Chromeのゼロデイ(CVE-2026-125350): 悪用が確認された。Edgeにも影響の可能性があり、修正版は未確認。XSLTを無効にする暫定対応もある

この記事の対象は、Windows、Mac、Linuxの、デスクトップ版のChrome(Stable、Extended Stable)と、Edgeです。Android版、ChromeOS、Early Stableは、下の「対象の範囲」で扱います。

何が起きたか

Google Chromeの、XMLの処理に、解放後のメモリを使う脆弱性(CVE-2026-125350)があります。Googleは、この脆弱性の、悪用(exploit)が、実際に存在することを、認識している、と案内しています。CISAも、悪用確認済みとして、11月10日に、KEVへ追加しました。KEVの期限(11月24日)は、米国の連邦政府機関向けです。KEVには、Chromiumを使うほかのブラウザ(Chrome、Edge、Operaなど)にも、影響しうる、と書かれています。Edgeが、この脆弱性の対象かは、Microsoftの案内に、CVE番号が出ていないため、確定していません。

確認できたことは、以下のとおりです。

• Chrome Releasesの案内(11月9日)には、以下のことが書かれています。
  • Stable チャンネルを、157.0.8103.50(Windows、Macは.50または.51)に更新した。数日から数週間で、順に配信される。
  • この更新には、9件のセキュリティ修正が含まれる。
  • CVE-2026-125350は、XMLの部分の、解放後メモリの使用です。深刻度は「High」です。Stableの案内は、2つの報告(10月12日と11月6日)を、1行にまとめて書いています。Extended Stableの案内(11月9日)では、バグが2つに分かれ、10月12日の報告はCVE-2026-125346、11月6日の匿名の報告が、CVE-2026-125350です。
  • Googleは、この脆弱性の悪用が、実際に存在することを、認識している(原文は、an exploit for CVE-2026-125350 exists in the wild)。公開された攻撃コードが、出回っているか、までは、書かれていません。
• Extended Stableの案内(11月9日)には、156.0.8078.96(Windows、Mac)に更新した、11件のセキュリティ修正を含み、CVE-2026-125350が入っている、と書かれています(Google公式で確認)。
• Chrome Releasesには、11月11日に、さらに新しい更新が出ています。
  • Stable: 157.0.8103.78(Windows、Macは.78または.79。Linuxは.78)です。83件のセキュリティ修正を含み、そのうち5件が「Critical」です。この案内に、CVE-2026-125350と、悪用の記載は、ありません。
  • Extended Stable: 156.0.8078.100(Windows、Mac)です。72件のセキュリティ修正を含みます。
  • Android版は、157.0.8103.78です。Android版は、対応するデスクトップ版と、同じセキュリティ修正を含みます(原則)。
  • CVE-2026-125350の修正は、11月9日の157.0.8103.50から入っています。11月11日の版にも、含まれると考えるのが自然ですが、11月11日の案内に、CVE番号は、書かれていません。
• Microsoft Edgeのセキュリティのリリースノートには、11月9日付で、「最近の悪用が、実際に存在していることを認識している。セキュリティ修正プログラムのリリースに、積極的に取り組んでいる」と書かれています。CVE番号は、書かれていません。
• Edgeの、最新のStableは、157.0.4341.46です(Microsoftの公式ページ。11月12日の確認)。ただし、Microsoftは、この版が、CVE-2026-125350の修正版だとは、示していません。リリースノートの最新の記載は、11月5日の157.0.4341.42で、このCVEとの対応は、書かれていません。MSRCの、CVE-2026-125350のページは、11月12日の時点で、公開されていません(404)。
• JPCERT/CC(週報、11月11日)は、11月上旬のChromeの更新を紹介しています。この週報の対象期間は11月1日から7日で、CVE-2026-125350を含む11月9日の更新とは、別です。このCVEの裏付けには、使いません。

セキュリティ会社のThreatDefenceとTruesecの記事(11月11日。二次情報)には、以下のことが書かれています。Googleの原文は、「XMLの部分」としか書いていません。

• 脆弱性は、ChromeがXMLの変換に使う、libxsltの部分にある、という分析です。XSLT(XMLの変換の機能)を使うページだけが、この部分を通ります。
• 細工されたWebページで、Chromeの、レンダラー(ページを描画する部分)のサンドボックスの中で、コードを実行される可能性があります。サンドボックスの外に出るには、別の脆弱性が必要、とTruesecは書いています。Googleは、誰が、どのように悪用しているかを、書いていません。
• 修正版は、ほかに、Early Stable(158系)の158.0.8127.30以降と書かれています。Early Stableの修正版は、Googleの原文で確認できていません。Early Stableには、158.0.8127.18と.19(修正前に作られた版。版の数字は、157.0.8103.50より大きい)があるため、数字だけで、判断できません。
• Edgeは、157.0.4341.46が最新のビルドで、Microsoftは、このCVEとの対応を、示していない、と書かれています(最新のビルドは、Microsoftの公式ページで、確認しました)。
• 修正版に更新できないときの当面の対策として、XSLTを無効にするポリシー(XSLTEnabled)が、挙げられています。

XSLTEnabledのポリシーは、公式の文書で確認しました。

• Google Chrome(Chrome Enterpriseの文書): Chrome 146以降で使えます。無効にすると、XSLT(XSLTProcessor JavaScript APIとXSL処理命令)が使えなくなります。このポリシーは一時的なもので、M176で削除される予定です。
• Microsoft Edge(Microsoft Learn): Windows、macOSの147以降で使えます。無効にすると、XSLTが使えなくなります。レジストリは、SOFTWARE\Policies\Microsoft\Edge の XSLTEnabled(REG_DWORD)で、0が無効です。一時的なもので、将来のバージョンで削除されます。
• ただし、XSLTを無効にすれば、この脆弱性を防げる、という点は、二次情報の分析です。GoogleとMicrosoftの案内には、書かれていません。

確認できていないことが、4つあります。

• Edgeの、CVE-2026-125350を修正した版。
• 悪用の、具体的な被害(誰が、どこで、どれくらい)。
• 日本での被害の数。
• XSLTを無効にすると、業務で使うサイトやシステムに、影響が出るか。

この記事の材料は、11月12日までに確認した情報です。その後の続報は、確認できていません。

自社に関係あるか

まず、次のどれに当たるかを決めてください。

• ChromeもEdgeも、使っていない: この記事の作業は要りません。ただし、使っているブラウザが、Chromiumを使うほかのブラウザ(Opera、Braveなど)でないことを、確認できた場合に限ります。
• ChromeかEdgeを、使っている: 下の確認に進みます。
• ブラウザの種類が、分からない: 使っている前提で、「今日やること」の1番から進めます。

対象の範囲は、以下のとおりです。

• デスクトップ(Windows、Mac、Linux)のChromeのStableとExtended Stable、Edge: この記事の対象です。
• Early Stable(158系)のChrome: 修正版を、Googleの原文で確認できていません。使っている場合は、「分からない」とし、Googleの最新の案内で確認します。
• Android版のChrome: 157.0.8103.78が最新です(Chrome Releases)。この記事では、確認の手順を、詳しく書いていません。
• ChromeOS、iOS版のChrome: この記事では、確認していません。

