります。
- 対象になりうるもの：APIキー、データベースのパスワード、イメージリポジトリの認証情報など
- Railwayの対応：ビルドとデプロイを全プランで停止。執筆時点（10月22日10時22分の更新、日本時間）でも停止が続いています
- 利用者への呼びかけ：Railwayに置いた環境変数をすべて作り直し、ログに不審な動きがないか確認する
差し替えで気をつけたいこと
デプロイが止まっている間は、新しいキーを登録してもサイトに反映されません。古いキーをすぐ止めると、決済などの機能がその場で止まります。
- Stripe：キーのローテーション時に、古いキーの有効期限を残す（例：3日）。新しいキーで動いたのを確認してから、古いキーを止める
- AIのAPIキー：悪用されると請求が膨らむため、先に止める
- 再開後：Railwayの過去の障害では、停止中のデプロイやGitHubへのプッシュは順番待ちにならず、再開後に手動でやり直す必要がありました。各サービスを手動で再デプロイし、動作を確認する
4. AIのAPIキーを狙う攻撃
最近の攻撃では、AIのAPIキーが特に狙われています。AIのキーは盗めばすぐ使え、お金に換えやすいためです。
- Railway：今回の攻撃を、クラウド基盤の会社を狙う一連の攻撃の一部とし、AIの提供会社のキーを狙ったものと説明しています
- OpenCode：AIを使ったプログラミングツールのOpenCodeで侵入があり、利用者が登録していたOpenAI・Anthropic・Googleのキーが漏れた可能性があります。Anthropicは漏れた疑いのあるキーを強制的に無効にし、Googleも漏れたGeminiのキーを止めました
- Vercel（2026年4月）：外部のAIツールを入口に社員のアカウントが乗っ取られ、一部の利用者の環境変数が読まれました。「sensitive（機密）」に設定した環境変数は、読まれた形跡がなかったとされています
つまり、AIのキーを置いている場所はどこでも狙われうる、と考えるべきです。利用上限の設定と、すぐ差し替えられる準備が重要になります。
5. WordPressのプラグインとMovable Type
- Bricksforge（CVE-2026-85097）：ログインなしでファイルを置かれ、プログラムを実行される脆弱性です（CVSS 9.8）。10月7日から悪用が確認されています。修正版は3.1.8.10です
- Movable Type：10月7日、複数の脆弱性がJVN（日本の脆弱性対策情報のデータベース）で公表されました
WordPressのサイトは、PHP本体とプラグインの両方を確認する必要があります。
6. 社内ネットワーク機器の脆弱性
社外から社内につなぐための機器でも、脆弱性の悪用が相次いでいます。米国CISAが「悪用を確認済み」として注意を呼びかけています。
| 製品 | 内容 |
|---|---|
| Citrix NetScaler | 外部から乗っ取れる脆弱性2件。修正前から悪用されていた |
| BeyondTrust Remote Support | 認証を回避される脆弱性。侵入の入口として悪用 |
| Palo Alto PAN-OS | 管理画面から最高権限でプログラムを実行される脆弱性 |
| Ivanti Connect Secure | 認証を回避される脆弱性 |
| Cisco Secure Email Gateway | 認証なしで最高権限のコマンドを実行される脆弱性。回避策なし |
国内でも10月9日、JPCERT/CCが国内組織で相次ぐ不正アクセスについて注意喚起を出しています。
なぜ同じ時期に重なるのか？
理由は大きく2つあります。
- AIで、脆弱性が見つかる速さが上がった：研究者も攻撃者もAIで穴を探すため、深刻な脆弱性が以前より速いペースで見つかります
- キーが集まる場所が狙われている：クラウド基盤や開発ツールには、多くの会社のキーが集まっています。1か所を破れば大量のキーが手に入るため、攻撃者にとって効率のよい標的です
つまり、「一度作ったら終わり」のサイト運営は、もう通用しにくくなっています。
自社サイトで今すぐ確認したい7つのこと
- Next.jsのバージョン：16.4.1以上（15系は15.5.28以上）になっているか
- PHPのバージョン：修正版（8.5.12・8.4.27・8.3.36・8.2.35）以上か。古い系列を選んでいないか
- WordPressのプラグイン：Bricksforgeなど、悪用されているプラグインを使っていないか
