Microsoftは火曜日、421件のCVEに対するパッチを発表しました。その中には、ゼロデイとして実際に悪用されていた重要度「高」の脆弱性も含まれています。
悪用が確認された脆弱性はCVE-2026-68820として追跡されており、Windows Sockets APIの基盤として機能するカーネルモードドライバー、Ancillary Function Driver for WinSock(afd.sys)におけるuse-after-free(解放済みメモリ使用)の問題とされています。
Microsoftによれば、脅威アクターはこの脆弱性を悪用してシステム権限への昇格を行っているとのことですが、観測された攻撃の詳細については明らかにしていません。
「ローカルで認証された攻撃者が、影響を受けるシステム上で特別に細工したアプリケーションを実行することで、レースコンディションを引き起こす可能性があります。悪用に成功した場合、攻撃者はSYSTEM権限を取得できます。ユーザーの操作は必要ありません」と同社は説明しています。
Tenableのシニアスタッフリサーチエンジニアであるサットナム・ナラン氏によると、afd.sysの脆弱性を狙う過去の攻撃手法を踏まえると、今回のCVEは国家的な脅威アクターによって悪用された可能性があるとのことです。
「2022年以降、afd.sysに関しては実際に悪用されたゼロデイが他に3件確認されています。CVE-2025-32709、CVE-2025-21418、そしてCVE-2024-38193です。CVE-2024-38193については、Lazarusグループに関連する北朝鮮のハッカーによって悪用されたと報告されています」とナラン氏は述べています。
2026年8月のパッチチューズデーリリースの一環として、Microsoftは、WindowsのUser Profile Serviceにおけるファイルアクセス前のリンク解決不備(リンクフォロー)の脆弱性であるCVE-2026-62832にも注意を呼びかけています。この脆弱性は攻撃者によるローカルでの権限昇格につながる可能性があります。
「別のローカルアカウントの認証情報を持つ認証済み攻撃者が、特別に細工したアプリケーションを実行することで、別のユーザーのレジストリハイブを読み込ませることができます。悪用に成功した場合、攻撃者は他のユーザーのデータへのアクセスや改ざん、さらには管理者権限の取得が可能になります。ユーザーの操作は必要ありません」とMicrosoftは述べています。
同社はこの脆弱性を「一般に公開済み」としてフラグを立てており、脅威アクターが今後攻撃で悪用を開始する可能性が高いとみています。
Windows Container Isolation FS Filter Driver(unionfs.sys)におけるリンクフォローの脆弱性で、ローカルでの改ざんにつながる可能性があるCVE-2026-72971についても「一般に公開済み」のフラグが立てられていますが、Microsoftは実際に悪用される可能性は低いとみています。
その他、防御側が注意すべき脆弱性としては、Windows DNSサーバー、Windows Deployment ServicesのTFTPサーバー、Microsoft QUIC、Microsoft HPC Packにおけるリモートコード実行(RCE)の脆弱性であるCVE-2026-62878、CVE-2026-62893、CVE-2026-62815、CVE-2026-59124、そしてExchange Serverにおける権限昇格(EoP)の脆弱性であるCVE-2026-62911が挙げられます。これはZDIのダスティン・チャイルズ氏が指摘しているものです。
2026年8月にMicrosoftが公開したセキュリティ更新プログラムでは、合計でWindowsの236件、Officeの98件、Office 2016の98件、SharePoint Serverの30件、Developer Toolsの26件、Azureの17件、Exchange Serverの7件、Defenderの1件、その他製品の6件の脆弱性が解決されています。
今回の更新プログラムには、Microsoft以外のCVE2件に対する修正も含まれています。具体的には、TPM 2.0リファレンス実装におけるなりすましの脆弱性(CVE-2026-6726)と、情報漏えいの問題(CVE-2026-6727)です。