対象と修正版は、以下のとおりです。

製品	修正版・対応
Google Chrome(Stable)	CVE-2026-125350の修正は、Windows、Macは157.0.8103.50または.51以降、Linuxは157.0.8103.50以降。最新は、Windows、Macは157.0.8103.78または.79、Linuxは157.0.8103.78(11月11日。83件の修正)。最新へ更新するのが、よい
Google Chrome(Extended Stable)	最新は、156.0.8078.100(11月11日)。CVE-2026-125350の修正は、156.0.8078.96以降(Google公式の11月9日の案内)
Microsoft Edge	確認できていない。MicrosoftのCVEの案内で、修正版が示されるまでは、「分からない」とする。暫定対応は、下の「今日やること」の4番
そのほかのChromiumブラウザ	各社の案内で、確認できていない

補足です。

• 11月9日から11日の間に、Chromeの更新が、2回出ています。最新は、11月11日の版です。
• Chromeは、新しいバージョンが出ると、自動で更新されます。更新は、通常、ブラウザを閉じて、次に開くまでの間に、バックグラウンドで行われます。ブラウザを開いたままにしていると、更新が保留になることがあります(Googleのヘルプ)。
• 更新の配信は、数日から数週間かけて、順に行われます(Chrome Releases)。手で、更新を確認します。

5分でできるチェック

「はい」が望ましい質問です。

• 社内で使っているブラウザ(Chrome、Edge、そのほか)を、把握していますか(はい / いいえ)
• Chromeを使っている場合は、Stableなら、Windows、Macは157.0.8103.78または.79以降、Linuxは157.0.8103.78以降ですか。Extended Stableなら、156.0.8078.100以降ですか(はい / いいえ / 分からない / 使っていない)。Early Stable(158系)は、「分からない」です
• Edgeを使っている場合は、Microsoftが、CVE-2026-125350を修正した版として示す版以降ですか(はい / いいえ / 分からない / 使っていない)。示されるまでは、「分からない」です
• 更新を、組織で管理している場合は、配信しましたか(はい / いいえ / 分からない / 管理していない)

「いいえ」と「分からない」は、下の作業の対象です。

今日やること

1. 社内で使っているブラウザを、書き出す。分からないものは、担当者か委託先に聞く。
2. Chromeを使っている場合は、Chromeを更新する(Googleのヘルプ)。
   • Chromeを開き、右上のその他のアイコンから、「ヘルプ」、「Google Chromeについて」を選ぶ。
   • 見出しの下の番号が、現在のバージョンです。更新が、あれば、確認される。
   • 「再起動」が表示されたら、選ぶ。表示されなければ、最新バージョンです。
   • 更新後に、Stableは、Windows、Macは157.0.8103.78または.79以降、Linuxは157.0.8103.78以降、Extended Stableは156.0.8078.100以降であることを、確かめる。CVE-2026-125350だけを見ると、157.0.8103.50以降で足りるが、11月11日の最新へ、更新する。
3. Edgeを使っている場合は、Edgeを更新し、再起動する(Microsoftのサポートページ)。
   • Edgeを開き、右上の「設定など」から、「ヘルプとフィードバック」、「Microsoft Edgeについて」を選ぶ。アドレス欄に、edge://settings/help と入力しても、同じ画面に行ける。
   • 更新が、あれば、自動で確認され、入る。求められたら、「再起動」を選ぶ。
   • Windowsでは、Windows Updateからも、Edgeの更新が届くことがある。
   • 更新後に、表示された版を、記録する。
4. Edgeを使っている場合は、修正版が示されるまでの、暫定対応を決める。業務システムへの影響は、担当者か運用している会社に、確認する。選択肢は、次のとおりです。
   • 修正済みのChromeを、一時的に使う。業務のシステムが、Chromeで動くかを、先に確認する。
   • 管理者が、XSLTを無効にするポリシー(XSLTEnabled)を、設定する(Windows、macOSのEdge 147以降。レジストリは SOFTWARE\Policies\Microsoft\Edge の XSLTEnabled、値は0)。XSLTを使うサイトやシステムが、動かなくなる可能性があります。これは、記事の判断です。効果は、二次情報の分析で、公式の案内には、書かれていません。
   • 上の2つを実施できないときは、Edgeの利用を止め、運用している会社に、代替を相談する。業務上、止められないときは、未完了のまま、責任者と、運用している会社が、代替策を決める。サイトを絞るだけでは、効果を確認できないため、完了にはしません(Truesecは、侵害されたサイトや広告からも、悪用されうる、と書いています)。
   • どれを選んだかと、決めた人を、記録する。
5. Edgeの、CVE-2026-125350を修正した版を、毎日、確認する担当者と、次の確認日(翌営業日)を、決める。確認先は、2つです。
   • MicrosoftのCVEの案内(MSRCのCVE-2026-125350のページ)。
   • Edgeのセキュリティ更新のリリースノート(Microsoftは、CVEを、利用可能になり次第、追加する、と案内している)。
   • 修正版が示されたら、その版以降に、更新し、再起動し、版を確かめる。それまでは、Edgeは「分からない」のままで、完了ではありません。
6. 更新を、組織で管理している場合は、運用している会社に、更新の配信を頼み、結果を確認する。
7. ブラウザの悪用の痕跡の確認は、通常、難しい。心配なときは、専門の業者に、相談する。

運用している会社に送る文面は、以下のとおりです。

ブラウザの脆弱性(CVE-2026-125350)について、教えてください。

1. 当社で使っているブラウザの種類を教えてください。

2. Chromeが、Stableなら、Windows、Macは157.0.8103.78または.79以降、Linuxは157.0.8103.78以降か、Extended Stableなら、156.0.8078.100以降か、教えてください。未適用なら、適用の予定日を教えてください。

3. Edgeの、CVE-2026-125350に対する修正版を、教えてください。

3-2. 修正版が出るまでの、Edgeの暫定対応(Chromeへの一時的な切り替え、XSLTEnabledの設定など)を、教えてください。業務への影響も、教えてください。

1. 更新を、管理している場合は、配信した日と、配信できなかったパソコンの有無を教えてください。

2. 更新のあとに、バージョンを確認した結果を教えてください。

「依頼した」は、完了ではありません。今日の完了と、全体の完了を、分けます。

今日の完了は、使っているブラウザに応じて、次がそろった状態です。

• 使っているブラウザの種類を、書き出した。
• Chromeを使っている場合は、Stableなら、Windows、Macは157.0.8103.78または.79以降、Linuxは157.0.8103.78以降、Extended Stableなら、156.0.8078.100以降へ更新し、バージョンを確かめた。Early Stable(158系)は、Googleの案内で修正版を確認できるまで、「分からない」で、完了ではありません。
• Edgeを使っている場合は、次のすべてを終えた。
  • Edgeを、最新版に更新し、再起動して、表示された版を記録した。
  • 修正版が示されるまでの、暫定対応(修正済みChromeへの一時的な切り替え、または、XSLTの無効化)を、実施した。実施できないときは、Edgeの利用を止め、運用している会社に、代替を相談した。業務上、止められないときは、未完了のまま、責任者と、運用している会社が、代替策を決めた。
  • 修正版を確認する担当者と、次の確認日が、決まっている。
  • ただし、修正版が示されるまでは、Edgeは「分からない」のままです。
• 使っているそのほかのChromiumブラウザについて、各社の案内の確認先と担当者が、決まっている。

全体の完了は、使っているブラウザに応じて、次がそろった状態です。

• Edgeを使っている場合は、Microsoftが示した修正版以降に、更新し、再起動して、バージョンを確かめた。暫定対応を、いつ、誰が、元に戻したかも、記録した。
• そのほかのChromiumブラウザを使っている場合は、各社の案内で、修正済みと確認できた。
• 更新を管理している場合は、すべてのパソコンへの配信と、更新後のバージョンを、確認した。

