JVN iPediaは2026年10月19日、Microsoft QUICの脆弱性「CVE-2026-85790」を掲載しました。ネットワーク経由で情報が漏えいする恐れがあり、Windows、Visual Studio、MsQuic関連パッケージの特定の版が影響対象です。情シスは、社内の端末やサーバーだけでなく、開発環境の利用版も確認する必要があります。
情報漏えいの恐れ、利用者の操作なしで攻撃が成立する評価
脆弱性の種類は、使い終えて解放したメモリを再び参照する「解放済みメモリの使用(CWE-416)」です。
深刻度を示すCVSS v3の基本値は5.9で、JVN iPediaでは「警告」に分類されています。攻撃条件の複雑さは「高」ですが、攻撃に特権や利用者の関与は不要と評価されています。利用者が不審なファイルを開かない、といった周知だけで対策を済ませず、対象版の確認を進めたい内容です。
評価上、情報の秘密を守る「機密性」への影響は「高」です。一方、情報の改ざんに関わる完全性と、サービスを使い続けられるかに関わる可用性への影響はありません。今回の情報は情報漏えいのリスクに関するもので、掲載内容からサービス停止や改ざんの恐れまで広げて説明しないようにします。
Windowsだけでなく、開発ツールとパッケージも対象
JVN iPediaが挙げた影響対象は次のとおりです。「未満」は、その番号自体を含みません。
- Microsoft.Native.Quic.MsQuic.Schannel：2.6.2未満
- Microsoft Visual Studio 2026：18.10.0以上18.10.4未満
- visual studio 2022：17.14.0以上17.14.42未満
- Microsoft Windows 11 23h2：10.0.22631.7652未満
- Microsoft Windows 11 24h2：10.0.26100.9711未満
- Microsoft Windows 11 25h2：10.0.26200.9711未満
- Microsoft Windows 11 26h1：10.0.28000.3231未満
- Microsoft Windows 11 26H2：10.0.26300.9711未満
- Microsoft Windows Server 2022：10.0.20348.5761未満
- Microsoft Windows Server 2025：10.0.26100.33650未満
製品名や「Windows 11」という名称だけでは、対象かどうかを判断できません。上記の版や番号まで照合することが重要です。また、Windowsの確認だけで完了扱いにせず、Visual Studioとパッケージは別の確認項目にします。
JVN iPediaは、ベンダ情報を確認して適切な対策を実施するよう案内しています。参照先として掲載されているのは、Microsoftのセキュリティ更新プログラムガイドです。対象範囲の境界にある番号だけで更新先を決めず、この識別子に対応する案内を確認してください。
影響する会社・しない会社
- 影響する: 上記の対象版のMicrosoft Windows 11、Microsoft Windows Serverを利用している会社。端末とサーバーを分けて確認する必要があります。
- 影響する: 対象範囲のVisual Studio、またはMicrosoft.Native.Quic.MsQuic.Schannel 2.6.2未満を利用している会社。開発担当者にも確認を依頼します。
- 影響しない: 掲載された影響対象の製品・版を利用していない会社は、今回示された対象範囲には入りません。ただし、掲載されていない製品全般の安全性を保証する情報ではありません。
情シスが今日やること
- 今日の確認作業で、IT資産台帳や端末・サーバーの管理情報から、対象製品と版の一覧を作ります。製品名だけで版が分からないものは「未確認」とし、対象外に振り分けないでください。
- 開発担当者にCVE-2026-85790と上記の対象範囲を伝えます。Visual Studioの利用版と、Microsoft.Native.Quic.MsQuic.Schannelの利用有無・版を、更新計画を決める前に回答してもらいます。
- JVN iPediaが参照先としているMicrosoftのセキュリティ更新プログラムガイドで、CVE-2026-85790に対応する案内を確認します。製品別の対策を照合してから、適用する更新内容を決めます。
- 対象が見つかったら、端末・サーバー・開発環境の各担当者に確認結果を共有します。対応予定日と担当者を決め、対応後は版の記録を更新してください。資料には一律の対応期限は書かれていないため、社内の対応期限として管理します。
