約15子会社のクラウドファイルストレージが不正アクセスを受け、約3,300ユーザーアカウント分のデータが窃取された。ランサムウェアの実行自体はセキュリティ制御でブロックしたが、攻撃者は窃取データの公開を材料に恐喝要求を送付。操業への重大な影響はないとし、コロンビア検察へ刑事告訴済み。7/19にはリークサイトでの被害者掲載も観測された。
7/19（日）に複数の被害者掲載が観測された。いずれも攻撃者側の主張ベースで、被害者側の確認は未了。救急搬送・エネルギーといった重要サービス事業者が引き続き標的になっている。
CISA公式のKEV JSONは今回も空応答のため、cvefeed.ioミラーで確認（障害記録参照）。7/16以降の新規追加はなし。
悪用確認済み（7月パッチチューズデーで修正）。CVSS 7.8。ローカル起点の権限昇格だが、ID基盤であるAD FSは横展開の要衝。期限まで残り8日。
CVSS 7.5。ビルオートメーション系のKNXプロトコルのロックアウト機構の問題。組込み・OT系でKEV入りした点でCRA Art.14の観点でも要注目。
3件ともCVSS 9.8・未認証RCE級。連邦機関の対応期限が7/19に到来した。未適用の環境はパッチ適用に加え、悪用済みを前提としたフォレンジック調査（CISA Forensics Triage Requirements 参照）が推奨される。
CVE-2026-63030＋CVE-2026-60137のチェーン。6.9.5／7.0.2への強制自動更新は展開済みだが、自動更新を無効化しているサイトは依然射程内。PoCは公開済みのため、悪用開始は時間の問題として監視を継続する。
NadMeshボットネット、ACR Stealer（ClickFix）、Contagious Interview（SVGステガノ）等は前回までに記録済み。新規の大型報道は確認されなかった。
週末の新規セキュリティアップデートは確認されなかった。7/14の Microsoft 570件（ゼロデイ3件）、SonicWall SMA1000、Progress ShareFile、Zoom等は前回までに記録済み。未適用の場合はKEV期限（上記）を優先指標に。
KEV期限対応：AD FS CVE-2026-56155（7/28）とKNX CVE-2023-4346（7/29）の対応期限が今週到来。FortiSandbox・SharePoint（期限7/19到来済み）が未適用の環境は、適用と同時に侵害前提の調査（Webシェル・不審アカウント・持ち出し痕跡）を行う。
クラウド共有ストレージの点検（Ecopetrol事案の教訓）：グループ共通のクラウドストレージについて、大量ダウンロードの検知・アラート、共有リンクと外部共有の棚卸し、子会社間のアクセス分離を確認する。「暗号化をブロックできても窃取・恐喝は成立する」前提で、データ持ち出し検知を対策の中心に置く。
WordPress運用サイト：自動更新を無効化している場合は 6.9.5／7.0.2／6.8.6 への手動更新を完了させる。更新できない事情がある場合は WAF で /wp-json/batch/v1 への未認証リクエストを遮断する。
全ソース新着なし。NCO（Chrome取得成功・最新7/17）、IPA（7/16）、経産省サイバーセキュリティ政策（5/20）、警察庁サイバー局（6/19）、JPCERT/CC・JVN（7/16）、デジタル庁（セキュリティ関連なし）——いずれも前回記録分から差分なし。週次ソース（内閣府・総務省・金融庁）も新着なし（それぞれ変更なし・5/14・5/22が最新のまま）。
障害記録：(1) CISA公式KEV JSONが空応答（継続）→cvefeed.ioで代替。(2) cybersecuritynews.com RSSバイナリ応答（継続）。(3) 【訂正】BleepingComputer RSSが7/15分で固定される現象は、同サイトの障害ではなく本タスクのWebFetchツール側のキャッシュが原因と判明（ユーザーがブラウザで同URLを直接取得し7/20最新分まで確認、本ツールは同時刻でも7/15止まりで内容が一致・変化なし）。フィード自体は正常。取得できなかった7/16〜7/20分はTHN・検索で補完済み。(4) 経産省プレスリリース一覧がJS制限で4/24以降表示不可（継続）。(5) MSセキュリティブログ一覧が5/28以前のみ（継続）。
新着なし。産業サイバーセキュリティ研究会・AI事業者ガイドライン検討会・NCO人材フレームワーク検討会・デジタル庁系WG・サイバーセキュリティ戦略本部のいずれも新規開催情報を確認できず。
暗号化はブロックしたが、約15子会社のクラウドストレージから約3,300アカウント分が窃取され恐喝が成立。「ランサムウェア対策＝暗号化対策」の限界と、グループ共通クラウドが子会社横断の単一障害点になる構図は国内企業グループにも直結する。
SonicWall SMA1000・FortiSandbox・SharePoint・AD FSと、7月のKEV追加は境界機器・ID基盤・コラボ基盤に集中し、多くが3〜5日の短期限。KEVを自社パッチSLAに翻訳する考え方（露出×悪用観測×期限）を整理する。
7/19だけで複数の被害者掲載が観測された。自主開示が先行するケースとリークサイトで発覚するケースのタイムラグは、インシデント広報と取引先リスク監視の両面の論点。掲載情報が「攻撃者の主張」にすぎない点の扱いも含めて解説する。
週次チェック実施（月曜）。NVD（nvd.nist.gov）：確認済み・新着なし。CVSS運用・採番状況に関する新規アナウンスなし。FIRST（first.org）：確認済み・新着なし。CVSS/EPSS仕様・PSIRTフレームワークの改訂告知なし。月次ソース（欧州委CRA・EUR-Lex・ENISA・CEN-CENELEC・SCS/SBOM文書）は第1月曜ではないため本日は対象外。
継続観測：7月のKEVエントリはAction欄がBOD 26-04（リスクベースのパッチ優先順位付け）準拠の記載に統一されており、CRA Art.14「積極的に悪用されている脆弱性」判定の実務参照先として有用。今週はKNX（ビル制御プロトコル）のKEV入りが組込み・OT系の該当例。