Trusted Design

CVE-2026-81963 の詳細

CVEの情報

説明:
Improper link resolution before file access ('link following') in Windows Update Stack allows an authorized attacker to elevate privileges locally.

CVE更新日: 2026-09-08 18:21:00.090000

CVSSバージョン: 3.1

CVSSスコア: 7.8

KEVの情報

KEV更新日: 2026-09-08

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.003930000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: False

AIを使った解説

解説:

CVE-2026-81963について、以下の観点で解説します。

1. 脆弱性の概要

1.1 概要

CVE-2026-81963は、Windows Update Stackにおける不適切なリンク解決（「リンクフォロイング」）および不適切なアクセス制御（CWE-59およびCWE-284）に起因するローカル権限昇格の脆弱性です。この脆弱性は、すでに実際の攻撃で悪用されていることが確認されています。

認証された低権限のローカル攻撃者が、Windows Update Stackの特権プロセスがアクセスするパスに悪意のあるシンボリックリンクまたはディレクトリジャンクションを配置することで、SYSTEM権限に昇格することが可能です。これにより、低権限ユーザーとSYSTEM間のアクセス制御境界が迂回されます。

1.2 影響

この脆弱性が悪用されると、攻撃者は低権限のローカルアクセスからSYSTEM権限に昇格し、侵害されたWindowsデバイスを完全に制御できる可能性があります。これにより、セキュリティ制御の無効化、機密情報へのアクセス、保護されたファイルの変更、持続性の確立、資格情報の窃取、および水平移動が可能になります。

1.3 深刻度

CVSSv3.1スコアは7.8（高Severity）と評価されています。 CISA (Cybersecurity and Infrastructure Security Agency) は、この脆弱性を既知の悪用されている脆弱性（KEV）カタログに追加しており、実際の攻撃で悪用されているため、優先的な対処が必要です。

2. 対象となる環境

2.1 影響を受けるOSバージョン

以下のWindowsバージョンおよびビルドが影響を受けます。

  • Windows 11:
    • バージョン 23H2 (ビルド 10.0.22631.7582 より前のバージョン)
    • バージョン 24H2 (ビルド 10.0.26100.9445 より前のバージョン)
    • バージョン 25H2 (ビルド 10.0.26200.9445 より前のバージョン)
    • バージョン 26H1 (ビルド 10.0.28000.2954 より前のバージョン)
  • Windows Server 2025 (ビルド 10.0.26100.33438 より前のバージョン)
  • 上記以外にも、Windows Server 2025のServer Coreインストールも影響を受けます。

2.2 影響を受ける設定

この脆弱性はWindows Update Stack内の不適切なファイル処理に存在します。これは、Microsoftのアップデートインフラストラクチャ自体が侵害されたことを意味するものではなく、ローカルシステムでのアップデート処理におけるリンクフォロイングの動作が悪用されるものです。

3. 影響を受けた時の兆候

CVE-2026-81963の悪用が成功した場合の兆候には、以下のようなものが挙げられます。

  • 疑わしい権限昇格の発生。
  • SYSTEMレベルでのファイル変更。
  • Windows Updateプロセスに関連する異常なアクティビティ。
  • 通常のユーザー権限で実行されているプロセスが、急速に特権の高いアクティビティを実行するような、予期せぬ権限移行。
  • 特に、ユーザー実行後に新しいSYSTEMレベルのプロセスが生成される、予期せぬサービス作成、異常なスケジュールタスク作成、特権トークンを取得するプロセス、信頼されたSYSTEMコンポーネントによって生成された疑わしい子プロセス、権限昇格イベント後にセキュリティツールが突然終了するなどの兆候。
  • Windows Updateアクティビティログで、アクセスエラーを伴うアップデート操作や、予期せぬファイルパスに触れる操作が記録されている場合。これは、配置されたリンクによってファイル操作がリダイレクトされたことを示している可能性があります。
  • SYSTEM特権プロセス（Windows Updateワーカーなど）が、予期される作業ディレクトリ外のファイルパス、特に標準ユーザーが書き込み可能なパスにアクセスするプロセス作成イベントについて、Windowsセキュリティイベントログを監視すること。
  • 低権限アカウントによって作成され、SYSTEM所有のファイルパスを指すジャンクションおよびシンボリックリンク作成イベント（機密ディレクトリのオブジェクトアクセス監査など）を、特にアップデート操作の直前または最中に監査すること。

4. 推奨対策

4.1 本対策

  • Microsoftが提供するセキュリティアップデートの適用：影響を受けるWindows 11およびWindows Server 2025システムに対し、2026年9月のセキュリティアップデートを直ちに展開してください。
  • パッチ適用の確認：パッチが正常にインストールされ、すべてのWindows環境に適用されていることを確認してください。
  • CISAのKEVカタログに登録されているため、通常の脆弱性管理サイクルの一部としてではなく、優先的にこれらのアップデートを適用することが強く推奨されます。

4.2 暫定回避策（緩和策）

  • シンボリックリンクおよびディレクトリジャンクション作成権限の制限：標準ユーザーアカウントがシンボリックリンクおよびディレクトリジャンクションを作成する能力を制限するために、グループポリシーを介して「シンボリックリンクの作成」ユーザー権限（SeCreateSymbolicLinkPrivilege）を管理者および明示的に信頼されたアカウントのみに許可するように構成します。
  • 最小特権の原則の適用：機密システムへのローカルアクセスを制限し、最小特権の原則（PoLP）を強制することで、許可されていないユーザーが脆弱性をトリガーするために必要なローカルコマンドを実行できないようにします。
  • 特権昇格とSYSTEMレベルの動作の監視：疑わしい権限昇格やSYSTEMレベルの動作を監視します。
  • 不要なローカル管理者アクセス権の削減：システム上の不要なローカル管理者アクセス権を減らします。
  • EDRの活用：エンドポイント検出および対応（EDR）ツールを常にアクティブにし、改ざんから保護します。
  • アプリケーション制御の利用：運用モデルの一部としてアプリケーション制御が導入されている場合は、これを活用します。
  • 侵害された可能性のあるアカウントまたはエンドポイントの調査：潜在的に侵害されたアカウントまたはエンドポイントを調査します。

参照元サイト

NVDサイト

NVDでCVEの詳細を見る

戻る