Microsoft RDP の脆弱性 CVE-2026-42908／45639：機密データ漏洩の恐れ

Windows RDP Vulnerabilities Allow Attacker to Expose Sensitive Data

2026/06/10 CyberSecurityNews — Windows Remote Desktop Protocol (RDP) に存在する、情報漏えい脆弱性 CVE-2026-42908／CVE-2026-45639 が、2026年6月9日にリリースされた Microsoft Patch Tuesday で修正された。いずれも RDP スタックにおける境界外読み取りに起因し、深刻度 Important と評価され、CVSS v3 ベーススコアは 7.5 である。

Windows RDP の脆弱性

Windows Remote Desktop Protocol の情報漏洩の脆弱性 CVE-2026-42908／CVE-2026-45639 は、境界外読み取りに起因すると、Microsoft は説明している。未認証のリモート攻撃者は、ユーザー操作を必要とすることなく、それらの脆弱性をネットワーク経由で悪用できる。この特性は、以下の CVSS ベクターに反映されている。

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

これらの脆弱性は情報漏洩に分類されるが、漏洩した機密性の高いメモリ内容と、他の脆弱性が連鎖することで、リモートコード実行やサンドボックス・エスケープなどの深刻な被害ににつながる可能性がある。その一方で Microsoft は、悪用可能性を “Less Likely” と評価しており、アドバイザリ公開時点では、公開エクスプロイトや実環境での悪用は確認されていない。

Microsoft のアドバイザリによると、CVE-2026-42908 の悪用に成功した攻撃者は、ローカルメモリ・アドレスを流出させる可能性があり、ASLR などの最新のエクスプロイト緩和策を弱体化させる恐れがある。

また、CVE-2026-45639 を悪用する攻撃者は、プロセスメモリの一部を読み取ることが可能となるため、対象のメモリ領域に格納された内容に応じて、認証情報／セッション・トークン／プロトコル状態データが漏洩する可能性がある。

これらの脆弱性は、広範な Windows クライアント／サーバの RDP 製品に影響を及ぼす。具体的には、 Windows 10 (21H2／22H2／1607／1809)、Windows 11 (23H2／24H2／25H2／26H1)、Windows Server 2012／2012 R2／2016／2019／2022／2025 に加えて、Windows Desktop 向けの Remote Desktop クライアント／Windows App クライアントが含まれる。影響を受ける全製品に対して、2026年6月9日の Patch Tuesday としてパッチが提供されている。

また、2 つの脆弱性は CWE-125 (境界外読み取り) に該当し、割り当てられたバッファの境界外にあるデータを、脆弱な RDP コンポーネントが読み取る可能性を示している。そのため、細工された RDP トラフィックにより、サービスがプロトコル・データだけではなく、隣接するメモリ領域のデータを返してしまう可能性がある。

さらに、認証前のネットワーク経路から到達可能であることから、インターネットに公開された RDP エンドポイントや、クロス・テナント情報漏洩のリスクがあるマルチ・テナント環境において特に懸念されている。完全性および可用性への影響はないが、機密性への影響が大きいため、信頼性の高いエクスプロイト・チェーンを構築しようとする攻撃者にとって、価値の高い攻撃対象が生じる。

前述のとおり、すでに Microsoft は公式の修正プログラムを提供している。ユーザー組織に推奨される対策は、2026年6月9日のセキュリティ更新プログラムの適用、または、各 Windows バージョンおよび RDP クライアント向けの累積更新プログラムやロールアップ・パッケージの適用である。

また、管理者にとって必要なことは、インターネットに公開されている RDP システムや、メモリ情報の漏えいがラテラル・ムーブメントや権限昇格を助長する可能性がある重要なバックエンド・サーバへの優先的な対処である。

また、一般的なセキュリティ強化策として、RDP アクセスを VPN やバスティオン・ホストの背後に制限して強力な認証を適用し、異常な RDP 接続パターンを監視することが推奨される。

なお、セキュリティ・コミュニティでは、これらのパッチに含まれる潜在的なエクスプロイト・プリミティブの分析が継続されている。

訳者後書：脆弱性 CVE-2026-42908／CVE-2026-45639 の原因は、Windows の RDP スタックにおける境界外読み取りにあります。本来アクセスしてはならない、バッファの範囲外のデータを読み取ってしまうことで、メモリ内に保持されている情報が漏洩する可能性があります。漏洩した情報に含まれる、メモリアドレス／認証情報／セッション・トークンなどは、他の脆弱性との連鎖を試行する攻撃者にとって、きわめて価値の高い情報となります。また、認証前の状態でネットワーク経由から到達可能であることも、リスクを高める要因です。Microsoft は修正プログラムを提供しているため、影響を受ける Windows 環境でも速やかなアップデート適用が重要となります。ご利用のチームは、ご注意ください。よろしければ、Windows RDP での検索結果も、ご参照ください。