マイクロソフト、悪用中のゼロデイ含む398件の脆弱性を修正――8月の月例更新

要点

• マイクロソフトが2026年8月の月例セキュリティ更新プログラムを公開し、計398件の脆弱性に対処した。

• Windowsのカーネルドライバに存在するゼロデイ脆弱性が、すでに実際の攻撃で悪用されていることが判明した。

• ユーザーの操作や認証を必要とせずに遠隔からコードを実行できる、CVSS 9.8の重大な脆弱性4件の修正が含まれている。

• 7月から2段階で修正が進められていたオンプレミス版SharePointの複合攻撃チェーンについて、残る遠隔コード実行の脆弱性が塞がれた。

• マイクロソフトは2026年8月11日、毎月定例のセキュリティ更新プログラムを公開した。セキュリティ機関のZero Day Initiative（ZDI）による独自集計では、今回のリリースで修正された脆弱性は計398件に上り、そのうち62件が最も深刻度の高い「Critical（緊急）」と評価されているという。今回の更新には、すでに実際のサイバー攻撃への悪用が確認されているWindowsカーネルドライバのゼロデイ脆弱性をはじめ、システムへ深刻な影響を及ぼしうる欠陥が多数含まれていることが明らかになった。

悪用が確認されているカーネルドライバのゼロデイ脆弱性

今回修正された脆弱性のうち、マイクロソフトが現在進行形で悪用されていると公表したのは「CVE-2026-68820」（CVSSスコア: 7.0）のみとなっている。

この脆弱性は、Windowsのネットワーク処理をカーネル側で担うドライバ「afd.sys（Ancillary Function Driver for WinSock）」に存在する解放後メモリ使用（UAF：メモリ解放後にその領域へ不正アクセスしてしまう不具合）に起因するものだ。ドライバ内で特定の処理が競合するレースコンディション（競合状態）を意図的に引き起こすことで悪用が可能になるという。

脆弱性の性質としては特権昇格に分類され、攻撃者が対象のマシン上ですでに何らかのコードを実行できる権限を持っている場合、最高権限であるSYSTEM権限へ昇格できるとされる。マイクロソフトは悪用元の具体的な攻撃グループを公表していないものの、セキュリティ企業のCheck Point Researchは、脅威グループ「Lazarus」が展開する攻撃キャンペーン「Operation Dream Job」においてこのゼロデイ脆弱性が使用されていたと報告している。

認証・操作なしで侵入可能な4件の重大なRCE脆弱性

悪用が確認されたドライバの脆弱性と並び、今回の更新で注目されているのが、認証もユーザーの操作も一切不要で外部からシステムを侵害できる4件のリモートコード実行（RCE）の脆弱性だ。これらは被害者側のアカウント情報やパスワードの入力、不審なリンクのクリックなどを必要とせず、すべて共通して「CVSSスコア: 9.8」という極めて高い深刻度スコアが付けられている。

• Windows DNS Server（CVE-2026-62878）: 認証やユーザー操作なしに遠隔から到達できるスタックベースのバッファオーバーフローの脆弱性。マイクロソフトは悪用される可能性を「より低い」と評価しているものの、ZDIは技術的な成立条件から自己増殖する「ワーム化が可能（wormable）」な状態であると指摘している。
• Windows Deployment Services（CVE-2026-62893）: OS展開サービスにおけるTFTP（簡易ファイル転送プロトコル）の処理に起因し、認証なしで遠隔からコード実行を許す脆弱性。
• Microsoft QUIC（CVE-2026-62815）: マイクロソフトによるQUIC通信プロトコル実装に存在する、認証不要で遠隔から悪用可能なコード実行の脆弱性。
• HPC Pack（CVE-2026-59124）: 大規模計算環境を構築するソフトウェア「HPC Pack」における脆弱性。同じくスコア9.8を記録しているが、標準ではインストールされていない機能であるため深刻度評価は「Important（重要）」に留まる。ただし、マイクロソフトは悪用される可能性が「より高い」と評価している。

これらの脆弱性は、対象となるサービスが稼働し外部ネットワークからアクセス可能な状態にあるかどうかがリスクの分かれ目となる。

オンプレミス版SharePointの攻撃チェーンが完全遮断

8月の更新プログラムでは、7月から継続していたオンプレミス版SharePointに対する一連のエクスプロイトチェーン（複数の脆弱性を組み合わせた攻撃手法）の修正も完了した。

この攻撃手法は、セキュリティ企業のRapid7 Labsが5月18日にマイクロソフトへ報告したもので、認証回避とコード実行の欠陥を組み合わせることで、認証なしの遠隔からサーバーを完全に乗っ取ることが可能となっていた。マイクロソフトは修正を7月と8月の2回に分割して提供する計画を立てていた。

7月の更新では、まず前半部分となる重大な認証回避の脆弱性「CVE-2026-55040」（CVSSスコア: 9.1）に対処。これにより、なりすましたいユーザーや管理者の識別情報を知る攻撃者がログインを回避して侵入する経路が断たれていた。そして今回の8月更新において、後半部分のコード実行を担う「CVE-2026-63520」に対する修正パッチが提供された形だ。Rapid7 Labsは、7月のパッチ適用時点で実証された攻撃チェーン自体はすでに破綻していたと説明しているが、今回のパッチによってコード実行の根本的な不具合も解消されたことになる。

更新プログラムの適用順序

システム管理における更新プログラムの優先順位について、すでに攻撃者の侵入を許している環境でSYSTEM権限への奪取を防ぐため、悪用が確認されている「CVE-2026-68820」への対処が最優先として挙げられている。続いて外部に露出しているDNS、WDS、QUIC、HPCなどのサービスに対するパッチ適用を進めるとともに、オンプレミス環境のSharePointファームに対しては7月の認証回避パッチと8月のコード実行パッチの双方が適用されていることを確認する手順が示されている。