今週のITニュースまとめ（2026年8月第3〜4週・2週間版）— Windows Update 421件とAI詐欺急増

今回は、前回に続いて2週間分をまとめて取り上げます。対象期間は、2026年8月9日〜8月22日です。

この2週間は、Windows Updateやブラウザ更新のような基本的な脆弱性対応に加え、BIツール、ルーター、レンタルサーバー、販売管理システム、不正アクセス、AIを入口にした詐欺など、情シス・IT担当者が確認しておきたい話題が多くありました。
（本文は要約と所感を主体としており、本文の直接引用は行っていません。また、本記事は公開情報をもとに筆者が整理したものであり、公式見解を示すものではありません）

1分でわかる今週のポイント
この記事で分かること
今週の注目ニュース
まとめ
FAQ

1分でわかる今週のポイント

この2週間でまず確認したいのは、Windows Updateとブラウザ更新の規模が引き続き大きいことです。2026年8月のWindows Updateでは421件の脆弱性が修正され、悪用確認済みの脆弱性も含まれています。Chrome、Edge、Firefoxでも複数回の更新が行われ、Criticalを含む脆弱性修正が続いています。

サーバー・ネットワーク機器では、MetabaseにCVSS 10.0のSQLインジェクション脆弱性、NECの法人向けルーター「UNIVERGE IX-R/IX-V」シリーズに認証なしで任意コマンド実行につながるおそれのある脆弱性が公表されました。どちらも、社内で使われているかどうかを早めに棚卸ししたい内容です。

情報漏えい関連では、楽天ブックス関係会社、日本交通、さくらインターネット、NTTスマートコネクト、ウェブライフなど、不正アクセスや情報漏えいの可能性に関する発表が相次ぎました。顧客情報そのものだけでなく、配送先情報、契約情報、連絡先、ホスティング環境上のデータなど、影響範囲の確認が重要です。

また、トレンドマイクロのレポートでは、テクニカルサポート詐欺が前年同期比で2.5倍に急増し、AIの回答が詐欺サイトへの入口になる事例も紹介されています。AI検索やチャットAIの利用が広がる中で、利用者教育や端末保護のあり方も見直す必要があります。

この記事で分かること

2026年8月第3〜4週に注目されたITニュース
Windows Update 421件修正と適用後不具合で確認すべきこと
Chrome、Edge、Firefoxなどブラウザ更新管理のポイント
MetabaseとNECルーターの深刻な脆弱性への対応
Adobe製品、LINEインストーラーなど業務端末で確認したい更新
楽天ブックス関係会社、日本交通、さくらインターネットなどの不正アクセス事案
レンタルサーバーやOEMサイト構築サービスの不正アクセスから考える委託先管理
AIの回答が入口になるテクニカルサポート詐欺への注意点

関連記事として、過去の週次まとめもあわせて確認すると流れがつかみやすいです。

関連記事：2026年8月第1週・2週間版のITニュースまとめ
https://sandambara.com/it-news-matome_202608-1-2w
関連記事：2026年7月第4週のITニュースまとめ
https://sandambara.com/it-news-matome_202607-4w
関連記事：2026年7月第3週のITニュースまとめ
https://sandambara.com/it-news-matome_202607-3w

今週の注目ニュース

1. 2026年8月のWindows Update、421件の脆弱性を修正

まず押さえておきたいのは、2026年8月のWindows Updateです。

窓の杜の記事によると、Microsoftは8月11日（現地時間）、サポート中のWindows向けに月例のセキュリティ更新プログラムを公開しました。今回修正されたCVEは421件で、前月の622件からは減ったものの、依然として非常に大規模な更新です。

記事では、悪用が確認されている脆弱性も1件含まれているとされています。Windows端末だけでなく、サーバー、Office、Microsoft 365、認証基盤、仮想化基盤、クラウド連携など、Microsoft製品群は業務の広い範囲に関わるため、月例更新の規模が大きい場合は適用状況を丁寧に確認する必要があります。

また、8月21日には、Windows 11の2026年8月セキュリティ更新プログラム適用後、一部ゲームが正常に動作しない問題も報じられました。業務端末ではゲーム影響そのものは小さいかもしれませんが、RGB照明機能を備えた周辺機器やドライバーが関係するとされており、更新適用後の周辺機器・常駐ソフト・業務アプリへの影響確認という意味では注意が必要です。

