結果はこうでした。数字は「その言葉を含む記事の本数」です。

ここで注目してほしいのは、いちばん下の2行です。「日本語圏の情報が足りない」という単純な話ではありません。

WordPressの「wp2shell」（CVE-2026-63030／CVE-2026-60137）は、IPAもJPCERT/CCも注意喚起を出し、専門メディアも詳しい解説を書いています。日本語圏はきちんと機能しました。ところがSonicWallは、日本語で見つかった1本がJPCERT/CCのWeekly Reportにある「SonicWallのSMA1000シリーズに複数の脆弱性」という技術情報だけ。海外では同じ機器について「INC Ransomというランサムウェア集団が、公表される数週間前からこの穴を突いて管理者権限を奪っていた」と報じられているのに、その「誰が、何のために使っているか」という部分だけが日本語に渡ってきていないのです。

なぜこうなるのか。理由は単純で、脆弱性情報は公的機関が翻訳して配信する仕組みがあるのに対し、攻撃の実態（どの集団が、どんな手口で、どこを狙っているか）は海外の調査会社のブログや報道でしか流れないからです。前者には配信ルートがあり、後者にはありません。だから同じ製品の話でも、片方だけが日本語に届きます。

第1章 おわり — 次は第2章

今回いちばん大きな空白がこれでした。海外では18本の記事が出て、アメリカのCISA・NSA・FBIを含む20を超える関係機関が合同で警告を出しているにもかかわらず、日本語の記事は1本も見つかりませんでした。

狙われているのはZimbra Collaboration Suiteという、企業や大学がよく使うメール・グループウェアの製品です。攻撃しているのは「LAUNDRY BEAR」と名付けられたロシアの国家支援を受けたグループ（Void Blizzard、TA488 とも呼ばれます）。

何が盗まれるのか。CISAの合同勧告によれば、メールアドレス・パスワードに加えて二要素認証（2FA）のトークンまで抜かれています。さらに攻撃者は「ZimbraWeb」という名前のアプリ専用パスワードを勝手に作り、IMAPを有効化して二重に居座る仕掛けを残します。つまりパスワードを変えても、2FAを入れていても、そのまま読まれ続ける可能性があるということです。

実際の被害としては、2025年7月以降に10を超える組織が標的にされ、情報が持ち出された（あるいは持ち出されかけた）と報告されています。

そしてもうひとつ、見落としやすい点があります。この攻撃は2FAを突破しています。「多要素認証を入れたから大丈夫」という前提が、この手口の前では成立しません。多要素認証は今も非常に有効な対策ですが、「入れたら終わり」ではなく「セッションやトークンが盗まれていないか」まで見る必要がある、という段階に入っています。

第2章 おわり — 次は第3章

ランサムウェアという言葉自体は、日本語圏でもよく報じられています。今回の集計でも、日本語記事における「ランサムウェア」の登場密度は海外より高いくらいでした。ニチレイやアフラックの事案が大きく扱われていたことも影響しているでしょう。

ところが、「どの集団が」の部分になると、いきなり数字がゼロになります。

2026年第2四半期、犯行を主張した被害組織の数でトップに立ったのはThe Gentlemenというグループでした。300件です。それまで1年間ずっと首位だったQilinが289件で、初めて順位が入れ替わりました。この2グループだけで、四半期に583件の攻撃を占めています。

The Gentlemen の伸び方は異常です。2025年後半と2026年前半を比べると、犯行主張の件数が6倍を超えています。もともとはQilinの下請け（アフィリエイト）で「ArmCorp」と名乗っていたグループが独立し、攻撃ツール一式をきれいにパッケージ化して新しい実行犯を大量に集めた結果だと分析されています。参入のハードルを下げた側が勝つ、という構図です。

同じ製品なのに、違うCVEを見ている

ここが今回いちばん実務的に重要な発見でした。

Qilinが侵入口として使っているのは、Palo Alto Networks の PAN-OS にある認証回避の脆弱性 CVE-2026-0257 です。これはCISAのKEV（実際に悪用が確認された脆弱性のリスト）に2026年5月29日付で載り、「ランサムウェアによる悪用が確認済み」と明記されています。米国政府機関の是正期限は2026年6月1日でした。

いっぽう日本語圏では、同じPAN-OSについてJPCERT/CCとIPAが注意喚起を出しています。ただしその対象はCVE-2026-0265 と CVE-2026-0300 という別の番号でした。製品名は同じなのに、いま実際にランサムウェアの入口として使われている番号だけが抜けているのです。

同じ構図の脆弱性を、今回の収集データから拾い出しました。いずれもCISAのKEVに載っている＝すでに悪用実績があるのに、日本語圏での追跡が薄いものです。

第3章 おわり — 次は第4章

面白いことに、AIそのものの話題については日本語圏のほうが海外より熱心でした。「AIの悪用」というテーマの記事密度は、日本語576本のほうが海外1,296本より高く出ています。日本語圏はAIに強い関心を持っています。

それなのに、次の事例は日本語で1本も見つかりませんでした。

2026年7月、タイの財務省への侵入で、攻撃者が「Hermes」というAIエージェントを人間の監視なしで走らせ、侵入後の作業を自動化していたことが報じられました。これまで攻撃者がAIを使うといえば「フィッシングメールの文面を書かせる」程度でした。そうではなく、侵入したあとの探索・権限昇格・情報の持ち出しといった工程そのものをAIに任せる段階に入ったということです。