自社で対応が難しい場合

次のどれかに当たるときは、運用している会社に切り替えてください。

• 使っているブラウザや、バージョンが、分からない
• 更新を、組織で管理していて、配信の方法が、分からない
• 更新で、業務のシステムが、動かなくなりそう
• 不審なブラウザの動作や、見覚えのない拡張機能、認証の失敗が、見つかった。ログなどの証拠を保全したうえで、専門の業者に、調査を頼んでください

出典

• https://chromereleases.googleblog.com/2026/11/stable-channel-update-for-desktop_018223192.html
• https://learn.microsoft.com/ja-jp/deployedge/microsoft-edge-relnotes-security
• https://www.cisa.gov/known-exploited-vulnerabilities-catalog
• https://www.jpcert.or.jp/wr/2026/wr261111.html
• https://support.google.com/chrome/answer/95414?hl=ja
• https://support.microsoft.com/en-us/edge/getting-the-latest-microsoft-edge-update-just-got-easier
• https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-125350
• https://chromereleases.googleblog.com/2026/11/stable-channel-update-for-desktop_01744469280.html
• https://chromereleases.googleblog.com/2026/11/extended-stable-update-for-desktop_01570615041.html
• https://chromereleases.googleblog.com/2026/11/extended-stable-update-for-desktop_0910980127.html
• https://chromereleases.googleblog.com/2026/11/chrome-for-android-update_02063106877.html
• https://developer.microsoft.com/en-us/microsoft-edge/tools/webdriver
• https://chromeenterprise.google/policies/xslt-enabled/
• https://learn.microsoft.com/en-us/deployedge/microsoft-edge-policies/XSLTEnabled
• https://threatdefence.com/article/google-chrome-cve-2026-125350-zero-day-patching-hunting
• https://www.truesec.com/hub/blog/cve-2026-125350-use-after-free-zero-day-in-google-chrome

Outlookの脆弱性(CVE-2026-124194): 悪用が確認された。メッセージファイルを開くと、認証情報が漏れる。11月の更新で、Outlookは20件修正された

何が起きたか

11月10日(米国時間)のMicrosoftの月例更新で、Outlookの脆弱性(CVE-2026-124194)が、修正されました。Microsoftは、更新の公開より前に、この脆弱性が悪用されていたことを、確認しています。

確認できたことは、以下のとおりです。

• Microsoftの月例更新のブログ(日本のセキュリティチーム)は、更新の公開より前に悪用が行われていた脆弱性として、CVE-2026-124194だけを挙げ、早急な適用を求めています。
• MSRCのページ(11月11日公開)には、以下のことが書かれています。
  • 内容は、Outlookのなりすましの脆弱性です。
  • 認証のない攻撃者が、細工したメッセージファイルを送り、ユーザーに開かせます。
  • 開くと、Outlookが、通常の外部コンテンツの警告を出さずに、攻撃者の管理するネットワーク上の場所に接続し、認証情報が漏れる可能性があります。
  • 漏れるのは、ユーザーのNTLMv2ハッシュです。攻撃者は、これを使って、そのユーザーとして認証を受ける可能性があります。
  • ユーザーが、ファイルを開く必要があります。プレビューウィンドウは、攻撃の対象になりません。
  • 最大の深刻度は「警告」(Moderate)、CVSS 3.1で6.5です。悪用の事実は、確認済みです。
• IPAは、11月11日に、「緊急」の注意喚起を出しています。悪用の事実が確認済みで、今後、被害が拡大するおそれがあるため、至急、更新するよう求めています。
• JPCERT/CC(AT-2026-0035。11月11日)も、同じ脆弱性について、注意喚起をしています。
• CISAは、11月10日に、KEVへ追加しました。期限は、11月24日です。

深刻度が「警告」で、CVSSが6.5でも、悪用が確認されているため、急ぐ理由があります。

11月の月例更新では、Outlookの脆弱性が、合計20件、修正されました(MSRCのCVRFで、製品にOutlookを含むものを数えた件数)。Officeのセキュリティ更新のリリースノートの数え方とは、2件、違います。リリースノートの「Outlook」の欄は20件ですが、そのうちCVE-2026-123385は、MSRCの題名が、Excelの脆弱性です。CVE-2026-110068は、MSRCの題名がOutlookですが、リリースノートでは「Office suite」の欄に載っています。この記事は、MSRCの題名に、Outlookを含むものを数えています。内訳は、以下のとおりです。

区分	件数	悪用の評価(Microsoft)
なりすまし(CVE-2026-124194)	1件	悪用を確認済み
リモートでコードが実行される(緊急)	3件(CVE-2026-110043、110068、111309)	悪用は確認されていない。悪用される可能性は低い
リモートでコードが実行される(重要)	15件	悪用は確認されていない。悪用される可能性は低い
情報の漏えい(重要)	1件(CVE-2026-119993)	悪用は確認されていない。悪用される可能性は低い

緊急の3件(CVSS 3.1で、いずれも8.8)について、MSRCのページには、以下のことが書かれています。

• 攻撃者が、細工したメールを送り、ユーザーが、Outlookで開く、またはプレビューすると、ユーザーの権限で、コードを実行される可能性がある。
• 攻撃者は、アカウントを必要としない。
• プレビューウィンドウは、3件とも、攻撃の対象になる。

悪用が確認された1件と違って、緊急の3件は、メールを開かなくても、プレビューで、攻撃される可能性があります。悪用は、確認されていません。同じ更新で、すべて修正されます。

そのほかの16件(CVRFの記載)には、以下のことが書かれています。

• 重要のリモートでコードが実行される15件のうち、14件は、ユーザーの関与が必要です(CVSSの評価)。プレビューは、攻撃の対象になりません。
• 1件(CVE-2026-124228)は、ユーザーの関与が不要です。説明には、次のことが書かれています。ユーザーのOutlookのアカウントに、アクセスできる攻撃者が、細工した署名の内容を送ると、ユーザーのデスクトップのクライアントに同期され、コードを実行される可能性があります。プレビューは、攻撃の対象になりません。深刻度は「重要」で、CVSS 3.1で8.8です。
• 情報の漏えい1件(CVE-2026-119993)は、アプリケーションのメモリの、小さな一部が、読み取られる可能性があります。プレビューは、攻撃の対象になりません。
• 20件のうち、プレビューが攻撃の対象になるのは、緊急の3件だけです。
• 19件は、悪用が確認されていません。Microsoftの評価は、悪用される可能性は低い、です。

自社に関係あるか

まず、次のどれに当たるかを決めてください。

• Outlookを使っていない: この記事の作業は要りません。ただし、使っているメールソフトを、確認できた場合に限ります。
• 使っている: 下の確認に進みます。
• Officeの種類や、Outlookのバージョンが、分からない: 使っている前提で、「今日やること」の1番から進めます。

この脆弱性(CVE-2026-124194)の、MSRCの更新の一覧(対象製品)に載っているのは、Microsoft 365 Apps for Enterprise、Office LTSC 2021、Office LTSC 2024の3つです。修正のビルドは、以下のとおりです(MSRC、Officeのセキュリティ更新のリリースノート 11月10日)。

