Microsoftは 2026年6月9日、CVE-2026-50507として追跡されるWindows BitLockerのセキュリティ機能バイパス脆弱性を公開しました。本脆弱性は、Windows 10、Windows 11、およびWindows Serverの幅広いエディションに影響します。
この欠陥を悪用すると、物理的なアクセス手段を持つ未認証の攻撃者がBitLockerデバイス暗号化を回避し、特権やユーザー操作を一切必要とせず、保護されたストレージデバイス上のデータにアクセスできてしまいます。
CVE-2026-50507の根本原因は、Windows BitLocker内の保護メカニズムの欠陥にあり、CWE-306「重要な機能に対する認証の欠如」に分類されます。
この脆弱性は、保護されたストレージボリュームの復号という機密性の高い操作を実行するシステム機能が、処理を進める前にリクエスト元の身元確認を行わないことで発生します。
MicrosoftはCVSS 3.1ベーススコアを6.8（テンポラルスコア：6.1）と評価しており、物理的な攻撃ベクター、低い攻撃複雑性、そして機密性・完全性・可用性への高い影響が反映されています。
本脆弱性はパッチ公開前にすでに開示されており、概念実証（PoC）エクスプロイトの成熟度評価を受けています。つまり、機能するエクスプロイトコードがすでに公開されている状態です。
Microsoftの悪用可能性評価では「悪用される可能性が高い」と分類されており、公開時点では実際の悪用は確認されていません。
攻撃ベクターは物理（AV:P）に分類され、必要な権限なし（PR:N）、ユーザー操作不要（UI:N）とされています。これは、放置されたノートパソコンのようなシナリオで、対象マシンへの短時間の物理的アクセスさえあれば、攻撃者が認証情報を一切知ることなく暗号化ドライブからデータを抽出できる可能性があることを意味します。
問題の本質は、暗号化アルゴリズム自体の欠陥ではなく、BitLockerを取り巻く保護メカニズムの失敗にあります。
TPMのみのBitLocker構成に依存しているシステムは特に危険にさらされています。TPMが起動時に追加の認証要素を必要とせず、自動的にボリュームマスターキー（VMK）を解放するためです。
本脆弱性は、以下を含む広範なWindowsプラットフォームに影響します。
セキュリティアップデートは2026年6月9日、MicrosoftのPatch Tuesdayサイクルの一環として公開されました。KBナンバーはKB5094041、KB5094122、KB5094123、KB5094127、KB5094128、KB5094126、KB5095051で、それぞれ対応するプラットフォームをカバーしています。
Microsoftは公式修正プログラムを提供しており、管理者に対して2026年6月のセキュリティアップデートを直ちに適用するよう強く呼びかけています。
追加の強化策として、組織はTPMのみのBitLocker構成から「TPM＋PIN認証」への移行を検討すべきです。この構成では、起動時にTPMが暗号化キーを解放する前に、ユーザーが設定したPINの入力が必要となります。
即時パッチ適用が困難な環境では、Windowsリカバリ環境（WinRE）イメージを手動で変更する方法も有効です。具体的には、Session Manager配下のBootExecuteレジストリ値からautofstx.exeエントリを削除します。
また、管理者はグループポリシーまたはMicrosoft Intuneを通じて、管理対象エンドポイント全体に起動時PINポリシーを適用することも推奨されます。
翻訳元: https://cyberpress.org/windows-bitlocker-0-day-vulnerability/
