2026年9月第4週　情報セキュリティニュース概要

2026年9月24日 hanawa-h 情報 0

≡ 脆弱性情報

1. Microsoft Patch Tuesday – 2026年9月（記録的規模）

重要ポイント：

  • 公表日： 2026年9月8日
  • 脆弱性総数： 972～996件（記録的規模、前月の2倍以上）
  • Critical（極度に深刻）： 113～118件
  • 既に悪用されている脆弱性： 2件

既知の悪用脆弱性（ゼロデイ）：

  • CVE-2026-81963 – Windows Update Stack 権限昇格（CVSS 7.8）
  • CVE-2026-85880 – Windows ALPC 権限昇格（CVSS 7.8）

深刻度の高いRCE脆弱性（CVSS 9.8～10.0）：

  • CVE-2026-70352（Azure AI Language、CVSS 10.0）
  • CVE-2026-83711（Azure AD B2C、CVSS 10.0）
  • CVE-2026-72982（Windows Netlogon、CVSS 9.8）
  • CVE-2026-69730（Windows DNS Server、CVSS 9.8）
  • CVE-2026-69845、72979（Windows DHCP Server、CVSS 9.8）
  • CVE-2026-73009（Windows SSTP、CVSS 9.8）

Microsoft Office関連： 21件のCritical RCE脆弱性（Outlook、Word、Excel、PowerPoint等）のうち12件がOutlook Reading Paneまたはエクスプローラープレビューから作動可能

その他影響を受ける製品：

  • Windows 10/11、Windows Server、SQL Server、SharePoint、Exchange Server
  • Microsoft Entra ID、Azure Cosmos DB、Microsoft Fabric、Microsoft Copilot Studio等

2. Adobe Patch – 2026年9月

  • 脆弱性総数： 172件
  • 既に悪用されている脆弱性： 1件（Adobe Commerce、CVE-2026-75650、CVSS 10.0）
  • 優先対応対象： Adobe Commerce、Campaign Classic、ColdFusion、Acrobat Reader

3. Microsoft Defender ゼロデイ（ShieldCrash）

  • 公開PoC（概念実証）: 新規に公開
  • 動作： System レベルのファイル読み取り可能、権限昇格の可能性
  • パッチステータス： 現時点で対応パッチなし
  • 分析状況： 進行中

4. Windows 11 9月更新（KB5124008）の副作用

  • 影響： ドメイン参加PCの一部がサインイン不可に
  • 条件： Credential Guard利用＋Machine Identity Isolation（MII）有効化＋Windows Server 2025以上のドメイン機能レベル
  • 原因： セキュアチャネル喪失によるドメインコントローラー接続切断
  • 状況： Microsoftが認知・改善中、一時的な回避策としてMII無効化可能

≡ インシデント情報

1. デジタル庁 – 政府共通システム（GSS）への不正アクセス

最重要（行政機関発表）

項目内容
公表日2026年9月12日
発表者デジタル庁
攻撃対象Government Solutions Service（GSS）
攻撃方法VPN機器の既知脆弱性を悪用
影響者数約246,000名
漏洩情報氏名、メールアドレス、電話番号、住所等
除外情報マイナンバー、金融口座、年金番号は含まれない
注意喚起なりすまし詐欺メール・SMS・電話に警戒
対応直接個人通知、セキュリティ強化を実施中

2. ロート製薬株式会社 – 不正アクセス

項目内容
初報2026年9月11日
更新報告2026年9月15日
検出日2026年9月10日
影響システム通販サービス顧客管理システム、通販ショップ顧客サービスシステム
漏洩情報顧客通話音声データ、関連情報、顧客管理情報等
現状外部専門家と協調して影響範囲を特定中、被害者数・規模確定待ち

3. 画像共有サービス「Gyazo」 – 大規模データ漏洩

項目内容
漏洩規模ユーザー情報：約23.62百万件、画像メタデータ：約490百万件
原因脆弱性を悪用した不正アクセス
推奨対応パスワード再利用確認、プライベート画像共有への注意