製品	修正版
Microsoft 365 Apps for Enterprise(Current Channel)	2610(ビルド20527.20196)
Microsoft 365 Apps for Enterprise(Monthly Enterprise Channel)	2610(20527.20194)、2609(20430.20264)、2608(20326.20320)
Microsoft 365 Apps for Enterprise(Semi-Annual Enterprise Channel)	2610(20527.20192)、2609(20430.20262)、2608(20326.20318)
Office LTSC 2024(ボリュームライセンス)	2408(17932.21140)
Office LTSC 2021(ボリュームライセンス)	2108(14334.21048)
Mac版(緊急の1件、CVE-2026-110068だけ。CVE-2026-124194の対象一覧には、Mac版は載っていない)	16.115.26110837以降(Microsoft 365、Office LTSC 2021、2024 for Mac)

補足です。

• 上の3つ以外のOffice(Office 2024、2021の小売版、Microsoft 365 Apps for businessなど)が、CVE-2026-124194の対象かは、MSRCの対象一覧に載っておらず、確認できていません。使っている場合は、「分からない」とし、Microsoftの案内で確認します。リリースノートの11月10日の一覧には、Office 2024、2021の小売版(2610、20527.20196)や、Office 2019(ボリュームライセンス。1808、10417.20236)の、月例のビルドも載っていますが、このCVEの修正版としては、確認できていません。
• Office 2019は、2025年10月14日に、サポートが終わっています。Microsoftの判断で、更新が出ることがあります(Officeのセキュリティ更新のリリースノート)。サポートが終わった製品を、使い続けていないかも、確認します。
• Microsoftは、既定で自動更新が有効になっていて、自動的に更新が適用される、と書いています。ただし、一部の例外があります。更新を管理している組織は、手で配信する必要があります。

5分でできるチェック

「はい」が望ましい質問です。

• 自社で、Outlookを使っているかを、確認しましたか(はい / いいえ)
• Officeの種類(Microsoft 365 Apps、Office LTSCなど)と、バージョンとビルド番号を、把握していますか(はい / いいえ / 分からない)
• Windows版は、MSRCの対象の3つ(Microsoft 365 Apps for Enterprise、Office LTSC 2021、2024)で、上の表の、11月10日以降のビルドですか。対象の3つ以外のOfficeは、「分からない」です(はい / いいえ / 分からない)
• Mac版のOfficeを使っている場合は、16.115.26110837以降ですか(はい / いいえ / 分からない / 使っていない)
• 更新を、組織で管理している場合は、11月の更新を、配信しましたか(はい / いいえ / 分からない / 管理していない)
• 外部から届いたメッセージファイルを、開く前に確認するルールが、ありますか(はい / いいえ)

「いいえ」と「分からない」は、下の作業の対象です。

今日やること

1. Officeの種類と、バージョン、ビルド番号を確認する。
   • Wordなどを開き、「ファイル」の「アカウント」を選ぶ。「製品情報」に、バージョンとビルド番号が表示される(Microsoftのサポートページ)。
   • Macは、同じページの案内の、適用先に含まれています(Microsoftのサポートページ)。画面の表示が違うときは、運用している会社に聞く。分からないときも、運用している会社に聞く。
2. 更新は、今日中に行うのが、原則です。悪用が確認されていて、IPAは、至急の更新を求めています。更新は、待たずに、進める。
3. 修正版より前を、使っていた場合、または、確認できない場合は、更新と並行して、侵害の確認と証拠保全の要否を、運用している会社か、専門の業者に確認する。
   • NTLMv2ハッシュが漏れた可能性がある場合の、確認の内容は、運用している会社か、専門の業者に、聞く。たとえば、外部へ接続する通信の記録です。これは、記事の判断です。
   • 更新のログは、更新の前に、保管してもらう。
   • 専門の業者から、証拠保全のために、更新を待つよう、具体的な指示が出たときだけ、その指示に従う。その間は、業者が指定する暫定措置(Outlookの利用停止、端末の隔離など)を、実施し、実施を確認する。
   • 痕跡が見つからなくても、攻撃を受けていない、とは断定できません。
4. Officeを、今日中に、更新する。
   • Wordなどを開き、「ファイル」の「アカウント」の、「製品情報」にある、「更新オプション」から、「今すぐ更新」を選ぶ(Microsoftのサポートページ)。
   • 「更新オプション」がなく、「バージョン情報」だけのときは、ボリュームライセンスか、会社のグループポリシーで、管理されている。運用している会社に、連絡する(同じページ)。
   • 更新後に、バージョンとビルド番号を、確かめる。
5. Mac版を使っている場合は、Officeを更新する(Microsoftのサポートページ)。
   • Microsoftのサイトから入れたOfficeは、Microsoft AutoUpdateで更新する。Wordなどを開き、上のメニューの「ヘルプ」から、「更新プログラムのチェック」を選び、「更新」を選ぶ。「更新プログラムのチェック」が表示されないときは、最新のMicrosoft AutoUpdateを実行してから、もう一度確認する。
   • Mac App Storeから入れたOfficeは、App Storeの「アップデート」から、「すべてをアップデート」を選ぶ。
   • 入れた方法が分からないときは、運用している会社に聞く。
   • 更新後に、16.115.26110837以降であることを、確かめる。
6. 更新を組織で管理している場合は、運用している会社に、11月の更新の配信を頼み、配信の結果を確認する。
7. 外から届いた、見慣れないメッセージファイルは、開く前に、送り主に確認する。これは、記事の判断です。MSRCの案内に、書かれていません。
8. 更新に加えて、管理者が検討できることがあります。
   • Microsoftは、SMBクライアントで、外へ向かうNTLM認証を、ブロックする機能を案内しています。悪意のあるサーバーへの、NTLMの送信を、防ぐ目的です。この機能が使えるのは、Windows 11のバージョン24H2以降と、Windows Server 2025以降です(Microsoft Learn)。
   • それ以前のWindowsでは、この機能は使えません。NTLM自体を、グループポリシーやPowerShellで、手動で無効にする方法が、案内されています。これは、別の対策です。影響(ファイル共有などに、つながらなくなる)を、確認したうえで、管理者が、判断します。
   • この機能が、CVE-2026-124194に効くかは、確認できていません。MSRCの案内には、書かれていません。
   • 設定を変えると、ファイル共有につながらなくなることがあります。運用している会社が、判断します。

運用している会社に送る文面は、以下のとおりです。

OutlookとOfficeの更新について、教えてください。

1. 当社で使っているOfficeの種類と、バージョン、ビルド番号を教えてください。

2. 11月10日のセキュリティ更新を、適用済みか教えてください。未適用なら、適用の予定日と、作業中の業務への影響を教えてください。

3. 更新の前に、侵害の確認と証拠保全を、先に行う必要があるかを教えてください。

4. 必要な場合は、実施者、実施日、結果をもらえる日を教えてください。

5. 更新の前に、ログを保管してもらえますか。

6. 更新のあとに、バージョンとビルド番号を確認した結果を教えてください。

7. 更新を管理している場合は、配信した日と、配信できなかったパソコンの有無を教えてください。

8. サポートが終わったOfficeを、使っているパソコンがあれば、教えてください。

「依頼した」は、完了ではありません。今日の完了と、全体の完了を、分けます。

今日の完了は、次の3つがそろった状態です。

• Officeの種類と、バージョン、ビルド番号を、確認した。
• 修正版より前だった場合に、侵害の確認と証拠保全の要否を、運用している会社か、専門の業者に確認した。
• Officeを、今日中に、更新し、バージョンとビルド番号を確かめた。専門の業者の指示で、更新を待つ場合は、業者が指定する暫定措置を、実施し、実施を確認した。「更新の日が決まっただけ」は、完了ではありません。

