今週は3本のニュースを取り上げます。Microsoftの7月定例更新には、パッチ公開前から実際の攻撃で悪用されていたゼロデイ脆弱性が2件含まれており、いずれも権限の昇格につながります。村田製作所グループでは、3月に公表された不正アクセス被害の続報として、グループ会社が扱う自動車保険の顧客情報が漏えいしたことが判明しました。さらに、中小企業でも利用の多いバックアップソフト「Duplicati」に任意コードを実行される脆弱性が公表されています。まずはWindowsとバックアップ環境の更新状況を確認してください。
NEWS 01
IPA・JPCERT/CC ｜ 2026年7月15日
Microsoft 7月定例更新、悪用済みゼロデイ2件を修正 AD FSとSharePointの権限昇格に注意
IPAとJPCERT/CCは2026年7月15日（日本時間）、Microsoftが公開した7月の月例セキュリティ更新プログラムについて注意喚起を出しました。今回の更新はCVEベースで600件を超える脆弱性に対応する大規模なもので、このうち2件は、パッチが公開される前から実際の攻撃で悪用されていたゼロデイ脆弱性です。
悪用が確認されたのは、Active Directory フェデレーション サービス（AD FS）の特権昇格の脆弱性「CVE-2026-56155」（CVSS 7.8）と、SharePoint Serverの特権昇格の脆弱性「CVE-2026-56164」（CVSS 5.3）の2件です。いずれも攻撃者が権限を引き上げることを可能にするもので、Microsoftは悪用の事実を確認済みとしています。IPAは、今後被害が拡大するおそれがあるとして、至急セキュリティ更新プログラムを適用するよう求めています。
▌中小企業への影響
Windowsを使っている企業はすべて対象になります。特にAD FSは社内システムやクラウドサービスへのシングルサインオン（一度のログインで複数サービスを使う仕組み）に使われることがあり、ここを乗っ取られると連鎖的に他のシステムへ侵入されるおそれがあります。SharePointを社内の情報共有基盤として使っている場合も同様です。悪用がすでに始まっている脆弱性であるため、「月例更新はいつも後回し」という運用では間に合いません。
▌推奨対応（今週中に確認）
- 社内のWindows端末・サーバーに7月分のセキュリティ更新プログラムが適用されているか確認する
- AD FSやSharePoint Serverを自社で運用している場合は、優先して更新を適用する
- Windows Updateの自動更新が有効になっているか、更新が止まっている端末がないか点検する
- 更新をすぐ適用できないサーバーは、外部からの不要なアクセスを一時的に制限する
NEWS 02
村田土地建物・ScanNetSecurity ほか ｜ 2026年7月10日
村田製作所グループの不正アクセス続報、自動車保険の顧客情報が漏えい グループ会社経由の被害拡大
村田製作所は2026年3月、同社のIT環境が不正アクセスを受け、従業員や取引先など最大約8.8万件の個人情報が不正に取得されたおそれがあると公表していました。内訳は顧客・取引先の情報が約1万5000件、従業員に関する情報が約7万3000件とされています。村田製作所は2月28日に不正アクセスの可能性を把握し、翌3月1日から本格的な調査に移行、不正アクセスの経路はすでに遮断したと報告しています。
この続報として、グループ会社の村田土地建物は7月10日、同社が扱う自動車保険「ムラタメイク」の契約者情報の一部が外部に漏えいしたことを公表しました。漏えいが判明したのは、2015年3月末・2020年1月末・2021年7月末の各時点における契約者の「氏名」「証券番号」「車両番号」など6項目で、住所や電話番号などの連絡先情報、口座情報、クレジットカード情報は含まれていないとしています。親会社への攻撃が、時間差でグループ会社の顧客情報の漏えいにまで及んだ事例です。
▌中小企業への影響
この事例が示すのは、自社が直接攻撃されなくても、取引先やグループ会社・親会社が保有していた自社の情報が漏れるリスクです。中小企業でも、親会社やフランチャイズ本部、業務委託先とシステムや顧客データを共有しているケースは珍しくありません。相手先の被害が自社の顧客情報漏えいに直結します。また、被害の全容判明までに数か月を要し、続報として追加漏えいが判明する点も特徴で、初報だけで安心できないことを示しています。
