📊前月の攻撃傾向

前月（2026年7月）のサイバー攻撃の傾向として、システムの脆弱性情報や実証コード（PoC）が公開されてから数時間以内に、ボットネットを用いた世界規模の自動スキャンや攻撃が開始される「即時悪用」が一般化しています。当月の検出ログを分析した結果、Webサイト上に不用意に残されたバックアップファイル（.bak, .old, .backup）や設定ファイル（.conf, .ini, .key）、データベース関連ファイル（.sql）などを狙った自動探索（スクレイピング）が非常に多く観測されました。攻撃者はこれらのファイルからシステムの内部情報や認証情報を窃取しようとしています。さらに、WordPressやJoomlaといったCMS（コンテンツ管理システム）に対する攻撃も継続して活発です。特にWordPressにおいては、管理者権限を狙ったブルートフォース攻撃（総当たり攻撃）や、システムの裏側にあるデータベースの情報を抜き取るSQLインジェクション攻撃、悪意のあるプログラムを実行させるPHPインジェクション、および過去に話題となったLog4jやShellshockなどの既知の脆弱性を狙った攻撃リクエストも多数検知されています。

⚠️注目すべき脆弱性・脅威情報

前月に特に注目すべきWebアプリケーションやミドルウェアの脆弱性情報は以下の通りです。

1. WordPress Core における未認証リモートコード実行（RCE）の脆弱性（CVE-2026-63030 / CVE-2026-60137）
データベース操作に関する欠陥（SQLインジェクション）とシステム連携機能（REST API）の不具合を組み合わせることで、攻撃者が管理者アカウントを勝手に作成し、Webサイトを乗っ取るプログラム（Webシェル）を実行できる深刻な脆弱性です。情報公開直後から爆発的な攻撃が観測されています。

2. Microsoft SharePoint Server / IIS Webスタックにおける複合型の脆弱性（CVE-2026-56164 等）
認証を回避する欠陥などを組み合わせることで、攻撃者が外部からHTTPリクエストを送るだけで任意のコードを実行できる緊急度の高い脆弱性です。Webサーバーを足場にして内部ネットワークへの侵入（横展開）を狙う被害が相次ぎました。

3. Oracle WebLogic Server における未認証RCEの脆弱性群（CVE-2026-60198 等）
標準プロトコルの処理における欠陥により、認証なしでリモートからWebサーバープロセスを完全に乗っ取られる危険性があります。

また、ページビルダーなど見た目を整えるノーコード系のCMSプラグインにおける欠陥を狙うサプライチェーン攻撃も相次いでおり、サードパーティ製ツールの管理には引き続き警戒が必要です。

🌤️今後3か月の予測

• 8月（リスク：高）：夏季お盆休み等の「運用手薄期」を狙ったサイバー攻撃のリスクが高まる時期です。管理者が不在になりがちな連休中は、システムへの侵入やWeb改ざんへの対応が遅れるため、被害が拡大しやすい傾向にあります。連休前にサーバーやミドルウェア、CMS基盤への緊急パッチ適用を完了させるとともに、休日中の緊急連絡体制（エスカレーションフロー）の確認を行ってください。
• 9月（リスク：中）：シルバーウィークなどの連休に伴うリスクに加え、8月に密かに設置されたWebシェル（不正な操作プログラム）が潜伏を経て活動を開始する可能性があります。被害を最小化するため、Webルートディレクトリ内の不審なファイル（.php, .aspxなど）の生成や改ざんを検知する定期的なスキャン体制の構築と、ファイル整合性モニタリングの実施を推奨します。
• 10月（リスク：中）：年末に向けたWebサイトのシステム改修やキャンペーン準備が本格化する時期です。サードパーティ製プラグインやモジュールを利用する機会が増えますが、これらが攻撃の起点となるサプライチェーン攻撃に注意が必要です。長期間更新されていない非推奨プラグインの無効化や、自動更新設定の有効化など、攻撃の標的となる領域（アタックサーフェス）を最小化する運用を徹底してください。

🧐セキュリティ分析官からのコメント

前月の攻撃動向を総括すると、情報公開から攻撃開始までの「武器化」のスピードが過去に類を見ないほど加速しており、人間による手動のパッチ適用や対応だけでは防御が間に合わない「ゼロデイ・Nデイ攻撃」が常態化しています。また、Webサイト上に残存する古いバックアップファイルなどの小さな隙や、利便性を高めるためのサードパーティ製プラグインを起点とした侵害も後を絶たず、攻撃者は常に自動化されたツールでアタックサーフェス（攻撃対象領域）をスキャンし続けています。このような複雑化・自動化する未知の脅威や脆弱性に対しては、専門知識不要で導入でき、シグネチャが自動更新されるクラウド型WAFの配置による早期の防御壁の構築が極めて有効な対策となります。