Anthropic社は、6月に一度公開し、非公開としたClaude Fable 5を再度公開した。米国政府の指示により公開を停止していたが、安全対策を回避する手法に対する対策を追加した上での再公開としている。

ITソリューションを提供する会社は、学校向けにデバイス販売を行うECサイトにおいて不正アクセスが発生したことを公表した。約16.5万件の氏名、住所、電話番号、メールアドレス、会員ID、所属校、購入情報が漏えいしたとのこと。

オフィス向けサービスを展開する会社は、送信した電子メールに誤って顧客リストを添付していたことを公表した。当該リストには約12.7万件の氏名、住所、電話番号、メールアドレス、勤務先が含まれていたとのこと。

大手通信事業者は、前月に公表していたISP事業者向けメールシステムに対する不正アクセスの詳報を公開した。調査は8月まで行われ、最終的には約125万件のメールアカウント及び一部のハッシュ化されたパスワードが漏えいしたものと結論付けられた。

自治体は、庁内で使用されていた約1万個のUSBメモリを調査したところ、その内の47個からマルウェアを検知したことを公表した。

私立大学は、学生及び教職員がフィッシングメール経由でアカウント情報を攻撃者に窃取され、当該アカウントが第三者に使用されたことを公表した。大学内外に同アカウントを用いて、迷惑メールやフィッシングメールが多量に送付された。本事象の対応に伴い、講義が1週間に渡って休講となった。

食品事業を展開する会社は、不正アクセスにより同社のシステムに障害が発生していることを公表した。これにより同社の入出庫業務や出荷業務が停止し、複数のスーパーマーケットやレストランにおいて一部商品の品切れや営業時間短縮などの影響が生じた。また、その後の調査により影響を受けたサーバに個人情報が含まれていたことが判明したため、事象についても公表された。

セキュリティ研究者は、Windows 11において権限昇格が可能となる脆弱性を公表した。本件はLegacyHiveと呼ばれており、特定の条件を満たす場合において、対象とするユーザのレジストリ情報を自身の権限で変更できてしまうものである。概念実証コード（PoC）も公開されており、Microsoft社が同日に公開した、2026年7月のセキュリティ更新プログラムを適用している環境でも動作するとのこと。本脆弱性にはCVE-2026-62832が割り当てられ、2026年8月のセキュリティ更新プログラムで修正された。

Microsoft社は、同社製品に関する月例のセキュリティ更新プログラムを公開した。7月分としては622件の脆弱性が挙げられている。5月以前に修正された脆弱性は毎月200件未満であり、6月の更新で206件程度であったことから、発見・修正された脆弱性の件数が大幅に増加している。8月の更新では一度減少したが457件あり、その後9月には999件、10月には1,453件と、発見・修正された脆弱性の件数は年の前半と比較して大幅に増加している。

コンテンツ管理システム（CMS）である、WordPressのバージョン7.0.2が公開された。本バージョンでは2つの脆弱性が修正されているが、バージョン6.9以降のWordPressにおいて両脆弱性を組み合わせると、遠隔からコードを実行できる可能性がある。両脆弱性を組み合わせた攻撃はwp2shellと呼ばれており、米国サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）の既知の攻撃カタログ（KEV）にも記載されている。

• "WordPress 7.0.2 Release"
  https://wordpress.org/news/2026/07/wordpress-7-0-2-release/
• "Known Exploited Vulnerabilities Catalog"
  https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-60137
  https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-63030

OpenAI社は、同社が開発していたモデルの検証中に、社外となるHugging Faceに攻撃を実行していたことを公表した。同モデルはOpenAI社内に存在していたゼロデイ脆弱性を特定し、それを用いてサンドボックスを脱した後、Hugging Faceの脆弱性を狙う活動をしたとのこと。

同社が同様の事象がないか確認していたところ、同社のモデルがオーストラリア政府機関のWebサイトに対しても活動していたことが確認された。この活動の中では、非公開情報に対してアクセスする方法を発見しており、その手段を用いて技術情報やソースコードなどを確認する挙動もあったとのこと。

