今日は3本を取り上げます。Microsoftの8月定例パッチが421件もの脆弱性を修正し、うち1件は既に攻撃で悪用されているゼロデイ（CVE-2026-68820）です。Windows端末は早急に更新してください。国内では中部電力が資格情報の不正利用による約7万4千人分の連絡先情報漏えいの可能性を公表しました。IPAは夏休み明けにやるべきセキュリティ対応を注意喚起しています。休暇明けの今週、各ニュースの推奨対応を確認してください。
NEWS 01
Microsoft / JPCERT/CC・IPA ｜ 2026年8月12日（日本時間）
Microsoft 8月の月例パッチで421件の脆弱性を修正 悪用確認済みのゼロデイ CVE-2026-68820 を含む、Windows端末は早急な更新を
Microsoftは2026年8月の月例セキュリティ更新（Patch Tuesday）で、合計421件のCVE（脆弱性）を修正しました。JPCERT/CCとIPAも同日、注意喚起を公開しています。このうち特に重要なのが、既に実際の攻撃で悪用されていることが確認されているゼロデイ脆弱性 CVE-2026-68820 です。
CVE-2026-68820 は、WinSock向けのWindows補助関数ドライバー（afd.sys）における「解放済みメモリ使用（Use-After-Free）」の脆弱性です。ローカルで認証済みの攻撃者が細工したアプリケーションを実行し、競合状態を発生させることで、SYSTEM権限（端末の最高権限）を奪取できるおそれがあります。これに加え、修正時点で内容が公表済みだった未修正の脆弱性も複数含まれており、攻撃者に先回りされないよう早急な適用が求められます。
▌中小企業への影響
Windowsを業務で使う全ての企業が対象です。悪用確認済みのゼロデイは、攻撃者が端末に一度足がかりを得た後、権限を最高レベルまで昇格させて端末全体を掌握する際に使われます。フィッシングやマルウェアで初期侵入された端末が、こうした脆弱性で完全に乗っ取られる流れは実際の被害でよく見られます。更新の遅れがそのまま被害拡大の余地になります。
▌推奨対応（今週中に実施）
- Windows Updateを実行し、8月の更新プログラムを全端末に適用する。適用後は再起動して完了させる
- 自動更新に任せている場合も、長期間再起動していない端末は未適用の可能性があるため個別に点検する
- 共用PC・予備機・持ち出しノートなど、普段電源を入れない端末の更新漏れを重点的に確認する
- サーバーOS（Windows Server）を運用している場合は、業務影響を確認したうえで計画的に適用する
- 更新後、端末の管理者権限を持つアカウントを棚卸しし、不要な管理者権限を減らしておく
NEWS 02
中部電力（各報道）｜ 2026年8月4日発表
中部電力に不正アクセス、資格情報の不正利用でグループ役職員・取引先など約7万4千人分の連絡先情報が漏えいの可能性
中部電力は2026年8月4日、一部システムへの不正アクセスにより、最大で約7万4,100人分の個人情報が漏えいした可能性があると公表しました。内訳は、関係機関・自治体・取引先などが約2,400人分、同社グループの連絡先情報に登録されていた役職員・委託先社員などが約7万1,700人分です。会社・団体名、役職、氏名、メールアドレス、電話番号などが不正に閲覧された可能性があるとしています。
経緯として、2026年7月29日に第三者機関から情報提供を受けて調査したところ、一部システムの資格情報（ID・パスワードなどのログイン情報）が不正に利用されていたことが判明しました。同社は不正利用された資格情報を無効化し、アクセス元を遮断。電力供給や顧客情報を扱うシステムへの不正アクセスの痕跡はないことを確認したうえで、漏えいの可能性がある範囲の特定と内容の精査を進めています。
▌中小企業への影響
入口は脆弱性ではなく「正規の資格情報が悪用された」点です。これは規模を問わず起こり得ます。従業員のログイン情報がフィッシングや使い回しで盗まれると、攻撃者は正規利用者になりすまして堂々と社内システムに入り込みます。連絡先情報が漏れれば、取引先を狙ったなりすましメールの二次被害にもつながります。ログイン情報の管理と、盗まれても入られない仕組みづくりが要になります。
