夏休みが終わると、攻撃者も動き出す ― 8月に急増する「夏季サイバーリスク」の実態|2026年8月第2回
サイバーレジリエンス「お盆中、IT担当者が不在でも大丈夫ですか？」
夏休み明けのインシデント急増は、実は休暇前から準備されています。今すぐ確認しましょう。
2026年8月12日（水）｜8月第2回
🟠 夏休みが終わると、攻撃者も動き出す
8月に急増する「夏季サイバーリスク」の実態
お盆休み期間中、攻撃者も休んでいると思っていませんか。
🗒️ この記事の3行まとめ
- サイバーインシデントの相談件数は3年連続で8月が7月比1.2〜1.5倍。攻撃者は夏休み前から侵入し、担当者不在の隙をついて実行する。
- 2026年8月のMicrosoft月例パッチで脆弱性421件（緊急62件）が修正。うちCVE-2026-68820はすでに実環境での悪用が確認済み。
- IPAは8月6日・8月15日前後のDDoS攻撃・情報戦を明示的に警戒。「休暇後にやろう」では遅い対策が今日求められている。
📍 SECTION 01｜なぜ8月だけ相談件数が急増するのか
これは「感覚」ではなく、データが示している事実です。
（2023〜2025年）
増加幅
ランサムウェア
攻撃者は「夏休みが来てから」動き始めるのではありません。休暇前に社内ネットワークへ侵入・潜伏し、権限を拡大しておく。そして担当者が不在になった瞬間に、ランサムウェアの実行や情報窃取を開始します。仕掛けるのは前、実行するのが夏休み中——これが実際に確認されているパターンです。
- IT担当者・システム管理者が休暇で不在になり、監視体制が手薄になる
- 残留社員が不審メールを受信しても「誰に聞けばいいかわからない」まま開いてしまう
- パッチ適用・ログ確認などの定期メンテナンスが後回しになる
- 緊急インシデント発生時に初動対応が遅延し、被害が拡大しやすい
📍 SECTION 02｜今週見逃せないパッチ情報
2026年8月のMicrosoft月例更新（パッチチューズデー）が公開されました。休暇明けに後回しにしてはいけない理由があります。
（総数）
（Critical）」
（下記参照）
対象：Windows 補助機能ドライバー（WinSock用）
種別：特権の昇格の脆弱性
影響：ローカルの攻撃者が SYSTEM 権限を取得できる可能性があります。
パッチ公開前にすでに実環境での悪用が確認されています。
社内の管理端末・業務用PCへの適用状況を、今日中に確認してください。
公開時点で詳細が一般公開されている脆弱性（2件）
悪用確認はされていませんが、攻撃者が詳細を知った状態です。
対象：unionfs.sys ／ 深刻度：重要 ／ パッチ公開時点で詳細一般公開済み
深刻度：重要 ／ パッチ公開時点で詳細一般公開済み
Windows / Office / AMD Zen / Azure / GitHub Copilot / Windows Defender / Exchange Server / SharePoint / macOS版 OneDrive / Teams / Power BI / .NET / Visual Studio / DHCPサーバー・クライアント / DNSサーバー / Windows TPM など
📍 SECTION 03｜この時期ならではの「もう一つの警戒点」
IPAは2026年7月30日付の注意喚起で、夏季に特有のリスクを明示しています。サイバー攻撃が「カレンダー」を意識して仕掛けられてきた過去の事実に基づく警戒です。
⚠️ 特に警戒が必要な期間・事象（IPA公式）
-
8月6日
広島原爆記念日前後のDDoS攻撃・情報戦
過去にも記念日前後でサイバー攻撃・偽情報拡散が確認されています -
8月15日
終戦記念日前後のDDoS攻撃・認知戦
中国・ロシアによる戦略的ナラティブとサイバー攻撃の連動を警戒 -
9月3日
中国・ロシアの対日戦勝記念日
政治的文脈に連動したサイバー活動への注意が必要 -
8月下旬〜9月
ロシア極東軍管区 VOSTOK演習（実施の可能性）
過去の演習時期にサイバー攻撃が連動した事例があります。インフラ・製造・公共系は特に注意。
インターネットに接続されたルーター・VPN機器などの脆弱性を悪用し、
自社の機器を他組織への攻撃の「踏み台（ORB: Operational Relay Box）」として
悪用されるケースが継続中です。
自社のネットワーク境界機器のファームウェア更新状況を、この機会に確認してください。
📍 SECTION 04｜休暇明け前に確認する3つのこと
-
CVE-2026-68820 のパッチ適用状況を今日確認するWindows Updateの適用状況を管理者に確認してください。 「悪用確認済み」のCVEは、休暇明けまで待つ理由がありません。 社内に管理ツール（WSUS・Intune等）がある場合は適用状況レポートを出力し、 未適用端末を把握するだけでも十分な第一歩です。🔴 今日中に
-
「夏休み中に不審なアクセス・メールがなかったか」ログを確認する攻撃者が休暇前に侵入・潜伏しているケースがあります。 休暇明けにはVPNログ・メールゲートウェイのアラート・EDRのイベントを 1週間分さかのぼって確認することを習慣にしてください。 「異常がなかった」の確認自体が重要です。🟡 今週中に
-
「IT担当者不在時に不審事象が起きたら誰が何をするか」を文書化する夏季リスクの根本は「判断できる人がいない」ことです。 「担当者に連絡がつかないときは、〇〇部長が初動判断する」 「社内PCにウイルス警告が出たら、まずLANケーブルを抜いて報告する」 この2行を書くだけで、今年の夏の対応力は大きく変わります。🔵 今月中に
📍 SECTION 05｜WordPressに3件の重大脆弱性 ― 今すぐバージョン確認を