また本件を受けてAnthropic社が自社のClaudeを調査したところ、同様にインターネット上のシステムに対する攻撃が3件発生していたことが、7月30日に公表された。

• 「OpenAI と Hugging Face、モデル評価中のセキュリティインシデント対応で連携」
  https://openai.com/ja-JP/index/hugging-face-model-evaluation-security-incident/
• "Security incident disclosure — July 2026"
  https://huggingface.co/blog/security-incident-july-2026
• 「オーストラリアに向けた今後の改善への取り組み」
  https://openai.com/ja-JP/index/how-we-will-do-better-for-australia/
• "Investigating three real-world incidents in our cybersecurity evaluations"
  https://www.anthropic.com/news/investigating-incidents-cybersecurity-evals

ECサイトを運営する企業は、同社のシステムが第三者によりアクセスされ、情報が漏えいしたことを公表した。約772万件の氏名、住所、電話番号、メールアドレス、生年月日、性別が漏えいした。

ゲームソフトの開発者は、公式Discordサーバが乗っ取られたため、参加者に一時退出することを推奨した。ユーザが作成したカスタムコンテンツに関する問題が報告されており、開発者がそのコンテンツの挙動を確認していたところ、検証に使用していた端末が感染し、Discordの認証が突破されたとのこと。当該Discordサーバは翌日に復旧した。

インターネット関連サービスを提供する会社は、同社が提供する一部システムの管理用アカウントの認証情報が第三者に取得され、システムにアクセスされたことを公表した。これによりユーザの情報が取得・閲覧されたほか、アプリケーションにおいては不正なプッシュ通知が送信されていたとのこと。

マッサージ・エステサロンの予約サービスを展開する会社は、同社が提供する店舗向け予約・顧客管理システムに対して発生した不正アクセス事案を公表した。攻撃者はデータベースへアクセスし、データの取得と外部転送を行った。影響を受けたレコードは約3,300万件とのことで、同サービスを複数回利用したユーザは複数のレコードに含まれている。漏えいした情報は、氏名、生年月日、性別、住所、電話番号、メールアドレス、備考欄（健康状態などを含む）であるとのこと。

ECサイト構築・運営支援サービスを提供する会社は、同社のサービスが不正アクセスを受け、購入者情報が外部に送信されたことを公表した。その後の調査で、延べ約885万件の購入者情報、配送先情報、暗号化された会員ID及びパスワード、クレジットカード名義、カード番号の一部、有効期限、店舗関連情報などが送信されたとのこと。

出版社は、社員がフィッシングサイトに入力した認証情報により当該ユーザのアカウントにログインされ、当該ユーザを装ったフィッシングメールが送信されたことを公表した。また、連絡先情報についても窃取されたとのこと。

電力会社は、同社が利用する一部システムに関する資格情報が第三者に利用され、当該アカウントの電子メールやグループ内の連絡先情報が閲覧された可能性があることを公表した。閲覧された情報には同社グループ内に限らず、関係機関、自治体、取引先などの会社・団体名、役職、氏名、メールアドレス、電話番号が含まれている。

営業及びマーケティングの支援事業を行う会社は、同社のGitHubリポジトリの認証情報が漏えいし、第三者によりアクセスされたことを公表した。リポジトリには同社の開発データに加えて、氏名、メールアドレス、電話番号が含まれており、それらが漏えいした可能性がある。

通信社は、同社が利用する一部システムに関する資格情報が第三者に利用され、約6,000件の氏名、メールアドレス、部署名、役職名などの情報が取得されたほか、一部アカウントではメール本文や保存ファイルなどが閲覧された可能性があることを公表した。

独立行政法人は、同法人が利用する一部システムに関する資格情報が第三者に利用され、ユーザのメールボックスに保管されていたメールが一部、外部に漏えいしたことを公表した。

スポーツジムの経営などを行う会社は、同社が運営するオンラインストアに入力情報を外部送信するプログラムが設置され、利用者情報が漏えいした可能性があることを公表した。対象は2026年5月1日から8月5日までに同サイトで注文または情報を入力した利用者で、氏名、住所、電話番号、メールアドレス、クレジットカードの番号・有効期限・セキュリティコードが含まれる。