実務的なポイント
Windows Update対応では、

Windows端末・サーバーの更新適用状況
再起動待ち端末の有無
悪用確認済み脆弱性への対応状況
業務アプリ、印刷、認証、VPNの動作確認
ドライバーや周辺機器ソフトとの相性
更新後の不具合情報の確認
例外端末や検証端末の更新漏れ

を確認する必要があります。

Windows Updateは毎月の定例作業ですが、件数が多い月は、単に「配信されたか」ではなく「適用され、再起動され、業務に支障がないか」まで見る必要があります。特に、管理外端末や常時起動端末がある場合は、更新完了状況の見える化が重要です。

参考記事（出典）
窓の杜（Impress）（2026年8月12日掲載）
https://forest.watch.impress.co.jp/docs/news/2132160.html

窓の杜（Impress）（2026年8月21日掲載）
https://forest.watch.impress.co.jp/docs/news/2134532.html

2. Chrome・Edge・Firefoxで相次ぐ更新、ブラウザは引き続き最重要の入口

ブラウザ関連では、Chrome、Edge、Firefoxの更新が続きました。

窓の杜の記事によると、Google Chromeでは8月11日に5件の脆弱性へ対処するアップデートが公開されました。いずれもUse after free、つまり解放後メモリ利用の脆弱性で、深刻度はHighとされています。

さらに8月18日には、Chromeで15件の脆弱性を修正する更新が公開されました。このうち2件は深刻度が最も高いCriticalで、WebGLおよびDawnにおけるバッファオーバーフローの脆弱性とされています。

Microsoft Edgeでも、8月12日に39件の脆弱性へ対処する更新が公開され、Criticalは5件とされています。Firefoxも8月18日にFirefox 154を公開し、ローカルネットワークアクセスなどのセキュリティ強化に加え、58件の脆弱性修正が行われています。

ブラウザは、SaaS、メール、クラウド管理画面、社内ポータル、Web会議、生成AIサービスなど、ほぼすべての業務入口です。ブラウザ更新が遅れると、利用者が意識しないまま外部攻撃にさらされる可能性があります。

実務的なポイント
ブラウザ更新では、

Chrome、Edge、Firefoxのバージョン確認
自動更新の有効化
再起動待ちで更新が止まっていないか
業務システムとの互換性確認
拡張機能の棚卸し
管理対象外ブラウザの利用有無
リモートワーク端末・共有端末の更新状況

を確認する必要があります。

特に、ChromeとEdgeはChromiumベースで共通する脆弱性の影響を受けやすいため、片方だけを見て安心するのではなく、利用実態に合わせて両方の更新状況を確認する必要があります。

参考記事（出典）
窓の杜（Impress）（2026年8月12日掲載）
https://forest.watch.impress.co.jp/docs/news/2132325.html

窓の杜（Impress）（2026年8月19日掲載）
https://forest.watch.impress.co.jp/docs/news/2133701.html

窓の杜（Impress）（2026年8月12日掲載）
https://forest.watch.impress.co.jp/docs/news/2132297.html

窓の杜（Impress）（2026年8月19日掲載）
https://forest.watch.impress.co.jp/docs/news/2133706.html

3. MetabaseにCVSS 10.0の脆弱性、BIツールの公開状態を確認

サーバー側の話題では、オープンソースBIツール「Metabase」の脆弱性が重要です。

INTERNET Watchの記事によると、MetabaseにSQLインジェクションの脆弱性（CVE-2026-72898）があり、MetabaseおよびJPCERT/CCが情報を公開しました。緊急度はCVSS 4.0、3.xともに10.0です。

この脆弱性は、CISAの既知悪用脆弱性カタログにも掲載されています。遠隔の第三者が認証なしで細工したリクエストを送信することで、Metabaseのアプリケーションデータベースに対して不正なSQLクエリを実行し、管理者権限を取得できる可能性があるとされています。

Metabaseは、社内の売上、顧客、利用状況、業務KPIなどを可視化するために導入されることがあります。BIツールには、業務データそのものやデータベース接続情報が集まりやすいため、侵害された場合の影響は小さくありません。

