パソコンの中に、以前の業務で使ったソフト、古い圧縮・解凍ソフト、終了したプロジェクトのツール、退職した社員が導入したアプリなどが残っていないでしょうか。

使っていないソフトは、画面を開かなければ問題ないと思われがちです。

しかし、パソコンにインストールされている限り、古い部品や自動起動する機能、外部との通信機能が残り、サイバー攻撃の侵入口になる可能性があります。

セキュリティ対策では、新しい製品を追加するだけでなく、不要なソフトを減らし、必要なソフトを確実に更新することが重要です。

Microsoft製品で悪用済みの脆弱性

IPAは2026年11月11日、Microsoft製品の脆弱性について「緊急」の注意喚起を公表しました。

今回の更新には、Microsoftが実際の悪用を確認したOutlookのなりすましに関する脆弱性「CVE-2026-124194」への修正が含まれています。

脆弱性を悪用された場合、パソコンの制御やアプリケーションの異常終了など、さまざまな被害が発生するおそれがあるとして、IPAはセキュリティ更新プログラムの至急適用を求めています。
IPA 独立行政法人 情報処理推進機構「Microsoft製品の脆弱性対策について（2026年11月）」

JPCERT/CC「2026年11月マイクロソフトセキュリティ更新プログラムに関する注意喚起」

ここで注意したいのは、Windowsだけ更新すれば十分ではないという点です。

パソコンには、ブラウザー、PDF閲覧ソフト、Java、圧縮・解凍ソフト、オンライン会議、リモート操作など、さまざまなソフトが入っています。これらにも脆弱性が発見されます。

Windowsパソコンには平均38個のアプリ
Acronis Threat Research Unitは2026年11月11日、企業で使用されているパソコンのソフトウェア状況に関する調査結果を公表しました。

調査対象は、2026年9月30日時点でオンラインだった、Acronisによって保護されている180万台以上の業務用パソコンです。すべての企業を対象とした統計ではありませんが、実際の企業端末の状況を知る参考になります。

主な結果は次のとおりです。
– Windowsパソコンには平均38個のアプリが入っていた
– 22.3％のWindowsパソコンには50個を超えるアプリが入っていた
– 22.8％では、サポートが終了した製品が少なくとも一つ動作していた
– 更新状況を確認できた端末の22.1％で、公開から30日以上経過したアプリのセキュリティ更新が残っていた
– 更新が残っていた端末の77％では、実際の攻撃で悪用が確認されている脆弱性への修正が含まれていた
更新が遅れやすいソフトとして、WinRAR、Java、Firefox、Notepad++、7-Zipなどが挙げられています。

Acronis Threat Research Unit「Every PC has a junk drawer, and attackers know it」

サポート終了製品は、更新を待っても直らない
ソフトウェアメーカーのサポートが終了すると、新たな脆弱性が発見されても、原則として修正プログラムは提供されません。

例えば、調査では次のような旧製品が企業のパソコンに残っていました。

– 古いMicrosoft Office
– Microsoft Silverlight
– 古いSQL Server
– 古いAdobe Acrobat・Reader
– Adobe Flash Player
– Java 6・Java 7
– Windows 7や8向けの古いChrome
これらは、ウイルス対策ソフトを導入していても、製品自体の弱点が修正されるわけではありません。

必要な業務が残っている場合は後継製品への移行を計画し、使用していない場合は削除することが基本です。

リモート操作ソフトには特に注意
リモート操作ソフトは、社外からパソコンを保守したり、在宅勤務を支援したりする便利なツールです。

一方で、古いバージョンや不適切な設定のまま放置すると、攻撃者にパソコンを遠隔操作される危険があります。

次のような状態がないか確認してください。
– 誰が導入したか分からないリモート操作ソフト
– 現在は利用していない保守業者の接続ツール
– 退職者が使用していたリモートアクセス設定
– 多要素認証を設定していない管理者アカウント
– 長期間更新されていないTeamViewer、VNC系ソフトなど
– インターネットへ直接公開されたリモートデスクトップ
利用目的と管理責任者を確認できないリモート操作ソフトは、削除または無効化を検討してください。

「全部更新する」だけでは運用できない
社内の端末が増えると、すべてのソフトを手作業で確認するのは困難です。

そのため、次の順番で管理することが重要です。

1．インストールされているソフトを一覧にする
最初に、どの端末に何が入っているかを把握します。

一覧がなければ、脆弱性が公表されても、自社が影響を受けるか判断できません。

2．不要なソフトを削除する
使用していないソフトを残すメリットはほとんどありません。

削除すれば、更新対象と攻撃対象を同時に減らせます。

3．サポート終了製品を特定する
更新プログラムが提供されない製品は、最新版への更新、後継製品への移行、端末自体の入れ替えを検討します。

4．悪用されている脆弱性を優先する
すべての更新を同時に適用できない場合は、実際の攻撃で悪用されている脆弱性、外部から攻撃可能なもの、管理者権限につながるものを優先します。

