フォローする Microsoftは、すでに実際の攻撃で悪用されている高重大度のWindowsシェルセキュリティ機能バイパス脆弱性であるCVE-2026-96951を修正しました。この欠陥はCVSSスコア8.8を持ち、特別に作成されたファイルとやり取りするよう被害者を説得することで、認証されていない攻撃者がMark of the Web（MOTW）保護を回避することを可能にします。
このゼロデイ脆弱性は、Microsoftの2026年10月のPatch Tuesdayの一環として対処されました。このリリースは、Windows、Office、SharePoint Server、SQL Server、開発者ツール、その他のMicrosoft製品で1400を超える脆弱性をカバーする、異常に大規模なセキュリティリリースです。CVE-2026-96951は、その悪用が野外で積極的に行われていることがMicrosoftによって確認されたため、際立っています。
Mark of the Webは、インターネットやメールなどの潜在的に信頼できない場所から来たファイルに対してマークを付ける基本的なWindowsセキュリティメカニズムです。Windowsやアプリケーションは、この情報を使用してセキュリティ警告を表示したり、保護されたビューを有効にしたり、潜在的に危険なコンテンツが実行される前に追加の制限を適用したりすることができます。
この保護をバイパスできる脆弱性は、そのため、フィッシングや悪意のあるファイル配信を軽減するために通常依存されるいくつかの防御層を弱体化させる可能性があります。
セキュリティチームは、SOC PrimeのAIネイティブ検出インテリジェンスプラットフォームを使用して、脅威インテリジェンスを運用化し、セキュリティスタック全体に関連する検出コンテンツを適用することで、新たに浮上した悪用に対する防御を強化できます。
Prime Architectは、防御者が新たな脅威を研究し、検出ロジックを生成および洗練し、指標をハンティングクエリに変換し、検出を組織のテレメトリに適応させるのを助けることで、検出エンジニアリングをさらに加速できます。
CVE-2026-96951の分析
CVE-2026-96951は、コマンドで使用される特殊要素の中和が不適切なためにWindowsシェルに影響を及ぼし、ネットワークを介してセキュリティ機能をバイパスすることを許可する未承認の攻撃者を可能にするCWE-77コマンドインジェクションとして分類されています。
Microsoftは欠陥にCVSS 3.1スコア8.8を割り当て、ベクトルAV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:Hです。つまり、悪用はリモートから発生し、攻撃の複雑さは低く、事前の特権を必要とせず、ユーザーの操作に依存します。悪用が成功すると、機密性、完全性、および可用性に対して高い影響を与える可能性があります。
危険にさらされているセキュリティ制御はMark of the Webです。Windowsがインターネットまたはその他の信頼できないソースからファイルを受け取ると、MOTWメタデータは通常、ファイルが信頼できる環境外から来たことを示します。次にWindowsのセキュリティ機能やアプリケーションは、開く前や実行する前に追加の保護を適用できます。
Microsoftによると、悪用が成功すると、これらのMOTW防御を回避することが攻撃者に許可されます。メールやインスタントメッセージングのシナリオでは、攻撃者が特別に作成された悪意のあるファイルを送信し、ターゲットを開かせるよう説得することができます。または、脅威アクターが攻撃者が制御するウェブサイトに被害者を誘導し、悪意のあるコンテンツをダウンロードおよび表示させることができます。
攻撃者は被害者に悪意のあるコンテンツを自動的に開かせることはできません。ユーザーの操作が依然として必要であるため、フィッシング、ソーシャルエンジニアリング、悪意のある添付ファイル、および欺瞞的なリンクが配信パスとなる可能性があります。
CVEレコードには、Windows 10、複数のWindows 11リリース、およびServer 2012 R2からServer 2025までのWindows Serverエディションを含む幅広い影響を受けるWindows環境が特定されています。また、Microsoftの記録は、Outlook.comが対応するサービス側の修正が行われる前に影響を受けるとしています。
この脆弱性は特に企業環境に関連があります。MOTWを回避することで、フィッシングキャンペーンを通じて配信されたファイルを停止する意図で配置されたセキュリティ層を弱体化する可能性があります。悪意のあるファイルが期待される警告や制限を回避した場合、コンテンツやその後の攻撃チェーンに依存して追加のペイロード実行が容易になり得ます。
Microsoftは、すでにパッチが公開される前に脆弱性が悪用されていたことを確認し、ゼロデイとしています。しかし、誰が攻撃に責任を持っているのか、どの組織が標的にされたのか、観測された事件で使用された正確な悪用チェーンは公開されていません。
Microsoftは、FujitsuのRiku BambaとYuya Chudo、Claude with Anthropocを使用したBenoit Sevens、およびセキュリティ研究者のyhwにこの脆弱性の報告を感謝しました。正確な最初の発見日は公開されていません。
執筆時点では、公に利用可能なCVE-2026-96951のPoCは文書化されていません。それにもかかわらず、確認された悪用は、公開されたエクスプロイトコードがなくても、パッチ適用の緊急性を大幅に高めます。
CVE-2026-96951の検出には、メール、メッセージプラットフォーム、ブラウザ、ユーザーダウンロードディレクトリから発信された疑わしいファイルを監視し、通常のMOTW保護が適用されていない可能性がある場合に、後続のアクティビティを示すことが特に重要です。
考えられる動作信号には、Windows Explorerや文書処理アプリケーションによって生成された予期しない子プロセス、ダウンロードされたコンテンツから起動されたスクリプトインタープリター、テンポラリまたはユーザー書き込み可能ディレクトリからの異常な実行、期待されるファイルタイプと一致しないポストデリバリーアクティビティなどがあります。
