Microsoftは今回も過去最多を更新した月例パッチ（Patch Tuesday）で、1,400件を超えるセキュリティ上の不具合を修正しました。このなかには、攻撃者によって実際に悪用されているMark of the Web（MotW）バイパスの脆弱性（CVE-2026-96951）が含まれています。
CVE-2026-96951はWindows Shellにおけるコマンドインジェクションの脆弱性で、脆弱性を突くように細工されたファイルを使うことで、リモートの攻撃者によって悪用される可能性があります。
このようなファイルは、メールやインスタントメッセージ、TeamsやSlackといったコラボレーションツールを通じてユーザーに送り付けられる恐れがあります。悪意のあるWebサイトからユーザー自身にダウンロードさせる手口も考えられます。
したがって、ユーザーの操作は必要ですが、いったんファイルが開かれると、Mark of the Webによる保護が回避されます。本来であれば、この保護機能は次のように働きます。
- ファイルを開く危険性についてユーザーに警告する
- ファイルを読み取り専用の「保護ビュー」で開く
- ファイルを開けないようブロックする
「Windows Shellの脆弱性が実際に悪用されたのは、今年に入ってこれで3件目です」と、Tenableのシニアスタッフ・リサーチエンジニアであるSatnam Narang氏は指摘しています。
「残る2件のうち、CVE-2026-21510は高度な持続的脅威（APT）グループのAPT28（別名Fancy Bear）との関連が指摘されています。もう1件のCVE-2026-32202は、CVE-2026-21510に対する不完全なパッチを修正したものでした。CVE-2026-32202の悪用は、いまだ攻撃元が特定されていません。CVE-2026-96951が別の不完全な修正に対処するために作られたのか、それとも悪用がAPT28と関連しているのかも明らかではありません」
いずれにせよ、この脆弱性は攻撃者に積極的に悪用されているため、パッチの検証と適用を優先して進める必要があります。
ゼロデイ以外にも注意が必要なSharePointとワーム化可能なRCE
TrendAIのZero Day InitiativeでHead of Threat Awarenessを務めるDustin Childs氏は、CVE-2026-102866を早急に対処すべき重要な脆弱性として挙げました。
これはMicrosoft Office SharePointに存在する、暗号署名の検証が不適切であることに起因する重大な不具合です。認証されていない攻撃者が、標的となったユーザーのアカウントを乗っ取れる可能性があります。
「標的ユーザーの有効なプルーフトークン（proof token）を入手した攻撃者は、それを改ざんしてサーバに送信し、そのユーザーとして認証を受けられます。唯一の条件は、攻撃者が最初にトークンを入手しなければならない点ですが、その方法は複数考えられます」と、同氏は説明しています。
Microsoftはこの脆弱性を、悪用される可能性が低いものとして評価しています。特定のプロトコル設定や構成が存在する場合にしか悪用できないためとみられます。
Childs氏はさらに、MicrosoftがDHCPサーバ、リモートデスクトップゲートウェイ、ネットワークポリシーサーバなどの重要インフラ全般で、ワーム化可能な脆弱性（認証不要でユーザー操作も要らないRCEの不具合）を55件修正したと指摘しました。そのうえで、各組織にこれらの修正を速やかに適用するよう勧めています。
同氏によると、AIはベンダーや外部の研究者によるバグ発見を加速させていますが、バグを無から生み出しているわけではありません。脆弱性が存在してから誰かに発見されるまでの時間を縮めているにすぎないということです。
「もはや問題の本質は件数ではありません。重要なのは、悪用の拡大よりも発見の拡大のほうが速いという点です。悪用可能性ではなくCVEの件数だけで優先順位を決めているチームは、的外れなバグに労力を費やすことになります。実証済みで、優先度が高く、公開されているものを修正し、それ以外は今月の新しい常態として扱うべきです」と、同氏はアドバイスしています。
翻訳元: https://www.helpnetsecurity.com/2026/10/14/microsoft-patch-tuesday-cve-2026-96951-motw-bypass/
