フォローする 
Microsoftの2026年8月のパッチ・チューズデーは、数百のセキュリティ脆弱性に対処していますが、注目すべきは、攻撃者が修正を待たずにすでに悪用していた問題です。CVE-2026-68820は、WinSockのためのWindows補助機能ドライバーであるAFD.sysにおける高深刻度の権限昇格の脆弱性で、ローカル攻撃者が権限をSYSTEMに昇格させることができます。
この欠陥はCVSSスコア7.0を持ち、WindowsソケットAPIが使用するソケット操作をサポートするコアWindowsカーネルドライバーに存在しています。エクスプロイトには、攻撃者がターゲットマシンでコードを既に実行している必要がありますが、成功すると既存の足場を追加のユーザー操作なしに完全なシステムレベルの制御に変えることができます。
この脆弱性は現実の国家主体の活動とも関連付けられています。Check Point Researchは、北朝鮮関連のLazarusグループが長期に渡るOperation Dream Jobキャンペーンの一環として、このゼロデイを利用したと報告しました。攻撃者は、初期のターゲットシステムの侵入後、新しいバージョンのFudModuleカーネルモードルートキットを展開するために使用しました。
CVE-2026-68820分析
技術的には、CVE-2026-68820は、複数のスレッドがソケット関連の状態に同時に対話するときの不適切な同期によってAFD.sysに引き起こされる、使用後解放の脆弱性です。特定の競合条件下では、あるコードパスがメモリオブジェクトを解放している間に、別のパスがそれにアクセスを続け、権限昇格のために武器化することができるメモリ破損状態を生み出します。
攻撃者はまずローカル認証済みアクセスを取得するか、ターゲットでコード実行を達成する必要があります。その後、特に生成されたアプリケーションが競合条件を繰り返しトリガーし、脆弱なタイミングウィンドウに達するまで試行できます。成功したエクスプロイトはカーネルの読み書きプリミティブを提供し、最終的にSYSTEM権限を取得するために利用できます。
CVE-2026-68820の最も重要な点は、初期アクセスではなく、多段階の侵入での役割です。攻撃者は、AFD.sysを通してインターネットから遠隔地のWindowsデバイスを単にターゲットにすることはできません。代わりに、マルウェア、盗まれた資格情報、フィッシング、または他の脆弱性によってすでに足場が得られた後、このバグは価値を持ちます。
そのパターンは、LazarusのOperation Dream Jobで観察されました。Check Pointの研究者は、防衛、航空宇宙、航空、ドローン、ロボティクス、および軍事技術組織を標的とした偽の就職機会を重視していることを発見しました。このキャンペーンは、悪意のあるPDF関連のおとりやトロイの木馬化されたソフトウェアを使用して初期実行を得た後、追加のマルウェアモジュールをデプロイしました。
ある感染チェーンでは、MISTPENのメモリ内ダウンローダーが偵察を行い、持続性を確立し、Windowsネットワークドライバーを狙ったエクスプロイトモジュールをロードしました。権限昇格が成功した後、攻撃者はFudModuleをSYSTEM権限で実行し、カーネルモードルートキットがセキュリティ監視に干渉し、より深い妥協をサポートするのに必要な特権を取得しました。
CVE-2026-68820は、Windows 10、Windows 11、および複数のWindowsサーバー世代を含む、幅広いサポートされているWindowsクライアントおよびサーバーリリースに影響を与えます。これにより、既存の低特権の妥協が完全なシステム制御にエスカレートする可能性がある社員のワークステーションだけでなく、企業サーバーにも関連性を持ちます。
執筆時点では、要求されたレポートのどちらもCVE-2026-68820の公的PoCを示していません。Check Pointもまた、Microsoftがパッチをリリースした直後に全技術的なエクスプロイトの詳細を意図的に控え、組織がアップデートを展開する間に、簡単に再現するための情報量を減らしました。
また、Microsoftが公開したCVE-2026-68820のIOCsは、競合条件自体のエクスプロイトを特定するものではありません。しかし、防御者は、可能性のあるOperation Dream Jobの活動を調査する際、特権エスカレーションイベントをCheck Pointのキャンペーン研究の一部としてリリースされたマルウェア、インフラ、ファイル指標と関連付けることができます。
CVE-2026-68820の軽減策
