【セキュリティニュース】2026年11月4日｜委託先から7700万件とWordPress更新

「取引先から、うちの会社名でおかしなメールが届いたと言われました」。11月に入り、メール配信を請け負う会社への不正アクセスで、最大約7,700万件のメールアドレスが流出したおそれがあると発表されました。ここ数日の3件を、自社で何を確認すればよいかまで整理します。

この記事でわかること

• 委託先が攻撃されると、自社の顧客にも影響が及ぶ理由
• WordPressの修正版(10月28日公開)で確認すること
• 社用スマホの更新で見る項目と今週のチェックリスト

1. メール配信の委託先に不正アクセス(11月2日発表)

ペイクラウドホールディングスは11月2日、子会社アララのメール配信サービス『アララ メッセージ』への不正アクセスについて第2報を公表しました。流出のおそれがあるメールアドレスは最大約7,700万件。10月28〜30日にはカード会社をかたる不審メールが最大約713万通送られ、調査は継続中です。会計システムのTKCも同日、最大223万812件が対象に含まれると発表しました。

中小企業にとっての意味

自社のサーバーが無事でも、配信やフォームを委託していれば顧客情報は社外にあります。流出したアドレスは、取引先をかたる詐欺メールの宛先に使われると考えられます。

今日からできる対策

• 外部に預けている顧客情報(配信・予約・フォーム)を一覧にする
• 利用中サービスの公式お知らせを確認する
• 請求や利用確認を促すメールは、リンクを開かず公式アプリから確認する

出典: INTERNET Watch / 出典: TKC

2. WordPress 7.1.4が22件の脆弱性を修正(10月28日)

開発チームは10月28日、22件の脆弱性を修正した『WordPress 7.1.4』を公開しました。更新処理中にリモートからコードを実行されるおそれのある問題や、格納型クロスサイトスクリプティング(閲覧者側で不正なスクリプトが動く問題)が含まれます。修正はサポート対象の旧系列(7.0.8や6.9.11など)にも同日提供されました。

中小企業にとっての意味

会社のホームページがWordPressなら、更新を止めている期間がそのままリスクになります。あわせてPHPのサポート終了と重大な脆弱性もご覧ください。

• 管理画面の「更新」でバージョンと自動更新の設定を確認する
• 制作会社の保守契約に更新作業が含まれるか確認する

出典: Security NEXT / 出典: Patchstack

3. Androidの11月更新で216件を修正(11月2日)

Googleは11月2日、Androidの2026年11月分セキュリティ情報を公開し、216件の脆弱性を修正しました。FrameworkのCVE-2026-58868は、利用者の操作を必要とせず遠隔からコードを実行されるおそれがある重大な問題とされています。対象はAndroid 14〜17です。

今日からできる対策

• 設定→デバイス情報でセキュリティ更新の日付を確認し、2026-11-05以降を目標に適用する
• 更新が配信されない機種は、メーカーのサポート期間を確認する
• 従業員の不安はIPAの相談窓口(平日10〜17時)を案内する

出典: Android Open Source Project / 出典: IPA

今週のチェックリスト

よくある質問

Q. 自社の顧客情報が流出したかは、どう分かりますか。

A. 委託先の公式発表と、自社への個別連絡が基本です。調査中の段階では件数が増えることもあります。

Q. ホームページは制作会社に任せています。何もしなくてよいですか。

A. 保守契約の有無と更新作業の担当を確認しておくとよいです。範囲外だと更新が止まったままになりがちです。

Q. 社用スマホの更新は業務が止まるので後回しにしたいです。

A. 昼休みや終業後に適用する時間を決める運用が現実的です。今回は操作不要で悪用されるおそれのある問題を含みます。

まとめ

• 委託先経由の流出は、自社のサーバーが無事でも起こります。預け先の棚卸しから
• WordPressは10月28日公開の修正版へ。旧系列にも修正あり
• Androidはパッチレベル2026-11-05以降を目標に
• 流出したアドレスは詐欺メールに使われます。社内周知が最も安い対策です

オフィスフジタは岐阜県美濃加茂市を拠点に、岐阜・愛知の中小企業のIT環境とセキュリティ対策を支援しています。自社で何から手をつけるべきか分からない段階からご相談ください。

セキュリティ対策を含むIT環境づくりを見る / お問い合わせフォームから相談する