実務的なポイント
Metabaseを利用している場合は、

利用中バージョンが影響対象か
インターネットからアクセス可能か
管理者権限の不審な変更がないか
接続先データベースの権限が過剰でないか
Metabase Cloudかセルフホストか
アクセスログ・クエリ履歴の確認
更新後のダッシュボード動作確認

を確認する必要があります。

BIツールは便利ですが、データを集約する性質上、攻撃者にとっても価値の高い入口になります。外部公開していないつもりでも、リバースプロキシ、VPN、公開テスト環境などから到達できる場合があるため、実際の公開状態を確認することが重要です。

参考記事（出典）
INTERNET Watch（2026年8月21日掲載）
https://internet.watch.impress.co.jp/docs/news/2134355.html

4. NECのUNIVERGE IX-R/IX-Vに深刻な脆弱性、ルーター管理画面の公開に注意

ネットワーク機器では、NECの法人向けルーター「UNIVERGE IX-R/IX-V」シリーズの脆弱性も重要です。

INTERNET Watchの記事によると、NECは8月21日、同社の法人向けルーター「UNIVERGE IX-R/IX-V」シリーズに脆弱性があるとして情報を公開しました。対象製品はIX-R2510、IX-R2520、IX-R2530、IX-R2610-4G、IX-V100です。

脆弱性は、重要な機能に対する認証の欠如（CVE-2026-16876）です。攻撃者が対象製品のWebGUIに細工したメッセージを送信した場合、認証なしで任意のコマンドを実行される可能性があります。CVSS v4.0のスコアは9.3、CVSS v3.0のスコアは9.4とされています。

対策済みバージョンは、IX-R/IX-VシリーズともにVer1.4.34、Ver1.5.29です。すぐに更新できない場合の回避策として、HTTP(S)サーバー機能の停止、接続元制限、ポート変更なども提示されています。

実務的なポイント
ネットワーク機器を運用している場合は、

対象機種を利用していないか
ファームウェアバージョン
WebGUIが外部から到達可能になっていないか
管理画面の接続元制限
VPNや保守用ネットワーク経由の管理方式
更新作業時の通信影響
保守ベンダーとの役割分担

を確認する必要があります。

ルーターやVPN機器は、一度設置すると長期間そのまま使われることが多い機器です。しかし、ネットワークの入口にある以上、脆弱性対応が遅れると影響は大きくなります。特にWebGUIを有効にしている場合は、外部公開の有無と接続元制限を優先して確認したいところです。

参考記事（出典）
INTERNET Watch（2026年8月21日掲載）
https://internet.watch.impress.co.jp/docs/news/2134644.html

5. Adobeが51件の脆弱性を修正、ColdFusionとCampaign Classicは早急な対応を推奨

Adobe製品では、8月のセキュリティ情報も確認しておきたい内容です。

窓の杜の記事によると、Adobeは8月11日（現地時間）、月例のセキュリティ情報を公開しました。対象はColdFusion、Campaign Classic、Adobe Commerce/Magento Open Source、Lightroom Classic、Content Credentials SDKの5製品で、CVE番号は計51件です。

このうち、ColdFusionとCampaign Classicはパッチ適用優先度が最も高い「1」とされ、72時間以内を目安とした早急な対応が推奨されています。Adobe Commerce/Magento Open SourceについてもCriticalな脆弱性が含まれており、ECサイト運用では注意が必要です。

Adobe製品というと、一般的にはAcrobatやPhotoshopを連想しがちですが、ColdFusionやAdobe Commerceのように、Webアプリ基盤やEC基盤に関わる製品もあります。利用していることを情シス側が把握していないケースもあるため、棚卸しが重要です。

実務的なポイント
Adobe製品の更新では、

ColdFusionを利用していないか
Adobe Campaign Classicの利用有無
Adobe Commerce/Magento Open Sourceの利用有無
Web公開システムとの関係
外部ベンダー管理の有無
パッチ適用優先度
更新後の業務影響

を確認する必要があります。

特に、Webアプリ基盤やEC基盤として使われている場合、更新判断を後回しにすると外部からの攻撃対象になりやすくなります。制作会社や保守会社に任せている場合でも、自社として利用有無と対応状況を把握しておくことが重要です。

参考記事（出典）
窓の杜（Impress）（2026年8月12日掲載）
https://forest.watch.impress.co.jp/docs/news/2132308.html