CVE-2026-96951の緩和策
Microsoftは、2026年10月13日のセキュリティ更新を通じて脆弱性に対処しました。組織は、メールの添付ファイル、インスタントメッセージング、ウェブダウンロード、およびその他の一般的なフィッシング配信ベクターにさらされるシステムを特に優先して、サポートされているWindowsエンドポイントとサーバー全体での展開を優先する必要があります。
CVEレコードには、影響を受けるプラットフォーム全体にわたる修正済みビルドしきい値がリストされています。例としては、Windows 11 23H2ビルド22631.7652、Windows 11 24H2ビルド26100.9711、Windows 11 25H2ビルド26200.9711、およびWindows Server 2025ビルド26100.33650があります。管理者は、Microsoftのセキュリティ更新ガイドおよびWindows更新メカニズムを使用して、各サポートされているオペレーティングシステムに対する適切な更新を判断する必要があります。
積極的な悪用がすでに確認されているため、CISAは2026年10月13日にCVE-2026-96951をその公知の悪用された脆弱性カタログに追加し、米国連邦民間機関に対する適用可能な修正期限を10月16日としました。CISAは悪用を積極的とみなし、潜在的な技術的影響を全体的なものと特徴付けています。
組織は、パッチ適用されていないシステムに対する補助的制御としてユーザーの認識やMOTW自体を十分なものとして扱うべきではありません。この脆弱性は、そのセキュリティ境界を特に打ち破るものだからです。アプリケーション制御、攻撃範囲削減ポリシー、メール添付ファイルフィルタリング、エンドポイント保護、およびユーザー書き込み可能な場所からの実行可能またはスクリプトコンテンツに対する制限などの追加の保護が、深層防御を提供することができます。
CVE-2026-96951の悪用を検出するには、ディフェンダーは疑わしいファイル配信イベントをその後のプロセスアクティビティと関連付け、外部ソースから取得されたコンテンツが予期されたMOTW関連の制御なしに実行されたかどうかを判断する必要があります。メールゲートウェイ、ブラウザ、Windowsプロセス作成、PowerShell、スクリプトインタープリター、およびエンドポイントテレメトリは、有用なコンテキストを提供できます。
セキュリティチームは、パッチ展開前に観察された潜在的に疑わしい添付ファイルやダウンロードを遡及的に調査する必要もあります。Microsoftが観測された悪用に結び付けられたファイルハッシュ、ドメイン、またはIPアドレスなどのCVE-2026-96951に特有のIOCsを公開していないため、動作検出と攻撃チェーンの相関が、現在固定指標の一致よりも信頼性が高いです。
疑わしい活動を特定した組織は、影響を受けたエンドポイントを隔離し、ペイロードの実行と持続性を調査し、危険にさらされたユーザーコンテキストからアクセス可能な資格情報を検査し、攻撃者がMOTWを回避した後に追加のアクセスを確立したかどうかを判断する必要があります。
SOC PrimeのAIネイティブ検出インテリジェンスプラットフォームは、SIEM、EDR、XDR、およびデータレイク環境に適応する関連する検出ロジックを用いて新しい脆弱性のための脅威ハンティングと検出エンジニアリングを加速することを証拠するセキュリティチームを可能にします。
FAQ
CVE-2026-96951とは何であり、どのように機能するのか？
CVE-2026-96951は、WindowsシェルにおいてMark of the Web保護をバイパス可能な悪用アクティブなコマンドインジェクション脆弱性です。攻撃者は悪意のあるコンテンツを作成し、社会工学を用いて被害者を説得してファイルを開かせたり、攻撃者が制御するコンテンツを訪問させたりすることができます。悪用が成功すると、Windowsは信頼できない場所からのファイルに通常適用されるセキュリティ保護を失敗します。
CVE-2026-96951はいつ最初に発見されたのか？
Microsoftは正確な初期発見日を公開していません。脆弱性は2026年10月13日に公表され、修正されました。Microsoftは、FujitsuのRiku BambaとYuya Chudo、AnthropocのClaudeを使用したBenoit Sevens、そして研究者yhwに報告の感謝の意を表しています。
CVE-2026-96951のシステムへの影響は何か？
成功した悪用は、Mark of the Webをバイパスし、信頼できないソースから取得したファイルに適用される保護を弱体化します。これにより、悪意のあるコンテンツが予期される警告や制限を回避し、マルウェアの実行継続性、認証情報の窃盗、さらなるシステムの広範囲な侵害を支援する可能性があります。Microsoftは、この脆弱性をCVSS 8.8と評価しています。
2026年にCVE-2026-96951の影響を受けることがまだあるか？
はい。関連する2026年10月のセキュリティ更新をインストールしていないWindowsシステムは依然として脆弱です。リスクは特に緊急であり、Microsoftはアクティブな悪用を確認し、CISAがその欠陥をKown Exploited Vulnerabilitiesカタログに追加したためです。
CVE-2026-96951からの保護方法は？
影響を受けるWindowsシステムに即刻Microsoftの2026年10月のセキュリティ更新をインストールしてください。組織はまた、メールやウェブフィルタリングを強化し、疑わしいダウンロードコンテンツの実行を制限し、ファイル配信後の異常なプロセスチェーンをモニタリングし、潜在的に影響を受けるエンドポイントを調査する必要があります。管理者は、現実の悪用に関する追加情報が利用可能になると、CVE-2026-96951のMicrosoftのアドバイザリを引き続き監視する必要があります。