4. Muraichi.com（EC サイト）– 顧客情報漏洩

項目内容
漏洩規模約771万人の顧客情報
原因Web脆弱性を悪用した不正アクセス
警告フィッシングメールに警戒

5. 小田原エンジニアリング – 子会社メールアカウント侵害

項目内容
侵害期間約5ヶ月
対象ドイツ子会社従業員メールアカウント
盗取情報約3,500件のメール
被害ビジネスメール詐欺（BEC）による取引先への経済損失

6. 日本大学 – 教職員メールアカウント乗っ取り

項目内容
被害件数5名の教職員アカウント
攻撃方法フィッシング
送信メール数疑わしいメール1,333件
データ流出大規模流出は未確認、部分的アクセスの可能性あり

≡ 行政機関発表 – セキュリティ施策

1. 米国CISA – 重要インフラ向け強制報告制度（CIRCIA）

項目内容
制度名Cyber Incident Reporting for Critical Infrastructure Act（CIRCIA）
最終化時期2026年9月予定
報告義務重大サイバーインシデント：72時間以内
ランサムウェア身代金支払い：24時間以内
背景SolarWinds、Colonial Pipeline等の大型事案を踏まえた義務化
特徴従来の自発的報告から強制的報告へ転換

2. 経済産業省・IPA – 中小企業向けサイバーセキュリティ支援

項目内容
プログラム名「サイバーセキュリティ支援サービス（新型）」実証事業
対象サプライチェーン構成中小企業
実施期間2026年9月～2027年9月
支援内容「セキュリティ対策評価制度（SCS評価制度）」の認証取得支援（無償）
認定サービス提供者IPA認定の15社
本格導入予定会計年度2026年度末
目的サプライチェーン全体のセキュリティ底上げ

3. IPA – 新型AIセキュリティ対策ガイド

項目内容
公表日2026年9月25日予定
対象LLM（大規模言語モデル）を含むAIシステム開発者・提供者
内容「AIセーフティに関するレッドチーミング手法ガイド」
位置付け品質確保とリスク検証の枠組みを提示

4. 経済産業省 – SBOM導入手引 Ver2.0（既存施策）

項目内容
確定日2024年8月29日（参考：2024年施策）
新規追加・脆弱性管理プロセスの具体化
・SBOM対応モデル（導入効果・コスト考慮）
・SBOM取引モデル（契約規定例）
効果ソフトウェアの脆弱性管理を通じた脆弱性リスク低減

5. NEC – AI時代向け脆弱性管理技術「cotomi Security for Industry」

項目内容
発表2026年9月
機能・脆弱性の自動分類・優先度付け
・仮想パッチの自動生成（WAF/IDS/IPS向け）
・既知・未知脆弱性の対応自動化
統合予定次世代セキュリティサービス「CyIOC」に統合（2026年9月末から）
対象重要インフラ事業者・政府機関

≡ 統計・トレンド分析

Microsoft September 2026 Patch の特徴：

  • 権限昇格（45%）、リモートコード実行（26%）、情報開示（18%）が主要リスク類型
  • AI技術による脆弱性発見の加速が件数増加の背景（実攻撃増加とは異なる傾向）
  • 「wormable」（ネットワーク自己伝播可能）なRCE脆弱性が複数存在

≡ 推奨対応

優先度対応項目
P1既悪用ゼロデイ（CVE-2026-81963, -85880）のパッチ即時適用
P1Azure AD B2C / Entra ID等認証サービス脆弱性対応
P2Microsoft Office（特に21件の Critical RCE）パッチ適用
P2Windows Server / SQL Server の脆弱性パッチ展開
P3ShieldCrash（Defender ゼロデイ）の回避・パッチ待機
全体政府・大企業からのなりすまし詐欺メール警戒

📎 参照URL