6. 楽天ブックス関係会社のPCに不正アクセス、配送先情報3万3333件が漏えいの可能性

情報漏えい関連では、楽天ブックス関係会社の不正アクセスも取り上げます。

INTERNET Watchの記事によると、楽天グループ子会社で出版取次業務を手がける楽天ブックスネットワークは8月21日、一部PC端末に対する不正アクセスを確認したとして情報を発表しました。

2026年4月5日に、同社で使用する一部PC端末で第三者による不正アクセスを検知し、当該端末をネットワークから隔離して調査を開始したとされています。その結果、楽天ブックスの配送業務に関連するユーザー情報が端末内に保存されていたことが判明しました。

判明したユーザー情報は、2022年5月18日〜19日、2023年12月19日〜21日の楽天ブックス注文データに含まれていた配送先情報3万3333件です。内容は、氏名、郵便番号、住所、電話番号で、クレジットカード情報などは含まれないとされています。取引先担当者の連絡先情報2101件、従業員情報339件も保存されていたとされています。

実務的なポイント
端末内に業務データを保存する場合は、

PC内に残っている個人情報の棚卸し
業務完了後のデータ削除ルール
ローカル保存の可否
端末の暗号化
EDRや不審アクセス検知
取引先・従業員情報の保存場所
インシデント時の端末隔離手順

を確認する必要があります。

今回のように、業務システムそのものではなく、業務に使うPC端末内に残っていたデータが問題になるケースは少なくありません。ダウンロードしたCSV、配送データ、顧客リスト、取引先一覧などは、作業後も端末内に残りがちです。ローカル保存のルールと定期削除の運用を決めておくことが重要です。

参考記事（出典）
INTERNET Watch（2026年8月21日掲載）
https://internet.watch.impress.co.jp/docs/news/2134682.html

7. さくらインターネットで最大約136万アカウントの契約情報が閲覧された可能性

クラウド・ホスティング関連では、さくらインターネットの販売管理システムへの不正アクセスも重要です。

INTERNET Watchの記事によると、さくらインターネットは8月19日、同社の販売管理システムに外部から不正アクセスがあり、最大約136万アカウントの契約情報が閲覧された可能性があるとして情報を公開しました。

また、8月17日には「さくらのレンタルサーバ」で583アカウントへの不正ログインが確認されたことも報じられています。こちらは販売管理システムの事案とは別に、レンタルサーバー利用者のアカウント管理に関わる話題です。

ホスティング事業者やクラウド事業者のインシデントでは、自社で直接システムを運用していなくても影響を受ける可能性があります。契約情報、管理画面、サーバー上のファイル、メール、データベース、WordPressなど、影響範囲はサービス構成によって変わります。

実務的なポイント
ホスティングサービスを利用している場合は、

利用中サービスが影響対象か
管理画面アカウントのパスワード変更
MFAの利用可否
サーバー上のファイル改ざん有無
WordPressなどCMSの状態
不審なメール送信や転送設定
契約情報や請求情報の確認

を確認する必要があります。

レンタルサーバーやクラウドは、企業サイト、メール、CMS、ファイル配布、問い合わせフォームなどに使われることがあります。管理画面の認証情報が弱いと、Web改ざんやメール悪用につながる可能性があります。自社で契約しているサービス一覧と管理者アカウントを定期的に確認することが重要です。

参考記事（出典）
INTERNET Watch（2026年8月19日掲載）
https://internet.watch.impress.co.jp/docs/news/2133984.html

INTERNET Watch（2026年8月17日掲載）
https://internet.watch.impress.co.jp/docs/news/2133082.html

8. 日本交通で一部ファイル流出を確認、業務停止を伴う不正アクセス対応に注意

交通・予約関連では、日本交通の不正アクセスも確認しておきたい内容です。

INTERNET Watchの記事によると、日本交通は8月19日、7月に発生した外部からの不正アクセスについて第4報を発表し、同社が保有していたファイルの一部が外部に流出していることが判明したとしています。

同社では7月11日未明に不正アクセスが発生し、7月13日に第1報を発表していました。不正アクセスはマルウェア感染によるもので、陣痛タクシーに関するウェブフォームからの登録を一時停止していたとされています。第2報では、被害拡大を防ぐためのシステム遮断や緊急措置を講じたことも発表されていました。

