Trusted DesignCVE-2026-68820 の詳細
CVEの情報
説明:
Use after free in Windows Ancillary Function Driver for WinSock allows an authorized attacker to elevate privileges locally.
CVE更新日: 2026-08-11 17:19:06.357000
CVSSバージョン: 3.1
CVSSスコア: 7.0
KEVの情報
KEV更新日: 2026-08-11
EPSSの情報
EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。
EPSSスコア: 0.003320000
EPSS更新日: 2026-10-16 00:00:00
SSVCの情報
SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。
Exploitation: active
Technical Impact: high
Automatable: False
CVE-2026-68820について、以下の観点で解説します。
1. 脆弱性の概要
脆弱性の概要: Windows Ancillary Function Driver for WinSock (afd.sys) における特権の昇格の脆弱性です。この脆弱性はUse-after-freeの欠陥に起因し、ローカルの認証済み攻撃者が特別に細工したアプリケーションを実行し、競合状態を発生させることでSYSTEM権限を取得できる可能性があります。 ユーザーの操作は不要です。
1.1 影響: 攻撃者がSYSTEMレベルでコードを実行できるようになります。 これにより、攻撃者は完全なシステム侵害、資格情報の窃盗、永続性の確立が可能となります。 一般的に、初期侵入（マルウェア実行）後の権限昇格ステップとして利用されることが多い脆弱性です。
1.2 深刻度: CVSS 3.1の基本値は7.0です。 Microsoftの深刻度評価は「重要（Important）」に分類されています。 しかし、パッチ公開時点で既に攻撃で悪用されていることが確認されているため、CVSSスコアや深刻度評価以上に緊急性が高いとされています。 米国CISAは、実際の悪用が確認されている脆弱性を集約するKnown Exploited Vulnerabilities (KEV) カタログに本脆弱性を追加しており、早急な対応を求めています。
2. 対象となる環境
2.1 影響を受けるOSバージョン: 以下のMicrosoft Windows製品およびバージョンが影響を受けます。
2.2 影響を受ける設定: WinSock用Windows Ancillary Function Driver (afd.sys) が使用される環境全般に影響します。afd.sysはネットワークソケット処理を担う重要なカーネルドライバであり、多くのWindows環境で利用されています。
3. 影響を受けた時の兆候
この脆弱性はローカル特権昇格であるため、直接的な兆候を特定することは難しい場合があります。しかし、攻撃者がSYSTEM権限を取得すると、以下のような兆候が現れる可能性があります。
EDR (Endpoint Detection and Response) ソリューションなどによる異常なプロセス挙動や特権変更の監視が、悪用を検知する上で有効であると示唆されています。
4. 推奨対策
4.1 本対策: Microsoftが2026年8月11日（米国時間）に公開したセキュリティ更新プログラムをできるだけ早期に適用してください。 * Windows Update を通じて自動的にセキュリティ更新プログラムがダウンロードされインストールされますが、早期の適用が強く推奨されています。 * Microsoft Update カタログからも更新プログラムを入手可能です。 * 適用にはシステムの再起動が必要になる場合があります。
4.2 暫定回避策（緩和策）: 現時点では、Microsoftから文書化された回避策や緩和策は提供されていません。 パッチの適用が主要かつ最も効果的な対策となります。 ただし、多層防御の一部として以下の対策が被害拡大の抑制に役立つ可能性があります。 * ネットワークセグメンテーションによる影響範囲の限定。 * アクセス制限による不必要なアクセス経路の遮断。 * EDR (Endpoint Detection and Response) ソリューションの導入と適切な設定による、異常な振る舞いの検知と対応。
5. 他に解説すべき観点
悪用状況: 本脆弱性は、Microsoftがセキュリティ更新プログラムを公開するよりも前に、既に実際の攻撃で悪用されていた「ゼロデイ脆弱性」であることが確認されています。 米国CISAは本脆弱性をKnown Exploited Vulnerabilities (KEV) カタログに追加しており、政府機関に対して期限内の対応を義務付けています。
攻撃者: Check Point Researchの調査により、北朝鮮に関連するLazarus Groupが、偽求人キャンペーン「Operation Dream Job」の一環としてCVE-2026-68820を悪用していたことが明らかになっています。
参照したサイト