セキュリティレポート 2026/8/12
夏休み真っ只中でサイバー空間もすっかり静か……と思いきや、残念ながら攻撃者たちには夏季休暇という概念はないようです。
今週はWindowsのゼロデイやZoomの脆弱性、さらに国内での数千万件規模の情報漏洩まで、休み明けのセキュリティ担当者を緊張させるようなニュースが目白押しとなっています。
お休み中の方もそうでない方も、大切な情報とシステムを守り抜くため、まずは今週のエグゼクティブサマリーからご確認ください。
■ 今週のエグゼクティブサマリー
2026年8月第3週は、マイクロソフト製品における過去最大級の脆弱性修正が複数報告されており、特に注意が必要です。
これらはシステムの完全な制御権を奪われるという点において非常に危険性が高いです。
また、北朝鮮に関連する攻撃グループ（Kimsuky）の活動においてAIが悪用されている事実も報告されており、国内でも数千万件規模に及ぶ可能性のある個人情報漏洩インシデントが多数報告されました。
【最重要】直ちに確認すべき脆弱性と対策
今週は、特に以下の脆弱性にご注意ください。これらはCVSSスコアが高く、一部は既に積極的に悪用が確認されています。お使いのシステムや製品が該当しないか確認し、速やかなアップデートまたは回避策の適用を強く推奨します。
■ Windows カーネルモードドライバーの権限昇格の脆弱性
- CVE-番号未特定（afd.sys関連） (CVSSv3.1: 高スコア): Windowsカーネルモードドライバー「afd.sys」における解放済みメモリ使用（use-after-free）の不備に起因し、攻撃者にSYSTEM権限（最高管理者権限）を奪取される恐れがあります。既に実際の攻撃（ゼロデイ攻撃）への悪用が確認されています。
- 影響: Windows 10、Windows 11、Windows Server 各バージョン
- 対策: マイクロソフトから公開されている2026年8月のセキュリティ更新プログラム（月例パッチ）を速やかに適用してください。
■ Zoom のゼロクリック・コード実行の脆弱性
- CVE-番号未特定（通称 “Zoomsday”） (CVSSv3.1: クリティカル): Zoomの注釈（アノテーション）機能の不備に起因し、会議参加者が他の参加者のPC上で任意のコードをリモートで実行できる恐れがあります。ユーザーの操作を介さずに攻撃が成立する「ゼロクリック」脆弱性であることが最大の特徴です。
- 影響: Zoom デスクトップクライアント、モバイルアプリ（詳細なバージョンはアドバイザリを確認）
- 対策: 最新の修正済みソフトウェアへのアップグレードを強く推奨します。
【その他の脅威の動向】
■ 国内サービスにおける数千万件規模の個人情報漏洩の可能性
国内の複数の大規模サービスにおいて、不正アクセスによる重大な情報漏洩事案が相次いで公表されました。エステ・整体予約サイト「EPARKリラク＆エステ」の管理プラットフォームにおいて、最大約3300万レコードの顧客情報が漏洩した可能性があるほか、EC構築サービス「ショップサーブ」でも最大約885万件の店舗・購入者情報が流出した恐れがあります。また、中部電力でも約7万4100人分の役職員・取引先情報が漏洩した可能性があると発表されました。いずれもシステムの脆弱性や設定不備が原因とみられ、利用者は二次被害への警戒が必要です。
■ Progress Kemp LoadMaster の脆弱性が「既知の悪用リスト」へ追加
米国CISA（サイバーセキュリティ・インフラセキュリティ局）は、アプリケーションデリバリ製品「Progress Kemp LoadMaster」の脆弱性を、実際に悪用されている脆弱性（KEV）カタログに追加しました。この脆弱性が悪用されると、攻撃者がシステムを完全に制御できる状態になるため、同製品を使用している組織は3日以内の迅速な対応が呼びかけられています。
■ 北朝鮮のサイバー攻撃グループによる生成AIの悪用
北朝鮮の偵察総局（RGB）に関連するとされる攻撃グループ「Kimsuky」が、独自のローカル大規模言語モデル（LLM）を運用し、フィッシング攻撃などのサイバー攻撃を効率化している実態が明らかになりました。AIを用いることで、より自然な文面の偽メール作成や、攻撃用インフラの迅速な構築が行われており、攻撃の巧妙化が進んでいます。
最後に
今週は特に、「一斉公開された膨大な脆弱性パッチへの対応」と「国内の大規模な情報漏洩インシデント」が目立ちました。
貴社のシステムがこれらの脆弱性に晒されていないか、また利用しているサービスから流出の通知がないか今一度ご確認いただき、適切なセキュリティ対策を講じていただくようお願いいたします。