2026年8月のPCセキュリティ動向：中小企業が優先すべき更新・認証・バックアップ対策
月例更新、ブラウザ更新、怪しいメールへの注意を別々の作業にしていないでしょうか。2026年8月12日時点では、Microsoft製品に悪用が確認された脆弱性があり、IPAとJPCERT/CCが速やかな更新を呼びかけています。優先すべきは、悪用確認済みの脆弱性を塞ぎ、認証情報を盗ませず、万一に復旧できる状態をつくることです。
台数が少ない会社ほど、管理対象の見える化と担当分担を進めやすい面があります。当日から着手できる順序で確認点を整理します。
1．2026年8月のMicrosoft更新：悪用確認済みCVE-2026-68820を最優先に
IPAは2026年8月12日、Microsoft製品の月例更新について注意を促しました。特にCVE-2026-68820は、WinSock用Windows Ancillary Function Driverに関する特権昇格の脆弱性で、Microsoftが悪用を確認したとされています。JPCERT/CCも同日、悪用中としてMicrosoft Update／Windows Updateの適用を要請しています。
深刻度だけでなく、悪用確認の有無を重く見て対象を速やかに確認します。8月の更新ではWindowsに加え、Office、Exchange、SharePointも対象です。国内報道ではCVE 421件、Critical 62件、Office関連89件とされますが、件数より自社で使う製品・KB・CVEをMicrosoftの更新ガイドで照合することが重要です。
実施時は「配信した」で終わらせず、次を記録します。
資産台帳やWSUS、Intuneなどで端末・サーバー・担当者を一覧化する。
CVE-2026-68820に関する更新を最優先で適用する。
再起動の完了と、更新に失敗した端末を確認する。
Office、Exchange、SharePointは別枠で確認し、失敗時は隔離または代替運用を判断する。
更新前後のログイン、権限昇格、不審なプロセスを確認する。
Windows 10を利用している場合は、資産ごとのサポートおよびESUの状況も確認しておくとよいでしょう。
2．Chrome更新：再起動待ちの端末を残さない
Googleは2026年8月6日、Chrome 151系の更新を公開しました。報道では41件（Critical 6件を含む）が修正対象とされています。全社員が日常的に使うブラウザでは、更新保留の端末1台が入口になり得ます。長期休暇後や常時起動している端末では、自動更新が再起動待ちになっていることがあります。
Chromeでは「ヘルプ」から「Google Chromeについて」を開き、更新と再起動の状態を確認し、バージョンを台帳に残します。EdgeなどのChromium系ブラウザも別製品として確認し、拡張機能は許可リスト化して不要なものを削除します。
業務でWindows版LINEを使う組織では、DLL読み込みに関するCVE-2026-13133にも注意が必要です。2026年8月10日にJVNで公表された情報に関連し、26.4.0で修正済みとされています。インストーラーは公式サイトから取得し、新規の空フォルダーで実行します。メール添付や非公式ミラー由来のものは実行しないでください。
3．ランサムウェア・情報窃取：横展開を止め、復旧できる状態にする
IPAの「情報セキュリティ10大脅威 2026」では、ランサム攻撃が組織向け脅威の1位に11年連続で選ばれています。一方、今回の調査では、2026年8月12日に日本の中小企業を狙った特定ランサムウェアや情報窃取マルウェアの被害を示す公式情報は確認できていません。個別の名称を追うより、侵入後の被害拡大を抑える運用が実務的です。
メール添付、URL、Teams通話、VPN・境界機器、リモート管理を分けて点検します。一般ユーザーのローカル管理者権限を減らし、スクリプト実行の制御、ネットワーク分離、EDRやウイルス対策を組み合わせましょう。オフラインまたは変更不能なバックアップを用意し、復元試験も定期的に行います。感染が疑われる場合に備え、端末隔離、アカウント停止、関係者連絡の手順と連絡先を整備します。認証情報の窃取が疑われる場合は、パスワードだけでなく、セッション、OAuthトークン、VPN資格情報も確認対象です。
4．フィッシング・Teams等のなりすまし：別経路確認を標準にする
