2026年9月21日時点：中小企業のPCセキュリティ、今優先すべき「更新・認証・復旧」の実務
はじめに：脅威を個別ニュースではなく、侵入口の管理として捉える
PCセキュリティのニュースは、脆弱性、マルウェア、フィッシング、ランサムウェアと話題が分かれて見えます。しかし中小企業の情報システム担当者にとっては、別々の問題として追うだけでは十分ではありません。2026年9月21日時点で特に意識したいのは、悪用が確認されたソフトウェアの弱点、認証情報を狙う攻撃、ネットワークに露出した業務サーバー、そして復旧できるバックアップという四つの侵入口・防御点です。
重要なのは、すべての環境が直ちに危険だと決めつけることではありません。自社に対象資産があるか、外部公開や管理者権限に関わるか、更新や復旧が滞っていないかを確認し、影響の大きいものから優先順位を付けることです。本記事では、PCだけでなく、ブラウザ、Microsoft 365、印刷管理、ファイル共有などを含む社内IT環境を前提に、今の運用へ落とし込むためのポイントを整理します。
最優先は「悪用確認済み」の更新と、資産の見える化
2026年9月のMicrosoft月例更新では、多数の脆弱性が修正され、報道ベースで悪用が確認されたゼロデイも含まれていました。件数の多さに振り回されるよりも、Windows更新を通常業務として確実に回し、適用・再起動・業務動作確認まで完了させることが大切です。
優先順位を付ける際は、次のような資産から確認するとよいでしょう。
インターネットに接続・公開されているサーバーや管理画面
管理者が使うPC、共有端末、VPN接続端末
Microsoft 365の管理や会計・人事などの重要業務に使う端末
更新状況や利用者が把握できていない端末、委託先が管理する機器
Microsoft Security Update Guideで、自社のWindowsや関連製品が対象かを確認し、検証環境や影響確認の手順に沿って適用してください。更新の成否だけでなく、再起動未完了の端末が残っていないかを台帳で追える状態にすることが、脆弱性管理の出発点になります。
ブラウザも同じです。Googleは9月4日、ChromeのV8におけるタイプ混同の脆弱性（CVE-2026-85046）が実際に悪用されていることを公表しました。対象となるChromeはWindows／macOS向けの152.0.7977.82/.83、Linux向けの.82で、更新の展開にはブラウザ再起動が必要です。OSの更新だけで安心せず、Chromeの更新・再起動状況を確認しましょう。Chromium系ブラウザを利用している場合も、各ベンダーの案内に従い更新状況を確認する必要があります。
なお、この時点で本調査ではmacOS、Safari、Firefoxの具体的なセキュリティ更新情報は確認できていません。未確認のバージョン情報を横展開せず、利用中であれば各ベンダー公式の更新情報を確認する運用が適切です。
PC以外も盲点にしない：PaperCutと公開サーバーの点検
侵入口は利用者PCに限りません。PaperCut NG/MFでは、認証回避やリモートコード実行につながり得る脆弱性（CVE-2026-81578、CVE-2026-82078）に対する緊急パッチが公開され、9月初めには認証回避を利用してデータベーステーブルを取得する活動も報じられました。PaperCutは、インターネット公開されたApplication ServerにはRelease 3を推奨しています。
自社でPaperCut NG/MFを使っている場合、バージョン、公開状態、パッチ適用状況を早急に確認してください。対象外であっても、この事例は「印刷管理サーバーは周辺機器」と見なして後回しにしない教訓になります。NAS、VPN、UTM、リモート管理、仮想基盤なども、PCと同じように資産台帳へ載せ、保守対象として扱う必要があります。
特に確認したいのは、公開不要な管理画面や管理ポートが外部に開いていないかという点です。緊急パッチの適用後にも、アクセスログや侵害の痕跡を確認し、必要に応じて認証情報を見直します。パッチ作業には業務影響も伴うため、担当者・実施時間・確認項目・ロールバック手順をあらかじめ定めると、判断と復旧を速くできます。
MFAだけでは防ぎ切れない：M365を狙う認証情報窃取
