Microsoftは、信頼できない場所からダウンロードしたファイルへの保護を弱める、実際に悪用されているWindows Shellの脆弱性を修正しました。この脆弱性を突かれると、攻撃者はMark of the Web（MOTW）を回避できます。
脆弱性は「CVE-2026-96951」として追跡されており、2026年10月13日のセキュリティ更新プログラムで対処されました。Microsoftは深刻度を「重要（Important）」とし、CVSS v3.1スコアは8.8です。
この欠陥により、攻撃者はWindowsがインターネット由来のコンテンツと信頼できるローカルファイルを見分けるためのセキュリティ機構を回避できます。
悪用にはユーザーの操作が必要です。つまり、ユーザーの操作が一切不要な攻撃でシステムを侵害するのではなく、攻撃者は被害者を説得して悪意のあるコンテンツを開かせなければなりません。
この脆弱性はCWE-77、すなわちコマンドで使用される特殊要素の不適切な無害化（一般にコマンドインジェクションと呼ばれます）に分類されています。
Microsoftの説明によると、この弱点により、認証されていない攻撃者がネットワーク経由でWindows Shellのセキュリティ機能を回避できるとされています。
ただし、この分類は悪用手法の詳細までは示していません。確認された攻撃で使われた悪意あるファイルの構造やコマンドの構文、実行の全体的な流れについては、公開された報道でも明らかになっていません。
そのため防御側は、確認済みのセキュリティ機能の回避と、特定のファイル形式やペイロードの挙動に関する推測とを区別して考える必要があります。
MOTWは、信頼できるローカル環境の外から来たコンテンツを識別し、Windowsが追加の検査を行えるようにする仕組みです。この識別を回避されると、安全でない可能性のある資料をユーザーが開く前に本来表示されるはずの警告や保護が働かなくなるおそれがあります。
セキュリティ上の影響は、悪意あるコンテンツの配布からその後の実行までの障壁が減ることです。とはいえ、今回報告された脆弱性はセキュリティ機能のバイパスであり、単独のリモートコード実行の欠陥ではありません。
悪用が成功したからといって、届けられたすべてのファイルが自動的にマルウェアを実行したり、あらゆるエンドポイントのセキュリティ対策を無効化したりすることの証明と解釈すべきではありません。
Microsoftによると、攻撃者は悪意のあるファイルをメールやメッセージングプラットフォーム経由で送り、受信者を説得して開かせることでこの脆弱性を悪用できます。
Microsoftが引用したガイダンスも同様に、細工された添付ファイルや、攻撃者が管理するコンテンツへユーザーを誘導するリンクについて説明しています。この前提があるため、ソーシャルエンジニアリングが攻撃チェーンの中心となります。
説得力のあるメッセージによって、受信者は悪用に必要な操作を実行してしまう可能性があります。一方でバイパスにより、本来は処理を中断させるはずの警告や保護が取り除かれます。Microsoftは、攻撃者が単にユーザーへコンテンツを強制的に閲覧させることはできないと説明しています。
悪用は確認されているものの、公開されている報道では、攻撃者や被害を受けた組織、キャンペーンのインフラは特定されていません。
これらの攻撃を特定の脅威グループの仕業と断定したり、推測に基づくドメインやハッシュ値を侵害指標（IoC）として公開したりすることは、開示されている証拠の範囲を超えます。
管理者は、影響を受けるWindowsシステムに対して10月のセキュリティ更新プログラムを優先的に適用し、Microsoftの製品別アドバイザリの記載に照らして展開状況を確認する必要があります。
悪用が確認されているため、数値上の深刻度スコアだけから受ける印象よりも、対処の緊急性は高いといえます。展開が完了するまでの間、セキュリティチームは、不審な添付ファイルや攻撃者が用意したリンクへの警戒を強め、エンドポイントの監視を継続し、ファイルを開く前に不審な依頼を確認するようユーザーに周知してください。
これらの対策は多層防御を支えるものですが、影響を受けるシステムにおけるWindows Shellの脆弱性そのものに対するベンダーの修正プログラムの代わりにはなりません。
16,000以上のSOCチームがANY.RUNを活用し、脅威調査を効率化して手作業を削減しています。チームで試してみる
翻訳元: https://cyberpress.org/hackers-exploit-windows-shell-zero-day/
