📊前月の攻撃傾向

2026年6月はSQLインジェクション（データベースの不正操作を狙う攻撃）や、バックアップファイル（.bak、.sql、.old等）を狙った探索行為が世界中から多数観測されました。また、WordPressなどのコンテンツ管理システム（CMS）の管理者アカウントを狙ったブルートフォース攻撃（パスワードの総当たり攻撃）や、クロスサイトスクリプティング（XSS：不正なスクリプトを埋め込む攻撃）、システムファイル（/etc/passwdなど）を直接覗き見ようとするディレクトリトラバーサル攻撃も頻発しています。外部のトレンドとしても、VPNなどのネットワーク境界機器を突破し、社内へ侵入する高度な攻撃や、インフォスティーラー（情報窃取マルウェア）によって事前に盗み出された認証情報を悪用して正規ユーザーになりすます攻撃が常態化しており、組織の入り口からWebアプリケーション層に至るまで、執拗な攻撃が継続している傾向にあります。

⚠️注目すべき脆弱性・脅威情報

2026年6月は、システムを完全に乗っ取られる危険性がある極めて深刻な脆弱性（緊急度を示すCVSSスコア最高の9.8）が複数報告されました。代表的なものとして、WindowsのWebサーバー機能等に影響する「CVE-2026-47291（HTTP.sysにおけるリモートから任意のコードを実行される不具合）」や、Check Point社製VPN機器の認証を回避される「CVE-2026-50751」、ログ分析ツールSplunkにおける「CVE-2026-20253」が挙げられます。特にWindows関連では過去最大規模の修正プログラムが公開されましたが、修正プログラムが公開された直後の隙を突く攻撃が観測されており、パッチ適用の遅れは致命的なリスクとなります。加えて、WordPress等に導入されるサードパーティ製プラグインの脆弱性を狙った攻撃も活発化しており、システムの根幹から周辺機能に至るまで、全方位での脆弱性管理が急務です。

🌤️今後3か月の予測

• 7月（リスク：高）：【夏期休暇前夜の集中攻撃リスク】7月は、翌月のお盆休みに向けた業務の追い込みやシステム変更が行われる時期です。この隙を狙い、未適用のまま放置されたOSやミドルウェアの脆弱性（6月の過去最多パッチの適用漏れなど）を突く攻撃が増加する懸念があります。不要なテスト環境の停止や、資産の棚卸しとパッチ適用のスケジューリングを最優先で行う必要があります。
• 8月（リスク：緊急）：【お盆休みを直撃するランサムウェアとWeb改ざん】日本の夏期休暇（お盆休み）の時期は、システム管理者の監視体制が手薄になるため、サイバー攻撃者にとって絶好のターゲットとなります。特に夜間や休日の不審な大量の海外通信には警戒が必要です。事前に休暇期間中の緊急連絡網（エスカレーションフロー）を整備・更新し、自動防御機能を活用して不在時の脅威に備えましょう。
• 9月（リスク：高）：【連休明けの内部感染拡大とプラグインの脆弱性】9月はシルバーウィークなどの連休が控えるとともに、休暇中にひそかに侵入・潜伏していたマルウェアや、盗み出された認証情報を悪用した攻撃が表面化しやすい時期です。CMSのプラグイン等における脆弱性を突かれるリスクも高まるため、不審なアクセスログの洗い出しと、不要なプラグインや過剰な権限の見直しを徹底してください。

🧐セキュリティ分析官からのコメント

2026年6月は、OSのコア機能やVPN機器に対する深刻な脆弱性が相次ぎ、たった1つの不正なリクエストでサーバーを掌握しようとするような高度な攻撃手法が目立ちました。さらに、ログの分析結果からも明らかなように、自動化されたツールによる設定ファイルの探索や執拗な不正ログイン試行が絶え間なく続いています。システムの複雑化に伴い、管理者が膨大なパッチ適用やプラグインのアップデートを即座に完了させることは実運用上非常に困難になっています。このような複雑化・自動化する未知の脅威や脆弱性に対しては、専門知識不要で導入でき、シグネチャが自動更新されるクラウド型WAFの配置による早期の防御壁の構築が極めて有効な対策となります。