「48 時間で 27 件、どれか 1 つでも今年最大のニュースになる事件が起きた」という投稿が、世界で広まっております。PHP、Node.js、Java、GitLab、Railway、Signal、WordPress、LiteLLM。本観測所が報道と公式の発表で確かめたところ、多くは本当でございました。ただし、数字や言い方には大きすぎるところもございます。どれが本当で、あなたは何をすればよいのかをまとめました。
海外の大手報道（CNBC、The Guardian、Axios、The Washington Post、Vox）も「Black October」という呼び名を使っております。AI が見つけた重大な脆弱性（ソフトの欠陥）が、短い間に一度に公表されたことを指す呼び方でございます。
一部ちがうPHP（PHP2Shell）
投稿: 「ウェブの 80% を動かすソフトに、深刻度 9.2 の欠陥」
深刻度 9.2 の欠陥 2 件（CVE-2026-109618・109619）は本当で、10 月 21 日に修正版が出ました。外から命令を実行される恐れがあり、欧州では政府のサイトが予防のために止まりました。悪用の試みも複数の会社が観測しております。ただし「80%」は大きすぎ、報道では約 70〜75% とされております。
やること: 自分のサイトやブログがあるなら、サーバーの管理画面で PHP を修正版に更新する。
確認済みNode.js（Node2Shell）
投稿: 「サーバーを外から乗っ取られる欠陥。22・24・26 系が対象」
圧縮の仕組み（Brotli）の欠陥 CVE-2026-111497 で、外から命令を実行される恐れがございます。修正は 22.23.4・24.22.1・26.12.1 と報じられております。
やること: Node.js でサーバーを動かしているなら、上の版以降に更新する。コンテナの元のイメージも作り直す。
一部ちがうJava
投稿: 「Java も侵害された」
「侵害された（乗っ取られた）」のではなく、深刻度 9.1 の欠陥（CVE-2026-91403、暗号の通信の部品）が見つかり、Oracle が緊急の更新を出したというのが正確でございます。
やること: Java を使うアプリやサーバーは、Oracle の緊急の更新を当てる。
確認済みGitLab
投稿: 「2014 年以来のすべての版に、深刻度 10.0 の穴」
最高の深刻度 10.0 で、ログインなしに外から命令を実行される欠陥（CVE-2026-110264）でございます。7.0 以降のすべての版、12 年分が対象と報じられております。自社で動かしている GitLab（Self-Managed）が対象で、10 月 12 日に別の 10.0 の欠陥を直したサーバーも、まだ対象のままでございます。
やること: 自社の GitLab を動かしているなら、19.5.1・19.4.3・19.3.6 などの修正版へすぐ更新する。
確認済みRailway
投稿: 「OpenAI・Claude・Stripe の鍵が漏れた恐れ」
Railway は、侵入者が利用者の秘密の値（環境変数）にアクセスした恐れがあるとして、すべての利用者に鍵の作り直しを呼びかけました。OpenAI・Claude・Stripe などの鍵は、そこに置いていれば対象になります（具体的な会社の名前は投稿の例でございます）。
やること: Railway に置いていた鍵を、すべて作り直す。
確認済みSignal
投稿: 「電話を切ったあとも、マイクとカメラが続く恐れ」
通話の部品（RingRTC）の欠陥 CVE-2026-113380 で、相手が細工すると、切ったあとも音声が続く恐れがあると報じられております。映像については確かめられておりません。修正は RingRTC 2.72.0 で、実際に悪用された報告はまだございません。
やること: すべての端末で Signal を最新にする。
確認済みWordPress（UpdraftPlus）
投稿: 「プラグインの会社の鍵が盗まれ、サイトに裏口」
バックアップのプラグイン UpdraftPlus の遠隔管理（UpdraftCentral）の接続の鍵が盗まれ、それを使って WordPress のサイトに裏口（あとから入るための隠れた入り口）が仕込まれたと報じられております。
やること: UpdraftPlus を使っているなら、まず UpdraftCentral の接続の鍵を消す。見覚えのない管理者やプラグインがないか確かめ、パスワードを全部変える。
一部ちがうLiteLLM
投稿: 「1 日 340 万回ダウンロードされる AI の部品に、パスワードを盗むプログラム」
1.107.0 に、認証情報を盗むプログラムが仕込まれていたのは本当でございます。ただし「1 日 340 万回」の出どころは見つかりませんでした。数える場所によって数字が大きく違います。
やること: 1.107.0 を入れたことがあれば、そこにあった鍵をすべて作り直す。
未確認「48 時間で 27 件」
投稿: 「1 か月でも 1 週間でもなく、48 時間で 27 件の大きな事件」
短い間に重大な欠陥の公表が重なったのは本当でございます。ただ「27 件」をどう数えたかの出どころは、確かめられませんでした。
未確認「AI エージェントの群れ」
投稿: 「何千もの AI エージェントの群れが、休まずサーバーを攻撃している」
主要な報道では確かめられませんでした（個人のブログ記事にあるのみでございます）。一方で、PHP2Shell の悪用の試みは複数の会社が観測しており、AI が欠陥探しを速めていることは多くの専門家が指摘しております。
本観測所が、報道と開発元・提供元の公式の発表で確かめた範囲でございます。版や対象の細かな条件は、必ず公式の発表でご確認ください。新しい事実が分かり次第、書き直します。