5．更新後の再起動まで確認する
更新ファイルをダウンロードしただけでは、対策が完了していない場合があります。

再起動待ち、適用失敗、空き容量不足なども確認してください。

6．更新前にバックアップを取得する
業務システムでは、更新によってソフトが動かなくなる可能性もあります。

重要な端末やサーバーでは、更新前にバックアップを取得し、問題が起きた場合に戻せる状態を作ります。

Acronisでソフトの棚卸しからパッチ適用まで管理

Acronis Cyber Platform（旧Acronis Cyber Protect Cloud）では、契約するプランや追加機能に応じて、パソコンやサーバーの構成を確認し、脆弱性の発見からパッチ適用、バックアップ、復旧までをまとめて管理できます。

主に次の機能を利用できます。

– ソフトウェア・ハードウェア情報の収集
– 脆弱性評価
– 未適用パッチの確認
– 重大度に応じたパッチの承認
– パッチの自動・スケジュール適用
– 適用失敗や再起動待ちの確認
– マルウェア・ランサムウェア対策
– EDRによる不審な動作の検知・対応
– ファイル・端末・サーバーのバックアップ
– 保護状況の一元的な監視とレポート
Acronis RMMでは、Microsoft製品に加え、300種類以上の対応するWindows向けサードパーティ製アプリケーションについて、脆弱性診断と更新管理を支援します。
Acronis RMM公式情報

Acronis公式ドキュメント「パッチ管理」

更新による不具合には「フェールセーフパッチ」
「パッチを適用して業務システムが止まったら困る」という不安が、更新を先送りする原因になることがあります。

Acronisのフェールセーフパッチでは、選択したパッチを適用する前にバックアップを取得し、更新によって問題が発生した場合の復旧に備えられます。

これにより、

1. 脆弱性を発見する
2. 対象端末を特定する
3. 更新前にバックアップする
4. パッチを適用する
5. 問題があれば元の状態へ戻す
という流れを一つの運用として管理できます。

Acronisですべてのソフトを更新できるわけではない
パッチ管理機能には、対応するOS、アプリケーション、バージョンなどの条件があります。

ネットワーク機器、独自開発した業務システム、Webアプリケーション、サポート終了製品などは、自動更新の対象にならない場合があります。

そのため、Acronisの診断結果だけで「社内のすべてが安全」と判断せず、次の対策と組み合わせる必要があります。

– Webアプリケーション脆弱性診断
– WAF・APIセキュリティ
– VPN・ルーター・ファイアウォールの更新
– クラウドサービスの設定確認
– 多要素認証
– サポート終了製品の移行
– 定期的な復元テスト

一般社員ができる3つの対策
パッチ管理は情報システム担当者だけの仕事ではありません。一般社員も次の点に注意してください。
– 業務に不要なソフトを勝手にインストールしない
– 更新や再起動の案内を繰り返し先送りしない
– 使っていないソフトや不明なリモート操作ツールを担当者へ報告する
「何に使っているか分からないから消せない」という状態を減らすことが、会社全体の安全につながります。

今週確認したい項目
社内のパソコンについて、次の項目を確認してください。
– インストールされているソフトを一覧にできますか
– サポートが終了した製品はありませんか
– 30日以上、更新が止まっているソフトはありませんか
– 不要なリモート操作ソフトが残っていませんか
– パッチ適用前にバックアップを取得できますか
– 更新失敗や再起動待ちを確認する担当者は決まっていますか
一つでも分からない項目があれば、端末の棚卸しから始める必要があります。

ウイルネットでは、Acronis Cyber Platformを活用した脆弱性評価、パッチ管理、端末管理、マルウェア・ランサムウェア対策、EDR、バックアップ、復旧についてご相談を承っています。

「社内にどのソフトが入っているか分からない」
「更新作業を自動化したい」
「更新によるトラブルにも備えたい」
「専任のIT担当者がいない」

このようなお悩みがございましたら、お気軽にお問い合わせください。

ウイルネットのAcronis Cyber Platform（旧Acronis Cyber Protect Cloud）

Acronisの導入・運用に関するお問い合わせはこちら

執筆・監修：株式会社ウイル 執行役員 岸本　静樹
編集協力：生成AI