▌推奨対応
- 取引先・委託先・グループ会社と共有している自社データの範囲を把握しておく
- 委託先に対し、情報漏えい時の報告ルールと連絡体制を契約で明確にする
- 他社のシステムに預けている顧客情報について、必要最小限に絞れないか見直す
- 取引先で情報漏えいが起きた場合の、自社顧客への通知・対応手順を準備しておく
NEWS 03
JPCERT/CC・JVN ｜ 2026年7月23日
バックアップソフト「Duplicati」に任意コード実行の脆弱性 既定以外の場所への導入が危険
JPCERT/CCとJVN（Japan Vulnerability Notes）は2026年7月23日、オープンソースのバックアップソフト「Duplicati」に、不適切な権限割り当てに関する脆弱性（JVNVU#98636554／CVE-2026-16157）があると公表しました。対象はDuplicati v2.3.0.1で、既定の場所（C:\Program Files\Duplicati 2）以外にインストールした場合に、任意のコードを実行されるおそれがあります。
Duplicatiはインストール時に、システム最上位の権限（LocalSystem）で動くサービスを登録し、インストール先フォルダ内のプログラムを実行します。既定以外の場所にインストールすると、そのフォルダに一般利用者でも書き込みできる権限が残ってしまうため、ローカルの一般ユーザー権限を持つ攻撃者が悪意あるファイル（DLLなど）を置くことで、最上位の権限でコードを実行できてしまいます。対策として、既定のフォルダにインストールすること、やむを得ず別の場所に入れる場合はアクセス権（ACL）を手動で適切に設定すること、そして提供元の修正版・更新を適用することが挙げられています。
▌中小企業への影響
Duplicatiは無償で使えるバックアップソフトとして、中小企業や個人事業でも利用されています。バックアップはランサムウェア対策の要ですが、そのソフト自体が侵入の足がかりになると本末転倒です。この脆弱性は、すでに端末にログインできる利用者や、マルウェアに侵入された端末で権限を引き上げる「もう一段の攻撃」に使われます。Dドライブや任意のフォルダに入れていると影響を受けやすいため、導入場所の確認が必要です。
▌推奨対応
- Duplicatiを利用している場合、インストール先が既定のフォルダ（C:\Program Files\Duplicati 2）かを確認する
- 既定以外の場所に導入している場合は、そのフォルダのアクセス権を管理者のみ書き込み可に見直す
- 提供元が公開する修正版・更新プログラムを適用する
- バックアップ端末に一般利用者アカウントで不要にログインできる状態になっていないか確認する
編集部まとめ
今週は、悪用がすでに始まっているMicrosoftのゼロデイ2件が最優先です。AD FSやSharePointを自社運用している企業はもちろん、一般のWindows端末も含めて7月分の更新適用状況を今週中に点検してください。バックアップソフトDuplicatiの脆弱性も、対策の要であるバックアップ環境そのものが狙われる点で見逃せません。
村田製作所グループの事例は、自社が直接攻撃されなくても、取引先やグループ会社を経由して自社の情報が漏れる時代であることを示しています。共有しているデータの範囲を把握し、委託先との報告ルールを整えることが、間接被害への現実的な備えになります。来週号もお読みください。
参考情報
- IPA「Microsoft 製品の脆弱性対策について(2026年7月)」（2026年7月15日）
- JPCERT/CC「2026年7月マイクロソフトセキュリティ更新プログラムに関する注意喚起」（at260020）
- 村田土地建物「村田製作所IT環境への不正アクセスによる個人情報漏えいに関するお知らせとお詫び」（2026年7月10日）／ScanNetSecurity・日本経済新聞・INTERNET Watch 報道
- JVN「JVNVU#98636554: バックアップソフトウェア『Duplicati』における不適切な権限割り当てに関する脆弱性」（CVE-2026-16157、2026年7月23日）
secure
