【セキュリティニュース】2026年5月24日号｜トレンドマイクロ脆弱性悪用確認・Windows月例パッチ・エネサンスHD36万件漏えい

トレンドマイクロApex Oneに深刻な脆弱性、実際の攻撃での悪用を確認 悪用確認済み

JPCERT/CCは2026年5月21日、トレンドマイクロ製品（TrendAI Apex One・Trend Micro Apex One as a Service・TrendAI Vision One Endpoint Security）に複数の脆弱性が存在するとして注意喚起（at260014）を発出しました。このうちディレクトリトラバーサル脆弱性（CVE-2026-34926）については、すでに実際の攻撃での悪用が確認されています。

CVE-2026-34926はApex Oneサーバ上の重要なテーブルを改ざんし、悪意のあるコードをエージェント端末に配布できる可能性があります。CVSS基本値は6.7ですが、悪用が現実のものとなっているため危険度は実質的に高く、米国のCISA（サイバーセキュリティ・インフラセキュリティ庁）も「悪用が確認された脆弱性リスト（KEV）」に登録し、6月4日までの修正を連邦機関に指令しています。この脆弱性はオンプレミス版のApex Oneのみに影響します。

攻撃者がこの脆弱性を悪用するには、Apex Oneサーバを動作させているOSの管理者権限を事前に取得している必要があります。そのため、管理者アカウントの不正取得を目的とした攻撃と組み合わせて使われる可能性があります。

Microsoftが5月月例パッチを公開、約120件の脆弱性を修正。危険度の高い4件に注意

Microsoftは2026年5月13日（日本時間）に月例セキュリティ更新プログラムを公開し、約120件（集計範囲によっては137件以上）の脆弱性に対応しました。最大深刻度が「緊急（Critical）」のものは13件以上含まれています。今月はゼロデイ（公開時点で悪用が確認されている脆弱性）は含まれていませんが、CVSS基本値が9.8以上と特に危険度の高い脆弱性が4件あります。

Windows DNSクライアントとNetlogonの脆弱性は、ネットワーク上の全Windows端末が対象となるため、社内に複数台のPCがある環境では特に注意が必要です。IPAも同日、迅速なパッチ適用を呼びかけています。今月分の適用目安は5月27日（水）です。

エネサンスHDへのランサムウェア攻撃、約36.5万件の顧客情報が漏えいした可能性

エネルギー関連企業のエネサンスホールディングスは2026年5月22日、2025年10月21日に発生したランサムウェア被害の続報（第4報）を発表しました。外部専門家による調査の結果、顧客の氏名・住所・電話番号・メールアドレスなど約36万5,000件の顧客情報が漏えいした可能性があることが判明しました。また、グループ従業員や元従業員の情報も約2,000件含まれます。

攻撃にはランサムウェアグループ「Qilin（キリン）」が使用するマルウェアが展開されました。今回の侵入はインターネットとの接続口（VPN機器等の境界装置）から行われた可能性が高いと報告されています。ダークウェブ上での情報公開は2025年11月に確認されており、インシデント発生から漏えい確定まで半年以上を要しました。