【セキュリティニュース】2026年11月6日｜NAS狙うランサムとAndroid更新
「社内のNAS(ファイル共有用の機器)は、買ってから一度も触っていません」——ご相談でよく聞く言葉です。2026年10月末から11月初めは、まさにその「更新忘れ」を突く話題が続きました。この記事では3件のニュースを取り上げ、今週中に確認したい点を整理します。
この記事でわかること
- 社内のNASを狙うランサムウェア攻撃と、確認すべきバージョン
- Androidの2026年11月更新(216件修正)で社用スマホに必要な対応
- 外部から接続する機器(VPN)の脆弱性が実際に悪用された事実と教訓
- 今週のチェックリスト(3機器・各10分程度)
1. 社内のNASを狙うランサムウェア「C3RB3R」
Synologyは10月29日、古いDSM(NASの基本ソフト)を使い続けている機器がランサムウェア攻撃を受けていると公表しました。悪用されたのは2024年12月までに修正済みの脆弱性で、同社はどの脆弱性が使われたかは公表していません。暗号化されたファイルは拡張子が「.L0CK3D」に変わると報じられています。
同社のアドバイザリ(Synology-SA-24:20)で示されている修正版は次のとおりです。
| DSMの系列 | この版以上に更新 |
|---|---|
| DSM 7.2.2 | 7.2.2-72806-1 |
| DSM 7.2.1 | 7.2.1-69057-6 |
| DSM 7.2 | 7.2-64570-4 |
| DSM 7.1 | 7.1.1-42962-7 |
| DSM 6.2 | 6.2.4-25556-8 |
中小企業にとっての意味
NASは「置いたら終わり」になりやすく、見積書や顧客名簿が1台に集まっていることも珍しくありません。暗号化されれば業務が止まります。考え方はホームページのPHPのサポート終了と同じで、古いまま動いている機器が入口になります。
今日からできる対策
- 管理画面でDSMのバージョンを確認し、上表の版に達していなければ更新する
- 自動更新を有効にする(費用はかかりません)
- 外部からの接続設定(ポート開放・リモート接続機能)が不要なら無効にする
- 管理者アカウントのパスワードを変更し、二要素認証を設定する
- バックアップをNAS以外(外付けHDDやクラウド)にも1本持つ
出典: Synology セキュリティアドバイザリ / 出典: BleepingComputer
2. Androidの11月更新で216件を修正
Googleは11月2日、Androidの2026年11月分セキュリティ情報を公開しました。修正は216件(重大23件・高193件)で、Android 14〜17が対象です。公告の時点で、悪用されたという記載はありません。
- うち1件(CVE-2026-58868)は、利用者の操作なしに悪意あるコードが動く可能性があるとされています
- 端末の「設定 → デバイス情報 → Androidバージョン」で、セキュリティ更新が2026年11月1日以降になっているか確認します
- 社用スマホ・タブレットは担当者が一覧で確認し、更新が届かない機種は業務利用の見直しを検討します
出典: Android Open Source Project
3. 外部から接続する機器の脆弱性が実際に悪用
米CISAは10月30日、Ivanti Connect Secure(社外から社内へ接続するVPN機器)の2件の脆弱性(CVE-2026-111357、CVE-2026-118527)を、悪用が確認された脆弱性の一覧に追加しました。認証情報の窃取やデータの持ち出しに使われたと報告されており、Ivantiは修正版(22.8R2.6、25.1.1.3など)を公開しています。
- 自社でVPN機器やリモート接続の仕組みを使っているか、まず把握する(保守会社任せなら確認を依頼)
- 該当する場合は修正版へ更新し、あわせて利用者のパスワードを変更する
- 更新だけでは不十分な場合があるため、不審なログインの有無も確認する
今週のチェックリスト
| 対象 | 確認すること | 目安 |
|---|---|---|
| 社内のNAS | バージョン・自動更新・外部公開設定・バックアップ先 | 15分 |
| 社用スマホ | セキュリティ更新が2026年11月以降か | 1台5分 |
| VPN・リモート接続 | 機器の有無と更新状況を保守会社に確認 | 依頼のみ |
よくある質問
Q. NASは社外からつないでいないので大丈夫ですか
A. リモート接続機能やポート開放が有効なままだと、意図せず外から届く状態になっている場合があります。管理画面で設定とバージョンの両方を確認してください。
Q. 更新するとデータが消えませんか
A. 通常は消えませんが、更新前のバックアップは必要です。なお、データがNAS1台にしかない状態は、ランサムウェアに最も弱い構成と考えられます。
Q. 社員の私物スマホを業務に使っています
A. 認めるのであれば、OSの自動更新を有効にすること、更新が提供されない古い端末は業務に使わないことを最低条件にすると、現実的に運用できます。
まとめ
- 10月末から11月初めは、社内機器の更新忘れを突く話題が3件続いた
- NASは修正済みの脆弱性でも、更新していなければ被害に遭う
- Androidは11月更新で216件を修正。社用端末のパッチ日付を確認する
- 外から接続する機器は、更新とパスワード変更をセットで行う
オフィスフジタは岐阜県美濃加茂市を拠点に、岐阜・愛知の中小企業のIT環境とセキュリティ対策を支援しています。自社で何から手をつけるべきか分からない段階からご相談ください。
