今週は「ファイアウォール本体の未パッチゼロデイ」「不動産管理会社のランサムウェア被害」「不動産業界に広く使われるクラウドサービスの侵入」の3本を取り上げます。境界機器・社内システム・委託先クラウドという3つの侵入経路がそれぞれ顕在化した週となりました。週明けに自社の「ファイアウォール機種」「VPN接続の特権アカウント」「業務委託先のクラウド利用状況」を1ページにまとめて棚卸しすることを推奨します。
NEWS 01
IPA／Palo Alto Networks ｜ 2026年5月8日
Palo Alto Networks PAN-OSにゼロデイ脆弱性、実環境での悪用を確認（CVE-2026-0300）
IPA（情報処理推進機構）は2026年5月8日、Palo Alto Networks製PAN-OSにおけるバッファオーバーフロー脆弱性（CVE-2026-0300）に関する注意喚起を公表しました。User-ID Authentication Portal（旧称Captive Portal）に未認証の攻撃者が特別に細工したパケットを送ることで、PA-SeriesおよびVM-Seriesファイアウォール上でroot権限で任意コードを実行される可能性があります。
本脆弱性はCVSS基本値9.3（重要）と評価され、Palo Alto Networksは実環境での悪用を限定的ながら確認しています。2026年5月6日には米CISAの「悪用された脆弱性カタログ（KEV）」にも追加されました。なお、Prisma Access、Cloud NGFW、Panoramaは影響を受けません。
修正パッチは記事執筆時点で未提供であり、Palo Alto Networksは2026年5月13日からの段階的なリリース、5月28日までに対応バージョン群の提供完了を予定としています。パッチ提供までの間は緩和策の適用が必須です。
▌中小企業への影響
Palo Alto Networksのファイアウォールはセキュリティ意識の高い中堅・中小企業で導入されていますが、User-ID Authentication Portalをインターネットからアクセス可能な状態にしている場合は即座に攻撃対象となります。クラウド型のPrisma Accessを利用している場合は影響を受けません。境界機器そのものが乗っ取られると、内部ネットワークすべてが攻撃者の操作下に入る点が一般的な業務システムの脆弱性と異なります。
▌推奨対応（今すぐ）
- 導入しているファイアウォール製品名・モデル・PAN-OSバージョンを確認する（PA-Series／VM-Series以外は対象外）
- User-ID Authentication Portalを利用しているか確認（Device → User Identification → Authentication Portal Settings）
- 必須でなければPortalを無効化する。必要な場合は信頼できる社内IPアドレスからのみアクセス可能に制限する
- パッチ提供（5月13日以降）が始まり次第、テスト環境で検証の上、本番ファイアウォールへ適用する
- 過去にPortalがインターネット公開されていた場合、ログを遡って侵入痕跡（不審な認証ログ・設定変更）を確認する
NEWS 02
ScanNetSecurity／あなぶきハウジングサービス ｜ 2026年5月8日
穴吹ハウジングサービスへのランサムウェア攻撃、松山市営住宅入居者7,237件の個人情報が漏えい
株式会社穴吹ハウジングサービスは、2026年2月3日に同社グループのサーバに対するランサムウェア攻撃を確認し、外部専門機関と連携して調査を継続してきました。同社は2026年4月17日、松山市営住宅入居者の個人情報7,237件が外部に流出していたことを公表しました。漏えいしたのは氏名・団地名・部屋番号・生年月日が7,237件、生活保護受給の有無が488件、障がい者手帳等の有無が663件です。金融機関口座情報やマイナンバーの漏えいは確認されていないとしています。
同社グループの調査によれば、攻撃者はグループ会社の通信機器の脆弱性を悪用して侵入し、業務時間外を中心に複数サーバへの遠隔ログインを試行、最終的に管理者権限を奪取しました。ネットワーク全体に侵入後、複数サーバにランサムウェアを展開してファイルを暗号化したうえで、ファイルサーバから約21万件のファイルが外部に流出していたと報告されています。
松山市営住宅管理センターは2026年4月17日に、ランサムウェア攻撃による市営住宅入居者の情報漏えいを発表しました。同社では現在も被害状況の最終調査と影響範囲の確定を継続しています。
▌中小企業への影響
本事案で攻撃者は「通信機器の脆弱性」を突破口に侵入しました。VPN装置・ファイアウォール・社内ルーターのファームウェアを最新に保てていない中小企業は同じ経路で狙われ得ます。また、自治体・元請けから受託している業務がある企業は、自社の被害が顧客（自治体・受託元）にも波及します。本件のように「グループ会社内の機器」が突破口になるパターンは、子会社・関連会社を持つ中堅企業でも同様に発生します。
