今週は4本のニュースを取り上げます。冷凍食品大手ニチレイがランサム攻撃を受けて冷蔵倉庫と冷凍食品の出荷が止まり、攻撃者側「RansomHouse」が犯行声明を出しました。WordPressの中核には認証不要でサイトを乗っ取られる深刻な脆弱性「wp2shell」が見つかり、すでに悪用が始まっています。あわせてOracle Javaの7月更新、個人情報保護委員会がまとめた2025年度の漏えい年次報告を整理します。特にWordPressでサイトを運営している企業は、更新状況を今日中に確認してください。
NEWS 01
ニチレイ・ITmedia ほか ｜ 2026年7月13〜22日
ニチレイにランサム攻撃、冷蔵倉庫と冷凍食品の出荷が停止 攻撃者「RansomHouse」が犯行声明
冷凍食品大手のニチレイは2026年7月13日、グループのサーバーがサイバー攻撃を受け、システム障害が発生したと公表しました。ニチレイロジグループの冷蔵倉庫における入出庫業務と、ニチレイフーズの冷凍食品の出荷業務が停止し、被害拡大を防ぐためにグループのシステムを遮断する対応が取られました。物流の停止は取引先にも波及し、KFC（ケンタッキーフライドチキン）など外食向けの食材供給にも影響が出たと報じられています。
その後、被害を受けたサーバーの一部に個人情報が保管されていたことが判明し、ニチレイは個人情報保護委員会に漏えいの可能性がある事案として報告、対象者への通知を始めています。7月22日には、ランサムウェア／データ恐喝グループ「RansomHouse」がリークサイト上で犯行を主張しました。ただしニチレイは、RansomHouseの関与やデータ持ち出しの事実、掲載内容の真正性を公式には確認していないとしています。RansomHouseは2025年10月にアスクルへの攻撃でも犯行声明を出したとされる集団です。冷蔵倉庫と冷凍食品出荷の業務は7月17日から順次再開されています。
▌中小企業への影響
今回の事例は「システムが止まると事業そのものが止まる」ことを示しています。ニチレイは大企業ですが、倉庫の入出庫や出荷といった現場業務が情報システムに依存している点は中小の物流・製造・卸でも同じです。自社が被害に遭わなくても、取引先が止まれば材料や商品が届かなくなる連鎖リスクがあります。加えて、攻撃者がリークサイトで社名を晒す「二重恐喝」が常態化しており、情報漏えいと業務停止の両方に備える必要があります。
▌推奨対応
- 基幹システムが停止した場合の代替手段（手作業での受発注・出荷手順）を事前に文書化しておく
- ネットワークから切り離したバックアップを用意し、復旧できるか実際に試す
- 主要取引先が被災した場合の連絡・代替調達ルートを確認しておく
- 外部から社内に入るリモート接続・VPN・公開サーバーの棚卸しを行い、不要なものを閉じる
NEWS 02
WordPress・各セキュリティベンダー ｜ 2026年7月17日
WordPress中核に認証不要のRCE「wp2shell」、公開直後から悪用 6.9.5／7.0.2へ更新を
コンテンツ管理システムWordPressの中核（コア）に、認証不要でサイトを乗っ取られる深刻な脆弱性「wp2shell」が2026年7月17日に公表され、同日修正版が公開されました。これはCVE-2026-63030（REST APIのバッチ処理の不備）とCVE-2026-60137（WP_Queryの author__not_in パラメータのSQLインジェクション）の2件を組み合わせる攻撃の連鎖で、深刻度はCVSS 9.8のクリティカルです。攻撃者はログインせずにREST API経由で認証を回避し、SQLインジェクションで管理者のパスワードハッシュを窃取、プラグインのインストール機能を悪用してWebシェルを設置し、最終的にサーバー上で任意のコードを実行できます。
影響を受けるのはWordPress 6.9.0〜6.9.4および7.0.0〜7.0.1で、6.9.5と7.0.2で修正されています。プラグインや特別な設定を必要とせず、コアだけで成立する攻撃であることから危険度が高く、複数のセキュリティ企業が実際の悪用を確認しています。攻撃コード（PoC）も公開後わずか数時間で出回りました。
▌中小企業への影響
自社サイトやオウンドメディアをWordPressで運営している企業はすべて対象になり得ます。認証不要でサイトを完全に乗っ取られるため、改ざん・マルウェア配布の踏み台化・顧客情報の窃取につながります。自動更新を有効にしていれば修正版が当たっている可能性が高いものの、旧バージョンで止めているサイトや、保守を外部に委託して更新状況を把握していないサイトが危険です。「更新しているつもり」で放置されたサイトが狙われます。
▌推奨対応（今日中に確認）
- WordPressの管理画面でバージョンを確認し、6.9.5／7.0.2以降になっていなければ直ちに更新する
- 保守を外部委託している場合は、更新が済んでいるかを委託先に今日中に確認する
- 更新前にすでに侵入された可能性を考え、不審な管理者アカウント・新規プラグイン・改ざんファイルがないか点検する
- WAF（Webアプリケーションファイアウォール）を利用している場合は、該当脆弱性向けのルールが有効か確認する
NEWS 03
