今週は3本を取り上げます。まず、EC構築サービス「ショップサーブ」で最大885万件超の顧客情報が漏えいし、同サービスで店舗を運営する事業者にも顧客対応の負担が及んでいます。次に、社外向けのVPN・ゲートウェイに使われるCitrix NetScalerに、認証不要で乗っ取られる深刻な脆弱性（CVE-2026-8452）が確認され、実証コードも公開されています。最後に、Microsoftの8月定例パッチには実際に悪用が確認済みの脆弱性（CVE-2026-68820）が含まれます。いずれも「自社が使っているかどうか」の確認から始めてください。
NEWS 01
Eストアー（BASE子会社） ｜ 2026年8月1日発表
EC構築サービス「ショップサーブ」に不正アクセス、最大885万件超の購入者情報が漏えい
EC構築・運営支援サービス「ショップサーブ」を運営するEストアー（BASEの子会社）は、同社サーバーへの不正アクセスにより購入者情報が外部に漏えいしたと発表しました。第三者が2026年5月21日から8月1日にかけて同社サーバー上で不正なプログラムを実行し、情報を外部へ送信したとしています。対象件数は最大885万3,839件と公表されています。
漏えいの対象には、購入者の氏名・住所・電話番号・FAX番号・メールアドレス・勤務先、会員IDとパスワード（暗号化された状態）、クレジットカード情報の一部（カード名義・カード番号の先頭6桁と下4桁・有効期限）が含まれます。会社側はセキュリティコード（CVV/CVC）は保存しておらず漏えいしていないと説明しています。加えて、店舗側の管理画面ログインID・パスワード、店舗メールシステムやFTPのID・パスワード、振込先口座情報も対象に含まれると発表されました。
▌中小企業への影響
ショップサーブで店舗を運営している事業者は、自社が直接侵害されていなくても顧客情報が流出した当事者になります。顧客からの問い合わせ対応、カード再発行に伴う連絡、店舗管理画面やFTPの認証情報の再設定が必要です。プラットフォームに任せていても、顧客対応の責任は店舗側に残ります。
▌推奨対応
- ショップサーブを利用している場合、Eストアーからの通知内容を確認し、対象範囲と自店の顧客が含まれるかを把握する
- 店舗管理画面・メール・FTP・振込先などの認証情報を直ちに変更する（同じパスワードを他サービスで使い回している場合はそちらも変更）
- 顧客向けに「身に覚えのない請求やフィッシングメールに注意」する旨の告知を準備する
- カード情報が対象のため、顧客にはカード明細の確認と、不審があればカード会社への連絡を促す
NEWS 02
JPCERT/CC 注意喚起 at260024 ｜ 2026年8月14日
Citrix NetScaler ADC／Gatewayに認証不要のRCE脆弱性（CVE-2026-8452）、PoC公開済み
JPCERT/CCは、Citrix NetScaler ADCおよびNetScaler Gatewayにおけるリモートコード実行につながる脆弱性（CVE-2026-8452）について注意喚起を公表しました。これらの製品をSAMLのSP／IdPとして構成している場合、認証なしにリモートから任意のコードを実行される可能性があります。CVSS v4.0のスコアは8.8とされ、深刻度は高いレベルです。すでに実証コード（PoC）が公開されており、悪用のハードルが下がっています。
影響を受けるのは、ゲートウェイ（SSL VPN、ICAプロキシ、CVPN、RDPプロキシ）またはAAA仮想サーバーとして構成された機器です。対象バージョンは14.1系・13.1系などの一定バージョン以前で、Citrix（Cloud Software Group）は修正版を公開しています。NetScalerは社外との境界に置かれる機器のため、乗っ取られると社内ネットワークへの侵入口になります。
▌中小企業への影響
NetScalerはリモートアクセスやロードバランサーとして中堅・中小企業でも使われます。境界機器は「外から常に見えている」ため、パッチ未適用のまま放置すると認証を突破されずに侵入される恐れがあります。過去にもNetScalerの脆弱性はランサムウェアの侵入口として悪用された経緯があり、優先度の高い対応が必要です。
▌推奨対応
- 自社でNetScaler ADC／Gatewayを使用しているか、機器の型番とファームウェアバージョンを確認する
- Citrixが公開した修正版へ速やかにアップデートする
- SAML SP／IdP構成やゲートウェイ・AAA仮想サーバーの構成に該当するかを確認する
- 運用を外部ベンダーに委託している場合は、パッチ適用状況をベンダーに問い合わせる
NEWS 03
Microsoft／JPCERT/CC at260022 ｜ 2026年8月12日
Microsoft 8月定例パッチ公開、悪用が確認済みのゼロデイ1件を含む多数の脆弱性を修正
Microsoftは2026年8月の月例セキュリティ更新プログラムを公開し、JPCERT/CCとIPAも適用を呼びかけています。今回の更新では多数の脆弱性が修正され、そのうちCVE-2026-68820についてはMicrosoftが実際の攻撃での悪用を確認済みと公表しています。この脆弱性はWinSock用のWindows補助関数ドライバー（afd.sys）における解放済みメモリ使用（Use-After-Free）で、ローカルの認証済み攻撃者が悪用に成功するとSYSTEM権限を取得される可能性があります。
対象はWindowsのほか、Microsoft Office、Exchange、SQL Server、.NET、Visual Studio、Defenderなど広範囲にわたります。悪用が確認済みの脆弱性は権限昇格タイプで、単体で外部から侵入されるものではありませんが、他の侵入手段と組み合わせて被害を拡大させる踏み台になります。
▌中小企業への影響
Windows PCやサーバーを使う全企業が対象です。悪用済みの脆弱性は「侵入後に管理者権限を奪うための手段」として使われるため、フィッシングやマルウェア感染と組み合わさると被害が深刻化します。1台でも未適用のPCがあると、そこが弱点になります。
▌推奨対応（今週中に実施）
- Windows Updateを手動で実行し、8月分の更新プログラムが適用済みであることを全端末で確認する
- Exchange・SQL Serverなどを自社運用している場合は、管理者がサーバー側のパッチ適用を確認する
- 自動更新が有効か設定を確認し、無効になっている端末は有効化する
- 更新後に業務アプリの動作確認を行い、問題があれば速やかに切り分ける
編集部まとめ
今週の3本は「自社が使っているか」の確認から始まります。ショップサーブ利用店舗は認証情報の変更と顧客告知を最優先に、NetScaler利用企業は境界機器のバージョン確認とアップデートを、Windowsは全端末で8月パッチの適用確認を進めてください。
特にECプラットフォームやVPN・ゲートウェイのように「外部と常時つながる仕組み」は、被害が起きると顧客や取引先まで巻き込みます。委託先まかせにせず、自社の対応範囲を今週のうちに棚卸ししておくことをおすすめします。
参考情報
- Eストアー「不正アクセスによる個人情報漏えいに関するお詫びとお知らせについて」（2026年8月1日）／第2報（8月2日）
- JPCERT/CC 注意喚起 at260024「NetScaler ADCおよびNetScaler Gatewayにおけるリモートコード実行につながる脆弱性（CVE-2026-8452）に関する注意喚起」（2026年8月14日）
- JPCERT/CC 注意喚起 at260022「2026年8月マイクロソフトセキュリティ更新プログラムに関する注意喚起」／IPA「Microsoft製品の脆弱性対策について(2026年8月)」
secure