全体の完了は、次の3つがそろった状態です。

• 使っているOfficeすべてが、次のどれかになっている。確認できていないものは、完了ではありません。
  • Outlookを使っていない。
  • MSRCの対象の3つで、上の表の、修正のビルド以降と確認できた。または、更新し、更新後のバージョンとビルド番号を確かめた。
  • Mac版は、16.115.26110837以降と確認できた。または、更新し、更新後のバージョンを確かめた(CVE-2026-110068の修正)。
  • 対象の3つ以外のOfficeは、Microsoftの案内で、対象か、修正版は何かを確認できるまで、「分からない」のままなので、完了ではありません。
• 修正版より前を、使っていた場合、または、確認できない場合は、侵害の確認の要否が確認され、必要なら確認が実施され、結果を受け取っている。形跡が見つかったときは、専門の業者による調査が実施され、結果を受け取り、見つかった問題の是正まで済んでいる。
• サポートが終わったOfficeを、使っていないと確認できた。使っていたものは、利用を止めた、または、更改し、その結果を確認した。

自社で対応が難しい場合

次のどれかに当たるときは、運用している会社や、専門の業者に切り替えてください。

• Officeの種類や、バージョンが、分からない
• 「更新オプション」がなく、更新の管理が、どこで行われているか、分からない
• 更新で、業務が止まりそう
• 不審なメッセージファイルを、開いてしまった、または、見覚えのない認証の失敗や、アクセスが、見つかった。インシデントとして扱い、ログなどの証拠を保全したうえで、専門の業者に、詳しい調査を頼んでください

出典

• https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-124194
• https://www.microsoft.com/msrc/blog/2026/11/202611-security-update
• https://www.jpcert.or.jp/at/2026/at260035.html
• https://www.ipa.go.jp/security/security-alert/2026/1111-ms.html
• https://www.cisa.gov/known-exploited-vulnerabilities-catalog
• https://learn.microsoft.com/en-us/officeupdates/microsoft365-apps-security-updates
• https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-110043
• https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-110068
• https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-111309
• https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-124228
• https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-123385
• https://api.msrc.microsoft.com/cvrf/v3.0/cvrf/2026-Nov
• https://support.microsoft.com/ja-jp/office/lifecycle/officeinstall/how-to-update-microsoft-365-or-office-for-windows
• https://support.microsoft.com/ja-jp/office/lifecycle/lc-account/about-office-what-version-of-office-am-i-using
• https://learn.microsoft.com/ja-jp/windows-server/storage/file-server/smb-ntlm-blocking
• https://support.microsoft.com/en-us/office/lifecycle/officeinstall/update-office-for-mac-automatically

被害に気づいたら、最初にやること。切り離す、消さない、連絡する。IPAの手引きから

何が起きたか

被害に気づいたとき、最初に何をするかで、その後の調査や復旧が、変わります。IPAの「中小企業のためのセキュリティインシデント対応の手引き」(ガイドライン第4.0版の付録8)には、以下のことが書かれています。

最初の対応(ステップ1「検知・初動対応」)は、以下のとおりです。

• インシデントが疑われる兆候や、実際の発生を見つけたら、情報セキュリティ責任者に報告する。
• 責任者は、対応すべきインシデントだと判断したら、速やかに経営者に報告する。
• 経営者は、影響を考えて、速やかに対応の体制を立ち上げ、責任者と担当者を決めて、役割分担を明確にする。
• 初動対応として、情報が外部からアクセスできる状態にあるとき、または、被害が広がる可能性があるときは、ネットワークの遮断、情報や機器の隔離、システムやサービスの停止を行う。
• ただし、対象の機器の電源を切るなど、不用意な操作で、システム上に残された記録を消さない。

ランサムウェアの場合は、以下のことも書かれています。

• パソコンの画面に、身代金を要求するメッセージが表示されたら、ランサムウェア感染の可能性がある。責任者に報告する。
• 感染したパソコンやサーバーの利用を停止し、ネットワークから切り離す。
• No More Ransomなどから、復号ツールを入手して、復旧を試みる。ただし、すべてのランサムウェアに対応しているわけではない。
• バックアップがあれば、復元する。ただし、バックアップの装置や媒体を、パソコンにつなぎっぱなしにしていると、バックアップのファイルも暗号化されている場合がある。
• 適切なバックアップの方法は、装置や媒体を複数用意して、バックアップのときだけパソコンにつなぐ、または、バックアップしたファイルの1つを、別の場所(オフサイト)に保存すること。定期的に、復元できるかも確認する。
• 復号ツールでも、バックアップからも戻せないときは、機器やデータの復旧をあきらめ、再構築する。

そのあとの対応も、書かれています。

• 報告・公表(ステップ2): 犯罪性がある場合は警察に、ウイルス感染や不正アクセスの場合はIPAに、個人情報の漏えいの場合は個人情報保護委員会に、業法などで求められる場合は所管の省庁に、届け出る。
• 調査・対応(ステップ3): 5W1H(いつ、どこで、誰が、何を、なぜ、どうしたか)で、状況を整理する。自社で対応が難しいときは、メーカーや保守の会社などの外部の専門組織や、公的機関の相談窓口に、支援や助言を頼む。
• 証拠保全(ステップ3): 事実関係を裏付ける情報や証拠を保全し、必要なら、フォレンジック調査(パソコンのハードディスク、メモリ内のデータ、サーバーやネットワーク機器のログなどの調査)を行う。

手引きの2ページには、インシデントのときに整理しておく項目が、書かれています。インシデントの分類、事業者、責任者と担当者、発覚の日時、発生の日時、発生した事象、対応の経過、想定される原因、被害を受けたシステムの状況、システムの構成と運用の状況、です。

相談できる窓口は、以下のとおりです。

• IPA「企業組織向けサイバーセキュリティ相談窓口」(メール): 初動対応の相談で、被害の可能性や、応急処置の案を助言します。インシデント対応を行う専門業者の一覧も紹介します。調査や解析は、していません。
• 警察庁の「サイバー事案に関する通報等のオンライン受付窓口」: 通報、相談、情報提供は、オンラインでも受け付けます。被害届を行うときは、最寄りの警察署等に連絡します。
• JPCERT/CC「インシデント対応依頼」: 初動対応のサポートを依頼できます。内容によっては、セキュリティ会社への相談を、お願いされることがあります。
• JNSA「サイバーインシデント緊急対応企業一覧」(2026年4月更新): 緊急で、被害の調査や復旧などを請け負う、JNSA所属の企業を、39件の掲載(日本電気とNECセキュリティは、1件にまとまっています)で、まとめています。一覧には、会社ごとの、受付時間、対応地域、相談と見積の条件が載っています。
  • 受付が24時間の会社は、11社です。平日の日中だけの会社も、あります。
  • 相談と見積は、ほとんどが無償です。デロイトトーマツサイバー、日立ソリューションズ、富士通は、事前の相談が必要です。日本アイ・ビー・エムは、事前の契約が必要です。
  • 一覧の「無償」は、相談と見積作成の条件です。実際の調査や復旧には、費用がかかります。
  • 各社の「詳細情報」には、想定の費用が書かれています。金額が書かれた25件の掲載では、最も低いのが60万円から(アクト)で、最も高いのが800万円から(日本電気。パソコンとサーバー1台の場合は120万円から)です。100万円からの掲載が、13件です。個別の見積とだけ書かれた掲載も、14件あります。
  • 「詳細情報」には、想定の規模、対応できる調査の種類、対応の言語も書かれています。電話とメールは、画像で載っています。
  • 一覧には、対応できる調査の種類(パソコンやサーバーのフォレンジック、ログの分析、マルウェアの分析など)の説明もあります。

