セキュリティレポート　2026/7/22

企業のセキュリティ対策が問われる事態が頻発しておりますが、今週は思わず作業の手を止めて対策を確認したくなるような、緊急性の高いニュースが相次いでいます。

大規模なシステム障害から物理的なデータ紛失まで、身近に潜む脅威を再認識させられる事例が並んだレポートとなっております。

組織の情報資産と信用を守るための重要なチェックポイントとして、まずは今週のエグゼクティブサマリーからご確認ください。

■ 今週のエグゼクティブサマリー

2026年7月第4週は、MicrosoftやAdobe、WordPressといった広く利用されているソフトウェアにおいて、過去最大規模のセキュリティ更新が重なり、特に注意が必要です。

これらは、攻撃者がシステムを遠隔操作できる「リモートコード実行（RCE）」などの深刻な脆弱性を含んでおり、一部は既に実際の攻撃に悪用されています。

国内においても重大なインシデントが続いています。ニチレイへのサイバー攻撃による冷凍食品の出荷停止や、佐川急便での約7万人分の情報漏洩、さらに九州電力送配電での1,354万件という大規模な顧客情報が含まれたSSDの紛失など、社会インフラを揺るがす事態が多数報告されました。

【最重要】直ちに確認すべき脆弱性と対策

今週は、以下の脆弱性に最優先で対応してください。これらは既に悪用が確認されているか、極めて容易に攻撃が可能な状態にあります。速やかなパッチ適用を強く推奨します。

■ WordPress の複数の深刻な脆弱性

• CVE-2026-60137, CVE-2026-63030 (CVSSスコア: 緊急): 複数の脆弱性を組み合わせることで、認証なしにウェブサイトを乗っ取られる（リモートコード実行）恐れがあります。既に現実の利用環境での悪用が試みられており、非常に危険な状態です。
• 影響: WordPress 7.0.2 未満のバージョンを使用しているサイト。
• 対策: WordPress 7.0.2 以降へのアップデートを直ちに実施してください。

■ ServiceNow AI Platform のリモートコード実行の脆弱性

• CVE-2026-6875 (CVSSスコア: 緊急): ServiceNowのAIプラットフォームにおいて、認証を受けていない攻撃者が遠隔から任意の命令を実行できる極めて深刻な欠陥です。修正プログラムが公開されたわずか数日後には、実際の攻撃への悪用が確認されました。
• 影響: 自己ホスト型（セルフホスト）のServiceNowインスタンスを利用している環境。
• 対策: ServiceNowから提供されている最新のセキュリティパッチを直ちに適用してください。また、侵害の形跡がないかログの確認を推奨します。

【その他の脅威の動向】

■ 国内大手企業・インフラにおける大規模な情報紛失と漏洩

今週、国内で衝撃的な情報管理インシデントが相次ぎました。九州電力送配電は、九州のほぼ全契約者に相当する最大1,354万件の顧客情報が保存されたSSDをサーバー室内で紛失したと発表しました。データの暗号化やパスワード保護がなされておらず、盗難の可能性も含め捜査が進んでいます。また、佐川急便の「スマートクラブ」ではシステムの不具合により、約7万人分の個人情報が別人に表示される事態が発生しました。さらにニチレイへの不正アクセスでは、物流システムがダウンし、食品業界全体に配送遅延などの影響が広がっています。

■ 非接触ICカード技術「FeliCa」チップの脆弱性公表

長年利用されているICカード技術「FeliCa」の一部の古いICチップにおいて、内部データの読み取りや改ざんが可能になる脆弱性が公表されました。ソニーおよびJR東日本などは、現在のSuica等のサービス運用においては安全対策が講じられており「引き続き安心して利用できる」としていますが、古い技術を転用している特定のシステムなどでは確認が必要です。

■ SonicWall VPN装置を狙うゼロデイ攻撃

SonicWall SMA 1000シリーズにおいて、パッチが公開される前から悪用されていた「ゼロデイ脆弱性」が報告されました。攻撃グループ「UTA0533」がこの欠陥を悪用し、装置にルート権限（管理者権限）で侵入してカスタムマルウェアを仕掛けていたことが判明しています。VPN装置はネットワークの入り口となるため、該当製品を利用している組織は、修正プログラムの適用とともに、侵害の形跡がないか調査を急ぐ必要があります。

最後に

今週は、「AIやクラウド基盤への攻撃」と「物理メディアの管理不備」という、最先端と古典的の両極端な脅威が同時に顕在化しました。

パッチ公開から数日で攻撃が始まる現在のスピード感に対応するためには、迅速な情報収集と更新体制が不可欠です。

今回の事案をきっかけに、貴社においてもデータの暗号化といった技術的対策だけでなく、「物理的な重要資産の持ち出しルール」や「システム改修時のチェック体制」が形骸化していないか、今一度点検と徹底をお願いいたします。