Microsoftの2026年8月のPatch Tuesdayでは、400件を超える脆弱性に対するセキュリティ修正が提供されました。この中にはゼロデイ攻撃で悪用が確認された脆弱性1件(CVE-2026-68820)と、パッチ公開前に一般に公開されていた脆弱性3件が含まれています。
注目すべき脆弱性
CVE-2026-68820は、Windows Ancillary Function Driver for WinSock(AFD.sys)に影響するuse-after-free(解放後使用)の欠陥で、低権限のローカル攻撃者がSYSTEM権限まで昇格できてしまいます。
「ローカルで認証を受けた攻撃者が、影響を受けるシステム上で特別に細工したアプリケーションを実行することで、レースコンディションを引き起こす可能性があります」とMicrosoftは説明しています。「ユーザー操作は必要ありません」
Check Pointの研究者は、北朝鮮の攻撃者がOperation Dream Jobキャンペーンの新たな攻撃波の中で、この脆弱性を悪用してカーネルモードのルートキットを展開していたと報告しています。
一般に公開されていた3件の脆弱性は以下のとおりです。
CVE-2026-62832は、Windows User Profile Serviceの脆弱性で、認証済みの攻撃者が特別に細工したアプリケーションを実行することで管理者権限を取得できる可能性があります。
「これは『LegacyHive』の背後にある欠陥です。研究者Nightmare-Eclipseが7月のPatch Tuesdayのわずか数時間後に、未修正のまま概念実証(PoC)を公開していました」と、Ivantiのセキュリティ製品担当プロダクトマネジメント担当バイスプレジデント、Chris Goettl氏はコメントしています。
「この脆弱性を悪用すると、標準ユーザーがUser Profile Serviceを騙し、管理者を含む別のユーザーのレジストリハイブを読み込ませることができ、そのユーザーのClassesレジストリデータへ不正にアクセスできてしまいます」
CVE-2026-72971は、Windows Container Isolation FS Filter Driver(unionfs.sys)に影響する脆弱性で、認証済みの攻撃者が脆弱なシステムを改ざんできる可能性があります(この脆弱性はARM64ベースのWindows 11のみに影響します)。
Crowdstrikeは、パッチが提供される前に一般に公開されていた3件目の脆弱性として、Windowsカーネルに影響する権限昇格の脆弱性CVE-2026-62737を挙げています。
「Microsoftが公式に一般公開済みと認めているわけではありませんが、2026年8月9日に中国語のブログが公開され、システムクラッシュを引き起こす概念実証エクスプロイトについて解説していました」と同社は指摘しています。
今月修正されたその他の注目すべき脆弱性には、以下のものがあります。
CVE-2026-62815は、Microsoft QUICの深刻な脆弱性で、未認証の攻撃者が特別に細工したパケットをネットワーク経由で影響を受けるサービスへ送信することで悪用できます。「悪用に成功すると、攻撃者は標的システム上でコードを実行できる可能性があります。認証もユーザー操作も必要ありません」とMicrosoftは述べています。
CVE-2026-62878は、Windows DNSのスタックベースのバッファオーバーフロー脆弱性で、リモートコード実行につながる可能性があります。この脆弱性も、未認証の攻撃者によって容易かつ確実にリモートから悪用され得るものです。
Microsoft SharepointのCVE-2026-63520は、Rapid7の研究者によって発見されました。この脆弱性は、以前修正されたSharepointの脆弱性CVE-2026-55040と組み合わせて使うことで、脆弱なサーバーに対して未認証のリモートコード実行を達成できてしまいます。
Microsoft Defenderのパッチ回避
関連するニュースとして、「Nightmare Eclipse」を名乗るセキュリティ研究者が、Microsoftが2026年7月に公開したMicrosoft Defenderの脆弱性「RoguePlanet」(CVE-2026-50656)向けパッチを表向き回避する概念実証(PoC)エクスプロイトを公開しました。
この研究者が「ShieldBreak」と名付けた脆弱性は、Windows 11、Windows 10、Windows Server 2025に影響すると主張されています。脆弱性アナリストのWill Dormann氏は、Defenderが有効になっている場合にこのPoCエクスプロイトが機能することを確認しています。
パッチは急がずテストを
「この更新量は、少なくとも当面は新たな標準になりつつあるようです。興味深いのは、報告(および修正)されるバグが爆発的に増加している一方で、実際に悪用されるバグ、少なくともゼロデイとして悪用されるバグの数は、それに比例して増えていない点です」と、TrendAIのZero Day Initiativeで脅威認識部門を率いるDustin Childs氏は述べています。
同氏はまた、Microsoftが実際に悪用されているバグを「未実証(Unproven)」と分類したり、動作するPwn2Ownのエクスプロイトを過小評価したりすることで、セキュリティチームが独自にリスクの評価を行わざるを得なくなる可能性があると指摘しています。
Ivanti社のGoettl氏は、パッチは優先順位付けを行い、即座の対応が必要なCVEを特定する必要があると述べています。また、CVSSスコアが高くても悪用されていない、あるいはインターネットに露出していないシステム上のCVEについては、2回目のパッチ適用ラウンドで対応してもよいことを組織は念頭に置くべきだとしています。
Fortraのセキュリティ研究開発担当アソシエイトディレクター、Tyler Reguly氏は、今回のような大規模なメガアップデートがあったとしても、IT管理者やセキュリティチームは冷静さを保ち、更新を急ぐべきではないと述べています。「システムに悪影響を及ぼさない、安全な更新を確実に展開する必要があります」
同氏がCISOに向けて助言するのは、こうしたパッチ適用の変化により良く対応するためにチームがワークフローをどのように調整・変更しているかについて話し合い、チームが望む変更を実現できるよう支援することです。
翻訳元: https://www.helpnetsecurity.com/2026/08/12/august-2026-patch-tuesday-cve-2026-68820/
