【セキュリティニュース】2026年7月28日号｜Check Point製品の緊急脆弱性・BIGLOBEメール500万件漏えい・Microsoft月例パッチ

2026年7月28日 2026年7月28日

secure

今週は4本のニュースを取り上げます。Check Pointのセキュリティ管理製品に認証を回避される緊急脆弱性が見つかり、すでに悪用が確認されています。該当製品を使っている場合は最優先で対処してください。あわせて、BIGLOBE・ニフティで計720万件を超えるメールアドレスの漏えいが判明し、Microsoftの7月月例パッチには悪用確認済みの脆弱性が2件含まれています。各ニュースの「推奨対応」を確認してください。

NEWS 01
Check Point・CISA KEV ｜ 2026年7月22日

Check Pointのセキュリティ管理製品に認証バイパスの脆弱性、すでに悪用を確認

Check Pointは2026年7月22日、同社のSecurity Management・Multi-Domain Management・ファイアウォール製品に影響する複数の脆弱性に関するアドバイザリを公表しました。最も深刻なのはCVE-2026-16232で、管理コンソール「SmartConsole」のログイン処理における認証バイパス（不適切な認証）です。CVSS基本値は9.1（緊急）。

この脆弱性を悪用すると、認証されていない遠隔の攻撃者がアプリケーションのログイントークンを取得し、管理者権限で管理サーバーにログインできます。侵入後はセキュリティポリシーや設定を書き換えることが可能で、ファイアウォールそのものを乗っ取られる恐れがあります。Check Pointは「一部の顧客」で実際に悪用が確認されたと明らかにしており、米CISAは同脆弱性を悪用が確認された脆弱性リスト（KEV）に追加、対応期限を7月25日に設定しました。あわせて、管理サーバー上で管理コマンドを実行できるCVE-2026-62144、読み取り専用権限の認証済みユーザーがGaia Portal経由でrootとしてコマンドを実行できるCVE-2026-62145も公表されています。修正版は7月22日公開のJumbo Hotfixで提供されています。

▌中小企業への影響

Check Pointのファイアウォール・管理製品を導入している場合が対象です。認証を回避されて管理権限を奪われると、社内ネットワーク全体の防御が無効化され、そこから情報窃取やランサムウェア展開へつながる恐れがあります。管理画面をインターネット側に開放している環境は特に危険です。

▌推奨対応（最優先で実施）

Check Point製品を利用している場合、7月22日公開のJumbo Hotfixを直ちに適用する
管理画面へアクセスできる端末（Trusted Clients / GUI Clients）を、信頼できるIPアドレス・サブネットのみに制限する
管理サーバーへの接続をファイアウォールで保護し、外部からの到達を遮断する
不審な管理者ログインやポリシー変更がないか、直近のログを確認する

NEWS 02
ビッグローブ・ニフティ｜ 2026年7月6日発表

BIGLOBE約502万件・ニフティ約225万件のメールアドレスが漏えい、KDDIのメール基盤に不正アクセス

ビッグローブは2026年7月6日、KDDIが提供するISP事業者向けメールシステムへの不正アクセスにより、BIGLOBEメールの利用者情報が漏えいしたと発表しました。漏えいが確定したのは501万6432人分のメールアドレスとBIGLOBE IDで、このうち463万1775人分はパスワードも漏えいしています。同じ基盤を利用するニフティでも約225万人分のメールアドレスが対象となりました。

攻撃者は、KDDIのメール基盤に導入されていた第三者製ソフトウェアの脆弱性を悪用したとされています。ビッグローブは個人情報保護委員会および総務省に報告のうえ、予防措置として2026年7月1日から9日にかけて、パスワード未変更の利用者を対象にパスワードのリセットを実施しました。

▌中小企業への影響

BIGLOBE・ニフティのメールアドレスを業務で使っている場合、そのアドレスとパスワードが流出した可能性があります。同じパスワードを他サービスで使い回していると、リスト型攻撃（漏えいしたIDとパスワードの組み合わせで他サイトへの不正ログインを試みる攻撃）で被害が連鎖します。また、漏えいしたアドレス宛にフィッシングメールが届くことも想定されます。

