and secure企業のためのセキュリティ情報

トップ ＞ 最近の攻撃の解説 ＞ ゼロデイ攻撃・脆弱性

ゼロデイ攻撃・脆弱性を突く攻撃とは｜最近の事例と中小企業の対策

最終更新 2026年10月26日

ゼロデイ攻撃と、修正前後の脆弱性を突く攻撃の手口を、IPA・警察庁・JPCERT/CC の最新の発表と2026年10月に悪用が確認された脆弱性の事例からまとめます。中小企業が確かめたい対策のチェックリスト付き。

ゼロデイ攻撃・脆弱性を突く攻撃とは

脆弱性は、ソフトウェアや機器にある、攻撃に使える欠陥のことです。製品の会社が修正版を出す前、または欠陥を知る前に、その脆弱性を突く攻撃を「ゼロデイ攻撃」と呼びます。警察庁は、ゼロデイ脆弱性を「メーカーが把握しておらず未対処のぜい弱性」と説明しています（警察庁、2026年9月10日）。

一方で、実際の被害の多くは、修正版がすでに出ているのに当てていない機器・ソフトを狙われたものです。修正版が出ると脆弱性の内容が知られ、攻撃に使われはじめるため、「修正版が出た日」から攻撃までの時間は短くなっています。この解説では、ゼロデイと、修正版が出たあとの脆弱性（既知の脆弱性）を突く攻撃をまとめて扱います。

IPA の「情報セキュリティ10大脅威 2026」（2026年1月29日）では、組織編の4位が「システムの脆弱性を悪用した攻撃」です（2016年に初めて選ばれ、9回目）。8位の「リモートワーク等の環境や仕組みを狙った攻撃」も、VPN 機器などの脆弱性を入口にする攻撃を含みます。

最近の手口（公的機関の発表から）

脆弱性を探すアクセスが増えている 警察庁が2026年9月10日に公表した「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について」によると、警察庁のセンサーが検知した、脆弱性を探すなどの不審なアクセスは、1日・1IP アドレスあたり1万3,687件で、前の年より50.7%増えました。大部分は海外からのアクセスです。インターネットに公開している機器は、会社の規模に関係なく、常に脆弱性を調べられています。

ランサムウェアの入口になっている 同じ報告で、ランサムウェアの被害にあった組織へのアンケートでは、侵入の経路の約5割が VPN 機器でした。VPN 機器を入口にする手口は「VPN機器からの侵入とは」にまとめています。警察庁は、攻撃者が「未修正のぜい弱性や漏えいした認証情報等を悪用して」侵入すると説明しています。ランサムウェアの手口と数字は「ランサムウェアとは」にまとめています。

既知の脆弱性を次々に試す攻撃 JPCERT/CC は、国内の組織で相次ぐ不正アクセスについて注意喚起を出しています（2026年10月8日公開、10月23日更新）。確認された手口の1つは、相手ごとにさまざまな既知の脆弱性の有無を調べて悪用を試みるもので、設定ファイルやバックアップのファイルを盗むなど、管理の不備も狙われています。ほかに、BI ツール「Metabase」の脆弱性（CVE-2026-72898）の悪用や、AI を使う侵入テストの仕組みで脆弱性や管理の不備を探す手口も挙げられています。詳しくは「JPCERT/CCが相次ぐ不正アクセスに注意喚起」。

2026年10月に悪用が確認された脆弱性（発表元の情報から）

中小企業もよく使う種類の製品で、発表元が悪用を確認したとしたものです。

製品 脆弱性 発表元の書き方
Windows（10月の月例更新） Windows シェルのセキュリティ機能のバイパス（CVE-2026-96951） 更新の公開より前に悪用を確認。IPA は「緊急」として至急の適用を求めた（速報）
Palo Alto Networks のファイアウォール（PAN-OS） 管理画面から任意のコードを実行される（CVE-2026-0322） 管理インタフェースを狙った限定的な悪用を確認（速報）
WAF「SiteGuard Server Edition」 root 権限で OS のコマンドを実行される（CVE-2026-106931） 開発元が「すでに悪用が確認されています」。JPCERT/CC も注意喚起（速報）
EC-CUBE 4系の AmazonPay プラグイン 注文手続きの途中でほかのサイトへ移される（CVE-2026-103671） JVN が「本脆弱性を悪用した攻撃が既に確認されています」（速報）