セキュリティ研究者は、Windows Defenderに存在する脆弱性を公表した。本件はShieldBreakと呼ばれており、既知の脆弱性であるRoguePlanet（CVE-2026-50656）の修正が不十分であることに起因していると主張している。本件を公開した研究者は、7月14日にLegacyHiveを公開した者と同一人物である。

システムインテグレータは、第三者が同社のVPNアカウントを悪用して社内ネットワークに侵入し、一部のサーバにランサムウェア攻撃を行ったことを公表した。営業情報、取引情報、取引先の顧客、顧客及び同社従業員の個人情報が漏えいした可能性があるとのこと。後に数件、本侵害に関連する漏えい事案が同社サービスのユーザとなる企業から公表されている。

ホスティングサービスなどを提供する企業は、同社が提供するサービスに第三者によるアクセスが発生し、顧客領域内に保存された情報に意図せずアクセスされた可能性があることを公表した。その後の調査において、同社の販売管理システムにもアクセスがあり、約136万アカウントの会員ID、会社名、部署名、住所、氏名、電話番号、メールアドレス、生年月日、性別、契約情報などが漏えいしたことも公表された。

ライブやイベントなどに関連する事業を行う会社は、同社が使用しているBIツールに対して第三者によるアクセスが発生し、ツール内に保管されていたデータがダウンロードされたことを公表した。退会済も含む、同社のサービスを利用したユーザの氏名、住所、電話番号、メールアドレス、生年月日、性別、購買履歴、決済金額、サービス利用状況、応援対象タレントの選択状況などが、約17万件漏えいしたとのこと。

2025年日本国際万博協会は、業務の委託先においてMicrosoft 365への第三者によるアクセスが発生し、催事の関係者や出演者に関する情報を含むメールや添付ファイルがアクセスされた可能性があることを公表した。

カー用品店は、同社の予約システムに第三者によるアクセスが発生し、一部会員の情報が外部へ漏えいした可能性があることを公表した。その後の調査で、最大約180万人の氏名、電話番号、メールアドレス、会員番号が漏えいした可能性があることが判明した。

リサイクルショップを経営する企業は、同社子会社のECサイトが第三者によりアクセスされ、約13.6万件の個人情報が漏えいしたことを公表した。スタッフアカウントが使用され、顧客情報の一括エクスポートが2回実行されていたとのこと。カスタマーID、氏名、住所、電話番号、生年月日、メールアドレス、メールマガジンの購読有無、注文回数、合計購入金額、ポイント情報などが漏えいした。

SSL/TLSサーバ証明書を発行する企業は、同社の中間認証局（中間CA）証明書の更新に際して、手続き上の不備があり、新中間CAを認証局とする証明書を失効させる必要があることを公表した。本記事公開時点において、新中間CA証明書はWebブラウザベンダの審査中であり、完了するまでは利用できないことから、同社は別会社が発行する証明書を代替として提供している。

私立大学は、同校の学生用アカウントが第三者により利用され、当該アカウントから迷惑メールが送信されたことを公表した。対策として、学生アカウントの多要素認証の利用を必須化したとのこと。なお教職員アカウントについては必須化済みであったとのこと。

採用管理システムを提供する企業は、同社のプラットフォームが第三者によりアクセスされ、システムを利用する企業及び応募者の個人データが漏えいしたことを公表した。漏えいした情報には約39万件の氏名、メールアドレス、電話番号などの個人情報が含まれる。また、前述の件数の内、約3万件においては、雇用契約情報、個人番号、基礎年金番号、金融機関口座情報なども漏えいしたとのこと。後に数件、本侵害に関連する漏えい事案が同社サービスのユーザとなる企業から公表されている。

自治体が運営する就職支援サイトが改ざんされ、iOSデバイスで当該サイトの会員として登録すると、偽の警告広告が表示されていたことが公表された。当該広告は有料アプリケーションのインストールへ誘導するものであった。アプリケーションをインストールした場合はアンインストールのみでなく、自動継続課金の解約が必要であるため、同サイトは注意を呼びかけている。

