【セキュリティニュース】2026年10月7日号｜SonicWall SMA1000にCVSS10.0の悪用済み脆弱性（CVE-2026-83548）・IDCFクラウドにランサムウェア攻撃で495組織に影響・北海学園大学のアカウント悪用でフィッシング送信・個人情報保護委員会が大規模漏えいで注意喚起
公開
SonicWall公表／Security Affairs ほか｜ 2026年9月1日公表
SonicWall SMA1000シリーズにCVSS10.0の認証前SSRF（CVE-2026-83548）と認証後OSコマンドインジェクション（CVE-2026-83549）――実際の悪用を確認、未更新機器は引き続き危険
SonicWallは2026年9月1日、リモートアクセス製品「SMA1000シリーズ」に影響する2件の脆弱性を公表し、いずれも実際の攻撃に悪用されていることを確認したと明らかにしました。
CVE-2026-83548（CVSS 10.0、クリティカル）は認証前に悪用可能なサーバーサイドリクエストフォージェリ（SSRF）です。認証なしで攻撃者が任意の内部リクエストを送り込める状態であり、深刻度は最高値の10.0です。もう一件のCVE-2026-83549（CVSS 7.8、高）は認証後に悪用可能なOSコマンドインジェクションで、任意のOSコマンドが実行できます。対象モデルはSMA 6210、7210、8200vです。公表から1か月以上が経過していますが、更新されていない機器は引き続き攻撃の対象になります。
SMA1000シリーズは、社外からのVPN接続やリモートアクセス管理に使われる製品です。認証前に悪用できるCVSS10.0の脆弱性は、インターネットに向けて公開されているだけで攻撃を受けます。リモートワーク環境の整備で導入した中小企業にも影響がある場合があります。1か月前に公表された脆弱性だからといって「対処済みだろう」と油断せず、更新バージョンへの適用を確認してください。
- SMA 6210、7210、8200vを使用している場合、SonicWallのサポートポータルで修正バージョンを確認し、ただちに適用する
- 適用が完了するまでの間、SMA1000の管理インターフェースへのアクセスをIPアドレスで制限する
- IT管理を外部に委託している場合、ベンダーに対応状況を今日中に確認する
- アクセスログを確認し、不審な接続元やリクエストがないかチェックする
IDCフロンティア公表／INTERNET Watch・innovatopia ほか｜ 2026年10月7日公表
「IDCFクラウド」の一部リージョンでランサムウェア攻撃による障害――495の企業・自治体に影響、情報漏えいの有無は調査中
IDCフロンティアは2026年10月7日、クラウドサービス「IDCFクラウド」の東日本リージョン1で同日午前3時40分頃から障害が発生し、原因が第三者によるランサムウェア攻撃であると公表しました。同リージョンはネットワークを遮断してシステムを停止しており、契約する495の企業・自治体に個別に連絡したとしています。茨城県のWebサイトが閲覧できなくなるなど、利用組織側にも影響が出ました。
同社は攻撃者による声明の存在を把握し、真偽を含めて調査中と説明しています。他リージョンについては安全性の確認のため利用者向け管理コンソールを一時停止しており、情報漏えいの有無と復旧時期は第2報の時点で未発表です。
「自社はクラウドを使っているから大丈夫」とは言えないことを示す事案です。クラウド事業者が攻撃されれば、利用企業のシステムやデータも影響を受けます。IDCFクラウドを業務で利用している場合、自社のデータへのアクセス状況や障害の影響範囲を確認してください。
- IDCFクラウドを利用している場合、公式のサービス状況ページを確認し、影響の有無を特定する
- クラウド上に置いているデータのバックアップ状況と、バックアップが別事業者・別リージョンにあるかを確認する
- 利用中のクラウド事業者のセキュリティインシデント対応方針（SLA、通知義務）を把握しておく
北海学園大学公表／Security NEXT ほか｜ 2026年10月7日公表
北海学園大学の学生アカウントが不正アクセスを受け、過去に連絡のあった教員・関係者5名へフィッシングメールを送信――取引先や関係者が巻き込まれるパターン
北海学園大学は2026年10月7日、学生のメールアカウント1件が第三者による不正アクセスを受け、そのアカウントから過去にやり取りのあった教員・関係者5名にフィッシングメールが送信されていたと公表しました。送信は2026年9月10日から12日にかけて行われ、大学は9月14日に確認しています。
