Windows Shellにコマンドインジェクションの脆弱性、マイクロソフトが深刻度「8.8」と公表

要点

• Windowsの基本機能「Windows Shell」において、セキュリティ機能を回避される恐れがあるコマンドインジェクションの脆弱性「CVE-2026-96951」が判明した。

• 採番機関である米マイクロソフトによるCVSS v3.1基本値は「8.8（HIGH）」と算出され、ネットワーク経由での悪用が可能とされている。

• 攻撃成立にはユーザー操作の介在が必要とされる一方、機密性・完全性・可用性への影響度はいずれも最大レベルの「高」と判定されている。

• 影響範囲はWindows 10、Windows 11、Windows Serverの各世代に加え、Web版のOutlook.comにも及んでいる。

• 米国立標準技術研究所（NIST）が運営する脆弱性データベース（NVD）において、現地時間2026年10月13日、Windows Shellに起因する脆弱性「CVE-2026-96951」の情報が登録・公開された。CVE採番機関（脆弱性情報の識別番号を公式に割り当てる組織）である米マイクロソフトが報告したもので、同社による深刻度評価（CVSS v3.1）は8.8の「HIGH」となっている。未認証の攻撃者によってセキュリティ機能が迂回される恐れがあるという。

Windows Shellにおけるコマンドインジェクションの概要

公表された情報によると、本脆弱性はWindows Shellにおける特殊要素の不適切な無効化、いわゆるコマンドインジェクション（外部から入力されたコマンドの特殊文字を無力化できず、意図しない命令が実行されてしまう弱点）に分類される。共通欠陥識別子としては「CWE-77」が割り当てられている。

Windows Shell（OSの操作画面や基本的なコマンド実行環境を担う中核コンポーネント）にこの不備が存在することにより、認証を受けていない遠隔の攻撃者がネットワーク越しにセキュリティ機構を回避できる状態になっていると説明されている。

CVSS評価の詳細と想定される攻撃条件

マイクロソフトが提示したCVSS v3.1（情報システムの脆弱性の深刻度を数値化して評価する国際標準規格）の評価結果において、基本値（Base Score）は「8.8」と判定され、重要度を示す深刻度は4段階評価の上から2番目にあたる「HIGH」と位置づけられている。

公表されたベクター「CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H」の内訳からは、攻撃が成立する条件と影響の規模が読み取れる。攻撃元区分（Attack Vector）は「ネットワーク（AV:N）」、攻撃の複雑さ（Attack Complexity）は「低（AC:L）」、必要な特権レベル（Privileges Required）は「不要（PR:N）」と指定されている。これにより、攻撃者は事前の認証や高い権限を持たない状態であっても、ネットワーク越しに比較的容易に攻撃を試みることができるとされる。

一方、ユーザー関与（User Interaction）については「要（UI:R）」となっており、攻撃の成立には何らかのユーザー操作が必要とされる。スコープ（Scope）は変更なしの「U（Unchanged）」であるものの、影響度を示す機密性（Confidentiality）、完全性（Integrity）、可用性（Availability）の各項目はすべて最大の「高（C:H/I:H/A:H）」と評価されている。

広範にわたる影響対象製品とバージョン情報

公開された影響対象リストによると、本脆弱性はデスクトップ向けOS、サーバー向けOS、およびWebサービスと多岐にわたる製品環境に及んでいる。

デスクトップ向け製品では、Windows 10のバージョン1607（ビルド10.0.14393.9612未満）、バージョン1809（ビルド10.0.17763.9376未満）、バージョン21H2（ビルド10.0.19044.7807未満）、バージョン22H2（ビルド10.0.19044.7807未満）が対象とされている。Windows 11においては、バージョン23H2（ビルド10.0.22631.7652未満）、バージョン24H2（ビルド10.0.26100.9711未満）、バージョン25H2（ビルド10.0.26200.9711未満）、バージョン26H1（ビルド10.0.28000.3231未満）、バージョン26H2（ビルド10.0.26300.9711未満）が影響を受けるとされる。

サーバー向けOS製品では、Windows Server 2012 R2（ビルド6.3.9600.23470未満）、Windows Server 2016（ビルド10.0.14393.9612未満）、Windows Server 2019（ビルド10.0.17763.9376未満）、Windows Server 2022（ビルド10.0.20348.5761未満）、Windows Server 2025（ビルド10.0.26100.33650未満）が挙げられており、それぞれ通常版に加えてGUIを省いた最小構成であるServer Core installation（GUIを省略して管理効率を高めたサーバーインストール形態）も対象に含まれる。

さらにOS単体にとどまらず、マイクロソフトのWebサービスである「Outlook.com」におけるバージョン1.0.0以上20260925.100未満の環境も影響製品として記載されている。

関連情報とデータベースの登録状況

本脆弱性の参照先として、マイクロソフトのセキュリティ更新プログラムガイド（MSRC Update Guide）における本脆弱性の個別ページへのリンクが提供されている。あわせて、米国土安全保障省サイバーセキュリティ・インフラセキュリティ庁（CISA）が運用する「悪用が確認された脆弱性カタログ（Known Exploited Vulnerabilities Catalog）」の関連URLも参照情報として掲載されている。

なお、NVDによる独自のスコア評価は現時点で未提示（N/A）とされており、NVDの専門チームによる関連タグの付与やCPE（共通プラットフォーム識別子）適用性ステートメントなどの精査を行うエンリッチメント（情報拡充）処理が現在も継続中であると記されている。