2026-09-13／株式会社東京ネット工務店 海老沢敦
① 何が終わったか
デジタル庁の共通基盤GSS、VPN機器の脆弱性から侵入され約24.6万件が漏洩
デジタル庁は2026年9月11日、各府省庁向け共通基盤「ガバメントソリューションサービス（GSS）」がVPN機器（ネットワーク接続機器）の脆弱性を突かれて不正アクセスを受け、保守運用担当者のアカウントが悪用されたと公表した。個人情報約24.6万件が外部に閲覧された可能性があるとした。侵入の検知は6月25日、公表は9月11日で、その間は約2か月半だった。漏洩の可能性がある件数は約24.6万件（内訳：職員等約18.9万件、事業者・個人約5.7万件）で、氏名・メールアドレス・電話番号・住所等を含む。マイナンバー・金融口座情報・年金番号は含まれないとしている。
さくらインターネット、不正アクセス第三報 販売管理システム最大1,360,563アカウントが対象
さくらインターネットは2026年9月10日、「さくらのレンタルサーバ」および顧客契約情報を管理する販売管理システムへの不正アクセスについて第三報を公表した（第一報8月17日、第二報8月19日）。レンタルサーバは951アカウント（初報583に追加368を含む）、販売管理システムは最大1,360,563アカウントが対象で、うち30アカウントはハッシュ化されたパスワード情報が閲覧された可能性があるとした。侵入時期は、販売管理システムが2023年4月以降2026年3月まで、レンタルサーバが2025年7月以降としている。
台湾のPaaS事業者Zeabur、OSSの脆弱性から内部管理サービスへ侵入され顧客の環境変数が読み取られる
台湾拠点のPaaS（Platform as a Service）事業者Zeaburは2026年9月7日、8月27日発生のセキュリティインシデントを公表した。OSSチャットアプリNextChat（v2.16.1）のMCP機能における認可チェック不備の脆弱性（CVE-2026-7644）を突かれ、内部管理サービスを経由して共有クラスターへのアクセス権限を取得された。侵害を受けたプロジェクトの環境変数（APIキー、データベース認証情報等）が読み取られた。攻撃の最初の痕跡は8月27日07:54に確認されたとしている。
② 当時、それはどう見えていたか
デジタル庁のGSSについて、当時の材料は確認できませんでした。公表文に、VPN機器の脆弱性が事前にどの程度周知・対応されていたかの記載はありません。
さくらインターネットについて、当時の材料は確認できませんでした。今回の公表は事後の調査結果であり、侵入以前に公表されていた材料の記載はありません。
Zeaburについて、当時の材料は確認できませんでした。
③ 構造として残るもの
デジタル庁のGSSでは、VPN機器という境界の一点の脆弱性が、複数府省庁が共有する基盤全体に影響した。さくらインターネットの販売管理システムは、顧客契約情報を一元管理する仕組みそのものが侵入経路になり、レンタルサーバ利用者とは別に最大1,360,563アカウントに影響が及んだ。Zeaburでは、スコープや有効期限を持たないAPIキーを内部サービスに与えていたことと、共有クラスター内でプロジェクト間の通信が遮断されていなかったことが重なり、一つのOSSの脆弱性が顧客環境全体への侵害に広がった。
三件に共通するのは、複数の利用者が一つの管理用の経路（VPN機器の資格情報、契約情報を一元管理するシステム、内部サービスに与えたAPIキー）を共有している構造である。その経路が破られると、影響は個別の利用者の枠を超えて広がる。
数人の会社では、顧客情報や契約情報を一つの管理画面・一つのアカウントで扱っていることが多く、その入口の資格情報がどこにあるかを把握している人も限られる。数十人になり外部の委託先や複数のサービスを組み合わせて運用するようになると、管理用のアカウントやAPIキーの数が増え、どの経路が外部からの侵入口になり得るかを一人で把握することが難しくなる。自社が使っている外部サービスや委託先が、顧客情報をどれだけの利用者と一元管理する仕組みで共有し、その管理用アクセスの権限がどこまで及ぶかは、規模によらず確かめられる。