Microsoft Threat Intelligenceの2026年第2四半期の報告では、メール型フィッシングは約76億件で、認証情報窃取がペイロードの94〜96％を占めました。Teamsの悪意ある通話（vishing）も、2026年初めから約80％増加し、2025年半ばの基準の約10倍と報告されています。
経理・総務・役員補佐など少人数に支払い権限や取引先情報が集中する中小企業では、侵害された1アカウントが送金先、給与、取引先情報の変更につながるおそれがあります。BECには短いやり取りで信用を築く手口もあるため、「いつもの相手」「正規に見えるログイン画面」だけで判断してはいけません。
支払先変更、緊急送金、秘密指示は、登録済み電話番号など独立した別経路で二者確認するルールにします。受信メールやTeamsに表示された連絡先へ、そのまま返信・折り返しをしないことが要点です。表示名だけでなく実アドレス、返信先、認証結果を確認し、Teamsの外部ユーザー・通話は必要性に応じて制限します。条件付きアクセス、フィッシング耐性MFA、OAuthアプリ同意の管理、疑わしいセッションの失効を組み合わせ、訓練も電話、Teams、QRコード、偽のログイン画面まで広げましょう。
5．サーバー／ID／バックアップ／障害対応：日常運用が対策の実効性を支える
IPAは、インターネット接続機器の脆弱性を悪用するネットワーク貫通型攻撃や、ORB化、情報漏えい・改ざん・ランサムウェア感染への注意を促しています。サーバーだけでなく、VPN、ルーター、ファイアウォール、NAS、クラウドの公開設定も把握する必要があります。
月次で外部公開資産を棚卸しし、不要な管理画面、RDP、VPNのインターネット公開を止めます。管理者は個別アカウント、MFA、最小権限を原則とし、ログ保存とアラート、緊急連絡網、委託先とのパッチ適用・障害連絡・ログ確認の責任分界を確認します。バックアップは世代、保管先、復元責任者を明確にし、復元テストの結果まで残してください。
安定したサーバー基盤、継続的な保守、障害時の復旧手順、運用しやすい管理方法がそろって初めて、こうした対策は継続します。社内ファイル共有、部署・個人単位のアクセス権限、世代バックアップ、RAID1、遠隔監視・保守、VPN、URLアクセス制限を一体で見直す場合、運用に合うファイルサーバーや支援サービスを比較することも選択肢の一つです。例えばLiveworks インテリジェントサーバーは、そのような機能・支援内容を案内しており、自社の利用環境と必要な復旧要件に合うかを確認したうえで検討できます。
6．今すぐ行うチェックポイント
すべてを一度に完璧にするより、悪用確認済みの更新から、担当者と期限を決めて完了させましょう。
[ ] CVE-2026-68820の対象端末・サーバーを確認し、更新適用と再起動完了を記録した。
[ ] Office、Exchange、SharePointを含め、対象製品・KB・CVEを更新ガイドで照合した。
[ ] Chrome 151系など主要ブラウザと業務アプリのバージョン、再起動保留を確認した。
[ ] 業務利用するWindows版LINEが26.4.0以上で、公式入手のインストーラーだけを使う運用になっている。
[ ] 支払先変更・緊急送金は、登録済み連絡先で二者確認するルールを周知した。
[ ] Teamsの外部通信・通話、OAuthアプリ同意、管理者MFA・個別アカウントを棚卸しした。
[ ] VPN、ルーター、ファイアウォール、NAS、クラウド公開設定と、不要な外部公開を確認した。
[ ] バックアップ復元テスト、端末隔離・アカウント停止の初動手順、委託先の連絡先を確認した。
結論：棚卸しと復元確認を、月次運用に定着させる
「更新対象が分からない」「バックアップが復元できるか不安」「ファイル共有の権限や外部アクセスを整理したい」という場合は、現状棚卸しから始めるのが現実的です。端末・サーバー・ネットワーク機器、外部公開、管理者アカウント、バックアップの世代と復元テスト結果を整理すれば、優先順位が見えてきます。
今回の更新確認を一過性の作業にせず、資産棚卸し、更新、復元テスト、連絡訓練を月次で回す仕組みにしましょう。サーバー選定や保守体制、ファイル共有・権限管理・バックアップを含む運用の整理を検討する際は、Liveworksの案内ページを参考に、必要な範囲を確認したうえで相談できます。
