Trusted Design

CVE-2026-20805 の詳細

CVEの情報

説明:
Exposure of sensitive information to an unauthorized actor in Desktop Windows Manager allows an authorized attacker to disclose information locally.

CVE更新日: 2026-01-13 18:16:07.023000

CVSSバージョン: 3.1

CVSSスコア: 5.5

KEVの情報

KEV更新日: 2026-01-13

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.037380000

EPSS更新日: 2026-04-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: False

AIを使った解説

解説:

CVE‑2026‑20805はWindows Desktop Window Manager（DWM）に存在する情報漏えい脆弱性です。 KEVに登録されている通り、Microsoftは悪用が確認済み（actively exploited）と公表しています。

  1. 脆弱性の概要 【影響】 ・権限を持たない攻撃者が機微情報を取得できてしまいます。 ・Microsoftの説明では、攻撃成功時に「リモートALPCポートに関連付けられたセクションアドレス（ユーザーモードメモリ）」の漏洩が発生します。 ・ログイン済みの攻撃者が悪用可能です。

【深刻度】 ・CVSS v3.1：5.5（Medium）

  1. 対象となる環境 【影響を受ける OS バージョン】 ・Microsoftの月例パッチ（2026年1月）で修正されたWindows製品が対象です。 ※ DWMはWindowsの標準コンポーネントであるため、Windows 10 / 11 / Windows Server系が含まれます。

【影響を受ける設定】 ・ローカルでログイン可能な攻撃者が存在する環境。

  1. 影響を受けた時の兆候 具体的な兆候は明らかにされていませんが、Microsoftは悪用を確認済みと公表しています。

  2. 推奨対策 【本対策（恒久対策）】 ・2026年1月のセキュリティ更新プログラムを適用すること。 ・MicrosoftおよびIPAが緊急適用を推奨しています。

【暫定回避策（緩和策）】 ・ローカル攻撃者が必要なため、不要なローカルアカウントの無効化・端末の物理/論理アクセス制限が有効と考えられます。

  1. 追加で知っておくべき観点 ・Microsoftがゼロデイでの悪用確認済み ・ローカル攻撃者が ALPC 関連メモリアドレスを取得可能

NVDサイト

NVDでCVEの詳細を見る

戻る