IPA・Oracle ｜ 2026年7月22日
Oracle Java 7月更新、認証不要で悪用可能な脆弱性を含む 利用中の企業は更新確認を
IPAは2026年7月22日、「Oracle Java の脆弱性対策について(2026年7月)」を公開し、更新を呼びかけました。同日公開されたOracleの四半期定例更新（Critical Patch Update）は全体で1,400件超の脆弱性を修正する大規模なもので、このうちOracle Java SEに関する新規パッチは11件、そのうち7件が認証を必要とせずリモートから悪用され得るとされています。
Javaは業務アプリケーションや社内システムの動作基盤として使われていることが多く、ブラウザや端末に古いバージョンのJava（JRE）が残っていると攻撃の入口になります。Oracleの定例更新は1月・4月・7月・10月の年4回で、7月分はその一つにあたります。
▌中小企業への影響
会計・給与・生産管理などの業務ソフトがJavaで動いているケースは中小企業でも珍しくありません。ベンダー製ソフトに同梱されたJavaは、OS標準の更新では反映されず取り残されがちです。認証不要で悪用できる脆弱性が含まれるため、放置された古いJavaが1台あるだけでも侵入の足がかりになります。
▌推奨対応
- 社内PC・サーバーにインストールされているJavaのバージョンを棚卸しする
- 業務ソフトに同梱されたJavaは、対応バージョンをベンダーに確認したうえで更新する
- すでに使っていない古いJava（JRE）はアンインストールする
- 更新可否がすぐ判断できない場合は、該当端末のインターネット接続範囲を制限する
NEWS 04
個人情報保護委員会（2025年度年次報告）｜ 2026年7月
個人情報漏えい2025年度は1万9417件で過去2番目 原因の多くは人的ミス
個人情報保護委員会がまとめた2025年度の年次報告によると、企業や行政機関から報告された個人情報の漏えい等事案は1万9417件で、前年度比8%減ながら過去2番目の多さとなりました。内訳は、民間事業者が1万7139件（前年度の1万9056件から減少）、行政機関が2278件（前年度の1951件から増加）です。
原因の多くは人的ミスでした。病歴などの「要配慮個人情報」が漏えいした事案は全体の6割を超える1万603件にのぼり、その多くは病院や薬局で書類を誤って交付したケースです。一方、不正を目的とした漏えい（またはそのおそれ）がある事案は全体の2割を超える3822件、不正アクセスによる漏えいは1256件でした。不正アクセスは前年度から件数が減ったものの、前年度は社会保険労務士向けシステムへの大規模攻撃で件数が押し上げられていた事情があり、委員会はリスクが下がったとは言えないと指摘しています。
▌中小企業への影響
漏えいの主因が高度なサイバー攻撃ではなく、書類やメールの誤送付・誤交付といった日常業務のミスである点が重要です。中小企業でもFAX誤送信、メールの宛先間違い、書類の取り違えは起こり得ます。派手な攻撃対策より前に、日々の手作業でのミスを減らす仕組みづくりが漏えい防止に直結します。あわせて、漏えいが起きた場合は個人情報保護委員会への報告義務があることも押さえておく必要があります。
▌推奨対応
- メール送信時の宛先ダブルチェック・BCC徹底など、誤送信を防ぐ運用ルールを定める
- 書類の受け渡しや郵送で取り違えが起きない手順（封入前の確認・記録）を整える
- 漏えい発生時の初動（報告先・本人通知・個人情報保護委員会への報告手順）を事前に文書化する
- 従業員に対し、個人情報の取り扱いと報告義務について定期的に周知する
編集部まとめ
今週はニチレイの事例とWordPressの脆弱性が示すとおり、「外から見えている入口」がそのまま攻撃の起点になりました。まずは自社が外部に公開しているもの――WordPressサイト、リモート接続、VPN、公開サーバー――を一覧にして、更新状況と公開範囲を点検してください。特にWordPressのwp2shellは悪用が始まっており、6.9.5／7.0.2への更新は今日中の対応が望まれます。
一方で、個人情報保護委員会の年次報告が示すように、漏えいの多くは今も誤送付・誤交付といった人的ミスです。高度な攻撃への備えと、日常業務のミスを減らす地道な仕組み。この両輪をそろえることが、中小企業にとって現実的な守り方です。来週号もお読みください。
参考情報
- 株式会社ニチレイ「当社グループでのシステム障害発生について」（第1報・第2報、2026年7月）
- ITmedia NEWS「ニチレイへの攻撃、ランサム集団『RansomHouse』が犯行声明」（2026年7月22日）
- WordPress セキュリティリリース（6.9.5／7.0.2）／Rapid7・Tenable・Help Net Security ほか wp2shell（CVE-2026-63030／CVE-2026-60137）解説
- IPA「Oracle Java の脆弱性対策について(2026年7月)」／Oracle Critical Patch Update Advisory - July 2026
- 個人情報保護委員会 2025年度 年次報告／日本経済新聞・時事通信 報道（2026年7月）
secure