大学は当該アカウントの無効化、パスワードの初期化、攻撃元IPアドレスの遮断、類似ログの調査を行い、文部科学省と個人情報保護委員会に報告しました。10月7日時点で二次被害は確認されていません。侵入の手法は公表されていません。本人のアカウントが踏み台にされ、やり取りのある相手に攻撃メールが送られるこのパターンは、受け取った側が「知っている人からのメール」と信じて開封しやすいのが特徴です。
大学・学校との取引がある企業は、今回のように関係者のアカウントが乗っ取られた結果、フィッシングメールを受け取る可能性があります。「知っている相手から来たメール」でも、URLのリンク先や添付ファイルには注意が必要です。また、自社の従業員アカウントが同様に乗っ取られた場合、取引先に迷惑をかける立場になります。
- 学生・大学関係者からのメールでも、URLを安易にクリックしない。不審な場合は電話等別経路で確認する
- 自社の業務用メールアカウントに多要素認証（MFA）を設定し、パスワードの使い回しをやめる
- メールのログイン履歴を定期確認し、見覚えのない端末・IPアドレスからのアクセスがないか確認する
- 万一自社アカウントが乗っ取られた場合の対応手順（誰に報告し、何を止めるか）を決めておく
個人情報保護委員会公表／ITmedia エンタープライズ ほか｜ 2026年10月7日公表
個人情報保護委員会が大規模漏えいを踏まえた注意喚起を公表――問題事例を9類型に整理し、見直し予定の技術的安全管理措置を先行提示
個人情報保護委員会は2026年10月7日、「大規模な漏えい等事案を踏まえた対応について（注意喚起）」を公表し、あわせて「WARNING～不正アクセスによる個人データ漏えい防止のための注意喚起～」を改訂しました。問題事例は「脆弱性が放置された」「脆弱性への対応が遅れた」「不正ログイン」「グループ会社や海外拠点が狙われた」など9類型に整理され、今回「APIが悪用される事例」が新たに加わりました。
委員会はガイドライン（通則編）の「手法の例示」を含む見直しを進めており、内容は2027年4月に確定する予定です。今回の注意喚起は、見直し後の技術的安全管理措置を先取りして示したもので、フィッシング耐性のある多要素認証、修正プログラムの適用、ログの保存と定期分析、EDR等による検知、不要な個人データの消去などを例示しています。なお、例示された手法をすべて講じなければ直ちに法違反になるわけではないとしています。
個人情報を取り扱うすべての事業者が対象です。「脆弱性を知りながら放置していた」「公開から対応まで時間がかかった」「パスワード認証だけで多要素認証を設定していなかった」という状況が問題事例として明示されました。中小企業でも同様の状況は珍しくなく、将来の規制強化に向けて今から体制を整える必要があります。
- 自社が使うソフトウェア・システムの脆弱性情報を把握する仕組みを整える（IPAのJVN等を定期確認する）
- 脆弱性が公表されてから適用するまでの社内ルール（誰が確認し、何日以内に適用するか）を明文化する
- 業務システム・クラウドサービスへのログインに多要素認証を設定する。特に管理者アカウントから優先する
- 個人情報保護委員会の公表文書（ガイドライン等）を定期的に確認し、法改正への準備を進める
編集部まとめ
今号の最優先対応はSonicWall SMA1000の脆弱性（CVE-2026-83548、CVSS 10.0）です。認証不要で悪用でき、すでに実際の攻撃が確認されています。該当製品を使っている場合は今日中に更新を確認してください。IDCFクラウドの障害は、クラウド事業者が直接攻撃を受けたケースとして、自社のバックアップ体制を見直す機会です。個人情報保護委員会の注意喚起は、2027年4月に確定予定のガイドライン見直しを先取りしたもので、多要素認証の設定・脆弱性管理の仕組み整備を今のうちに始めることをお勧めします。
参考情報
- 「SonicWall Patches Two New Actively Exploited Zero-Days in SMA 1000 VPNs」Security Affairs
- 「Actively Exploited SonicWall SMA1000 Flaws: Pre-Auth SSRF (CVE-2026-83548) and RCE」Ampcus Cyber
- 「IDCFクラウドにランサムウェア攻撃、495の企業・自治体に影響」innovatopia
- 「北海学園大学 学生アカウントへの不正アクセス」ROCKET BOYS
- 「大規模な漏えい等事案を踏まえた対応について（注意喚起）」個人情報保護委員会
- 「直近で相次いでいる国内組織における不正アクセスに関する注意喚起」JPCERT/CC