▌推奨対応
- 境界機器（VPN装置・ファイアウォール・ルーター）の機種・ファームウェアバージョン・最終更新日を一覧化する
- 管理者アカウントのパスワード強度・多要素認証適用状況を確認し、特権アカウントは管理者のみに限定する
- 業務時間外のサーバログイン履歴をSIEM等で監視する仕組みを導入する（手動チェックでもよい）
- 受託している顧客情報の保管場所を棚卸しし、暗号化・アクセス制御・バックアップの3点を確認する
- グループ会社・委託先の境界機器も自社の責任範囲として把握する
NEWS 03
INTERNET Watch／いえらぶGROUP ｜ 2026年4月8日（続報あり）
いえらぶCLOUDへの不正アクセス、全国17,000社の不動産業に波及
株式会社いえらぶGROUPは2026年4月8日、不動産会社向けクラウドサービス「いえらぶCLOUD」が不正アクセスを受け、登録されていた住宅検討者の個人情報が外部へ流出した可能性があることを公表しました。同サービスは全国17,000社以上の不動産会社が利用しているクラウド型業務基盤です。
同社の発表によれば、2026年4月5日に悪意ある第三者によるシステムへの不正アクセスが発生し、4月6日に異常検知とアクセス遮断を実施、4月8日に本格調査と公式発表に移行しました。攻撃者はクライアントである不動産会社のアカウント情報をインフォスティーラー（情報窃取マルウェア）を用いて事前に窃取していた可能性が高いと判明しています。
影響を受けた可能性のある情報は、住宅検討者の氏名・メールアドレス・電話番号・住所・物件希望条件などです。クレジットカード情報・要配慮個人情報・マイナンバーの流出は確認されていないとしています。ダークウェブ上では、SUUMO・HOME'S・at home・CHINTAIなど大手ポータルを経由した約240万件の住宅検討者情報（ユニークメールアドレス約97万件）が販売されているとの主張があり、関連性が調査されています。
▌中小企業への影響
「自社は不動産業ではないから関係ない」と思いがちですが、本件の本質は「クラウド型業務サービスのアカウントが、社員のPCに感染したインフォスティーラーから漏れた」可能性です。Microsoft 365・Salesforce・kintone・freee・マネーフォワードなど、業種を問わず利用される業務クラウドすべてに当てはまる構造です。中小企業ほど社員私物PCの管理が緩く、感染してもログイン情報が漏れるまで気づかないリスクがあります。
▌推奨対応
- 業務で利用しているクラウドサービスをすべて棚卸しし、各サービスで多要素認証（MFA）を有効化する
- 業務PCにEDR（または最低限の最新ウイルス対策ソフト）を導入し、未知のマルウェア検知を強化する
- 業務クラウドの管理画面で「直近のログイン履歴」「異常な時間帯のアクセス」を月次確認する運用にする
- 業務に私物端末（BYOD）を許可している場合、許可端末を再確認し、未対応端末のアクセスを遮断する
- 不動産業者の場合はいえらぶCLOUDの管理者へ問い合わせ、自社アカウントの侵害有無を確認する
編集部まとめ
今週の3本は侵入経路の典型パターンが揃いました。Palo Alto PAN-OSは「境界機器そのものが狙われた」例、穴吹ハウジングは「通信機器の脆弱性から内部に展開された」例、いえらぶCLOUDは「クライアントPCから盗まれた認証情報でクラウドに侵入された」例です。
中小企業のセキュリティ運用は、(1)境界機器のパッチ運用、(2)管理者アカウントの多要素認証、(3)業務クラウドの異常監視、の3点をまず徹底することが急務です。完璧を目指すより、この3点だけでも今週中に手をつけることをおすすめします。
参考情報
- IPA「Palo Alto Networks製PAN-OSの脆弱性対策について(CVE-2026-0300)」（2026年5月8日）
- Palo Alto Networks「CVE-2026-0300 PAN-OS: Unauthenticated user initiated Buffer Overflow Vulnerability in User-ID Authentication Portal」
- ScanNetSecurity「穴吹ハウジングサービスへのランサムウェア攻撃、松山市営住宅入居者の個人情報が漏えい」（2026年5月8日）
- あなぶきハウジングサービス「ランサムウェア攻撃による松山市営住宅入居者の情報漏えいに関するお知らせとお詫び」（2026年4月17日）
- Security NEXT「ランサムウェア被害による情報流出を確認 - 穴吹ハウジングサービス」
- INTERNET Watch「いえらぶGROUP、クラウドサービスへの不正アクセスによる情報流出について発表」（2026年4月8日）
- 株式会社いえらぶGROUP「【第二報】当社のクラウドサービスへの不正アクセスに関する調査状況および今後の対応について」
secure