【セキュリティニュース】2026年8月14日号｜Microsoft8月パッチで悪用中ゼロデイ修正・中部電力7万人漏えい・ECサイトからカード情報流出

Microsoft8月定例パッチ公開、悪用確認済みのゼロデイCVE-2026-68820を含む多数の脆弱性を修正

Microsoftは2026年8月の月例セキュリティ更新プログラムを公開し、多数の脆弱性を修正しました。このうちCVE-2026-68820は、実際の攻撃で悪用されていることが確認されているゼロデイ脆弱性です。JPCERT/CCとIPAも同日付で注意喚起を出し、早急な更新適用を求めています。

CVE-2026-68820はWinSock用のWindows補助関数ドライバー（afd.sys）における解放済みメモリ使用（Use-After-Free）で、CVSS基本値は7.0です。ローカルで認証済みの攻撃者が細工したアプリケーションを実行して競合状態を発生させると、SYSTEM権限を取得できるとされています。単体では権限昇格の脆弱性ですが、フィッシングなどで最初の侵入を許した後に攻撃者が管理者権限を奪う「次の一手」として悪用される類型で、被害拡大の起点になりやすい点に注意が必要です。

中部電力に不正アクセス、資格情報の不正利用で約7万4千人分の情報が漏えいの可能性

中部電力は2026年8月4日、社内システムの一部が不正アクセスを受け、取引先やグループ役職員ら最大約7万4千人分の個人情報が外部に流出した可能性があると発表しました。2026年7月29日に外部からの情報提供を受けて調査したところ、一部システムの資格情報（認証情報）が不正に利用されていたことが判明したものです。

報道によると、自治体や取引先関係者ら約2,400人分については氏名・メールアドレス・メール本文などが不正に閲覧された可能性があり、グループ役職員や委託先社員ら約7万1,700人分については組織名・役職・氏名・メールアドレス・電話番号などの連絡先情報が対象に含まれます。電気・ガスの契約者情報や電力供給システムへの影響は、発表時点で確認されていないとしています。

「ファインオンラインショップ」に不正アクセス、クレジットカード情報912件が流出の可能性

ECサイト「ファインオンラインショップ」が不正アクセスを受け、利用者のクレジットカード情報最大912件が流出した可能性があると2026年8月13日に報じられました。流出したおそれがあるのはカード名義人名・カード番号・有効期限・セキュリティコードで、対象は2017年11月9日から2026年6月30日までの期間に購入した利用者とされています。

セキュリティコードまで含めて漏えいした可能性がある点から、ECサイトの決済ページに不正なスクリプトを埋め込んでカード入力情報を直接盗み取る「Webスキミング」型の手口とみられます。決済代行を使わず自社サイトでカード情報を入力させる構成のサイトで被害が続いている類型です。

IPA、夏休み・お盆の長期休暇に向けた情報セキュリティ注意喚起を公表

IPAは2026年度の夏休み・長期休暇に向けた情報セキュリティの注意喚起を公表しました。長期休暇はシステム管理者が手薄になり、攻撃に気づくのが遅れやすい期間です。休暇明けに大量のセキュリティ更新やメールを一度に処理する際の判断ミスも狙われます。お盆休みに入る組織は、休みに入る前・休暇中・明けの各タイミングで基本の対策を確認しておくべきです。