Windows Cloud Filesに潜む危険

Windowsのクラウドファイルは、ローカルディスク上にある通常のドキュメントのように見えます。しかし、その裏ではカーネル権限を持つ複雑なコードが動作しています。Cisco Talosはこのほど、Windows Cloud Files Mini Filter Driverの脆弱性「CVE-2026-80093」の詳細を公表しました。このコンポーネントは、クラウドスタブ、複雑な同期処理、オンデマンドのファイル読み込みを管理する重要な役割を担っています。

脆弱性の中核はcldflt.sys

問題の所在は、ファイルシステム用の重要なシステムミニフィルターであるcldflt.sysの深部です。このコンポーネントは、OneDriveのファイルオンデマンドやその他の同期クライアントを支えています。ローカルドライブにまだ実在しないファイルをあたかも存在するかのように表示し、アクセスされた時点で初めて必要なコンテンツをダウンロードする仕組みです。このドライバーはWindowsのファイルスタックに深く組み込まれ、カーネルモードで動作しています。そのため、欠陥があれば高い権限を持つシステムコンテキスト内で深刻な影響を及ぼします。

致命的な型の取り違え（Type Confusion）

Talosは、CVE-2026-80093を、2つの異なる処理を同時に実行した際に発生する危険な型の取り違え（type confusion）に起因するものと位置づけています。一方のスレッドは、リクエストの一覧を順番にたどります。同じタイミングで、もう一方のスレッドが、スタック上にある重要なサービス用構造体をまったく同じ一覧へ一時的に挿入します。すると最初のスレッドは、挿入された構造体を正規かつ完全なリクエストオブジェクトだと誤認してしまいます。その結果、誤ったメモリアドレスを算出し、実質的に存在しないオブジェクトのフィールドにアクセスしようとします。

カーネルメモリが操作される可能性

厳密なラボテストでは、この状況が想定どおりWindowsカーネルの深刻なクラッシュを引き起こしました。さらにTalosは、攻撃者がこれらの偽のフィールドを操作できる場合、この欠陥がカーネルメモリへ直接書き込むための強力なプリミティブになり得ると強く警告しています。この高度な攻撃を実行するには、低い権限でのローカルアクセスと、細工されたアプリケーションが必要です。この悪意あるアプリケーションは、不正なクラウドプロバイダーを登録し、偽のプレースホルダーファイルを生成したうえで、Cloud Filter APIの特定の手順を綿密に組み立てて順番に呼び出す必要があります。

評価が分かれたTalosとMicrosoft

Talosはこの深刻な問題にCVSS 3.1スコア8.8を付け、攻撃の複雑さは低いと明確に判断しました。一方、Microsoftは同じ識別子を単なるローカル特権昇格として分類しています。攻撃の複雑さは高いとして、比較的低いCVSS 3.1スコア7.0を割り当てました。興味深いことに、根本原因の説明そのものも大きく食い違っています。Talosは型の取り違えだと断定していますが、MicrosoftはCVE-2026-80093を解放済みメモリの使用（use-after-free）の脆弱性に分類しています。

世代を超えて広がる影響

残念ながら、Windows 10とWindows 11の複数の世代に加え、Windows Server 2019、2022、2025も深刻な脆弱性の影響を受けたままです。Talosは、ドライバーのバージョン10.0.26100.8457と10.0.26100.8655を個別に検証しました。cldflt.sysでこれほど深刻な問題が見つかったのは、今回が初めてではありません。2026年5月初めには、このコンポーネントを標的とするエクスプロイト「MiniPlasma」が出回り、攻撃者が最新のWindows 11でSYSTEM権限へ昇格できる状態になりました。

修正と パッチの提供状況

Microsoftは、CVE-2026-80093に関する重大な情報を6月12日に非公開で受け取りました。同社は、Talosによる詳細な分析が公開されるよりかなり前の9月8日に、この脆弱性を修正しました。この修正は9月のセキュリティ更新プログラムに組み込まれており、同更新ではWindowsやその他の製品で合計966件の脆弱性に対処しています。Windows 11 24H2および25H2を使用しているユーザーには、ビルド26100.9445と26200.9445を対象とするKB5124008パッケージを通じて、修正済みの安全なコードが広く配布されました。