Windows Admin Center の脆弱性 CVE-2026-26119：認証不備による権限昇格の恐れ

Critical Windows Admin Center Vulnerability Allows Privilege Escalation

2026/02/18 CyberSecurityNews — Microsoft が提供する Windows Admin Center (WAC) に存在する、深刻な権限昇格の脆弱性 CVE-2026-26119 (CVSS：8.8：Critical) に対するセキュリティ更新が公開された。この脆弱性は、認証の不備 (CWE-287) に起因し、権限を持つ攻撃者に対してネットワーク特権昇格を許す可能性がある。

Microsoft によると、この脆弱性は Windows Admin Center バージョン 2.6.4 に影響するものであり、2026年2月17日の時点で修正プログラムが公開されている。すでにシステム上で限定的な権限を有する攻撃者が、この脆弱性を悪用すると、追加のユーザー操作なしにアクセス権を昇格させることが可能となる。攻撃に成功した攻撃者は、対象となるアプリケーションを実行するユーザーと同等の権限を取得できる。

現時点で Microsoft は、実環境における悪用インシデントを確認していない。しかし、攻撃の複雑度が低く、WAC の導入環境がネットワーク経由で公開されているケースが多いことから悪用の可能性は高いと、同社は警告している。現時点で概念実証 (PoC) コードは公開されていないが、Microsoft のアドバイザリは、近い将来にエクスプロイトが開発される可能性が高いと指摘している。

Windows Admin Center は、集中型システムの管理のために広く使用されている。したがって、この権限昇格により管理対象サーバの完全制御／システム設定の変更／機密データへのアクセスが引き起こされる可能性がある。さらに、企業環境の全体に広く配備されていることから、パッチ適用の遅延により、ラテラル・ムーブメントや特権の不正利用のリスクが高まる可能性がある。

この脆弱性は、Semperis の Andrea Pierini が発見し、責任を持って開示したものであり、Microsoft は謝意を表している。すでに Microsoft は、最新の Windows Admin Center セキュリティ更新を通じて公式修正を提供している。管理者に対して強く推奨されるのは、速やかなパッチ適用である。更新プログラムおよびリリースノートは Microsoft の公式チャネル (リリースノート／セキュリティアップデート) から確認できる。

管理者は、Microsoft のセキュリティ更新ガイダンスに従い、アカウント権限を見直し、異常な特権昇格の兆候に関するイベントログの監視を実施すべきである。公式な CVE 情報の詳細は、CVE.org および NVD で確認可能である。

脆弱性 CVE-2026-26119 (CVSS：8.8) の原因は、Windows Admin Center における認証処理の不備 (CWE-287) にあります。限定的な権限を持つ攻撃者であっても、追加のユーザー操作なしに権限昇格が可能となる設計上の問題がありました。その結果、対象アプリケーションを実行するユーザーと同等の特権を取得でき、管理対象サーバの設定変更や機密データへのアクセスにつながる恐れがあります。影響が及ぶのはバージョン 2.6.4 であり、すでに修正版が公開されています。ご利用のチームは、ご注意ください。よろしければ、Windows Admin Center での検索結果も、ご参照ください。