Microsoft SCCM の脆弱性 CVE-2026-47301：SYSTEM レベルのコード実行の PoC が登場

PoC Exploit Released for Microsoft SCCM Vulnerability Enabling SYSTEM-Level Code Execution

2026/08/18 gbhackers — 最近公開された Microsoft Configuration Manager (旧称 SCCM) 向けの PoC エクスプロイトは、認証済みのドメイン・ユーザーが、脆弱なプライマリ・サイト・サーバ上で SYSTEM 権限へ昇格できる可能性を実証するものである。この脆弱性 CVE-2026-47301 はセキュリティ研究者 Omri Baso により報告されたものであり、単一の独立した欠陥ではなく、複数の脆弱性を組み合わせた攻撃チェーンとして成立する。

Microsoft SCCM の脆弱性

このエクスプロイトで組み合わされる複数の脆弱性は、アクセス制御の不備／CAB アーカイブ展開時のパス・トラバーサル／証明書検証の回避／DLL ハイジャックなどであり、これらを連鎖させることで、攻撃者は Configuration Manager サービスが使用する高権限のコンテキストでコードを実行できる可能性がある。

研究者による技術的な説明によると、このエクスプロイトでは、CAB 形式で提供される拡張パッケージのコンテンツを処理する仕組みが悪用され、特別に細工されたアーカイブによってトラバーサル・シーケンスを介して本来の展開先以外へファイルを書き込ませることが可能となる。それにより攻撃者は、Configuration Manager のインストール環境にある “bin\X64” ディレクトリに DLL ファイルを配置できる。

さらに、この手法はパスに依存しないため、攻撃者は SCCM のインストール時に選択された特定のディレクトリを知る必要もない。したがって、デフォルト以外の展開パスを使用すれば、悪用試行から十分に保護できると考えている組織もリスクを免れない。

この攻撃チェーンでは、配置した DLL を SCCM Executive サービス (SMS_EXECUTIVE) に読み込ませる DLL ハイジャックも利用される。Baso の PoC には、”adsource.dll” ライブラリを悪用し、悪意のあるコンポーネントを実行しながら通常のサービス動作を維持するよう設計されたプロキシ DLL メカニズムが含まれる。

標的となるサービスは SYSTEM レベルの権限で動作するため、この攻撃チェーンの悪用に成功した攻撃者は、侵害したプライマリ・サイト・サーバを完全に制御する可能性がある。通常の企業環境では、このようなサーバが担う管理機能は、ソフトウェアの展開／エンドポイントの構成／オペレーティング・システムの展開処理などの重要なインフラ機能に及ぶことから、横展開の足掛かりとなる価値の高い標的となる。

公開された PoC は、低権限のドメイン・アカウントが Active Directory の System Management コンテナに関連付けられたアクセス制御エントリを調査することで、プライマリ・サイト・サーバの候補を特定できることも実証している。通常、構成データの公開と管理を行う SCCM サイト・サーバは System Management コンテナに対する権限を保持しているため、サーバ名が Active Directory のクエリを通じて直接露出しない場合でも、マシン・アカウントに割り当てられた権限を悪用する攻撃者が、リポジトリを介して該当するサーバを推測する可能性がある。

したがって、セキュリティ・チームは、SCCM 関連の Active Directory オブジェクトに対する異常なディレクトリ権限の列挙や偵察を不審なアクティビティとして扱い、特に管理者ロールを持たないアカウントによる列挙や偵察を監視する必要がある。

研究者の実証用ペイロードは、組み込みの RID 500 のローカル管理者アカウントを変更し、その変更内容を影響を受けたサーバ上に記録するものであり、この挙動は PoC 固有のものだが、SYSTEM レベルのアクセスが持つ深刻さを示している。

この欠陥を突く攻撃者は、リモート・アクセス・ツールの展開／SCCM パッケージの操作／認証情報の収集／セキュリティ制御の無効化／管理対象エンドポイントへの悪意のあるコンテンツの配布などを行う可能性がある。

リポジトリにはコンパイル済みのリリースと署名済み CAB ファイルが含まれているため、自組織の影響範囲の確認と悪用試行の監視を急ぐ必要性が高まっている。Microsoft Configuration Manager を使用する組織に求められるのは、Microsoft のアドバイザリを直ちに確認し、CVE-2026-47301 に対するセキュリティ更新プログラムまたは緩和策を適用することである。

修正が確認されるまで、防御側では SCCM インフラへのアクセス制限／SCCM バイナリ・ディレクトリ内の変更の監査／SMS_EXECUTIVE による予期しない DLL 読み込みの調査／異常な CAB パッケージ処理の監視を行うことが推奨される。さらに、System Management コンテナについては Active Directory 権限を確認し、正規の SCCM サイト・サーバ・アカウントのみが必要な権限を保持していることを確認する必要がある。

Microsoft Configuration Manager (旧称 SCCM) における特権昇格の危険性について解説する記事です。低権限のユーザーであっても、システム制御権を取得できる脆弱性 CVE-2026-47301 が確認されています。アクセス制御の不備 ／ パス・トラバーサル ／ 証明書検証の回避 ／ DLL ハイジャックという複数の欠陥が連鎖することで SYSTEM 権限での不正実行に繋がります。広範な管理機能を持つ基盤が乗っ取られた場合、インフラ全体への悪意のある配信や不正アクセス等の重大な被害を生じさせます。解決に向けてはセキュリティ更新プログラムの迅速な適用 ／ 関連バイナリ監視 ／ 権限管理の厳格化などの包括的な運用調整が強く求められます。