Windows Shellのゼロデイ脆弱性、Mark of the Webによるセキュリティ保護を回避される恐れ

Microsoftは、攻撃者が実際に悪用しているWindows Shellの脆弱性に対処しました。この脆弱性を悪用されると、Mark of the Web(MOTW)によるセキュリティ保護を回避される可能性があります。

StudySecurity

この脆弱性は「CVE-2026-96951」として識別されており、2026年10月13日に同社の月例セキュリティ更新プログラムで公表されました。Microsoftは重要度を「Important」とし、CVSS v3.1のベーススコアは8.8です。

悪用に成功されると、信頼できない提供元からダウンロードした危険性のあるコンテンツを開こうとした際にユーザーへ警告する仕組みが、無効化される恐れがあります。

Windows Shellのゼロデイ脆弱性

この脆弱性は、セキュリティ機能のバイパスに分類されます。CWE-77に関連しており、コマンドで使われる特殊要素の不適切な無害化、いわゆるコマンドインジェクションに該当します。

公式の説明によると、認証されていない攻撃者がネットワーク経由でWindows Shellのセキュリティ機能を回避できます。ただし、この分類だけでは具体的な悪用の仕組みまでは分かりません。公開されている報告でも、攻撃に使われたファイルの構造やコマンドの構文は明らかにされていません。

Mark of the Web(MOTW)は、ファイルが信頼できない場所に由来することを示す情報を記録する仕組みです。NTFSボリュームでは、このメタデータは通常、Zone.Identifierという代替データストリームに保存されます。

このゾーン情報により、WindowsやアプリケーションはダウンロードされたコンテンツをPotentially unsafeなものとして認識できます。その結果、通常の信頼できるローカルファイルとは異なる扱いで処理できます。

こうした出自の印は、Microsoft OfficeのProtected View(保護ビュー)や、ダウンロードした実行ファイルに対するSmartScreenの警告など、さまざまな防御策の前提となっています。MOTWを回避されると、これらの保護機能が作動しなくなり、攻撃者はマルウェアなどを届けやすくなります。

この脆弱性は、外部から入手したコンテンツに対するセキュリティを弱めます。ただし、影響を受けるすべてのファイルが、追加の条件なしに自動で悪意あるコードを実行するという意味ではありません。

悪用にはユーザーの操作が必要です。Tenableの分析によると、攻撃者はメールやメッセージングプラットフォームを使い、標的に悪意あるファイルを開かせる可能性があります。

CVSSベクターでは、ネットワーク経由で攻撃でき、攻撃条件の複雑さは低く、必要な権限はなく、スコープの変更もないとされています。機密性、完全性、可用性への影響はいずれも「高」と評価されています。ただし、これらの指標は評価上のリスクを示すものであり、すべての攻撃で3つの影響が必ず生じることを保証するものではありません。

Center for Internet Security(CIS)は、Microsoftがこの脆弱性の悪用が継続していると報告していることを確認しています。このため、パッチ適用は最優先で取り組むべき課題です。公開されている報告では、攻撃者や標的となった組織、攻撃キャンペーンで使われた具体的なインフラは特定されていません。

CompareSecurity

防御側は、この攻撃を特定の脅威グループの仕業と決めつけたり、推測にもとづくペイロードの説明を確定した痕跡情報として扱ったりすることは避けるべきです。

管理者は、影響を受けるシステムに対してMicrosoftの10月のセキュリティ更新プログラムを優先的に適用し、該当する製品ごとに配布状況が対応していることを確認してください。

対策が完了するまでの間、組織はダウンロードしたファイルや不審な添付ファイルに対して、多層防御を維持する必要があります。確認されている攻撃シナリオは、攻撃者が用意したコンテンツを被害者に開かせることが前提です。そのため、ユーザーへの注意喚起も欠かせません。

新たなマルウェアが登場したら、すぐに防御を更新しましょう。16K SOCのデータを活用するTIフィードを統合。