【セキュリティニュース】2026年7月30日号｜エレコム製Wi-Fiルーターに緊急脆弱性・Oracle Java四半期パッチ・村田製作所グループで顧客情報漏えい

2026年7月30日 2026年7月30日

secure

今週は3本のニュースを取り上げます。エレコム製のWi-Fiルーター・法人向けアクセスポイントに、遠隔から任意のコマンドを実行されるおそれのある脆弱性が見つかり、ファームウェア更新が呼びかけられています。オフィスや店舗で該当機種を使っている場合は早めの対応を。あわせて、Oracle Javaの四半期パッチ公開と、村田製作所グループでの不正アクセスによる顧客情報漏えいを取り上げます。各ニュースの「推奨対応」を確認してください。

NEWS 01
JVN・JPCERT/CC ｜ 2026年7月28日

エレコム製Wi-Fiルーター・アクセスポイントに複数の脆弱性、OSコマンド実行のおそれ

JPCERT/CCと情報処理推進機構（IPA）が運営する脆弱性情報データベースJVNは2026年7月28日、エレコム製の無線LANルーターおよび無線アクセスポイントに複数の脆弱性があるとして注意喚起（JVN#56870912）を公開しました。エレコムも同日、対象製品のファームウェアを最新版へ更新するよう呼びかけています。

最も深刻なのは、Web設定画面（WebUI）や設定の復元機能に存在するOSコマンドインジェクションの脆弱性（CVE-2026-59764、CVE-2026-61376。いずれもCVSS v4基本値8.6）です。製品にログインできる攻撃者によって、機器上で任意のOSコマンドを実行されるおそれがあります。このほか、設定画面に反射型クロスサイトスクリプティングの脆弱性（CVE-2026-44387、CVSS v4基本値5.1）も報告されています。

対象には家庭向けの「WRC-X3000GS3-B」「WRC-X3000GS3A-B」（いずれもファームウェアv1.06以前）や、法人向けアクセスポイントの「WAB-M1775-PS」「WAB-S1775」（v2.1.9以前）、「WAB-M2133」「WAB-I1750-PS」「WAB-S1167-PS」（v2.0.5以前）などが含まれます。対策は、開発者が提供する最新版ファームウェアへの更新です。

▌中小企業への影響

オフィスや店舗のネットワーク機器として、これらのエレコム製ルーター・アクセスポイントを使っている場合が対象です。機器を乗っ取られると、通信内容の盗み見や設定改ざん、社内ネットワークへの侵入口として悪用される恐れがあります。特に管理画面のパスワードが初期設定のままだと、ログインを許して脆弱性を突かれるリスクが高まります。

▌推奨対応

社内・店舗で使っているWi-Fiルーター／アクセスポイントの型番とファームウェアのバージョンを確認する
対象機種の場合、エレコム公式サイトから最新版ファームウェアを入手して更新する
管理画面のログインパスワードが初期値・単純な値のままなら、推測されにくいものに変更する
ルーターの管理画面をインターネット側から開かない設定にする（リモート管理が不要なら無効化する）

NEWS 02
IPA・Oracle ｜ 2026年7月22日

Oracle Javaの四半期パッチ公開、最大CVSS10.0 業務システムは影響確認を

Oracleは2026年7月22日（日本時間）、四半期ごとの一括セキュリティ更新「Critical Patch Update（CPU）」を公開しました。IPAも同日、Oracle Java SEの脆弱性対策として更新を促す注意喚起を出しています。今回のCPU全体では334製品にわたる1,400件超の脆弱性が修正され、その一部にはCVSS基本値が最大10.0（緊急）のものが含まれます。

このうちJava SE（サーバーやPCでJavaアプリケーションを動かすための実行環境）については、複数の脆弱性が修正されました。Javaは業務用のアプリケーションや社内システムの土台として広く使われており、脆弱性を放置すると、細工されたデータやアプリを通じて不正な処理を実行されるおそれがあります。

▌中小企業への影響

会計・販売管理・勤怠などの業務システムがJavaで動いている場合が対象です。自社で更新を管理しているサーバーやPCにJava実行環境が入っていると、更新漏れが攻撃の入り口になり得ます。ベンダー提供のシステムを使っている場合は、Javaのバージョンをこちらで勝手に上げるとシステムが動かなくなることもあるため、提供元への確認が必要です。

▌推奨対応

社内でJava（JRE／JDK）を使っている端末・サーバーを洗い出す
自社管理のJavaは、Oracleが提供する対応版へ更新する
ベンダー提供の業務システムでJavaを使っている場合は、更新の可否と手順を提供元に確認する（自己判断で更新しない）
使っていない古いJavaが端末に残っていれば、アンインストールして攻撃対象を減らす

NEWS 03
村田製作所グループ・ScanNetSecurity ｜ 2026年7月（判明）

村田製作所グループの不正アクセスで、自動車保険契約者の情報が漏えい

村田製作所は、2026年2月末に判明したIT環境への不正アクセスに関して調査を続けており、2026年7月、グループ会社が扱う自動車保険契約者の個人情報の一部が外部に漏えいしたことが新たに判明したと明らかにしました。この不正アクセスをめぐっては、4月時点でメールアドレスなどを含む約8万8000件のデータ流出の可能性が公表されていました。

今回漏えいが判明した情報は、過去の複数時点における自動車保険契約者の「氏名」「証券番号」「車両番号」など6項目で、住所や電話番号などの連絡先、口座情報、クレジットカード情報は含まれていないとされています。大企業本体だけでなく、グループ会社や委託先が保有する情報まで被害が及んだ点が、この事案の特徴です。

▌中小企業への影響

「大企業の話」と片付けられない事案です。中小企業でも、取引先や委託先に顧客情報・従業員情報を預けている場面は多くあります。一社が侵入されると、そこに情報を預けていた企業や、グループ内の別会社にまで被害が波及します。自社が守っていても、預け先が破られれば情報は漏れる、という構図を意識する必要があります。

▌推奨対応

自社の顧客情報・従業員情報を、どの外部委託先・グループ会社に預けているかを一覧で棚卸しする
委託先に対し、セキュリティ対策の実施状況やインシデント発生時の連絡体制を確認する
不要になった古い個人データを預けたままにしていないか点検し、保管期間を過ぎたものは削除を依頼する
委託契約に、情報漏えい時の報告義務や責任分担が明記されているか見直す

編集部まとめ

今週はまず、身近なネットワーク機器の点検が実務の中心です。エレコム製Wi-Fiルーター・アクセスポイントの脆弱性は、型番とファームウェアのバージョンを確認し、対象なら更新する。あわせて管理画面のパスワードと外部公開設定も見直しておくと効果的です。Oracle Javaは、業務システムで使っている場合はベンダーに確認しつつ更新を。

村田製作所グループの事案は、委託先・グループ会社を経由した情報漏えいという点で中小企業にも通じる教訓です。「どこに何を預けているか」を棚卸しするところから始めてください。来週号もお読みください。