- Railwayの利用：Railwayに置いたキーを作り直したか。古いキーは新しいキーで動くのを確認してから止める
- AIのAPIキー：外部のツールやサービスに登録していないか。利用上限を設定しているか
- キーの権限：Stripeの制限付きキーのように、必要な操作だけを許したキーを使っているか
- 自動の通知：GitHubのDependabotなどで、脆弱性が出たら自動で知らせが届くようにしているか
よくある質問（FAQ）
Q. Railwayをやめて、別のサービスに移れば安全ですか？
移っただけでは安全になりません。Vercelも2026年4月に環境変数の漏えいを起こしています。どのサービスでも事故は起きる前提で、キーの権限を絞り、すぐ差し替えられる状態にしておくことが大切です。
Q. Railwayのデプロイが止まっている間、キーはどう差し替えればよいですか？
新しいキーを作ってRailwayに登録し、古いキーはしばらく使える状態で残します。Stripeならローテーション時に古いキーの有効期限を選べます。デプロイが再開して新しいキーで動いたのを確認してから、古いキーを止めます。
Q. Next.jsで作ったサイトなら、PHPの脆弱性は関係ありませんか？
PHPの脆弱性の影響はありません。ただし、Next.js自体にも10月14日に緊急の修正が出ています。PHPとは関係なく、Next.jsの更新が必要です。
Q. 小さな会社のサイトでも狙われますか？
狙われます。攻撃の多くは、相手を選ばず、脆弱性のあるサイトを自動で探して攻撃します。会社の規模ではなく、古いバージョンのままかどうかで決まります。
Q. 毎回こうしたニュースを追いかけるのは大変です。どうすればよいですか？
自動の仕組みに任せるのが現実的です。GitHubのDependabotは無料で、脆弱性が見つかると更新の提案を自動で作ります。使っているサービスのステータスページの通知登録も、無料で数分で済みます。
まとめ
- 2026年10月は、Next.js・PHPの緊急の脆弱性と、Railwayの環境変数の漏えいが重なりました
- Next.jsは16.4.1以上、PHPは8.5.12・8.4.27・8.3.36・8.2.35以上への更新が必要です
- Railwayの利用者は、キーを作り直したうえで、古いキーは新しいキーで動くのを確認してから止めます
- AIのAPIキーが特に狙われています。利用上限の設定と、すぐ差し替えられる準備をしておきましょう
- 手作業での確認には限界があります。Dependabotなどの自動の通知を取り入れましょう
自社サイトの影響確認や、脆弱性を自動で検知して更新する運用づくりについては、E-team AIのAI×Web制作チームにご相談ください。
→ https://ai.e-team.co.jp/
参考情報
- Railway「Security Disclosure: Wednesday October 21st」
- Railway Status「Railway Platform Outage」
- SecurityOnline「Next.js Fixes Two Critical Unauthenticated RCE Flaws in Out-of-Band Update」
- NHS England Digital「Multiple Critical Vulnerabilities in Next.js」
- Infosecurity Magazine「OpenCode Breach Could Affect OpenAI, Anthropic and Google」
- SecurityWeek「Bricksforge WordPress Plugin Vulnerability Exploited in the Wild」
- Vercel「April 2026 security incident」
- CISA「CISA Urges Patching Critical Vulnerability in BeyondTrust Remote Support」
- CISA「Critical Zero-Day Vulnerabilities Exploited in Citrix NetScaler ADC, Gateway」
- ScanNetSecurity「2026年10月の脆弱性と脅威ニュース記事一覧」
著者情報
中森秀彬（morimori.ai）
GEO・AIOレポート自動作成ツール「AI SearchScope」開発者。法人向けAIマーケティング支援・AIマーケティング研修・AI×Web制作を手がける。
X：@morimori_ai_dev