この事案は、情報漏えいだけでなく、業務停止や代替手段の案内が必要になるインシデント対応としても重要です。予約管理、Webフォーム、受注システムなどが止まると、顧客対応や現場運用に直接影響します。

実務的なポイント
不正アクセス対応では、

どのシステムを止めるかの判断基準
代替受付手段の用意
顧客への案内文
Webフォーム停止時の業務フロー
流出ファイルの特定
外部調査機関との連携
続報を出すタイミング

を決めておく必要があります。

インシデント対応では、最初の遮断判断だけでなく、利用者への案内、業務の代替手段、調査中の続報、復旧時の説明まで含めた対応が求められます。特に予約や受付に関わるサービスでは、停止時の代替運用を事前に考えておくことが重要です。

参考記事（出典）
INTERNET Watch（2026年8月19日掲載）
https://internet.watch.impress.co.jp/docs/news/2133999.html

9. レンタルサーバーとWeb制作基盤で不正アクセス、委託先・外部基盤の確認を

ホスティングやWeb制作基盤でも、不正アクセスに関する発表がありました。

INTERNET Watchの記事によると、NTTスマートコネクトは8月19日、レンタルサーバーサービス「スマイルサーバ」の一部サーバー設備で第三者による不正アクセスを確認したとして情報を公開しました。現時点で情報漏えいは確認されていないものの、対象設備上の全サービスを停止し、外部専門調査機関によるフォレンジック調査を進めているとされています。

また、ウェブライフは8月20日、OEM向けホームページ作成サービスで不正アクセスがあり、一部の顧客情報が改ざんされるとともに外部に漏えいした可能性があると発表しました。

企業サイトやキャンペーンサイト、採用サイトなどは、外部の制作会社やホスティング事業者が管理していることがあります。情シス部門が直接管理していない場合でも、公開Webサイトとして企業の信用に関わるため、委託先管理の対象に含める必要があります。

実務的なポイント
外部基盤や委託先管理では、

自社サイトがどのサーバー上で動いているか
保守会社・制作会社・ホスティング事業者の一覧
管理画面やFTP/SFTPの権限
WordPressやCMSの利用有無
インシデント時の連絡経路
バックアップと復旧手順
改ざん検知やログ確認の体制

を確認する必要があります。

Webサイトは「広報や制作会社の管理」と見なされがちですが、改ざん、情報漏えい、詐欺サイト化、マルウェア配布などのリスクがあります。企業サイトの管理主体と契約先を棚卸ししておくことが、インシデント時の初動を早めます。

参考記事（出典）
INTERNET Watch（2026年8月20日掲載）
https://internet.watch.impress.co.jp/docs/news/2134182.html

INTERNET Watch（2026年8月20日掲載）
https://internet.watch.impress.co.jp/docs/news/2134205.html

10. テクニカルサポート詐欺が前年同期比2.5倍、AIの回答が入口になる事例も

最後に、利用者教育に関わる重要な話題です。

INTERNET Watchの記事によると、トレンドマイクロの「個人セキュリティ脅威動向レポート 2026 上半期」で、テクニカルサポート詐欺が前年同期比で2.5倍に急増していると報じられました。新手の詐欺として、AIの回答が入口になる事例も紹介されています。

テクニカルサポート詐欺は、偽の警告画面や電話番号を表示し、利用者にサポート窓口へ連絡させ、遠隔操作ソフトの導入や金銭の支払いへ誘導する手口です。従来は検索広告や偽サイトからの誘導が中心でしたが、AI検索やチャットAIの回答が入口になると、利用者が「AIが出した答えだから大丈夫」と受け止めてしまう可能性があります。

企業でも、従業員が業務中にエラー解決やツールの使い方をAIに質問する場面は増えています。その結果、AIが提示したリンクや手順を十分確認せず実行してしまうリスクも考える必要があります。

実務的なポイント
テクニカルサポート詐欺対策では、

偽警告画面への対応手順を周知する
画面に表示された電話番号へ連絡しない
遠隔操作ソフトを勝手に入れない
AIの回答に含まれるリンクを鵜呑みにしない
社内ヘルプデスクの相談窓口を明確にする
ブラウザ通知や広告ブロックの設定を確認する
被害が疑われる場合の端末隔離手順を用意する

