Windows IKE拡張に CVSS 9.8 のリモートコード実行脆弱性、認証不要で悪用可能

2026年4月14日に公開された月例セキュリティ更新プログラム（Patch Tuesday）で、MicrosoftはCVE-2026-33824として「Windows インターネット キー交換（IKE）サービス拡張機能のリモートコード実行脆弱性」を修正しました。CVSS基本値は9.8、攻撃成立に認証もユーザー操作も必要としません。攻撃者は細工したIKEパケットをUDP 500番ポートまたはNATトラバーサルの4500番ポートに送るだけで、任意のコードを実行できる可能性があります。

影響範囲はWindows Server 2016〜2025、Windows 10、Windows 11と広く、IPSec/IKEv2 VPNを終端する用途で IKE サービスを有効化しているサーバーが特に危険です。ZDIなどの解析では「ワーマブル（自己拡散可能）」と評価されており、未適用の場合はGW明けに最優先で対応すべき脆弱性です。同月にはCVE-2026-33825（Microsoft Defenderの特権昇格、悪用確認済み）、CVE-2026-32201（SharePoint Serverのなりすまし、悪用確認済み）も同時に修正されています。

アルプスアルパイン、外部VPN経由で社内サーバーに不正アクセス、役員・従業員等の個人情報が閲覧された可能性

電子部品大手のアルプスアルパイン（東証プライム）は2026年4月27日、同社が利用する外部VPNシステムが第三者から不正アクセスを受け、社内サーバーに保管していた個人情報が外部から閲覧された可能性があると発表しました。発端は3月18日、保守管理を委託している事業者から不正アクセスの痕跡について連絡を受けたことです。4月13日に、委託事業者の調査で社内サーバーへの侵入も判明しました。

閲覧された可能性のある情報は、同社およびグループ会社の役員・従業員（退職者を含む）、委託先企業の一部従業員のログインID（社員番号を一部含む）、氏名、会社メールアドレス、役職、部門名、システムIDです。パスワードは暗号化して管理されており、不正取得は確認されていません。顧客情報・取引先情報への影響も現時点では確認されていないとしています。

同社は、関係者を装った不審なメールや電話への注意を呼びかけています。VPNを侵入口とするインシデントは2026年に入っても国内大手で連続しており、4月9日には日本郵船でも同様の事案が公表されています（NEWS 03）。

日本郵船、船舶燃料調達システムに不正アクセス、社員と取引先の個人情報が外部に持ち出された可能性

日本郵船は2026年4月9日、同社グループが利用する船舶燃料調達システムで第三者による不正アクセスが発生し、個人情報を含む一部のデータが外部に持ち出された可能性があると公表しました。攻撃の発生は2026年3月24日午後で、検知後ただちにシステムをネットワークから隔離・停止し、3月27日に復旧。同日に個人情報保護委員会など各国当局へ速報、3月31日に所轄警察へも報告しています。

持ち出された可能性がある情報は、日本郵船の社員（退職者を含む）と取引先企業の社員に関する情報で、氏名・会社名・電話番号・メールアドレスの一部または全部です。データの暗号化や金銭要求は確認されておらず、ランサムウェア攻撃ではないと同社は説明しています。二次被害も現時点では確認されていません。

本件は社内ネットワークそのものではなく、グループ会社が利用する業務システム（燃料調達）が標的になったケースです。「自社のメインシステムは守れていても、調達・請求・人事などの周辺SaaSや委託システムから情報が抜かれる」という侵害パターンが2026年も続いています。

IPA「2026年度ゴールデンウィーク注意喚起」、ネットワーク貫通型攻撃に明日からの業務再開で要注意

IPAは2026年4月20日、ゴールデンウィークの長期休暇に向けた情報セキュリティ注意喚起を公表しました。中心にあるのは「ネットワーク貫通型攻撃」、つまりルーター・VPN機器など境界に置かれているセキュリティ製品の脆弱性を突いた攻撃への警戒です。今回のNEWS 01〜03はまさにこのパターンに該当します。

連休明けに想定すべき他の脅威として、社長や上司を装った詐欺メール、クラウドサービスの認証情報を狙うフィッシングメールが挙げられています。長期休暇中はシステム管理者の対応が遅れがちで、検知から実対応までの空白時間が長くなることが被害拡大の要因と説明されています。

長期休暇明け（5月6日〜）にシステム管理者が確認すべき項目