Microsoft Reveals 78% of Exploited Vulnerabilities Enable System Takeover and Privilege Escalation
2026/11/03 CyberSecurityNews — Microsoft の新たな調査で明らかになったのは、システムの制御権を取得できる脆弱性を、攻撃者が優先的に狙っているという事実である。全体の約 0.5% に留まる実際の攻撃で悪用された脆弱性の約 78% は、システムの乗っ取りまたは権限昇格を可能にするものであった。この調査結果は、Microsoft Security Research が 2026年11月2日に公開したデータ分析に基づいている。ソフトウェアの脆弱性は増加し続けており、1999年から 2026年9月までの間に約 38万3,000件が公表されている。そのうち、実際の攻撃により悪用された脆弱性は約 2,000件であり、全体の約 0.5% に留まる。実際の攻撃で悪用される脆弱性は 200件に 1件未満であるため、防御側にとって重要なのは、優先的に対処すべき脆弱性を把握することである。
Microsoft の研究者 Yair Tsarfaty と Or Begam が指摘するのは、攻撃者が優先的にリモートコード実行／権限昇格／認証バイパスの脆弱性を狙っており、ほかの種類の脆弱性と比べて高い頻度になっている点だ。
さらに研究者たちが警告するのは、AI を活用した脆弱性の発見やエクスプロイトの作成により、防御側で対応に費やせる時間が短縮される可能性である。すでに確認されている、脆弱性の公表から数時間以内に攻撃者は悪用を開始するという傾向と、この点で一致している。
悪用された脆弱性の 78% に共通する特徴とは？
研究チームは、各 CVE を影響と対象プラットフォームという 2つの観点から分析した。ここでいう影響とは、攻撃者が得られる最大の効果を意味する。たとえば、認証を回避した後にリモートコード実行が可能になる脆弱性について、Microsoft はリモートコード実行に分類している。
対象プラットフォームには、Windows／Linux／Unix／モバイル環境／ネットワーク機器／IoT／OT／仮想化ホスト／開発者向けパッケージが含まれる。
公表された脆弱性全体と、実際に悪用された脆弱性の間には、大きな違いがある。公表されたすべての CVE のうち、約 77% はアプリケーションのコードに存在し、23% はオペレーティング・システムのコードに存在している。
その一方で、実際に悪用された脆弱性では、オペレーティング・システムの脆弱性が占める割合は 41% に上昇する。サーバ側のリモートコード実行は、脆弱性全体における 20% から、悪用された脆弱性では 37% に増加する。ローカル権限昇格は 11% から 18% に、クライアント側のリモートコード実行は 4% から 13% に増加する。
攻撃者にとって利用価値の低い種類の脆弱性は、その割合が大幅に低下する。クロスサイトスクリプティングは 15% から 4% に、サービス拒否 (DoS) は 16% から 7% に減少する。
システムのクラッシュや限定的なスクリプト実行では、攻撃者が後続の攻撃に利用できる効果が下がる一方で、コード実行や高権限の取得は、その後の攻撃活動の足掛かりになると、Microsoft は説明している。
.webp)
代表的な例として挙げられるのは、CLFS ドライバに存在する Windows の権限昇格の脆弱性である。この脆弱性により、ローカルユーザーが SYSTEM 権限を取得することが可能になった。
さらに Microsoft が注意を促すのは、脆弱性に付けられた分類が、実際の悪用結果と必ずしも一致するとは限らない点である。リモートコード実行と分類された脆弱性であっても、実際の環境ではシステムクラッシュしか引き起こせない場合がある。そのため、セキュリティチームにとって必要なことは、修正の優先順位を決定する前に、攻撃者が実際に実行可能な操作を確認することである。
パッチ適用の遅延が攻撃者に有利に働く理由
2つ目の調査結果は、対応速度に関するものである。Microsoft の 2026年の露出状況に関するデータによると、Windows ワークステーションで修正が完了するまでの期間の中央値は約 2週間である。
Windows Server では 1か月以上、Linux サーバと macOS アプリケーションでは 10週間以上、ネットワーク機器では 1年以上を要する。この時間差が攻撃者に悪用の機会を与えているが、特に重要なシステムほど、その期間が長くなっている。