攻撃の速度が変わります。人間の攻撃者なら、侵入してから重要なデータにたどり着くまで数日から数週間かかることもあります。その間が防御側にとっての勝負どころでした。その時間が縮むということです。

下2つは、AIを「使う側」にとって直接の話です。業務効率化のために社内でワークフロー自動化ツールやAI開発基盤を立てているなら、それ自体が攻撃対象になっています。AIツールは「便利な道具」であると同時に「インターネットに面したサーバ」でもあるという当たり前のことが、導入の勢いの中で抜けやすい部分です。

第4章 おわり — 次は第5章

全部を気にする必要はありません。立場によって、見るべきものは違います。自分に近いものを1つ選んで、そこだけ読んでください。

④の方へ補足します。この記事の中心は企業向けの話ですが、「2FAを入れていても、セッションやトークンを盗まれれば読まれ続ける」という部分は個人にもそのまま当てはまります。多くのサービスには「現在ログイン中の端末一覧」や「アプリ用パスワード」の管理画面があります。そこに知らない項目があれば、それが居座られている痕跡です。

第5章 おわり — 次は第6章

お題1：Zimbraを使っているか、版はいくつか

# インストールされている版を表示する
su - zimbra -c "zmcontrol -v"

# 出力例
# Release 10.0.15_GA_1234.UBUNTU20_64 ...

何を見るか：10.0系なら 10.0.18 以上、10.1系なら 10.1.13 以上かどうか。それより古ければ、CVE-2025-66376 の影響範囲です。

注意：版を上げるだけでは不十分な可能性があります。すでに侵入されていた場合、攻撃者が作った「ZimbraWeb」という名前のアプリ専用パスワードが残っているかもしれません。管理画面でアプリ専用パスワードの一覧を確認し、身に覚えのないものを削除してください。IMAPが勝手に有効化されていないかも合わせて見ます。

お題2：インターネットに面している機器を書き出す

# 自社が保有するIPレンジに対してのみ実行すること
nmap -sV --open -p 443,8443,10443 203.0.113.0/24

# 結果を「製品名 + バージョン」の一覧として保存する

何を見るか：VPN装置・ファイアウォールの管理画面・グループウェア。今回の記事に出てきた製品（Fortinet／SonicWall／Citrix／Palo Alto／Check Point／Zimbra）が含まれていないか。

注意：上の 203.0.113.0/24 は説明用の予約アドレスです。必ず自社の実レンジに置き換えてください。またクラウド事業者によっては、事前申請なしのスキャンを規約で禁止している場合があります。

お題3：見つけたCVEがKEVに載っているかを引く

# カタログ全体を取得
curl -s https://www.cisa.gov/sites/default/files/feeds/known_exploited_vulnerabilities.json \
  | jq '.vulnerabilities[] | select(.cveID=="CVE-2026-0257")'

# 見るべき項目： dateAdded / dueDate / knownRansomwareCampaignUse

何を見るか：knownRansomwareCampaignUse が Known なら、そのCVEはランサムウェアの攻撃で実際に使われた実績があります。dueDate は米国政府機関向けの是正期限ですが、民間でも「いつまでに直すべきか」の現実的な目安として使えます。

注意：KEVに載っていない＝安全、ではありません。KEVは「悪用が確認できたもの」のリストであり、確認されていないだけの脆弱性は当然あります。優先順位をつけるための道具として使ってください。

お題4：AIエージェントに渡している権限を数える

これはコマンドではなく、紙に書き出す作業です。社内で動かしているAIツール（自動化ツール、社内チャットボット、AI開発基盤）について、次の3つを書き出します。

注意：3つ目を忘れがちです。n8n や Langflow のようなツールはそれ自体がWebアプリケーションなので、社内に置いたつもりでも設定次第で外から見えていることがあります。お題2のスキャン結果に、これらの管理画面が出てこないかを確認してください。

第6章 おわり — 次は第7章

3つ目のまとまりは、「まだ何も起きていない」と思っている段階でこそ意味があります。今回のZimbraの事例が示しているのは、パスワードを変えても2FAを入れても、居座りの仕掛けを消さなければ読まれ続けるということだからです。

第7章 おわり — 次は第8章

ステップ1：自分の資産を、CVE番号まで含めて一覧にする。今回いちばんはっきりしたのは、「製品名で覚えていると、実際に狙われている番号を素通りする」という落とし穴でした。PAN-OSの例がまさにそれです。製品名ではなく番号で管理してください。

ステップ2：その番号がCISA KEVに載っているかを引く。日本語の注意喚起は非常に良質ですが、「いま誰が使っているか」までは扱いません。KEVは「実際に悪用された実績がある」ものだけのリストなので、限られた時間をどこに使うかを決めるのに向いています。第6章のお題3がそのやり方です。

ステップ3：すでに入られている前提で、居座りの痕跡を見る。アプリ専用パスワード、有効になっているプロトコル、ログイン中のセッション、増えている管理者アカウント。この4点だけでも見ておくと、「入られてから気づくまでの時間」が大きく変わります。

この定点観測は今後も続けます。次回は「前回からどのテーマが増えたか」という差分も出せるようになる予定です。世界で先に動いたものが、どのくらいの時間差で日本に届くのか——それが分かれば、この空白はもっと使える情報になります。

第8章 おわり — 次はよくある質問