デジタル庁は、ガバメントソリューションサービスが第三者によりアクセスされ、職員など約24万6,000件の個人情報が漏えいした可能性があることを公表した。6月25日に保守運用担当者のアカウントを使用した大量のファイルアクセスを検知し、その後の調査にて、第三者がVPN機器の脆弱性を悪用して侵入していたことが判明した。

製薬会社は、同社の通信販売で使用しているシステムが第三者によりアクセスされたことを公表した。これにより、顧客対応で使用している通話音声データ及び付随する情報が漏えいした可能性があるとのこと。

デジタル整理券システムを提供する企業は、同社が提供するシステムの管理システムに対して第三者によるアクセスが発生し、一部ユーザの抽選結果が改ざんされたことを公表した。影響を受けたユーザは特定されており、同システムを使用していた映像制作会社が個別に補填を案内したとのこと。

フィットネスサービスを提供する企業は、同社がデータ分析に使用していたツールが第三者によりアクセスされたことを公表した。これにより、退会済みを含む、約44万件のメールアドレス、ニックネーム、性別、生年月日、住所（都道府県まで）、身長、体重、活動量、利用状況、暗号化されたパスワード、一部決済情報などが漏えいした。また、法人の福利厚生制度を通じて同サービスを利用していた場合は、氏名、法人名、従業員番号も漏えいしたとのこと。

ソフトウェア企業は、同社が提供する画像共有サービスで使用されているデータが第三者によりアクセスされたことを公表した。これにより、約2,362万ユーザの氏名またはニックネーム、メールアドレス、パスワードのハッシュ値、利用者ID、端末ID、外部サービスの認証トークン、契約プランなどが漏えいした。また、画像に関するメタデータも約4.9億件が漏えいしており、それにはアップロード元IPアドレス、User-Agent、EXIF情報、画像タイトル、OCRテキスト、非公開画像のパスフレーズなどが含まれているとのこと。

ケーブルテレビ事業者が提供するインターネット接続サービスにおいて、インターネットへのアクセスがし辛い状況が発生していた。同社がユーザ向けに提供している参照用DNSサーバに対して外部から多量のアクセスがあり、名前解決が失敗したことが原因であったとのこと。

カーシェアリングサービスを提供する企業は、同社サービスが第三者によりアクセスされ、情報が漏えいしたことを公表した。退会済みを含む、約660万件の氏名、住所、生年月日、電話番号、メールアドレス、免許情報、本人確認書類、法人会員情報などが対象であった。うち約160万件においては運転免許証画像、現住所確認書類画像、学生証画像、家族確認書類画像も漏えいしていた。本件が公表された後、信用情報機関への申請が急増したり、免許証の再発行可否が話題になったりするなどの影響が生じた。

レンタカーサービスを提供する企業は、同社のアプリケーションで使用しているシステムが第三者にアクセスされ、一部会員の情報が閲覧された可能性があることを公表した。閲覧された情報には氏名、電話番号、メールアドレス、ログインID、利用履歴、運転免許証情報（免許証番号、住所、生年月日)、クレジットカード番号下4桁、名義人名などが含まれる。

鉄道事業者は、ランサムウェアにより同社のシステムに障害が発生していることを公表した。鉄道の運行には影響しなかったが、グループ企業が提供する小売店における決済、ポイント付与、ホテル予約などが影響を受けた。

出版事業者は、同社が運営するECサイトが第三者からのアクセスを受け、ユーザの一部情報が漏えいしたことを公表した。退会済みを含む、最大で約44万件のメールアドレスと、一部ユーザの氏名及び住所（都道府県まで）が影響を受けたとのこと。

Citrix社は、同社が提供するNetScaler ADC及びNetScaler Gatewayの脆弱性情報を公開した。CISAは、本脆弱性が既に脅威アクタにより悪用されているとしている。

