【セキュリティニュース】2026年5月15日号｜Microsoft緊急パッチ118件・nginx重大脆弱性・CAMPFIRE22万人情報漏えい・国内ランサム被害続発

Microsoft 5月月例パッチ公開、118件の脆弱性修正——緊急30件に認証不要のRCEも

Microsoftは2026年5月13日（日本時間）、月例のセキュリティ更新プログラムを公開しました。今月は118件の脆弱性に対応しており、最も深刻な「緊急（Critical）」は30件に上ります。IPAとJPCERT/CCも同日、適用を求める注意喚起を発出しています。

今月特に注意すべき脆弱性は以下の4件です。いずれも攻撃者が認証やユーザー操作なしに悪用できる点が共通しており、ネットワーク経由で遠隔からコードを実行できます。

特に危険性の高い脆弱性（認証不要・遠隔からコード実行）

脆弱性の種類別内訳は、権限昇格が57件と最多で、次いでリモートコード実行が29件、情報漏えいが9件です。対象はWindows・Office・SharePoint・Teams・SQL Server・.NET・Azureなど広範囲に及びます。

nginx に18年潜伏した重大脆弱性「NGINX Rift」（CVE-2026-42945）、CVSS 9.2——即時アップデートを

2026年5月13日、オープンソースのWebサーバーソフトウェア「nginx」に深刻な脆弱性（CVE-2026-42945、通称「NGINX Rift」）が公開されました。セキュリティ研究グループ「depthfirst」とF5の共同調査で発見されたもので、CVSS v4.0スコアは9.2と最高水準に近い評価です。

この脆弱性はnginxの「ngx_http_rewrite_module」内に存在し、コードが最初に取り込まれた2008年から18年間、誰にも発見されないまま潜伏していました。「ヒープバッファオーバーフロー」の一種で、特定の設定条件下で攻撃者がWebサーバー上で任意のコードをリモートから実行できます。

影響を受けるバージョン

なお、同時期にPalo Alto NetworksのファイアウォールOS「PAN-OS」でも重大な脆弱性（CVE-2026-0300、CVSS 9.3）が実際に悪用されており、CISAのKEVカタログに登録されています。PAN-OS機器を使用している場合は合わせて確認が必要です。

CAMPFIRE、GitHubへの不正アクセスで最大22万5,846人分の個人情報が漏えいの恐れ——口座情報も含む

クラウドファンディングサービス「CAMPFIRE」を運営する株式会社CAMPFIREは2026年4月24日、システム管理用GitHubアカウントへの不正アクセスをきっかけに、最大22万5,846件の個人情報が漏えいした可能性があると公表しました。

インシデントの経緯

漏えいした可能性がある情報は、プロジェクト実行者（起案者）12万929件の氏名・住所・電話番号・口座情報、支援者13万155件の氏名・住所・口座情報です。このうち8万2,465件には口座情報が含まれています。

国内ランサムウェア被害の続報——オーミケンシ5月に調査結果公表、東山産業・穴吹ハウジングでも情報漏えい確認

繊維メーカーのオーミケンシは2026年3月16日にサイバー攻撃によるシステム障害が発生し、5月11日の続報でVPN経由の侵入の可能性が高く、ファイルサーバーのデータが暗号化されたランサムウェア攻撃であることが確認されたと報告しました。外部へのデータ送信も一部確認されていますが、現時点では取引先・顧客の個人情報は含まれておらず、従業員の氏名等に限定されているとのことです。基幹システムの停止により決算手続きにも遅延が生じており、調査は5月末を目安に継続中です。

東山産業のケースでは、攻撃者が業務時間外に複数のサーバーへのログインを繰り返して管理者権限を奪取し、「QILIN」ランサムグループがランサムウェアを展開しました。グループのリークサイトに一部データが公開されており、福祉事業部の顧客情報・役員・従業員情報・採用応募者の情報が含まれていたとのことです。

穴吹ハウジングサービスは、2026年2月3日に発生したランサムウェア攻撃の続報として、攻撃者が公開したデータに松山市営住宅入居者の個人情報が含まれていたことを確認したと公表しています。