▌推奨対応
- 社内システム・クラウドサービスのログインに多要素認証（MFA）を設定する。資格情報が盗まれても不正ログインを防げる
- パスワードの使い回しを禁止し、業務システムごとに異なる強固なパスワードを使う運用を徹底する
- ログイン履歴を定期的に確認し、見慣れない場所・時間帯からのアクセスを検知できるようにする
- 退職者・異動者・取引終了した委託先のアカウントを速やかに無効化する（放置アカウントは狙われやすい）
- 不審なログインを検知した際に、資格情報の無効化とアクセス遮断を即座に行える手順を事前に決めておく
NEWS 03
IPA（情報処理推進機構）｜ 2026年7月30日 注意喚起
IPA、夏休み明けのセキュリティ対策を注意喚起 VPN・IoT機器の侵害やDDoS、詐欺メールに警戒を
IPA（独立行政法人 情報処理推進機構）は、2026年度の夏休みにおける情報セキュリティに関する注意喚起を公開しました。長期休暇の前後は、管理者不在で更新や監視が手薄になりやすく、休暇中に届いた不審メールを休暇明けにまとめて処理する際にリスクが高まります。IPAは組織・個人それぞれに向けて、休暇明けの対応を呼びかけています。
組織向けには、VPN機器やルーターなどのネットワーク境界機器を侵害し、他の攻撃の中継地点（ORB＝Operational Relay Box）として悪用する「ネットワーク貫通型攻撃」への警戒、侵害されたIoT機器を使ったDDoS攻撃、休暇明けにまとめて処理する詐欺メール・フィッシングへの注意が挙げられています。休暇中に公開された脆弱性の修正プログラムを、休暇明けに速やかに適用することも重要です。
▌中小企業への影響
夏休み明けの数日は、溜まったメールを急いで処理する中で、フィッシングや不正な添付ファイルをうっかり開いてしまいやすい時期です。また、休暇中に公開された脆弱性の更新が後回しになっていると、その間が攻撃の狙い目になります。特にVPN機器やルーターは、放置されがちな一方で侵入の入口になりやすく、更新状況の確認が欠かせません。
▌推奨対応（休暇明けに実施）
- 休暇中に溜まったメールは、送信元や本文の不審点を落ち着いて確認してから開く。急かす内容ほど疑う
- OS・業務ソフト・ウイルス対策ソフトを最新の状態に更新する。休暇中に公開された修正を取りこぼさない
- VPN機器・ルーター・IoT機器のファームウェアを更新し、初期パスワードのまま使っていないか確認する
- 休暇中に持ち出した端末を社内ネットワークにつなぐ前に、更新とウイルスチェックを実施する
- 不審な挙動やログイン履歴がないか、主要システムのログを休暇明けに点検する
編集部まとめ
今週の最優先はMicrosoftの8月定例パッチです。421件の修正には既に悪用されているゼロデイ（CVE-2026-68820）が含まれており、Windows端末は再起動まで含めて更新を完了させてください。中部電力の事案は、脆弱性ではなく「盗まれた正規の資格情報」で侵入された点が教訓です。中小企業も他人事ではなく、多要素認証の設定とパスワード使い回しの排除という基本を徹底してください。
夏休み明けのこの時期は、溜まったメールの処理と更新の遅れが重なって攻撃者に狙われやすくなります。IPAの注意喚起にあるとおり、メールを開く前のひと呼吸と、休暇中に公開された修正の適用を今週のうちに済ませておきましょう。
参考情報
- JPCERT/CC 注意喚起 at260022「2026年8月マイクロソフトセキュリティ更新プログラムに関する注意喚起」2026年8月12日
- IPA「Microsoft 製品の脆弱性対策について（2026年8月）」2026年8月12日
- 各報道（日本経済新聞 xTECH・時事通信 ほか）「中部電力に不正アクセス、約7万4千人分の連絡先情報が漏えいの可能性」2026年8月4日
- IPA「2026年度 夏休みにおける情報セキュリティに関する注意喚起」2026年7月30日
secure