セキュリティレポート　2026/4/15

新型AI「Mythos」の登場により、脆弱性の発見スピードが人間の手作業を遥かに上回るフェーズへと突入しました。

これに呼応するかのように、今週はMicrosoftやAdobeといった主要製品において、見過ごせない規模の緊急アップデートが相次いで発表されています。

防御側にとっても時間との勝負となる状況ですが、まずは本レポートで今週の危機的な動向を正しく把握し、今すぐ対応すべき優先事項を整理してください。

■ 今週のエグゼクティブサマリー

2026年4月第3週は、Microsoft製品およびAdobe製品における大規模な脆弱性修正と、新型AIモデル「Mythos」による攻撃の高度化が複数報告されており、特に注意が必要です。

これらは、悪用された場合に外部からシステムを完全に操作されたり、機密情報を盗まれたりする点で非常に危険性が高いです。

また、HandalaやTA416といった特定の攻撃グループの活動も活発化しており、国内では不動産情報プラットフォームへの不正アクセスや、大手企業の海外子会社へのランサムウェア攻撃などのインシデントも多数報告されました。

【最重要】直ちに確認すべき脆弱性と対策

今週は、特に以下の脆弱性にご注意ください。これらはCVSSスコアが高く、一部は既に積極的に悪用が確認されています。お使いのシステムや製品が該当しないか確認し、速やかなアップデートまたは回避策の適用を強く推奨します。

■ Microsoft製品の複数の脆弱性（月例パッチ）

• CVE-番号多数 (CVSSv3.1: 高スコアを含む): WindowsやSharePointなど、広範なMicrosoft製品に167件もの脆弱性が確認されました。これらはリモートコード実行や権限昇格を可能にするもので、既にゼロデイ脆弱性としての悪用が確認されています。
• 影響: Windows 10/11、Windows Server、Microsoft Office、SharePoint等。
• 対策: Windows Update等を通じて、2026年4月の月例セキュリティ更新プログラムを直ちに適用してください。
• 事例詳細URL: Microsoft Patches Exploited SharePoint Zero-Day (SecurityWeek)

■ Adobe AcrobatおよびReaderの任意コード実行の脆弱性

• CVE-2026-34621 (CVSSv3.1: 緊急): PDFファイルを閲覧するソフトウェアの欠陥に起因し、悪意のあるファイルを開くだけでコンピュータを完全に乗っ取られる恐れがあります。この脆弱性は既に数ヶ月にわたって野外での悪用が確認されています。
• 影響: Adobe AcrobatおよびReaderの各バージョン。
• 対策: Adobeより公開されている緊急アップデートを速やかに適用してください。
• 事例詳細URL: Adobe Patches Reader Zero-Day Exploited for Months (SecurityWeek)

【その他の脅威の動向】

■ Anthropic社のAIモデル「Mythos」がもたらす新たな脅威

今週、Anthropic社が開発した次世代AIモデル「Mythos（ミトス）」の能力が大きな波紋を呼んでいます。このAIは、人間が見逃すようなゼロデイ脆弱性を数週間のうちに数千件も発見できる圧倒的な分析力を備えています。しかし、この能力は防御側だけでなく攻撃者にとっても強力な武器となり、サイバー攻撃を劇的に高速化・自動化させる懸念があります。IT大手12社は、このAIを用いて攻撃者より先に脆弱性を特定・修正する「Project Glasswing」を始動させましたが、専門家は既存の防御策が通用しなくなる「ゼロデイの崩壊」に対して警戒を強めるよう警告しています。

■ 国内不動産CRM「いえらぶGROUP」への不正アクセス

国内の不動産CRM「いえらぶGROUP」のクラウドサービスにおいて、外部からの不正アクセスが確認されました。この影響により、連携している大手不動産ポータルサイト（SUUMOやCHINTAIなど）を通じて、管理されていた顧客情報の不正な読み出しが行われた可能性があります。原因は設定の不備に起因すると見られており、特定の製品やソフトウェアの問題ではなく、クラウド環境の運用管理におけるリスクが改めて浮き彫りとなりました。該当するサービスを利用している企業や個人は、身に覚えのない連絡に注意するとともに、パスワードの変更などの対策が求められます。

■ 人気ライブラリ「Axios」を狙ったサプライチェーン攻撃

世界中で週に1億回以上ダウンロードされる人気JavaScriptライブラリ「Axios」が、北朝鮮に関連するとされるハッカー集団の攻撃を受けました。攻撃者は開発者のアカウントを乗っ取り、正規のプログラムに「バックドア（裏口）」を仕込んだ不正なバージョンを公開しました。これを開発者が知らずに自身のシステムに取り込むと、遠隔操作用のウイルス（RAT）が実行され、認証情報や重要データが盗まれる仕組みです。広く利用されているツールを汚染することで一気に被害を広げる「サプライチェーン攻撃」の典型例であり、開発現場におけるアカウント管理の重要性を再認識させる事例となりました。

最後に

今週は特に、主要ソフトウェアの深刻な脆弱性修正と、AIを悪用した攻撃手法の劇的な進化が目立ちました。

貴社のシステムがこれらの脅威に晒されていないか、今一度WindowsやAdobe製品の更新状況をご確認いただき、またAIの導入・活用に際しては適切なガバナンスとセキュリティ対策を講じていただくようお願いいたします。

（文中のURLは古い場合がございます。）