【セキュリティニュース】2026年10月11日号｜国家サイバー統括室が不正アクセス多発で注意喚起（10/9）・シャープ/東芝テック製複合機にパストラバーサル脆弱性（CVE-2024-58388）で2024年から悪用・Android10月更新で25件修正（7件Critical）

この注意喚起は大企業だけに向けたものではありません。個人情報保護委員会や業界団体を通じて、取引先から同等の対策を求められる流れが強まります。特にサプライチェーンの観点では、中小企業自身が「大企業にとっての委託先（弱い環）」と見なされ、取引継続の条件としてセキュリティ体制の説明や改善を求められる場面が増えます。対策の有無が、受注できるかどうかに直結し始めています。

• インターネットに公開しているサーバー・機器・サービスを棚卸しし、サポート切れや放置されているものを洗い出して停止・更新する
• OS・CMS・業務アプリのパッチ適用について、担当者と適用期限を決めて運用に落とし込む
• 業務を委託している先に対し、データの取り扱い・アクセス管理・インシデント発生時の報告について契約や覚書で確認する
• 自社が取引先から委託先として見られている前提で、説明できる最低限のセキュリティ対策（多要素認証・ログ管理・教育）を整える

複合機はほぼすべてのオフィスに置かれ、スキャン文書やファクス、ネットワーク設定など機微な情報が集まる機器でありながら、「パソコンのようにセキュリティ対策する対象」とは意識されにくいのが実情です。インターネットから直接アクセスできる状態で設置されていると、外部から設定ファイルや認証情報を抜き取られ、社内ネットワークへの侵入の足がかりにされます。リース・保守契約で導入している場合、自社では更新状況を把握していないことも多く、放置されやすい典型例です。

• 社内の複合機のメーカー・機種を確認し、シャープ製・東芝テック製が含まれる場合は、保守事業者またはメーカーに対策ファームウェアの有無と適用を確認する
• 複合機をインターネットに直接接続せず、ファイアウォールの内側に置き、外部から管理画面へアクセスできないようにする
• 複合機の管理者パスワードが工場出荷時のままになっていないか確認し、推測されにくいものに変更する
• Webページへのアクセスをパスワードで制限し、監査ログを定期的に確認する。すでに外部公開していた機器は、不審なファイル取得や認証情報の悪用がなかったかログを調査する
• サポートが終了した機種は、後継製品への移行を計画する

業務用スマホや、私物端末を業務に使うBYODの環境では、従業員のAndroid端末が更新されないまま放置されがちです。権限昇格の脆弱性を突かれると、業務メールや顧客情報を扱うアプリ、保存された認証情報が危険にさらされます。端末が多数あると「誰の端末が未更新か」を把握できないことが、そのままリスクになります。

• 業務で使うAndroid端末の「設定」→「セキュリティ」などから、セキュリティパッチレベルが「2026年10月1日」以降になっているか確認し、更新が来ていれば適用する
• メーカーの更新がまだ届いていない端末は、配信され次第すぐ適用するよう周知する
• OSの更新が提供されなくなった古い端末は、業務利用から外すか買い替えを検討する
• BYODを認めている場合は、最低限のパッチ適用を社内ルールとして明文化し、定期的に状況を確認する