【セキュリティニュース】2026年4月17日号｜Microsoft4月月例パッチで悪用済みゼロデイ2件・Adobe追加修正APSB26-44・ウエーブ17万件情報漏えいの恐れ

2026年4月17日（金）号

本日は3本のニュースを取り上げます。Microsoftは4月の月例セキュリティ更新を公開し、167件の脆弱性を修正——うち2件は既に悪用が確認されているゼロデイで、SharePoint Serverとセキュリティ製品Defenderが対象です。AdobeはAcrobat/Readerに対する追加修正APSB26-44を公表、ネット印刷のウエーブ（ウイルコHD子会社）は2025年10月の不正アクセス事案について最大17万6810件の個人情報漏えいの恐れとする確報を公開しました。いずれも中小企業のIT管理者が今週中に確認・対応すべき事案です。

Microsoft、4月の月例パッチで167件の脆弱性を修正——SharePointとDefenderにゼロデイ2件、いずれも悪用を確認済み

Microsoftは2026年4月15日（日本時間）、月例セキュリティ更新プログラムを公開しました。JPCERT/CC・IPAも同日付で注意喚起を発出しています。CVEベースで163〜167件の脆弱性に対処しており、種別の内訳は権限昇格93件、リモートコード実行20件、情報漏えい21件、セキュリティ機能回避13件、サービス拒否10件、なりすまし8件、メモリ関連2件です。深刻度「緊急（Critical）」に分類されるものは7件含まれています。

このうち2件は、更新公開前に悪用が確認されているゼロデイ脆弱性です。CVE-2026-32201はMicrosoft SharePoint Serverのなりすまし脆弱性で、未認証の攻撃者がネットワーク経由で不正な操作を行える可能性があります。もう1件のCVE-2026-33825はMicrosoft Defenderの特権昇格脆弱性で、ローカル環境でSYSTEM権限が奪取される可能性があります。米国CISAはCVE-2026-32201をKEV（既知悪用脆弱性）カタログに追加し、連邦機関に対して2026年4月28日までの修正適用を求めています。

その他に注意が必要な脆弱性として、Windows Internet Key Exchange（IKE）Server Extensionのリモートコード実行脆弱性 CVE-2026-33824（CVSSスコア 9.8）、Microsoft Wordのリモートコード実行 CVE-2026-33115、リモートデスクトップクライアントのリモートコード実行 CVE-2026-32157、Windows Active Directoryのリモートコード実行 CVE-2026-33826などが公表されています。

Adobe、Acrobat/Readerに追加修正APSB26-44を公開——先週の緊急修正に続く「優先度2」更新、計2件の深刻な脆弱性に対処

Adobeは2026年4月15日（日本時間）、Acrobat/Readerに対する追加のセキュリティアップデート「APSB26-44」を公開しました。JPCERT/CCおよびIPAも同日付で注意喚起を発出しています。同アップデートは計2件の脆弱性に対処するもので、最も深刻な深刻度は「Critical」、Adobeが示すパッチ優先度は「2」（悪用可能性は低いが早期適用を推奨）となっています。

Adobeは4月11日（日本時間）にも緊急アップデートAPSB26-43を公開しており、そちらでは悪用が確認済みのゼロデイ脆弱性CVE-2026-34621（任意コード実行）に対処していました。今回のAPSB26-44はその追加修正であり、APSB26-43を適用済みの環境でも改めて今回のバージョンへの更新が必要です。

対象バージョン（対策前）

ネット印刷のウエーブ、2025年10月不正アクセスの確報を公表——最大17万6810件の個人情報漏えいの恐れ、入稿データも対象

ウイルコホールディングス連結子会社でネット印刷サービスを提供する株式会社ウエーブは、2025年10月29日未明に検知したサーバーへの不正アクセス事案について、調査結果として最大17万6810件の個人情報が漏えいした可能性を公表しました。同社では2026年4月1日から対象となる顧客への個別メール通知を開始しています。

漏えいの可能性がある情報は、同社の「ウェブアップロードサービス」を利用した顧客のデータで、期間は2010年8月20日から2025年10月30日まで。項目は氏名、メールアドレス、サービス利用ID、印刷入稿データ、EC商材見積書などが含まれます。同社は検知直後にネットワークを切り離し、個人情報保護委員会へ2025年10月31日に第一報を、12月25日に追加報告を、2026年3月25日に確報をそれぞれ提出しました。なお2026年4月1日時点で、実際に情報が外部へ流出した痕跡や、漏えいによる二次被害は確認されていないと説明しています。

編集部まとめ

本日の3本に共通するのは「既に悪用が起きている」「被害実態が後から判明する」という点です。Microsoftの月例パッチでは2件のゼロデイが悪用済みと公表され、とくにSharePoint Serverは米国CISAが4月28日までの修正を求める緊急度になっています。Adobe Acrobat/Readerは先週の緊急修正APSB26-43に続くAPSB26-44の追加修正が公開され、Critical評価の脆弱性2件に対処しました。ウエーブの事案は、不正アクセス検知から確報公表まで約5か月を要したことが、中小企業が外部サービス利用時に検討すべき「情報保管範囲の最小化」の重要性を示しています。

本日のうちに、(1) Windows Update・Office Updateの未適用端末の棚卸し、(2) Adobe Acrobat/Readerのバージョン確認、(3) 外部ネット印刷サービス利用実態の洗い出しの3点を実施することをおすすめします。