▌推奨対応

BIGLOBE・ニフティのメールパスワードを未変更なら直ちに変更する（強制リセット対象でも、心当たりがあれば再確認する）
同じパスワードを他サービスで使い回している場合は、それらもすべて別のパスワードに変更する
「パスワード漏えいのお詫び」を装った偽メールが出回る可能性があるため、メール内リンクは踏まず、公式サイトのアドレスを直接入力してアクセスする
可能なサービスでは多要素認証（MFA）を有効にする

NEWS 03
IPA・JPCERT/CC ｜ 2026年7月15日

Microsoft 7月の月例パッチ公開、悪用確認済みの脆弱性が2件

Microsoftは2026年7月15日（日本時間）、7月分の月例セキュリティ更新プログラムを公開しました。IPAとJPCERT/CCも同日、適用を促す注意喚起を出しています。今回の更新では、Microsoftが悪用の事実を確認済みとしている脆弱性が2件含まれており、CVE-2026-56164はMicrosoft SharePoint Serverの特権昇格の脆弱性です。もう1件のCVE-2026-56155とあわせ、至急の更新適用が推奨されています。

特権昇格の脆弱性は、いったん侵入した攻撃者がより高い権限を奪い、被害を拡大させるために悪用されます。SharePoint Serverを自社運用している組織は特に優先度が高い対応となります。

▌中小企業への影響

Windows PCを業務で使っている企業はすべて対象です。SharePoint Serverを社内で運用している場合は、悪用確認済みの脆弱性が直接該当するため優先度が上がります。パッチ未適用の端末・サーバーが1台でも残っていると、そこを起点に社内へ攻撃が広がる恐れがあります。

▌推奨対応（今週中に実施）

Windows Updateを実行し、7月分の更新プログラムが適用済みか全端末で確認する
SharePoint Serverを自社運用している場合は、管理者が該当パッチの適用を最優先で確認する
更新の取りこぼしがないよう、社内PCの更新状況を一覧で棚卸しする

NEWS 04
IPA（情報処理推進機構）｜ 2026年第2四半期統計

IPA相談窓口、「偽警告」相談が前期比約23.7％増、企業のサポート詐欺相談も増加

IPAが2026年7月に公表した相談窓口の統計によると、2026年第2四半期（4月〜6月）に個人から寄せられた「偽のセキュリティ警告」に関する相談は1428件で、前四半期から約23.7％増加しました。パソコンの画面に突然「ウイルスに感染した」といった偽の警告を表示し、表示された電話番号に電話させてサポート契約を結ばせる、いわゆるサポート詐欺の手口です。

企業・組織向けのサイバーセキュリティ相談窓口でも、同四半期の相談は302件（前四半期比約6.7％増）に上り、このうちサポート詐欺関連が68件を占めました。個人だけでなく、業務用端末でも同様の被害が生じている実態がうかがえます。

▌中小企業への影響

従業員が業務用PCで偽警告に遭遇し、慌てて表示された番号に電話してしまうと、遠隔操作ソフトを入れさせられ、端末を操作されたり金銭をだまし取られたりします。一度遠隔操作を許すと、業務データへのアクセスや社内ネットワークへの侵入口にもなりかねません。

▌推奨対応

「ウイルス感染」「サポートに電話を」と表示されても、画面上の電話番号には絶対に電話しない、と社内ルールとして周知する
偽警告が出たらブラウザを閉じる（閉じられない場合はタスクマネージャーで終了、または端末を再起動する）方法を全員に共有する
遠隔操作ソフトを「サポート」と称してインストールさせる手口があることを教育に含める
不審な画面が出た場合の社内連絡先（情報システム担当）をあらかじめ決めておく

編集部まとめ

今週の最優先はCheck Point製品の脆弱性です。すでに悪用が確認され、CISAも対応期限を切っているため、該当製品を使っているなら他の作業に優先してJumbo Hotfixを適用してください。BIGLOBE・ニフティの漏えいは「パスワードの使い回しをやめる」ことが最大の防御になります。Microsoftパッチは今週中に全端末で適用確認を。偽警告・サポート詐欺は「画面の番号に電話しない」を社内で一言決めるだけで大半を防げます。

脆弱性対応・パスワード管理・従業員教育という三つの基本を、それぞれ一つずつ前に進めるのが今週の実務です。来週号もお読みください。