Microsoft 365では、パスキー、MFA、SSOの「至急更新」を装う電話、SMS、メールで利用者を誘導するフィッシングが報じられています。攻撃者は偽サイトを介するAiTM（Adversary-in-the-Middle）やデバイスコード認証を悪用し、認証情報だけでなくセッションやOAuthトークンを奪う可能性があります。侵害後にSharePoint、OneDrive、Exchangeを探索し、攻撃者が管理するMFA方法を追加する例も確認されています。
ここでの注意点は、「MFAを導入したから大丈夫」としないことです。利用者には、認証を急がせる連絡をそのまま信用せず、公式ポータルから手続きを確認するよう周知します。管理側では、次の項目を点検してください。
管理者とMicrosoft 365に、フィッシング耐性MFAを適用できているか
機密性の高いクラウド資源へのアクセスを、管理された端末に限定できているか
業務上不要なデバイスコード認証やOAuthアプリが残っていないか
追加されたMFA方法、見覚えのないメール転送ルール、管理者作成がないか
異常なサインイン後に、Graphの列挙やSharePoint／OneDriveの大量アクセスが続いていないか
疑わしい事象を検知した場合は、影響範囲の確認と並行して、セッション・トークンの失効、パスワード変更、不正な認証方法やメールルールの削除、端末隔離、ログ保全を検討します。誰が何を判断し、どの連絡先へエスカレーションするかを文書化しておくと、初動の遅れを抑えられます。
ランサムウェア対策は「バックアップがある」だけでは足りない
CISAの9月公開情報では、Gunraランサムウェアに関する勧告への導線が示され、対策として最新パッチ、ネットワーク分離、定期バックアップなどが挙げられています。個別のマルウェア名に反応するだけでなく、暗号化やデータ窃取が起きた後にも業務を再開できるか、という視点で備えることが重要です。
実務では、3-2-1バックアップを基準に、少なくとも一つのコピーをオフラインまたはイミュータブルな形で保持できるかを確認します。また、バックアップ環境が本番環境と同じ管理者アカウント・同じ認証情報に依存していないかは重要な点検項目です。ネットワークも、管理系、サーバー、利用者端末、バックアップ先を必要に応じて分け、侵害時の横展開を抑える設計を検討しましょう。
バックアップ成功の通知だけで完了にせず、定期的に実データを復元して、復旧時間目標（RTO）と復旧時点目標（RPO）を満たせるか検証します。復旧テストを通じて、必要な権限、手順書、連絡体制、代替機材まで明らかになります。
今すぐ始める運用チェックポイント
最後に、担当者が今週から確認できる項目をまとめます。
資産台帳を更新する：OS・ブラウザのバージョン、保有者、最終更新、再起動完了、外部公開の有無を記録する。PC以外のVPN、NAS、印刷管理、UTMも対象にする。
更新の優先順位を決める：Microsoft、主要ブラウザ、公開サーバー、VPN・管理系機器について、悪用確認情報と自社の該当有無を24～72時間以内に確認する流れを作る。
認証設定を棚卸しする：M365の管理者、デバイスコード認証、OAuthアプリ、追加MFA方法、メール転送ルールを見直す。
公開面を減らす：不要な管理画面やポートを閉じ、VPNや管理系ネットワークを分離する。
復旧を試す：別認証・分離保管を含むバックアップの要件を確認し、実際に復元するテストと手順の見直しを行う。
結び：防御の強さは、日々の保守と復旧可能性で決まる
セキュリティ対策の実効性は、単発の製品導入ではなく、安定したサーバー基盤、継続的な保守、障害時対応、更新・認証・バックアップを運用しやすい形で継続できるかに左右されます。自社にある資産を把握し、公開範囲を抑え、異常時に止めて戻す手順を持つことが、事業継続の土台です。
社内ファイル共有とその周辺運用を見直す際には、Liveworks インテリジェントサーバーも、要件に合う場合の選択肢になり得ます。Web掲載情報によれば、部署・個人単位のアクセス権限、最大30日分の差分データを掲げる世代バックアップ、RAID1、PCデータのバックアップ、VPN、URLブラックリストによるプロキシ機能、HDD・サービスの遠隔監視、導入後5年間の監視・遠隔保守サポートを案内しています。ただし、バックアップについては復旧テストや分離保管を含め、自社の要件を満たすか確認が必要です。自社の運用課題に合うサーバー選定や保守体制を検討する際は、同ページを参考に相談できます。
