琉球大学の産学官連携Webサイトが改ざん、オンラインカジノらしきページ表示―CMSの脆弱性を悪用か|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年10月13日更新日時: 2026年10月13日

琉球大学は2026年10月9日、同大学の産学官連携Webサイトが改ざんされ、大学とは無関係のオンラインカジノらしきページが表示される状態になっていたと公表しました。10月2日8時30分ごろに発覚し、同日0時から12時12分までの間に影響が生じた可能性があります。

大学は、コンテンツ管理システム（CMS）の脆弱性を悪用した不正アクセスと推定して調査しています。改ざんされたページは非公開とし、大学公式Webサイト（u-ryukyu.ac.jp）など他のシステムへの影響はないと説明しています。

琉球大学Webサイト改ざんの概要

琉球大学によると、2026年10月2日8時30分ごろ、産学官連携Webサイトが改ざんされていることを確認しました。サイトにアクセスすると、オンラインカジノらしきWebページが表示される状態になっていました。

大学が示した影響が考えられる期間は、同日0時から12時12分までです。この時間帯は改ざんの影響が想定される範囲であり、攻撃者が不正アクセスを開始した正確な時刻を示すものではありません。

対象ページは非公開となっています。大学は10月9日時点で、不適切なサイトが表示されたことによる被害の報告はないとしています。公式Webサイトのドメイン「u-ryukyu.ac.jp」など、他のシステムへの影響もないと説明しました。

大学は、Webサイトの更新に使用するCMSの脆弱性を利用した不正アクセスだったと推定しています。原因の究明に向けた調査は継続中です。

10月9日の発表には、使用していたCMSの製品名、バージョン、脆弱性識別番号（CVE）、改ざんの具体的な方法は記載されていません。したがって、特定のCMS製品や脆弱性が攻撃に使われたと断定することはできません。

大学は今後、Webサイト全体のセキュリティ点検を実施し、情報管理体制の見直しと再発防止に取り組む方針です。

大学の部局や研究機関が運営するWebサイトで、オンラインカジノ関連のページが表示される事例は過去にも公表されています。

セキュリティ対策Labでは、2025年9月に東京外国語大学アジア・アフリカ言語文化研究所のWebサイト改ざんを報じています。同事案では独自管理のWebサーバーが不正アクセスを受け、オンラインカジノに誘導される不適切なページが表示されました。原因としてCMSの脆弱性悪用が確認されています。

また、2026年6月には日本大学文理学部の学生ポータル改ざんの最終報告を紹介しています。日本大学の事例でも既知の脆弱性の悪用が判明しています。

これらは別々の事件であり、琉球大学の事案と同じ攻撃者や脆弱性によるものと確認されたわけではありません。

今回の公表では、大学の公式Webサイトとは別の産学官連携サイトが改ざんの対象となりました。企業や大学で複数のWebサイトを運用する場合、部門単位で管理するサイトも含めて次の事項を点検することが考えられます。

CMSを含む公開システムの更新管理については、脆弱性管理の基本と対応の考え方も参考になります。改ざんの痕跡を確認した場合は、単にページを元に戻すだけでなく、侵入経路の調査と認証情報・権限の見直しも検討する必要があります。