提供されたアドバイザリによると、Windows BitLockerに存在する3件の脆弱性により、さまざまなアクセス条件下で、攻撃者が権限を昇格させたり、セキュリティ保護を回避したりできる可能性があります。
割り当て機関はMicrosoftで、公開日は2026年10月13日です。3件とも深刻度は「重要（Important）」と評価されています。
VulnerabilityScanning Service
このうち2件は既存のローカル権限を必要とし、残る1件は物理アクセスが必要です。なお、リンク先のCVEレコードには独自にアクセスできず、内容を確認できていません。
Windows BitLockerの脆弱性
CVE-2026-85920は権限昇格の脆弱性に分類され、タイムオブチェック・タイムオブユース（TOCTOU）競合状態を示すCWE-367に関連しています。
この種の弱点は、ソフトウェアがリソースの状態を確認した後、そのリソースを使用する前に状態が変化してしまい、最初のセキュリティチェックが無効になる場合に発生します。こうしたタイミングの隙を突かれると、不正アクセスを許す可能性があります。ただし、提供された情報には、影響を受けるBitLockerの処理や悪用の手順は記載されていません。
提供されたCVSS 3.1ベクターでは、CVE-2026-85920のベーススコアは7.0、現状スコア（Temporal）は6.1です。悪用にはローカルアクセスと低い権限、高い攻撃の複雑さが必要ですが、ユーザーの操作は不要です。
悪用に成功した場合、機密性・完全性・可用性のすべてに高い影響が及ぶと評価されています。ベクターによると影響範囲（スコープ）は変更されませんが、攻撃者が得る具体的な権限は示されていません。
CVE-2026-88070は、提供された中で最も高いベーススコア7.8、現状スコア6.8が付けられています。こちらもローカルでの権限昇格に関する脆弱性で、低い権限が必要ですが、ユーザーの操作は不要です。
競合状態の脆弱性とは異なり、ベクターでは攻撃の複雑さは低いとされています。機密性・完全性・可用性への影響はいずれも高く、スコープは変更されません。
この2件目の脆弱性はCWE-125に該当します。これは、ソフトウェアが本来のバッファ境界を越えてデータを読み取る境界外読み取りです。MITREによると、実装によっては機密性の高いメモリ内容の漏えいやクラッシュを引き起こす可能性があります。
ただし、この分類だけでは、当該脆弱性がどのように権限昇格につながるのかは説明されておらず、裏付けとなる悪用の仕組みも示されていません。
CVE-2026-83500は、セキュリティ機能のバイパスの脆弱性とされ、ベーススコアは6.1、現状スコアは5.3です。ベクターでは、物理アクセスが必要で、攻撃の複雑さは低く、権限もユーザーの操作も不要とされています。悪用に成功した場合、機密性と完全性に高い影響が及び、可用性への影響はないと評価されています。
このエントリーでは、本脆弱性が、信頼できないサイトへのURLリダイレクトを示すCWE-601に対応付けられています。MITREは、ユーザーが制御可能な入力によってリダイレクト先が外部の宛先に向けられる場合を、この分類として定義しています。
報告されたBitLockerのバイパスとの関連は説明されていません。そのため、この対応付けを、特定のディスクロック解除手法の根拠と解釈すべきではありません。
提供された資料には、影響を受けるWindowsのバージョン、必要な更新プログラム、回避策の有無、悪用が確認された攻撃について、いずれも記載されていません。
したがって、どのシステムで対処が必要なのかを判断することも、実際に悪用されていることを確認することもできません。公開や運用上の対応に先立ち、これらの詳細をMicrosoftの該当するアドバイザリで確認してください。
新たなマルウェアが登場したら、すぐに防御を更新しましょう。1万6,000のSOCのデータを活用したTIフィードを統合。
翻訳元: https://gbhackers.com/windows-bitlocker-vulnerabilities/