水曜の記事の、警察庁の統計(令和8年上半期)には、ログが使えなくなっていた原因の最多は、犯人による削除(15件)でした。警察庁は、被害が発生したときの、速やかな警察への通報と相談を、呼びかけています。

手引きは、ガイドライン第4.0版(2026年3月27日公開)の付録8です。IPAの更新履歴には、2026年6月1日に文言の表記を一部修正、7月3日にロゴの更新、と書かれています。

確認できていないことが、2つあります。

• 各窓口の、受付時間と連絡先の細部。この記事は、特定の会社を、すすめていません。JNSAの各社の電話とメールは、読者が選んだ会社の「詳細情報」の画像から、連絡先の一覧に写します。
• 各社の費用は、想定です。実際の費用は、会社に確認します。

この記事の材料は、IPAの手引きと、各窓口のページ、警察庁の統計です。

自社に関係あるか

次のどれに当たるかを決めてください。

• 被害に遭ったときの手順が、紙になっている: 下の確認に進みます。
• ない: 下の「今日やること」の1番から進めます。
• あるか、分からない: ない前提で、「今日やること」の1番から進めます。

5分でできるチェック

「はい」が望ましい質問です。

• 被害の兆候を見つけたとき、誰に報告するかが、決まっていますか(はい / いいえ)
• 責任者から経営者へ、報告する手順が、決まっていますか(はい / いいえ)
• 運用している会社、専門の業者、警察、IPAの連絡先が、1枚にまとまっていますか(はい / いいえ)
• 「ネットワークから切り離す。電源を切らない。初期化しない」という初動が、関係者に共有されていますか(はい / いいえ)
• バックアップから、データを戻せるかを、確認したことがありますか(はい / いいえ)

「いいえ」は、下の作業の対象です。

今日やること

1. 情報セキュリティの責任者を決める。責任者が、経営者へ報告する手順も決める。
2. 連絡先を、1枚にまとめる。入れるものは、以下のとおりです。
   • 運用している会社(保守の会社)
   • 専門の業者の候補(JNSAの一覧などから選ぶ)。受付時間、対応地域、相談と見積の条件、想定の費用を、比べて決める。選んだ会社の電話とメールは、その会社の「詳細情報」(画像)から、連絡先の一覧に写す。事前の相談や契約が必要な会社が、あります。あらかじめ連絡して、条件を確認しておくのは、記事の提案です
   • IPAの企業組織向けサイバーセキュリティ相談窓口
   • 警察(通報、相談は、警察庁のオンライン窓口でもできる。被害届は、最寄りの警察署等)
   • 加入しているサイバー保険があれば、その連絡先。これは、記事の提案です。
3. 初動の手順を、紙1枚にする。IPAの手引きに基づく内容は、以下のとおりです。
   • 責任者に報告する。
   • 感染した機器の利用を止め、ネットワークから切り離す。
   • 電源を切るなど、記録を消す操作をしない。
   • 日時と、見たことを、書き留める。
4. 手引きの2ページの項目を、書き込める用紙にする。発覚の日時、発生した事象、対応の経過などを、書く欄を作る。
5. バックアップから戻せるかを確認する(水曜の記事)。担当者と、実施の期限を決めて、記録する。
6. 手順を、関係者で、読み合わせる。5分で足ります。これは、記事の提案です。
7. 見直しの日を決める。連絡先は、担当者が変わったときも、更新する。

運用している会社に送る文面は、以下のとおりです。

万一、被害に遭ったときの対応について、教えてください。

1. 被害の疑いがあるとき、最初に連絡する窓口と、連絡先を教えてください。

2. 夜間や休日に、連絡がつく方法を教えてください。

3. 被害の疑いがあるとき、御社が行う初動対応を教えてください。

4. ログなどの証拠を、保全する方法と、保存期間を教えてください。

5. 調査が必要なときの、専門の業者への依頼の流れを教えてください。

「手順を作った」は、完了ではありません。次の6つがそろったら、完了です。

• 責任者と、経営者への報告の手順が決まり、関係者に伝わっている。
• 連絡先が1枚にまとまり、関係者が見られる場所にある。運用している会社の夜間や休日の連絡方法も、確認している。
• 初動の手順(切り離す、電源を切らない、書き留める)が、紙1枚になり、関係者で読み合わせた。
• 手引きの2ページの項目を書き込める用紙が、できている。
• バックアップから戻せるかの確認が、担当者と期限つきで記録されている。確認が済むまで、全体の完了ではありません。
• 見直しの日が決まっている。連絡先は、担当者が変わったときも、更新される。

自社で対応が難しい場合

次のどれかに当たるときは、運用している会社や、専門の業者に切り替えてください。

• 誰が責任者になるか、決められない
• 運用している会社が、夜間や休日に連絡がつかない
• 被害の疑いがある。機器の電源を切ったり、初期化したりせず、ネットワークから切り離し、ログなどの証拠を保全したうえで、専門の業者と、警察、IPAの相談窓口に、相談してください

出典

• https://www.ipa.go.jp/security/guide/sme/ug65p90000019cbk-att/sme_guideline_v4.0_app_8.pdf
• https://www.ipa.go.jp/security/support/soudan.html
• https://www.npa.go.jp/bureau/cyber/soudan.html
• https://www.jpcert.or.jp/form/
• https://www.jnsa.org/emergency_response/
• https://www.npa.go.jp/publications/statistics/cybersecurity/data/R8kami/R08_kami_cyber_jousei.pdf

ランサムウェアは、入ったあとに、バックアップとログを狙う。警察庁の令和8年上半期の統計から

何が起きたか

警察庁は、令和8年9月に、「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について」を公表しました。この資料には、以下のことが書かれています。

• 令和8年上半期のランサムウェアの被害報告は、123件でした。統計を取り始めた令和2年下半期以降、半期の件数として、最多です(9ページ)。
• 被害企業の規模は、中小企業が79件、大企業が31件、団体等が13件です。中小企業は、約6割を占めます。業種別では、製造業が37件で、約3割です(11ページ)。
• 復旧の費用と期間は、アンケートに回答した組織の数字です(11ページ)。
  • 復旧にかかった総額: 回答した35件のうち、1,000万円以上が21件(4+6+11件。約6割)です。
  • 復旧にかかった期間: 回答した48件のうち、1か月未満が23件(即時から1週間未満が17件、1週間から1か月未満が6件。5割弱)です。1か月から2か月未満が4件、2か月以上が8件、復旧中が13件です。

先週の水曜の記事は、入口の話でした。今週は、入ったあとの話です。警察庁は、ランサムウェア攻撃の代表的な流れを、以下のとおり書いています(10ページ)。

1. インターネットに露出した箇所から、遠隔で、ネットワークの内部に入る。標的型メールの添付ファイルによる感染は、少なくなっている。
2. 入口は、アンケートでは、VPN機器が約5割。未修正の脆弱性や、漏えいした認証情報などを悪用する。
3. より広い領域に入るため、管理者権限を奪い、セキュリティを無効にしようとする。
4. 内部を探索して、重要なデータや、バックアップを物色する。
5. データをクラウドなどへ送って、盗む。
6. ランサムウェアを動かして、暗号化する。
7. ランサムノート(脅迫状)を置いて、連絡と身代金の支払を要求する。
8. ログや、使った道具の痕跡を消して、終わる。