悪用はまだ確認されていなくても、深刻度の高いものも続いています。PHP の脆弱性2件（CVSS v4.0 9.2、速報）と、HPE の無線 LAN 用 OS の72件（CVSS 10.0 を含む、速報）です。

この事例から分かることは次の3つです。

  • 狙われるのは、外から届く機器とソフトです。ファイアウォール・VPN・WAF・Web サイトの仕組み（CMS・EC サイト・プラグイン）は、インターネットからそのまま攻撃を受けます。
  • 管理画面を外に出さないだけで防げるものがあります。PAN-OS の事例は管理インタフェースが狙われました。
  • セキュリティ製品も脆弱性を持ちます。WAF やファイアウォールも、ほかの機器と同じように版を管理し、更新する必要があります。

中小企業の対策（チェックリスト）

JPCERT/CC の注意喚起と警察庁・IPA の呼びかけをもとに、中小企業が確かめたい点を並べます。

持っているものを知る

  • インターネットにつながる機器（VPN・ファイアウォール・UTM・ルーター・NAS・無線 LAN）とソフト（CMS・EC サイト・プラグイン・PHP など）の、製品名・型番・版の一覧を作る
  • Web サイトや EC サイトを制作会社・保守の会社に任せている場合は、使っている CMS・プラグインの版と、誰が更新するかを契約で確かめる
  • サポートが切れた機器・ソフトを洗い出し、入れ替えの時期を決める

早く知って、早く当てる

  • IPA の「重要なセキュリティ情報」、JPCERT/CC の注意喚起、JVN、使っている製品の会社のお知らせを、担当を決めて週に1回は見る（メールの配信があれば登録する）
  • 「悪用が確認された」「緊急」とされたものは、ほかの作業より先に修正版を当てる。すぐ当てられないときは、発表元の回避策（機能を止める・接続元を絞る）を使う
  • Windows・Office の月例の更新を、毎月決まった週に当てる

外に出す面を小さくする

  • 機器の管理画面を、インターネットから使えないようにする（社内からだけ、または接続元の IP アドレスを絞る）
  • 業務で使っていないサービス・管理機能が外に公開されていないかを確かめ、要らないものは止める
  • 社員向けのシステム・BI ツールなど、外の人が使わない仕組みも、確かめる対象に入れる
  • Web サーバーに設定ファイルやバックアップのファイルを置いたままにしない

入られたときに気づく

  • VPN 機器・ファイアウォール・Web サーバーのログを残す（上書きで消えない量・期間にする）
  • 修正版を当てる前に攻撃されていないかを、発表元が示す痕跡（不審なファイル・アカウント・通信）で確かめる
  • VPN と管理画面のアカウントに多要素認証を付け、修正版を当てたあとはパスワードも変える

被害にあったら

  • 広げない：攻撃されたおそれのある機器・サーバーをネットワークから切り離す。ログや記録を消さないよう、電源を落としたり初期化したりする前に記録を残す
  • 相談する：IPA の「企業組織向けサイバーセキュリティ相談窓口」「不正アクセス特別相談窓口（事業者向け）」、JPCERT/CC の「インシデント対応依頼」
  • 警察に相談する：都道府県警察のサイバー事案の相談窓口
  • 個人情報保護委員会に報告する：不正アクセスで個人データが漏えいした、またはそのおそれがある場合は、件数にかかわらず報告と本人への通知が必要です

出典

ゼロデイ攻撃・脆弱性の最近の事例

これまでの記事