脆弱性の悪用は、はるかに速いペースで進んでいる。VulnCheck の報告によると、2025年のエクスプロイトの 29% は、CVE の公開から 1日以内に実行された。CISA のデータでは、CVE の公開から KEV カタログへの登録までの平均期間が、2024年の 89日から 2025年には 57日に短縮された。
2026年9月までのデータでは、平均期間は 20日であり、中央値はわずか 3日である。Microsoft によると、攻撃者が脆弱性の価値を決定する要素は、影響度と露出度の 2つである。サーバでは、業務上必要な範囲を超える権限を持つ、サービス・アカウントやクラウド ID が使用されていることが多い。
こうしたアカウントのいずれかを乗っ取った攻撃者は、データ／管理者権限／信頼されたネットワーク経路へのアクセスを取得する。Microsoft は、こうした侵害の影響が及ぶ範囲を Blast Radius (影響範囲) と呼んでいる。公開されたエクスプロイト・コードは、この問題をさらに深刻化させる。その一例が、修正プログラムを適用済みのコンピュータでも、SYSTEM 権限の取得を可能にした Windows の MiniPlasma ゼロデイ脆弱性である。
防御側が最優先で修正すべきは、システムの乗っ取りを可能にする脆弱性だと、Microsoft は説明している。これらの脆弱性を修正することで、侵入が拡大する前の早い段階で、攻撃の阻止が可能になる。次に優先されるのは、可用性が重要なシステムに対するサービス拒否や、特権 ID へのアクセス経路につながる認証情報の漏洩などである。
同様の傾向は、ローカルの脆弱性を悪用する攻撃者が、SYSTEM 権限を取得した Cloud Files ドライバのゼロデイ脆弱性にも見られる。パッチの適用は引き続き重要だが、古いシステムやサポートが終了したシステムでは、修正プログラムを適用できない場合がある。
Microsoft が推奨しているのは、Defender External Attack Surface Management を使用し、シャドー IT やサードパーティ製品への依存関係を含め、インターネットに公開されたすべての資産を特定することである。
Defender Vulnerability Management は、CVSS スコアだけでなく、悪用に関するシグナル、インターネットへの露出状況、資産の重要性を考慮して、脆弱性の優先順位を決定する。
Attack Path Analysis は、インターネットに公開されたサーバから特権 ID を経由し、機密データへ到達する可能性のある攻撃経路を可視化する。これにより、セキュリティチームは、その経路を遮断する対策を講じることができる。Microsoft は、調査結果において詳細を公開している。
Indicators of compromise (IoCs):-
| Indicator Type | Value |
|---|---|
| SHA256 / MD5 / SHA1 hashes | None published in source |
| Domains / URLs | None published in source |
| IP addresses | None published in source |
| CVE IDs | None specific; analysis covers about 2,056 exploited CVEs |
注: IP アドレスとドメインは、意図しない名前解決やハイパーリンク化を防ぐため、意図的に無害化されている (例: [.])。元の表記に戻す操作は、MISP、VirusTotal、または組織の SIEM など、管理された脅威インテリジェンスプラットフォーム内でのみ実施すること。
この記事は、統計データに基づいて全公表脆弱性のうち実際の攻撃で悪用される割合と、優先して修復すべき領域について解説するものです。膨大な欠陥の公表に対する手動対応の限界やセキュリティ対策の適用遅延が背景に存在します。影響として、侵入後の迅速な最高権限奪取／内部システムへのアクセス拡大／重要資産の非合法な制御が生じる恐れがあります。対応策として、外部公開資産の把握／危険度や露出度に基づく修復優先順位の設定／潜在的攻撃経路の遮断が求められます。
You must be logged in to post a comment.