統計編のアンケートには、以下のことが書かれています。有効回答の数は、項目ごとに違います。被害全体の件数では、ありません。

• 感染経路(143ページ。有効回答36件): VPN機器が18件、リモートデスクトップが9件、その他が9件です。
• セキュリティパッチ(153ページ。有効回答29件): 最新のパッチを適用済みが12件、未適用のパッチがあったのが17件です。
• バックアップの取得(147ページ。有効回答50件): 取得していたのが44件、取得していなかったのが6件です。
• バックアップからの復元(148ページ。有効回答40件): 復元できたのが11件、復元できなかったのが29件です。
• ログの保全(156ページ。有効回答48件): すべて保全できたのが10件、一部が使えなかったのが32件、使えなかったのが2件、ログを取得していなかったのが4件です。
• ログが使えなくなっていた原因(157ページ。有効回答28件): 犯人による削除が15件、保存期間の経過が6件、暗号化が4件、その他が3件です。

先週のIvanti Connect Secureの件でも、Volexityのブログに、攻撃者が、機器のデバッグログとLinuxの監査ログから、攻撃の跡を消していた、と書かれています。

警察庁は、被害が増えている中小企業を主な対象に、以下の対策を呼びかけています(53ページ)。

• VPN機器などの脆弱性対策
• 認証情報の適切な管理
• バックアップやログの適切な取得
• サイバー攻撃を想定した業務継続計画(BCP)の策定
• 被害が発生したときの、速やかな警察への通報と相談

確認できていないことが、2つあります。

• 統計編の件数は、アンケートの有効回答です。バックアップの「復元できなかった」29件が、どんなバックアップだったか(同じネットワークにつないだまま、など)は、資料に書かれていません。
• 令和7年の年間版は、読んでいません。

この記事の材料は、警察庁の資料と、先週までに確認したVolexityのブログ、IPAの注意喚起です。

自社に関係あるか

次のどれに当たるかを決めてください。

• バックアップを取っている: 「復元できた」ことがあるかを、下の確認で見ます。
• バックアップを取っていない: 下の「今日やること」の2番から進めます。
• 分からない: 取っていない前提で、「今日やること」の2番から進めます。

5分でできるチェック

「はい」が望ましい質問です。

• バックアップから、実際にデータを戻せるかを、試したことがありますか(はい / いいえ)
• バックアップは、普段使うパソコンやサーバーから、切り離して保管していますか(はい / いいえ / 分からない)
• 機器やサービスのログを、どれくらいの期間、残していますか。保存期間を、把握していますか(はい / いいえ)
• ログは、その機器の中だけでなく、別の場所にも保管していますか(はい / いいえ / 分からない)
• 被害に遭ったときに、警察に通報や相談をする窓口と担当者が、決まっていますか(はい / いいえ)

「いいえ」と「分からない」は、下の作業の対象です。

今日やること

1. VPN機器とリモートデスクトップの入口を、確認する。火曜の記事の「機器の一覧」で、バージョンと保守の会社を確認し、更新の状況を聞く。
2. バックアップが、戻せるかを確認する。取得しただけでは、戻せる保証がありません。
   • 重要なデータを1つ選び、別の場所へ、実際に戻してみる。
   • 戻せなかったときは、原因と、直す日を、運用している会社と決める。
3. バックアップの保管先を、確認する。IPAの自社診断(5分でできる!情報セキュリティ自社診断)の対策例には、バックアップに使う装置や媒体は、バックアップのときだけ、パソコンと接続する、とあります。
4. ログの保存期間を、確認する。IPAの注意喚起(10月9日)は、ログの確認の期間を、まず直近1か月、その後3か月へと、広げるよう案内しています。3か月分を見られるようにしておくのは、記事の提案です。
5. ログを、機器の中だけでなく、別の場所にも保管できるかを、運用している会社に聞く。犯人による削除が、ログが使えなくなった原因の、最多だったためです。
6. 被害が疑われるときの連絡先を、決める。警察、運用している会社、専門の業者の連絡先を、1枚にまとめる。

運用している会社に送る文面は、以下のとおりです。

バックアップとログについて、教えてください。

1. 当社のバックアップは、どの装置や場所に、保管していますか。

2. そのバックアップは、普段使うパソコンやサーバーから、切り離されていますか。

3. 最後に、データを戻せるかを試したのは、いつですか。結果を教えてください。

4. ログは、どの機器のものを、何か月分、保存していますか。

5. ログを、機器とは別の場所にも保管できますか。

「依頼した」は、完了ではありません。今日の完了と、全体の完了を、分けます。

今日の完了は、次の3つがそろった状態です。

• バックアップから、実際に戻せたことを、確認した。確認の日と、結果を、記録した。
• ログの保存期間と、別の場所への保管の有無が、確認された。
• バックアップを切り離す計画と、ログを延ばす、または別の場所に保管する計画が、決まっている(担当者と日)。

全体の完了は、次の3つがそろった状態です。

• バックアップが、普段使う機器から切り離された。または、代わりの対策が実施された。実施後の状態を、確認した。
• ログの保存期間が、決めた期間になった。ログが、機器とは別の場所にも保管されている。実際に保存されたログを、確認した。
• 被害が疑われるときの連絡先が、決まっている(木曜の記事)。

自社で対応が難しい場合

次のどれかに当たるときは、運用している会社や、専門の業者に切り替えてください。

• バックアップの取得先や、戻し方が、分からない
• バックアップを、戻そうとしたが、戻せなかった
• 保守の会社に聞いても、ログの保存期間を教えてもらえない
• 被害に遭った疑いがある。自分で消したり、機器を初期化したりせず、ログなどの証拠を保全したうえで、警察と専門の業者に、相談してください

出典

• https://www.npa.go.jp/publications/statistics/cybersecurity/data/R8kami/R08_kami_cyber_jousei.pdf
• https://www.npa.go.jp/publications/statistics/cybersecurity/data/R8kami/R08_kami_cyber_jousei_seigohyou_.pdf
• https://www.volexity.com/blog/2026/10/13/a-series-of-unauthenticated-events-chained-exploitation-of-ivanti-connect-secure-zero-days/
• https://www.ipa.go.jp/security/security-alert/2026/alert20261009.html

機器の一覧を作る。VPN機器やルーターは、バージョンと保守の会社も書く。IPAのガイドラインから

何が起きたか

先週の記事で、Ivanti、Cisco、SonicWallなど、VPN機器の脆弱性を取り上げました。どれも、使っている製品の名前とバージョンが分からないと、自社が対象かを確認できません。機器の一覧があれば、この確認が早くなります。

IPAの「中小企業の情報セキュリティ対策ガイドライン」第4.0版(本編PDF)には、機器の把握について、以下のことが書かれています。

• STEP3の「(4)資産管理」(29ページ)には、次のことが書かれています。
  • 組織で使う情報機器やソフトウェアを、組織全体で正確に把握し、抜け漏れや、管理の属人化を避ける。そのために、ハードウェア、OS、ソフトウェアの情報を整理する。
  • ネットワークのインシデントが起きたときに、影響範囲を正確に把握するため、本社や事業所などの拠点ごとに、構成機器と保守事業者の情報を整理する。
  • ネットワーク図(構成図)を作り、版を管理し、構成を変えるたびに更新する。
• コラム「IT資産管理について」(30ページ)には、次のことが書かれています。
  • 保有状況と構成情報をまとめて管理すると、セキュリティパッチの適用状況を把握でき、脆弱性に対する攻撃のリスクを減らせる。
  • 未管理の機器やソフトウェアは、セキュリティホールになりがち。把握できていれば、脆弱性のあるソフトウェアや、サポート切れの機器を、速やかに洗い出せる。
  • まずは、付録6「資産管理台帳(サンプル)」を参考に、一覧表や管理台帳を作り、定期的な見直しを習慣にする。
  • 自社で行うのが難しいときは、IT資産管理ツールやクラウドサービス、代行サービスも、選択肢になる。
• STEP3の「(5)攻撃等の防御」(34ページ)には、サポート期限の切れたハードウェア、OS、ソフトウェアは、利用を止め、続ける必要があるものは、期限が切れる前に更改する、と書かれています。サポート期限は、定期的に確認します。

