📊前月の攻撃傾向

前月の観測データを分析すると、特定のシステムを狙い撃つのではなく、インターネット全体を広範囲に自動巡回（スキャン）して弱点を探る攻撃が顕著でした。特に、「.bak」「.sql」「.old」「.log」といったバックアップファイルや設定ファイル、不要なデータベースファイルの残骸を探索する通信が世界中から大量に検知されています。これは、Webサイト上に誤って放置された機密情報を盗み出そうとする攻撃者の初期調査活動です。さらに、データベースを不正に操作して情報を引き出す「SQLインジェクション攻撃」も多数観測されました。攻撃者は、自動化ツールを用いてエラーの有無や応答時間の違いから内部構造を推測する手法を執拗に実行しており、特定のデータベース関数を狙った高度な攻撃リクエストも多数確認されています。そのほか、不正なコードを実行させる攻撃や、システム内部の重要な設定ファイル（/etc/passwd等）を覗き見ようとする攻撃など、多様な手法が網羅的に仕掛けられています。

⚠️注目すべき脆弱性・脅威情報

前月は、Webサイトを構築・運用するための主要なシステムで極めて危険な脆弱性（セキュリティ上の欠陥）が相次いで公開されました。代表的なものとして、CMS（コンテンツ管理システム）であるDrupalのデータベース処理における深刻なSQLインジェクション脆弱性（CVE-2026-9082）や、WordPressのフォーム作成プラグインにおけるリモートコード実行（RCE：遠隔からサーバー上で勝手にプログラムを実行し、乗っ取る攻撃）の脆弱性（CVE-2026-3300）が挙げられます。実際の観測ログにもDrupalやWordPressの脆弱性を狙った攻撃通信が記録されており、すでに広く悪用されていることが裏付けられています。また、サーバーの管理画面ツール（cPanel & WHMのCVE-2026-41940やNginx UIのCVE-2026-33032など）において、パスワード認証をすり抜けて管理者権限を奪取する脆弱性も問題となりました。攻撃者はAI技術を駆使して脆弱性情報を瞬時に攻撃プログラムに変換しているとみられ、脆弱性公開からわずか数時間で実際の攻撃が始まる「公開＝即時悪用」の危険な状況に直面しています。

🌤️今後3か月の予測

• 5月（リスク：高）：ゴールデンウィークの長期休暇中は、システム管理者の監視体制が手薄になることが多く、攻撃者にとって絶好の標的となります。休暇中に新たな脆弱性が公開された場合、対応が遅れて被害が拡大するリスクが高まります。連休前にCMSや各種プラグインの最新アップデートを適用するとともに、不要な管理画面やバックアップファイル（.bak、.oldなど）がインターネット上に誤って公開されていないか、事前の徹底した棚卸しとアクセス制御の確認を行ってください。
• 6月（リスク：中）：祝日がなく業務が連続する6月は、新規システムの導入や機能追加などのWebサイト改修リリースが増加しやすい時期です。このタイミングで、設定ミスや非標準の通信経路（WebSocketや外部APIなど）に対する認証の抜け漏れが発生し、そこを攻撃者に狙われるリスクがあります。開発や改修の際には、新たな公開ポイントに適切なアクセス制限やセキュリティ対策が講じられているか、設計および実装段階での監査を強化してください。
• 7月（リスク：高）：7月は海の日を含む連休や、企業によっては夏期休暇（お盆休みなど）の前倒し取得が始まり、再び監視体制に隙が生まれやすい時期です。また、夏のボーナス商戦などでECサイトへのアクセスが増加し、それを狙った不正ログイン試行やSQLインジェクション攻撃の激化が予想されます。特権アカウントの不正作成や海外からの不審なアクセス増加に備え、アクセスログの監視強化と、インシデント発生時のエスカレーション体制の再整備を実施してください。

🧐セキュリティ分析官からのコメント

前月のサイバー脅威動向を総括すると、AI技術を用いたと推測される攻撃の自動化と高速化により、脆弱性が公開されてから実際に悪用されるまでの「防御側の猶予時間」が事実上消滅したと言えます。自動化されたプログラムがインターネット全域を24時間体制でスキャンしており、放置されたバックアップファイルや未修正のCMS拡張機能がわずかな隙を突かれて即座に狙われる、極めてシビアな環境です。従来のように、修正パッチの検証から本番適用までに数週間をかける運用体制では、この圧倒的な侵入スピードに太刀打ちできません。このような複雑化・自動化する未知の脅威や脆弱性に対しては、専門知識不要で導入でき、シグネチャ（攻撃を検知・防御するためのルール定義）が自動更新されるクラウド型WAFの配置による早期の防御壁の構築が極めて有効な対策となります。