ことが重要です。

生成AIの利用が広がるほど、「検索結果を疑う」だけでなく「AIの回答も確認する」という意識が必要になります。AIは便利な入口である一方、誤った情報や悪質サイトへの誘導を完全に排除できるわけではありません。利用者教育と端末保護を組み合わせることが現実的です。

参考記事（出典）
INTERNET Watch（2026年8月21日掲載）
https://internet.watch.impress.co.jp/docs/news/2134335.html

まとめ

この2週間のニュースを受けて、情シス・IT担当者が優先して確認したいのは、次の5点です。

Windows Updateとブラウザ更新が適用済みで、再起動まで完了しているか
Metabase、NECルーター、Adobe製品など、影響対象の基盤ソフト・機器を使っていないか
レンタルサーバー、販売管理システム、Web制作基盤など、外部委託先・外部サービスの影響範囲を把握できているか
PC端末内に、過去の配送データ、顧客リスト、取引先情報などが残っていないか
AIの回答や検索結果を入口にした詐欺に対して、利用者教育と相談窓口を整備できているか

特に今回目立ったのは、基本的な更新管理と、外部サービス・端末内データの管理です。Windows、ブラウザ、BIツール、ルーター、Adobe製品など、対象は幅広く、どこか一つだけ見ていればよい状態ではありません。

また、楽天ブックス関係会社や日本交通、さくらインターネット、NTTスマートコネクト、ウェブライフの事案を見ると、不正アクセスは自社の主要システムだけでなく、PC端末、販売管理システム、レンタルサーバー、Web制作基盤など、さまざまな場所から発生します。

今回ひとつだけ確認するなら、Windows Update・ブラウザ更新の適用状況と、外部公開されているサーバー・管理画面・BIツールの棚卸しを見直すのが現実的です。

FAQ

今回の2週間まとめで最も重要なポイントは何ですか？

Windows Updateやブラウザ更新のような基本的な更新管理に加え、MetabaseやNECルーターのような基盤ソフト・ネットワーク機器の脆弱性対応です。外部公開されている管理画面やBIツールがある場合は、優先して確認する必要があります。

Windows Updateは自動更新に任せておけば十分ですか？

自動更新だけでは不十分な場合があります。更新が配信されても、再起動待ちで止まっていたり、例外端末や検証端末に適用されていなかったりすることがあります。更新適用状況と再起動完了を確認することが重要です。

ChromeやEdgeなどのブラウザ更新で注意すべきことは何ですか？

ブラウザは業務の入口なので、最新版への更新と再起動完了を確認することが重要です。ChromeとEdgeはChromiumベースで共通する脆弱性の影響を受けることがあるため、片方だけでなく利用中のブラウザ全体を確認する必要があります。

Metabaseの脆弱性で最初に確認すべきことは何ですか？

自社でMetabaseを使っているか、使っている場合はセルフホストかMetabase Cloudかを確認することです。セルフホストで影響対象バージョンを使っており、インターネットからアクセス可能な場合は、早急な更新と侵害有無の確認が必要です。

ルーターの脆弱性対応で重要なことは何ですか？

対象機種とファームウェアバージョンを確認することです。あわせて、WebGUIが外部から到達可能になっていないか、接続元制限が設定されているかを確認する必要があります。

PC端末内のデータ管理で注意すべきことは何ですか？

業務で一時的にダウンロードしたCSV、配送データ、顧客リスト、取引先一覧などが端末内に残っていないか確認することです。作業後の削除ルール、端末暗号化、EDR、アクセス制御を組み合わせることが重要です。

レンタルサーバーや制作会社管理のWebサイトも情シスが確認すべきですか？

確認すべきです。企業サイト、採用サイト、キャンペーンサイトなどは、改ざんや情報漏えいが起きると企業の信用に影響します。契約先、管理画面、CMS、FTP/SFTP、バックアップ、連絡経路を棚卸ししておく必要があります。

AIの回答が入口になる詐欺にはどう備えるべきですか？

AIの回答に含まれるリンクや手順を鵜呑みにしないことを周知する必要があります。偽警告画面への対応、遠隔操作ソフトを入れないルール、社内ヘルプデスクへの相談導線を明確にしておくことが重要です。