付録6の「資産管理台帳(サンプル)」(Excel)には、8つのシートがあります。「ネットワーク機器台帳」の項目は、以下のとおりです。

• ネットワークの基礎情報: ネットワーク名、所在地、IPアドレス、ネットワークの利用目的
• 機器の基礎情報: 名称、種別、製造元、製造モデル、OS、設置場所
• 管理情報: 管理部署、管理者名
• 保守情報: 保守事業者名、保守事業者の担当者名、契約情報
• その他: 購入日

警察庁のリーフレット(令和8年1月。水曜の記事)には、海外の支社などの機器を管理できていなかったために、そこから入られて、国内の本社が被害に遭った例を把握している、と書かれています。

Ivantiのアドバイザリには、バージョンの系列ごとに、修正版が違うことが書かれています。たとえば、CVE-2026-104935は、25.1.1.1以前に対して25.1.1.2、25.1.2.2以前に対して25.1.3.0と25.1.3.1、22.8R2.4以前に対して22.8R2.5です。バージョンが分からなければ、どの修正版に更新するかも決められません。

この記事の材料は、公開されているガイドラインと台帳のサンプル、警察庁の資料、Ivantiのアドバイザリです。ガイドライン本編の図は、読んでいません。

自社に関係あるか

まず、次のどれに当たるかを決めてください。

• 機器の一覧が、すでにある: 下の確認に進みます。
• 一覧がない: 下の「今日やること」の1番から進めます。
• 一覧があるか、分からない: ない前提で、「今日やること」の1番から進めます。

5分でできるチェック

「はい」が望ましい質問です。

• VPN機器、ルーター、ファイアウォールなど、外部とつながる機器の一覧がありますか(はい / いいえ)
• 一覧に、製品名、バージョン、保守の会社が、書いてありますか(はい / いいえ / 一覧がない)
• 海外の支社、委託先が管理する機器、試験用の機器も、一覧に入っていますか(はい / いいえ / 該当しない)
• 一覧の管理者と、見直しの日が、決まっていますか(はい / いいえ)
• サポートが終わった機器やソフトウェアを、使っていませんか(使っていない / 使っている / 分からない)

「いいえ」「使っている」「分からない」は、下の作業の対象です。

今日やること

1. 範囲を決める。まず、インターネットから届く機器(VPN機器、ルーター、ファイアウォール、公開しているサーバー)から始める。この順番は、記事の判断です。IPAのガイドラインには、書かれていません。
2. 付録6の「ネットワーク機器台帳」を、IPAのページからダウンロードして使う。または、表計算ソフトで、同じ項目の表を作る。
3. 機器ごとに、次の項目を書く。
   • 名称、種別、製造元、製造モデル
   • OSやファームウェアのバージョン
   • 設置場所
   • 管理者名
   • 保守の会社名と、担当者名
   • サポートの終了日(分かるもの)。この項目を足すのは、記事の判断です。ガイドラインは、サポート期限を定期的に確認することを求めています。
4. 分からない項目は、「分からない」と書く。保守の会社や、委託先に聞く。質問は、下の文面を使えます。
5. 海外の支社、委託先が管理する機器、試験用に入れた機器も、一覧に入れる。
6. 台帳に、パスワードやIDは、書かない。保存先は、見られる人を限定する。これは、記事の判断です。
7. 範囲を広げる計画を立てる。社内のパソコン、サーバー、そのほかの機器、OS、ソフトウェアも、一覧に入れる。付録6の「ハードウェア台帳」と「ソフトウェア台帳」を使える。広げる順番、担当者、実施日を決める。これは、IPAのガイドラインが求める、組織全体の把握です。
8. 一覧の管理者と、見直しの日(たとえば、月に1回)を決める。機器を増やしたとき、減らしたとき、構成を変えたときは、そのたびに更新する。
9. サポートが終わった機器やソフトウェアを見つけたら、利用を止めるか、更改する。担当者と日を決め、実施したあとに、状態を確認する。

運用している会社に送る文面は、以下のとおりです。

当社の機器の一覧を作るため、教えてください。

1. 御社が管理している、当社の機器の一覧を教えてください。

2. それぞれの機器の、製品名、型番、OSやファームウェアのバージョンを教えてください。

3. それぞれの機器の、サポートの終了日を教えてください。

4. それぞれの機器の、設置場所と、管理している担当者を教えてください。

5. 外部から接続できる機器(VPN機器など)を、教えてください。

6. 海外の拠点や、試験用の機器で、御社が把握しているものがあれば教えてください。

「一覧を作った」は、完了ではありません。今日の完了と、全体の完了を、分けます。

今日の完了は、次の3つがそろった状態です。

• インターネットから届く機器すべてが、一覧に載っている。各行に、製品名、バージョン、管理者、保守の会社が書いてある。
• 「分からない」が残る行に、聞く相手と、回答の期限が決まっている。
• 一覧の管理者と、見直しの日が決まっている。

この記事での全体の完了は、インターネットから届く機器についての、次の2つがそろった状態です。

• 「分からない」が残る行が、すべて回答で埋まり、一覧に反映されている。
• サポートが終わった機器やソフトウェアを、使っていないと確認できた。使っていたものは、利用を止めた、または、更改し、その結果を確認した。

組織全体の完了は、次の4つがそろった状態です。

• 社内のパソコン、サーバー、そのほかの機器、OS、ソフトウェアも、一覧に載っている。
• 各行に、製品名、バージョン、サポートの終了日、管理者が書いてある。保守の会社がある機器は、保守の会社も書いてある。「分からない」が残る行は、ない。
• サポートが終わった機器やソフトウェアを、使っていないと確認できた。使っていたものは、利用を止めた、または、更改し、その結果を確認した。
• 一覧が、定期的に見直され、機器やソフトウェアの増減のたびに、更新されている。

自社で対応が難しい場合

次のどれかに当たるときは、機器を入れた会社、保守の会社、専門の業者に切り替えてください。

• どんな機器があるか、把握している人が、いない
• 機器を入れた会社や、保守の会社が、分からない
• 保守の会社に聞いても、バージョンを教えてもらえない
• 見知らぬ機器が、ネットワークに接続されている。まず、接続している場所、持ち主、管理者、使い道を、確認する。正規の機器と確認できなかったとき、または、不審な通信などがあるときは、インシデントとして扱い、ログなどの証拠を保全したうえで、専門の業者に、調査を頼んでください

出典

• https://www.ipa.go.jp/security/guide/sme/about.html
• https://www.ipa.go.jp/security/guide/sme/ug65p90000019cbk-att/sme_guideline_v4.0.pdf
• https://www.ipa.go.jp/security/guide/sme/ug65p90000019cbk-att/sme_guideline_v4.0_app_6.xlsx
• https://www.npa.go.jp/bureau/cyber/pdf/R7countermeasures_leaflet.pdf
• https://hub.ivanti.com/s/article/Security-Advisory-Ivanti-Connect-Secure-CVE-2026-104935