Microsoftの2026年8月Patch Tuesday:400件以上の脆弱性を修正、うち1件は悪用中のゼロデイ

Microsoftは今回のPatch Tuesdayで400件を超えるCVEに対する修正パッチを公開しました。この中には現在実際に悪用されているゼロデイ脆弱性1件と、ユーザーの操作を一切必要としない深刻なリモートコード実行の欠陥が複数含まれています。 

セキュリティチームにとっては、この膨大な量を仕分けしつつ、パッチ適用そのものに伴うリスクも管理しなければならないという課題があります。

最も重要なゼロデイ脆弱性

CVE-2026-68820は、早急な対応が求められている脆弱性です。Windows Ancillary Function Driver for WinSock(afd.sys)に存在するこの解放後使用(use-after-free)の欠陥により、ローカルで低権限の認証済みアカウントを持つ攻撃者がSYSTEMレベルのアクセス権を取得できてしまいます。

「主な脅威はローカル権限昇格です」と、Action1の社長兼共同創業者であるMike Walters氏はTechRepublicに語っています。「すでに低権限のアクセス権を持つ攻撃者がこの脆弱性を悪用すれば、SYSTEM権限を取得し、対象のWindowsシステムを広範囲にわたって掌握できる可能性があります」

Check Point Researchの報告によると、北朝鮮の攻撃者集団がOperation Dream Jobキャンペーンの新たな波の中でこの脆弱性を利用し、カーネルモードのルートキットを展開しているとのことです。

これは2022年以降、実際の攻撃で悪用されたafd.sysのゼロデイ脆弱性としては4件目にあたり、これまでの事例はLazarus Groupの活動と関連づけられています。

もう一つの脆弱性CVE-2026-62832は、パッチが提供される前に一般に公開されていました。 

このWindows User Profile Serviceの権限昇格の欠陥は、認証済みの攻撃者が別のユーザーのレジストリハイブを読み込み、管理者権限を取得できてしまうというものです。現時点では実際の悪用は確認されていないものの、Microsoftは悪用の可能性を「より高い(More Likely)」と評価しており、優先的な適用が求められます。

CVSSスコア9.8の4件:クリック不要、認証情報も不要

深刻度の高い脆弱性のうち4件はCVSSスコア9.8を記録しており、認証もユーザー操作も一切必要としません。

• CVE-2026-62878(Windows DNS Server):スタックベースのバッファオーバーフローで、Zero Day Initiativeは技術的にワーム化可能と説明
• CVE-2026-62893(Windows Deployment Services TFTPサーバー)
• CVE-2026-62815(Microsoft QUIC)
• CVE-2026-59124(Microsoft HPC Pack)— HPC Packは標準ではインストールされないため、深刻度は「緊急」ではなく「重要」に分類

「未認証の攻撃者が特別に細工したパケットをネットワーク経由で対象のサービスに送信し、標的システム上でコードを実行できる可能性があります」と、Action1のCEO兼共同創業者であるAlex Vovk氏はDNS Serverの脆弱性についてこう説明しています。

今回の8月分のパッチは、7月に始まった2部構成のSharePoint向け修正の後半にあたるものです。Rapid7 Labsの報告によれば、認証バイパスの脆弱性(CVE-2026-55040、7月に修正済み)とコード実行の脆弱性(CVE-2026-63520、今月修正)を組み合わせた攻撃チェーンが存在し、オンプレミス版SharePointサーバーに対して未認証のままリモートコード実行を達成できるとされています。

すでに7月分のアップデートを適用済みであれば、この攻撃経路はすでに遮断されています。8月分の修正では、これに加えてリモートコード実行(RCE)の要素も塞がれることになります。

「ShieldBreak」エクスプロイトの公開

Microsoftが修正パッチを公開してからわずか数時間後、セキュリティ研究者「Nightmare Eclipse」氏が「ShieldBreak」と名付けられた、まったく新しいWindowsゼロデイ脆弱性の詳細とその概念実証(PoC)コードを公開しました。

この脆弱性は、CVE-2026-50656(RoguePlanet)に対するMicrosoftの7月分パッチを回避するもので、Windows Defenderを標的とし、攻撃者がWindows 10、Windows 11、Windows Server 2025上でローカル権限をSYSTEM権限にまで昇格させることを可能にします。 

セキュリティ専門家のKevin Beaumont氏は、このエクスプロイトが完全にパッチ適用済みのシステムでも機能することを確認したと述べています。

Nightmare Eclipse氏は、4月以降Microsoftを標的としてこれまでに10件のゼロデイ脆弱性を公開しています。その背景には、同社による脆弱性報告への対応や、過去に受けた法的措置の警告をめぐる継続的な対立があります。

Microsoftの広報担当者はTechCrunchに対し、同社が「報告された脆弱性を認識しており、これらの主張の妥当性および該当する可能性について現在調査を進めている」と述べています。

防御側が優先すべき戦略的判断

毎月のセキュリティ更新プログラムの膨大な量は、企業のIT部門にとって構造的な課題となっており、業務への支障というリスクを冒さずに一括展開することはほぼ不可能な状況です。

CohesityのSecurity ResearchおよびREDLab責任者であるAmol Sarwate氏は、複数の脆弱性を組み合わせて悪用された場合の運用上のリスクを強調しています。

「この2つの脆弱性を組み合わせて悪用すれば、フィッシング攻撃の成功といった最初の足がかりを、システム全体の完全な侵害へとつなげることが可能になります。これこそが、今月において防御側が最優先で対処すべき組み合わせだと言えます」とSarwate氏はTechRepublicに語っています。

数百件に及ぶ公式修正パッチと、未修正のまま一般公開されているゼロデイ脆弱性が同時に押し寄せる状況は、システム管理者にとってほぼ不可能なバランス調整を強いるものです。テストを行わずにパッチ適用を急げば、重要な本番環境がクラッシュするリスクがある一方、適用を遅らせればCVE-2026-68820のような実際に悪用されている脆弱性にエンドポイントをさらし続けることになります。

さらに、ShieldBreakはWindows Defenderそのものを標的としているため、Microsoftが正式な修正パッチを公開するまでは、標準的なエンドポイント保護ツールではローカル権限昇格を防げない可能性があります。 

各組織は、代替の脅威ハンティングクエリを活用するとともに、ネットワーク内にすでに侵入している可能性のある攻撃者の動きを遅らせるため、ローカルユーザーの権限を厳格に制限する必要があります。

編集部注:本記事は姉妹メディアであるTechRepublicに掲載されたものです。