Microsoft SCCM の脆弱性 CVE-2026-47301：7月の Patch Tuesday 後も攻撃チェーンに未修正の弱点が残る RCE

Microsoft SCCM Vulnerability Chained to Execute Malicious Code Remotely

2026/08/17 CyberSecurityNews — Microsoft の System Center Configuration Manager (SCCM) に影響を及ぼす重大な攻撃につながる攻撃チェーンを、セキュリティ研究者たちが公表した。この攻撃チェーンに含まれる欠陥を悪用する攻撃者が、SCCM のプライマリ・サイト・サーバ上でリモート・コード実行を達成し、組織が管理する Windows 環境を制御する可能性がある。

Microsoft SCCM の脆弱性

この攻撃で懸念されるのは、最初の攻撃チェーンを一般的な Active Directory ドメイン・ユーザーが開始できる点と、SCCM の管理者権限／昇格した Windows 権限／ユーザー操作などが必要とされない点である。アカウントを不正に取得した攻撃者は、ソフトウェアの展開／パッチ適用／オペレーティング・システムのインストール／コンプライアンス監視／デバイス管理を担う SCCM のプライマリ・サイト・サーバを標的にできる。

XM Cyber が Microsoft に脆弱性を報告したのは 5月23日であり、Microsoft は、この認可チェックの不備に対して CVE-2026-47301 を割り当て、2026年7月14日の Patch Tuesday で修正をリリースした。しかし、研究者によると、攻撃チェーンには依然としてパッチが適用されていない弱点が残っており、Microsoft は 2026年10月に提供予定の ConfigMgr 2609 で対処する計画である。

1 つ目の問題は、SCCM の AdminService REST API における認可チェックの不備である。SCCM は、コンソール・エクステンション・パッケージのアップロードを、CAB アーカイブを介してサポートする。そのアップロード・エンドポイントでは Role-Based Access Control 権限が確認されるが、チャンク形式のアップロード・エンドポイントでは、この認可チェックが実施されていない。そのため、認証済みのドメイン・ユーザーが特別に細工した CAB ファイルをサーバへ送信する可能性がある。

Chain Overview (Source : xmcyber )
Chain Overview (Source : xmcyber )

2 つ目と 3 つ目の問題は、CAB アーカイブの署名検証と証明書の失効確認に関するものである。SCCM は CAB アーカイブにおいて有効な埋め込み署名の有無を確認するものの、署名用証明書が Microsoft または被害組織に属することまでは強制しておらず、証明書の失効確認も実施していなかったと報告されている。そのため、攻撃者は SCCM が受け入れる証明書を悪用して、悪意のある拡張機能パッケージに署名する可能性があった。

さらに研究者は、4 つ目の問題として “CabSlip” と呼ばれるパス・トラバーサルの脆弱性も特定した。CAB の展開時に SCCM が相対パスを適切に遮断していないため、細工されたアーカイブによって本来の一時展開フォルダ外にファイルを書き込むことが可能となり、攻撃者はサイト・サーバ上で任意のファイルを書き込めるようになる。

5 つ目の問題は、SMS Executive サービスによる DLL の読み込み挙動に関するものである。SMS Executive は NT AUTHORITY\SYSTEM 権限で動作し、主要な DLL を検証する一方、二次 DLL である “adsource.dll” については同等の完全性チェックを行わずに読み込む可能性がある。この欠陥を突く攻撃者は、パス・トラバーサルを介して “adsource.dll” を上書きする可能性がある。その後に、このライブラリが SCCM により読み込まれると、悪意のコードが SYSTEM 権限で実行される。

Microsoft の 7 月のアップデートでは、一般的なドメイン・ユーザーによりチャンク形式のアップロード・エンドポイントの悪用が阻止された。ただし、組み込みの Operations Administrator ロールが割り当てられたユーザーや、”SMS_ConsoleExtensionData” オブジェクトに対する Create 権限を持つカスタム・ロールのユーザーは、依然として後続の攻撃段階へ進める可能性がある。

防御側に推奨されるのは、”AdminService.log” に記録される DirectoryNotFoundException エラーと、その直後に返される HTTP 500 レスポンスの監視により、予期しない CAB アップロード活動を確認することである。さらに、Configuration Manager のインストール・ディレクトリ内にある “adsource.dll” の変更も監視する必要がある。

ユーザー組織にとって必要なことは、AdminService のネットワーク・ポートへのアクセスを制限し、Microsoft が完全な修正をリリースするまでの間に、SCCM のロール割り当てを速やかに確認することである。

Microsoft System Center Configuration Manager (SCCM) に存在する CVE-2026-47301 などの複数の問題を悪用する攻撃者が、特権のないドメイン・アカウントからシステム最高権限を奪取するリスクが判明しています。この件は構成情報の管理機能や認証／検証プロセスの隙を突いた攻撃手法であり、管理サーバの不正操作／マルウェアの配置／システム全体への感染拡大／被害組織の完全な制御といった影響を及ぼします。一時的な対応策として AdminService ログの監視／ “adsource.dll” の変更検知／アクセス制限／ロール割り当ての見直しを実施した上で、10 月に予定されている修正の適用が求められます。