• "Citrix NetScaler ADC and Citrix NetScaler Gateway Security Bulletin for CVE-2026-88771 through CVE-2026-88778"
  https://community.citrix.com/techzone-blogs/110_security-updates/netscaler-adc-and-netscaler-gateway-security-bulletin-for-cve-2026-88771-through-cve-2026-88778/
• "Critical Zero-Day Vulnerabilities Exploited in Citrix NetScaler ADC, Gateway"
  https://www.cisa.gov/news-events/alerts/2026/09/27/critical-zero-day-vulnerabilities-exploited-citrix-netscaler-adc-gateway
• 「NetScaler ADCおよびNetScaler Gatewayの脆弱性について(CVE-2026-88771、CVE-2026-88772等)」
  https://www.ipa.go.jp/security/security-alert/2026/alert20260928.html

宿泊施設向けの予約管理システムを提供する企業は、同社サービスが第三者にアクセスされ、意図しないメッセージが予約者に対して送信されていたことを公表した。最大で445万件の氏名、電話番号、メールアドレス、宿泊施設名、チェックイン・チェックアウト日、宿泊料金などが閲覧された可能性がある。

出版社は、同社が運用するブロガーの情報管理・連絡用システムが第三者によりアクセスされ、登録されていた情報が漏えいしたことを公表した。漏えいした情報には2,835件のブロガーの、氏名、メールアドレス、住所、電話番号、生年月日、性別、職業、プロフィール情報、SNS情報、結婚情報、子の有無、身長、肌タイプなどが含まれる。また、案件情報は同システムから送信したメール情報も含まれるとのこと。本事象はCMSの設定の不備により特権アカウントが作成され、APIリクエストを繰り返し実行されたことが原因であるとのこと。

プレイガイド運営会社は、同社が提供するプラットフォームが第三者にアクセスされ、一部ユーザの個人情報が漏えいしたことを公表した。同プラットフォームで払戻しを受けたユーザの一部が対象となっており、返金方法によって漏えいした情報が異なった。対象となった情報はメールアドレス、カナ氏名、振込先口座情報、郵便振替払出証書の送付先情報（郵便番号、住所、氏名）などであった。

コンビニエンスストアチェーンは、同社の会員情報を保有するサーバが第三者にアクセスされ、会員情報が漏えいしたことを公表した。漏えいした情報には約57万アカウントの氏名、性別、生年月日、住所、電話番号、メールアドレス、入会年月日、退会年月日が含まれる。不正に退会処理が行われたことに起因し、事象が判明したとのこと。

運送会社は、同社が提供するサービスが第三者にアクセスされ、当該サービスを利用したユーザの個人情報が漏えいしたことを公表した。これにより約526万件の、同サービスの利用者（主に発送者）に関する氏名、住所、電話番号、メールアドレス、商品明細、社内管理用情報などが漏えいした。また、約5万件においては配送先の氏名、住所、電話番号、送り状番号も漏えいしたとのこと。

日本郵便株式会社は、同社が提供するサービスが第三者にアクセスされ、19名分の情報が取得されたことを公表した。該当ユーザの氏名、住所、生年月日、性別、電話番号、メールアドレス、勤務先状況、家族状況、住所録に登録されていた情報、同社提供アプリケーションで作成された送り状情報などが漏えいした。

情報処理推進機構（IPA）は、情報セキュリティ全般に関する状況をまとめた「情報セキュリティ白書2026」のPDF版を先行公開した。

• 「情報セキュリティ白書2026」
  https://www.ipa.go.jp/publish/wp-security/2026.html

福利厚生サービスを提供する企業は、同社の企業・団体担当者向けの機能において、本来はアクセスできないはずの、他社従業員の個人情報が表示される状況であったことを公表した。対象は2,322企業の13,460名で、社員番号、氏名、性別、生年月日、企業・団体名、所属・役職、入退社情報が漏えいしたとのこと。

運送会社は、同社が提供するインターネット貨物システムが第三者によりアクセスされ、個人情報が漏えいした可能性があることを公表した。本記事作成時点では漏えい対象などは調査中であるが、荷物の配送状況を確認するシステムが停止するなど、影響が生じている。

レストランチェーンは、同社グループ会社に応募したアルバイト採用に関する個人情報が漏えいしたことを公表した。本件は同月に情報漏えいが公表された採用管理サービスを使用していたことに起因している。同社は当該サービスを2024年6月時点で解約しており、応募者の情報は契約終了時に消去されたものと認識していたが、実際は採用管理サービスのデータベースに残存していた。