夏季リスクが高まるこの時期に、WordPressコアに深刻な脆弱性が相次いで公表されました。 自社・委託先のサイトを含め、バージョン確認が急務です。
① wp2shell ― 管理者権限なしでリモートコード実行（悪用確認済み）
種別：SQLインジェクション（WP_Query author__not_in パラメーター）
影響範囲：WordPress 6.9.0〜6.9.4 / 7.0.0〜7.0.1
修正版：WordPress 6.9.5 / 7.0.2 以降
概要：認証なし（ログイン不要）でSQLインジェクションが可能。後述のCVE-2026-63030と組み合わせることでリモートコード実行につながります。
種別：REST API バッチエンドポイントのルート混同（Route Confusion）
影響範囲：WordPress 6.9.x（6.9.5未満）/ 7.0.x（7.0.2未満）
修正版：WordPress 6.9.5 / 7.0.2 以降
概要：CVE-2026-60137と組み合わせることで、攻撃者が管理者権限なしに任意のコードをリモート実行できます。
CISA「悪用確認済み脆弱性カタログ（KEV）」掲載。対応期限：2026年7月24日（連邦機関向け）。
② XSS2Shell ― ログイン画面の脆弱性からPHP実行へ（PoC公開済み）
種別：認証前XSS（ログイン画面の不具合を悪用）→ PHP実行
影響範囲：WordPressの全バージョン（修正版公開前）
修正版：WordPress 7.0.3（2026年8月6日公開）
概要：ログインページの入力フィールドにある脆弱性を悪用し、特定条件下でPHPコードの実行が可能。
実環境での悪用は2026年8月7日時点で未確認ですが、PoC（概念実証コード）が公開されているため、悪用リスクは高い状態です。
| CVE | 影響を受けるバージョン | 修正版 | 悪用状況 |
|---|---|---|---|
| CVE-2026-60137 | 6.9.0〜6.9.4 / 7.0.0〜7.0.1 | 6.9.5 / 7.0.2 | 🔴 悪用確認済み |
| CVE-2026-63030 | 6.9.0〜6.9.4 / 7.0.0〜7.0.1 | 6.9.5 / 7.0.2 | 🔴 悪用確認済み |
| CVE-2026-64638 | 7.0.2以前の全バージョン | 7.0.3 | 🟡 PoC公開済み |
IPAおよびNTTの注意喚起によると、WordPressの自動更新機能を有効にしていても、更新が正常に適用されていないケースがあります。管理画面（ダッシュボード）でバージョンを必ず目視確認してください。また、委託先・制作会社が管理するサイトも含めて確認対象とすることをお勧めします。
📋 2026年7〜8月シリーズの流れ
- 7/1 第1回 アフラック生命保険 438万件漏洩。「攻撃者が10日間いたことに気づかなかった」組織の内部統制問題。
- 7/8 第2回 バンダイチャンネル事件。15歳がChatGPTで攻撃コードを生成した「攻撃の民主化」。
- 7/15 第3回 ニチレイ攻撃でKFC全店舗停止。「自社を守っても委託先から止まる」サプライチェーンリスクの顕在化。
- 7/22 第4回 RansomHouse犯行声明・WordPress・7-Zip脆弱性が同時発生。「アップデート放置が命取りになる週」。
- 7/29 特別号 令和8年熊本地震。「地震BCPとIT-BCPの統合」こそが今この瞬間に問われている。
- 8/5 8月第1回 地震翌日から拡散した詐欺・AI偽動画。「災害時こそ狙われる」複合リスクの現実。
- 8/12 第2回 3年連続8月急増・悪用確認済みCVE・IPA記念日警戒。「夏休みが終わると攻撃者も動き出す」夏季リスクの全体像。← 今回
🛡️ 「夏休み明けのインシデント」を未然に防ぎませんか
「IT担当者が戻るまで待とう」が最も危険な判断です。
サイバーレジリエンス株式会社では、中小企業向けに無料初回相談を提供しています。
「何から始めればいいかわからない」という段階から、一緒に考えます。
参考・出典（確認済みのもののみ掲載）
- IPA 独立行政法人情報処理推進機構「2026年度 夏休みにおける情報セキュリティに関する注意喚起」（2026/7/30）ipa.go.jp
- 窓の杜 / Impress Watch「2026年8月の『Windows Update』～脆弱性修正は421件で緊急62件」（2026年8月）forest.watch.impress.co.jp
- デジタルデータソリューション株式会社「サイバーインシデント相談件数、3年連続で8月に増加」PR TIMES（2026年）prtimes.jp
- Microsoft MSRC 公式リリースノート「2026年8月のセキュリティ更新プログラム」msrc.microsoft.com
- IPA「WordPressの脆弱性対策について（CVE-2026-60137、CVE-2026-63030：wp2shell）」（2026/7/22）ipa.go.jp
- ASCII.jp「WordPressに緊急の脆弱性、すでに悪用確認 今すぐ更新を」（2026/7/24）ascii.jp
- The Hacker News「New WordPress Pre-Auth XSS Could Lead to PHP Code Execution（CVE-2026-64638）」（2026/8/7）thehackernews.com
- CISA Known Exploited Vulnerabilities Catalog（CVE-2026-63030掲載）cisa.gov
- NVD「CVE-2026-63030 Detail」nvd.nist.gov
投稿者プロフィール