Microsoftは、2026年8月11日のパッチ・チューズデーアップデートでこの脆弱性に対処しました。この欠陥はすでに実際の攻撃で悪用されているため、影響を受けたWindowsエンドポイントやサーバーは、同じアップデートサイクルに含まれるいくつかのクリティカルなリモートコード実行問題よりCVSSスコアが低いにもかかわらず、即時の修正が優先されるべきです。
CVE-2026-68820の検出は、パッチ状況とローカル特権昇格に関連する行動の両方に注目すべきです。セキュリティチームは、8月のセキュリティアップデートを受けていないWindowsシステムを特定し、通常のユーザーまたはアプリケーションコンテキストからの予期せぬSYSTEMレベルの実行への移行を調査する必要があります。
CVE-2026-68820のエクスプロイトまたは関連するポストコンプロマイズ活動を検出するには、防御者は特に次の点に注意を払うべきです：
- ユーザーコンテキストから実行された後にSYSTEM特権を取得する予期しないプロセス
- 権限昇格の直前のAFD.sysに関連する疑わしい活動
- カーネルレベルのマルウェアまたはEDR可視性に干渉しようとする試み
- 異常なプロセス、スレッド、レジストリ、またはセキュリティコールバックの操作
- DLLサイドローディングや悪意のあるPDF関連のデリバリーチェーンの証拠
- カーネルレベルアクティビティの直前に現れる新しい持続性メカニズム
組織はまた、ローカル権限昇格の欠陥を修正しても、アップデート前に妥協したシステム上に既に存在しているマルウェアや持続性を除去しないことを覚えておくべきです。Lazarus活動と一致する指標を示しているホストは、潜在的なインシデントとして扱われ、単純なパッチ検証を超えて調査されるべきです。
高リスクの組織、特に防衛、航空宇宙、航空、ロボティクス、および関連技術分野においては、修復は迅速なWindowsパッチ適用とエンドポイントハンティング、特権昇格の監視、資格情報のレビュー、およびユーザーが最近実行した疑わしいジョブテーマのおとりやトロイの木馬化ソフトウェアの調査を組み合わせるべきです。
FAQ
CVE-2026-68820とは何ですか？また、どう機能しますか？
CVE-2026-68820は、AFD.sysとしても知られるWinSockのためのWindows補助機能ドライバーにおける、使用後解放の権限昇格脆弱性です。ローカル認証された攻撃者が、ドライバーで競合状態を引き起こす特に生成されたアプリケーションを実行することができます。成功したエクスプロイトはカーネルレベルのメモリアクセスを提供し、攻撃者が特権をSYSTEMに昇格させることができます。
CVE-2026-68820はいつ初めて発見されましたか？
Check Point Researchは、この脆弱性を2026年7月28日にMicrosoft Security Response Centerに報告しました。Microsoftは問題を7月31日に確認し、8月5日にCVE識別子を与え、2026年8月11日のパッチ・チューズデーの一部としてセキュリティ修正をリリースしました。Check Pointは、2026年の少なくとも7月初めからOperation Dream Jobにおいてゼロデイが悪用されていることを観察しました。
CVE-2026-68820のシステムへの影響は何ですか？
成功したエクスプロイトはSYSTEM特権を提供し、攻撃者にWindowsホストに対する最高の実用的な制御レベルを与えます。これにより、セキュリティツールの干渉、資格情報のアクセス、持続性、マルウェアの展開、データ窃盗、および環境全体での追加の横展開が可能になります。
2026年にCVE-2026-68820はまだ私に影響を与える可能性がありますか？
はい。Microsoftの2026年8月のセキュリティアップデートを受けていないWindowsシステムは脆弱なままである可能性があります。リスクは特に急であり、パッチがリリースされる前にエクスプロイトが確認され、この脆弱性が高度な国家主体の侵入キャンペーンにすでに組み込まれているためです。
CVE-2026-68820から自分を守るにはどうすればよいですか？
Microsoftの2026年8月のセキュリティアップデートを即座に適用し、Windowsエンドポイントとサーバーにわたってアップデートと必要な再起動が完了したことを確認してください。組織はまた、疑わしいSYSTEM特権昇格、カーネルレベルのマルウェア、特にパッチ適用前に妥協した可能性のあるシステムでLazarusのOperation Dream Jobに関連する指標を探知するべきです。
