CISA KEV 警告 26/08/11：Windows の脆弱性 CVE-2026-68820 を KEV に登録

CISA Adds Actively Exploited Windows WinSock Vulnerability to KEV Catalog

2026/08/13 gbhackers — 米国の Cybersecurity and Infrastructure Security Agency (CISA) が、Microsoft Windows に存在する深刻な脆弱性を Known Exploited Vulnerabilities (KEV) カタログに追加し、8月11日の月例セキュリティ更新で対処された脆弱性 CVE-2026-68820 が、実際の攻撃で悪用されていると警告している。この脆弱性は、Windows Ancillary Function Driver for WinSock に影響を及ぼし、正規のローカル権限を持つ攻撃者に対して、脆弱なシステム上での権限昇格を許す可能性がある。

Windows WinSock の脆弱性

Windows のネットワーク処理を支援し、アプリケーションやサービスで使用されるソケット関連機能を提供する afd.sys カーネル・ドライバーに、解放後使用 (Use-After-Free) の脆弱性 CVE-2026-68820 が発生したと、Microsoft は説明している。この脆弱性は、解放後使用 (CWE-416) に分類され、解放されたメモリに対してプログラムが継続してアクセスすることで発生する。

この脆弱性がカーネル・モードのコンポーネントで悪用された場合、攻撃者がメモリ操作を制御することで、昇格した権限でコードが実行される可能性がある。

CVE-2026-68820 は、ローカル権限昇格の脆弱性に分類され、この欠陥を悪用する攻撃者は、その前提として Windows エンドポイントへの正規アクセスを取得している必要があるため、最初の遠隔アクセスを得るための攻撃経路にはならない。ただし、特に他の攻撃手法と組み合わされる場合には、深刻な影響が生じる可能性がある。

フィッシング／マルウェアの配布／侵害された認証情報／遠隔アクセスの悪用などの弱点を介して初期アクセスを取得した脅威アクターが、その後に権限昇格の脆弱性 CVE-2026-68820 を悪用する可能性がある。権限を昇格した攻撃者は、エンドポイント防御の無効化／機密性の高い認証情報へのアクセス／永続化の確立／システム構成の変更などを行い、環境内における支配範囲を拡大する恐れがある。

CISA のカタログへの追加は、実際の悪用が確認されていることを示す一方、CISA はこの欠陥とランサムウェア・キャンペーンとの関連性を確認しておらず、その状況は不明である。組織にとって必要なのは、Windows のカーネルに存在する権限昇格の欠陥が活発に悪用されている状況を、優先度の高いセキュリティ問題として扱うことである。

CISA が CVE-2026-68820 をカタログへ追加したのは 2026年8月11日であり、対応期限を 2026年8月25日に設定しているため、影響を受ける連邦政府機関がベンダー提供の緩和策を適用できる期間は限られている。連邦政府民間行政機関 (FCEB) は、リスクに応じてセキュリティ更新を優先する CISA の運用指令 26-04 に従う必要があり、さらに CISA は関係組織に対して、該当する証拠調査・初期評価の要件への準拠と、各資産のインターネットへの露出状況の評価を推奨している。

この脆弱性の悪用にはローカルアクセスが必要だが、インターネットに公開されたシステムにおいても無視できるものではない。外部公開サーバ／仮想デスクトップ基盤／遠隔アクセス・ホスト／第三者からアクセスされるエンドポイントでは、攻撃者が初期侵害を足掛かりとしてローカル権限を昇格する場合に、この脆弱性が攻撃対象となり得る。

推奨される対応

影響を受ける Microsoft Windows システムを使用する組織に求められるのは、以下のとおりである。

• Microsoft のセキュリティ更新または緩和策の速やかな適用。
• 管理者／開発者／在宅勤務者／特権 IT 担当者が使用するシステムへの更新プログラム適用の優先。
• 通常とは異なるサービス作成／セキュリティ・ツールへの改ざん／ドライバーまたはプロセスの予期しない動作といった、不審な権限昇格活動の監視。
• カーネルレベルの悪用試行を示す活動についての、エンドポイント検知・対応 (EDR) の監視データの確認。
• 最小権限の原則の適用および不要なローカル管理者権限の削除。
• 緩和策を適用できない場合の、影響を受ける製品の隔離または使用停止。

脆弱性 CVE-2026-68820 が浮き彫りにしているのは、企業環境で繰り返し発生するリスクであり、大きな被害を引き起こそうとする攻撃者にとって、必ずしも遠隔コード実行 (RCE) の脆弱性を悪用する必要があるとは限らない。

ローカルで悪用される Windows カーネルの欠陥は、限定的なアクセスをシステムの完全侵害へ転換する可能性があり、そのため、迅速な更新プログラムの適用と継続的なエンドポイント監視が不可欠となる。

米国の CISA は 2026年8月11日、Microsoft Windows に存在する脆弱性 CVE-2026-68820 を CISA KEV カタログに追加しました。本件は OS のネットワーク処理を担うカーネルドライバー afd.sys のメモリ管理における不備に起因し、システム内部への侵入を果たした攻撃者に管理者同等の権限奪取を許してしまう危険性があります。この問題の影響により防御機能の無効化／認証情報の窃取／不正な制御の維持といった被害が発生する恐れがあります。主要な対策としては最新のセキュリティパッチ適用／最小権限原則の徹底／EDR ツールを活用した不審プロセスの監視が挙げられます。早急な確認と対処が推奨されます。