WinSockの修正パッチは、Microsoftが本日リリースした398件の修正パッチの一つであり、SAPのCommerce Cloudの脆弱性修正は今月の29件のパッチの一つです。
Microsoftが本日リリースした8月のPatch Tuesdayでは398件の修正パッチが公開されましたが、中でも注目されるのが、Windowsのドライバに存在するWinSock関連の現在悪用中のゼロデイ権限昇格脆弱性です。
この脆弱性はWindowsのAncillary Function Driver for WinSock（CVE-2026-68820）に存在します。IvantiのプリンシパルプロダクトマネージャーであるTodd Schell氏によると、このコンポーネントは2026年を通じてローカル権限昇格バグの標的として繰り返し狙われてきたといいます。過去にこのコンポーネントで見つかった脆弱性では、権限を持つ攻撃者が競合状態（レースコンディション）を突いてSYSTEM権限を取得できる状態になっていました。
Action1の脆弱性研究ディレクターであるJack Bicer氏は、「悪用はすでに検知されており」、これが「今月のリリースの中で最優先の脆弱性となっています」と指摘しています。
これとは別に、SAPも29件の新規・更新セキュリティパッチを公開しました。中で最も深刻なのはCVE-2026-58231で、CVSSスコアは10です。これはSAP Commerce CloudのData Hub Adapterにおける不適切な認可の問題です。
緊急（Critical）評価のMicrosoft脆弱性42件
Microsoftは合計398件のCVEに対応しました。このうち42件が緊急（Critical）評価、355件が重要（Important）評価となっています。ただし、Fortraのセキュリティ研究開発担当associate directorであるTyler Reguly氏は、このうち236件のCVEがWindowsに影響するもので、累積更新プログラムでまとめてカバーされると指摘しています。また、別途98件がOffice関連のCVEで、Office 2016をいまだに使用している場合を除けば、こちらもOfficeの累積更新プログラムでカバーされます。
現在悪用中のゼロデイに加えて、Microsoftはさらに2件のゼロデイについても警告しています。CVE-2026-62832はWindows User Profile Serviceにおける権限昇格の脆弱性で、重要（Important）評価となっています。Action1は、この脆弱性はすでに公開情報として広く知られているため悪用の可能性が高いと指摘しており、Ivantiは、これが研究者Nightmare-Eclipse氏によって7月のPatch Tuesdayのわずか数時間後に公開された未パッチの概念実証(PoC)「LegacyHive」の元となった欠陥であると述べています。この脆弱性により、標準ユーザーがUser Profile Serviceをだまして別のユーザー(管理者を含む)のレジストリハイブを読み込ませることが可能になり、そのユーザーのClassesレジストリデータへの不正アクセスにつながります。
CVE-2026-72971は、Windows Container Isolation FS Filter Driver（unionfs.sys）における改ざん(tampering)の脆弱性で、重要（Important）評価です。Ivantiによると、パッチ公開に先立って情報が公開されているため、エクスプロイトコードが速やかに登場する可能性があるといいます。同社はさらに、影響を受けるホスト上でWindowsコンテナ、ビルドエージェント、CI基盤を運用しているIT部門は、このアップデートを優先すべきだと付け加えています。
TenableのシニアスタッフリサーチエンジニアであるSatnam Narang氏は、CISOが特に注意を払うべきなのは、ソケットコマンドを処理するWindows Ancillary Function Driver（afd.sys）のWinSock関連の権限昇格の欠陥だと述べています。同氏によれば、この脆弱性は実際に悪用が確認されているだけでなく、国家的な攻撃者に利用される可能性もあるとのことです。実際、2024年のCVE-2024-38193は、Lazarusグループと関連のある北朝鮮のハッカーによって悪用されたと報告されています。Tenableは、この種の過去の手口は通常、APTグループが限定的かつ標的を絞った攻撃で利用するものだとしています。
今月は認証不要のリモート脆弱性が多数
Action1のBicer氏は、今月のリスクのかなりの部分は、認証やユーザー操作を必要とせずリモートから悪用できる可能性のある緊急（Critical）評価の脆弱性に起因していると指摘しています。例えば、Windows DNS Serverのリモートコード実行脆弱性（CVE-2026-62878）、Microsoft QUICのリモートコード実行脆弱性、Windows iSCSI Target Serviceのリモートコード実行脆弱性（CVE-2026-65791）、Windows Deployment Services TFTP Serverのリモートコード実行脆弱性は、いずれもCVSSスコアが9.8であると同氏は指摘しています。
Bicer氏は、「これらの脆弱性は特に深刻な攻撃経路となります。悪意あるネットワークリクエストやパケットが直接コード実行につながる可能性があるためです」と述べています。「TFTP Serverのリモートコード実行脆弱性（CVE-2026-62893）は、公開時点で悪用は確認されていないものの、悪用される可能性が高いと評価されているため、特に注意が必要です」
