更新のお知らせとサイバー攻撃。後回しにしてよいもの・すぐ入れるもの

結論

OSやアプリの更新のお知らせには、新しい機能だけでなく、攻撃に使われる弱点（脆弱性）の修正が含まれることがあります。修正が公開されると、どこに弱点があったかが知られるので、更新していない端末は狙われやすくなります。お知らせに「セキュリティ」「脆弱性」「悪用が確認されている」とあれば、後回しにせず入れます。IPAも、パソコンやスマートフォンのOSやソフトに修正プログラムを適用し、無線LANルータなどのファームウェアも最新にするよう呼びかけています。

更新と攻撃はどうつながるのか

脆弱性は、ソフトの作りの中にある、本来できないはずの操作を許してしまう欠陥です。攻撃する側は、この欠陥を使って、端末を勝手に操作したり、情報を盗んだりします。IPAの「情報セキュリティ10大脅威 2026」の組織編でも、「システムの脆弱性を悪用した攻撃」が4位に入っています。

更新プログラムは、この欠陥をふさぐためのものです。ただし、入れなければ効果はありません。「再起動が面倒」「今は忙しい」と何週間も後回しにすると、その間は、知られた弱点を持ったまま使い続けることになります。

更新情報で先に見る3つの言葉

更新のお知らせや注意喚起は、全部を読まなくても、次の3つを見れば急ぐかどうかの見当がつきます。

例えば2026年10月、IPAはMicrosoft製品の更新について、悪用の事実が確認された脆弱性があるとして、「至急」の適用を呼びかけました。日本ではJPCERT/CCとIPAが運営するJVNが、脆弱性ごとに番号を付け、対象の製品や対策を公開しています。アメリカのCISAも、実際に悪用された脆弱性の一覧を公開し、直す順番を決める材料にするよう勧めています。

会社で更新を後回しにしないために

個人の端末は、自動更新を有効にしておくのがいちばん手堅い方法です。会社では、更新で業務のソフトが動かなくなる心配から、更新を止めていることがあります。その場合でも、止めっぱなしにしないための決まりを作っておきます。

例えば、「悪用が確認されたものは、その週のうちに入れる」「それ以外は、試しの1台で確かめてから月内に全台へ」と決めておくと、判断に迷う時間を減らせます。パソコンだけでなく、ルータやネットワーク機器、サイトに使っている仕組みも、誰が更新を見るかを決めます。サポートが終わって更新が出なくなった製品は、ふさがれない弱点が残り続けるので、買い替えや移行の計画を立てます。

解決しない場合の確認先

自分の端末で更新が入らないときは、OSやアプリの提供元の公式ヘルプを確かめます。会社の機器は、情報システムの担当者や保守の契約先に、どの更新がいつ入る予定かを聞きます。注意喚起は、IPAの「重要なセキュリティ情報」やJVNで確かめられます。