今回は3本を取り上げます。Ciscoが2026年8月5日、Catalyst SD-WANとIOS XEに対する計12件の緊急アドバイザリを公表。CVSSスコア9.9超の脆弱性が含まれ、回避策はなくパッチ適用のみが対策です。EPARKリラク＆エステ「PeakManager」では約3,300万レコードの漏えいが明らかになり、SaaS選定時のセキュリティ確認の重要性を改めて示しています。またIPAが夏休みを前に長期休暇中の注意喚起を公開しており、中小企業が今すぐ確認すべき事項をまとめます。
NEWS 01
Cisco（公式アドバイザリ cisco-sa-notice-L4XfJg8S） ｜ 2026年8月5日
Cisco SD-WAN・IOS XEに計12件の緊急パッチ CVSS 9.9超が含まれ回避策なし
Ciscoは2026年8月5日、Catalyst SD-WANとIOS XEを対象とする複数の緊急セキュリティアドバイザリを公表しました。SD-WAN向けにはCVE-2026-20303・CVE-2026-20304・CVE-2026-20310（いずれもCVSS 9.9）、IOS XEにはCVE-2026-20272（CVSS 9.8）を含む計12件が対象です。
いずれも回避策は存在せず、パッチ適用が唯一の対策とされています。Ciscoは事前予告（cisco-sa-notice-L4XfJg8S）を2026年8月5日付で公開しており、影響を受けるバージョンの確認と早急な更新対応が求められます。ルーターやWAN機器を自社運用している企業は、利用中の製品が対象かどうかを公式アドバイザリで確認してください。
▌中小企業への影響
CVSS 9.9という深刻度は「回答なし」とされる最高水準に近く、悪用されれば遠隔からシステムを完全制御される恐れがあります。自社でCiscoのSD-WANやルーターを使っていなくても、ITベンダーや通信事業者経由で利用しているケースがあります。保守委託先に対象製品の有無を確認するだけでも初動として有効です。
▌推奨対応
- 利用中のCisco製品がCatalyst SD-WAN・IOS XEに該当するか確認し、Cisco公式アドバイザリで影響バージョンを特定する
- 対象の場合は保守ベンダーと連携し、業務停止の影響が少ない時間帯にパッチ適用を計画する
- WAN機器・ルーターの管理画面をインターネット側に公開していないか確認し、不要な公開ポートを閉じる
- 自社で管理していない機器はITベンダー・通信事業者に対応状況を照会する
NEWS 02
EPARKリラク＆エステ（発表） ｜ 2026年7月31日公表
EPARKリラク＆エステ「PeakManager」漏えい約3,300万件 SaaSセキュリティ確認の教訓
EPARKリラク＆エステが提供する予約・顧客管理SaaS「PeakManager」において、約3,300万レコードが外部に漏えいした事案が2026年7月31日に公表されました。氏名・電話番号・メールアドレス・予約情報などが含まれるとみられています。
この事案が示す本質的な問題は「預け先のSaaSが破られると、顧客名簿がまるごと外部に出る」という点です。自社で直接情報を管理していなくても、SaaSプロバイダーのセキュリティ水準が低ければ同じリスクを負います。SaaS選定時の確認事項、契約上の責任範囲の整理、漏えい時の本人通知手順を事前に決めておくことが不可欠です。
▌中小企業への影響
予約管理・顧客管理・POSなどをクラウドSaaSに任せている中小企業は多く、自社の管理外でも顧客情報が危険にさらされます。「SaaSベンダーが守ってくれる」という前提を疑い、ベンダーのセキュリティ方針・インシデント対応手順・データ保管場所を契約前に確認することが今後の基本です。
▌推奨対応
- 現在利用中のSaaSが顧客の個人情報を保管しているか洗い出し、各ベンダーのセキュリティポリシー・第三者認証（ISO 27001等）を確認する
- 契約書・利用規約に「漏えい時の通知義務と期限」が明記されているか確認し、不明な場合はベンダーに問い合わせる
- 顧客への漏えい通知テンプレートと連絡手順を事前に作成しておく
- SaaSに登録する顧客情報を必要最小限に絞り、不要データは定期的に削除する
NEWS 03
IPA（発表） ｜ 2026年7月30日
IPA夏休みセキュリティ注意喚起 VPN更新忘れ・フィッシング増加・不正アクセス警戒
IPA（情報処理推進機構）は2026年7月30日、「2026年度 夏休みにおける情報セキュリティに関する注意喚起」を公開しました。長期休暇中はIT担当者が不在になりやすく、被害の発見・対応が遅れるため、特に警戒が必要な時期とされています。
今回の注意喚起では、VPNなどの境界機器のファームウェア更新忘れ、休暇中を狙ったフィッシングメールの増加、不審な通信・不正アクセスへの警戒を主要テーマとして挙げています。休暇前・休暇中・休暇明けの各フェーズで取るべき対策を整理しており、特に少人数のIT体制を持つ中小企業にとって実践的な内容となっています。
▌中小企業への影響
お盆期間は攻撃者にとって「担当者が不在で対応が遅れる」絶好のタイミングです。VPN機器のパッチが当たっていない状態で休暇に入ると、その間に侵入を許すリスクがあります。休暇明けに「気づいたら感染していた」という事態を防ぐには、休暇前の一確認が最も効果的です。
▌推奨対応
- VPN機器・UTM・ルーターのファームウェアが最新版になっているか確認し、未適用のパッチがあれば休暇前に適用する
- 重要データのバックアップを取得してネットワークから切り離し、復旧手順を確認しておく
- 休暇中に緊急事態が起きた場合の連絡先・判断者・初動手順を文書化して共有する
- 休暇明けはOSやセキュリティソフトの更新を先に行い、その後メールを確認する手順を徹底する
編集部まとめ
今回はいずれも「夏休み直前」に重なる重要案件です。CiscoのCVSS 9.9超パッチは回避策なしのため、Cisco機器を利用している環境では早急な対応が必要です。EPARKリラクの事案は「SaaSに任せていたから安心」という思い込みを崩すものであり、現在利用中のサービスで顧客情報がどう管理されているかを改めて確認する機会です。
IPAの注意喚起が示すとおり、長期休暇前の「パッチ適用・バックアップ・連絡体制整備」の三つが最低限の備えです。この週末〜来週のうちに確認を済ませておくことをお勧めします。
参考情報
- Cisco「Security Advisory: cisco-sa-notice-L4XfJg8S」（2026年8月5日）
- EPARKリラク＆エステ「PeakManagerにおける個人情報漏えいに関するお知らせ」（2026年7月31日）
- IPA「2026年度 夏休みにおける情報セキュリティに関する注意喚起」（2026年7月30日）
secure