Bicer氏によると、SharePointもリスクが集中しているもう一つの重要な領域です。Microsoft SharePoint Serverのリモートコード実行脆弱性（CVE-2026-65665）は、少なくともSite Owner権限を持つ認証済み攻撃者が任意のコードをリモートで実行できるものであり、悪用される可能性が高いと評価されています。また、Microsoft SharePoint Serverの権限昇格脆弱性（CVE-2026-62827）と、もう一つのMicrosoft SharePoint Serverの権限昇格脆弱性（CVE-2026-64921）は、ドメインへのアクセス権を持つ認証済み攻撃者がSharePoint管理者へと権限を昇格させることを可能にします。
Bicer氏は、「これらの脆弱性は、SharePointが機密性の高い企業情報を保持していたり、重要な業務プロセスを支えていたりする場合に特に関係してきます」と述べています。「侵害されたIDが、管理権限の奪取、任意のコード実行、情報窃取、あるいはコラボレーションサービスの妨害への経路となる可能性があります」
CSOへのアドバイス
Bicer氏によれば、CSOにとっての最優先の戦略課題は、すでに悪用が発生しているCVE-2026-68820をめぐる露出期間を短縮することだといいます。次いで優先すべきはCVE-2026-62832で、こちらは情報が公開済みであり、悪用の可能性が高いと評価されているためです。その次に優先すべきは、攻撃の複雑さが低い未認証のリモートコード実行脆弱性で、特にWindows DNS Serverのリモートコード実行脆弱性、Microsoft QUICのリモートコード実行脆弱性、Windows iSCSI Target Serviceのリモートコード実行脆弱性、Windows Deployment Services TFTP Serverのリモートコード実行脆弱性が該当します。
同氏はさらに、IT部門のリーダー層は、DNS、DHCP、SharePoint、Exchange、Active Directory Certificate Services（AD CS）、Routing and Remote Access Services（RRAS）、Secure Socket Tunneling Protocol（SSTP）などの重要サービスについて、修正の迅速な実施と明確な検証を求めるべきだと述べています。今回取り上げた脆弱性については、文書化された回避策が確認されていないため、Bicer氏はパッチ適用が引き続きリスク低減の主要な手段になるとしています。同氏は、既定の期限内にパッチを適用できないシステムについては、リスク受容の文書化、露出範囲の縮小、セグメンテーション、監視の強化、代替的な統制措置を、修正完了までの間講じるべきだと付け加えています。
「新たな常態」
TrendAIのZero Day Initiativeで脅威認識の責任者を務めるDustin Childs氏は、次のようにコメントしています。「今月のリリースは先月より小規模ですが、398件もの新規CVEが示しているのは、大量のパッチ適用がもはや『新たな常態』となっているという事実です。救いは、現時点で実際に悪用されているバグが1件のみだという点です。セキュリティチームは今日中にこのゼロデイを修正する必要がありますが、これだけ大量のパッチを管理すること自体が、もはや標準的な業務になっていることも理解しておく必要があります」
しかし、Logicallyのサイバーセキュリティ担当VPであるZack Finstad氏は、セキュリティチームが今月の数百件にのぼる新規CVEに圧倒される必要はないと強調しています。 「件数の多さは、それ自体がリスクの大きさを意味するわけではありません」と同氏は述べています。「現実的なアプローチは、まず悪用状況とインターネットへの露出度で優先順位付けを行い、そこから範囲を広げていくことです。インターネットに公開されたシステムに対してすでに実際に悪用されているCVEと、隔離されたワークステーション上の理論上のローカル権限昇格とでは、求められる対応がまったく異なります」
SAPの緊急パッチ
Pathlockでサイバーセキュリティ研究・イノベーションを担当するシニアマネージャーのJonathan Stross氏によると、SAP Commerce CloudのData Hub Adapterにおける不適切な認可の脆弱性（CVE-2026-58231）が、本日公開されたパッチの中で最も深刻だといいます。影響を受けるインスタンスにネットワーク経由でアクセスできる未認証のリモート攻撃者が、Data Hubのインポートエンドポイントに細工したデータを送信することで、任意のコード実行につながる可能性があります。Stross氏は、この脆弱性が悪用に成功した場合、顧客データや注文データの露出、アプリケーション挙動の改ざん、店舗サイトや連携フローの中断、さらにはCommerce環境が信頼している認証情報やサービスの侵害につながる可能性があると述べています。
SAPはまた、Manufacturing Integration and Intelligence（MII）における2件の緊急（Critical）評価のコードインジェクションの欠陥にも対応しています。それぞれCVE-2026-44772（CVSSスコア9.9）、CVE-2026-44758（CVSSスコア9.1）として追跡されています。
Onapsisはリサーチノートの中で、MIIの問題は脆弱なサーブレットコンポーネントに起因するもので、サーバーサイドテンプレートインジェクションおよびサーバーサイドリクエストフォージェリの標的になり得ると述べています。今回のパッチは、この脆弱なコンポーネントを取り除くものです。
もう一つの緊急(Critical)評価の欠陥はCVE-2026-34265（CVSSスコア9.8）で、NetWeaverおよびABAP Platform向けのApplication Server ABAPにおけるメモリ破損の問題とされています。
Onapsisによると、このメモリ破損はDIAGプロトコルの解析処理におけるロジック上の誤りに起因しており、未認証の攻撃者がメモリ破損を発生させることを可能にします。この脆弱性は、機密性の高いシステム情報の漏えいやシステムクラッシュを引き起こす可能性があり、アプリケーションの機密性・完全性・可用性に大きな影響を及ぼしかねません。Stross氏は、この脆弱性の悪用に攻撃者側の認証は不要であると指摘しています。
