Microsoftは2026年10月13日付で、Microsoft QUICの脆弱性「CVE-2026-105016」の勧告を公開しました。Windows上の対象.NETアプリで影響版のパッケージを使用している場合、細工した通信パケットにより遠隔からコードを実行されるおそれがあります。情シスは.NETの更新だけでなく、開発部門や委託先が配備したアプリの構成と更新方法も確認する必要があります。
認証や操作なしで攻撃が成立するおそれ
Microsoftによると、細工したIPv6 QUICパケットがMicrosoft QUICのHTTP/3処理に到達すると、遠隔コード実行につながります。遠隔コード実行とは、離れた場所にいる攻撃者が対象のシステムでコードを動かせる問題です。攻撃に認証やユーザー操作は不要とされています。
Microsoftの深刻度評価はCriticalです。脆弱性の深刻度を表す指標「CVSS 3.1」のスコアは9.8です。問題の種類は、確保したメモリーの範囲を超えてデータを書き込む「ヒープベースのバッファーオーバーフロー」で、分類番号はCWE-122です。
勧告で挙げられている.NETは、Windows上の.NET 8.0、.NET 9.0、.NET 10.0、.NET 11 RC2です。影響するWindowsのアーキテクチャは全てとされています。ただし、これらの.NETを使うだけで、全てのアプリが影響を受けるという意味ではありません。アプリが使用するパッケージと、その版まで確認してください。
.NET更新とアプリの再配備を分けて確認
対象パッケージは「Microsoft.Native.Quic.MsQuic.Schannel」です。このパッケージで影響する版は、2.5.11-ci.156755675のみです。直接参照している場合は、2.5.11-ci.159417053以降に更新する必要があります。
Microsoftは、サポート対象の.NETに最新の保守更新を適用するよう案内しています。Visual Studio経由で導入した.NET SDKは、Visual Studioの更新で更新されます。導入済みの.NETのバージョンは、dotnet --infoで確認できます。
注意したいのは、必要な実行環境をアプリと一緒に配布する「自己完結型アプリ」です。影響版を対象とする自己完結型アプリも脆弱で、再コンパイルと再配備が必要です。また、更新したランタイムやSDKを反映するには、アプリの再起動が必要です。「更新を入れた」ことと「稼働中のアプリに反映した」ことを分けて管理してください。
日本での提供は発表には書かれていません。日本向けの更新提供時期などは、この資料からは確認できません。
影響する会社・しない会社
- 影響する: Windows上の.NET 8.0、.NET 9.0、.NET 10.0、.NET 11 RC2のアプリで、Microsoft.Native.Quic.MsQuic.Schannelの2.5.11-ci.156755675を使用する会社です。Windowsのアーキテクチャによる対象外の区分はありません。
- 影響する: 上記の影響版パッケージを直接参照する会社は、パッケージの更新が必要です。
- 影響する: 影響版を対象とする自己完結型アプリを配備している会社は、アプリの再コンパイルと再配備が必要です。
- 影響しない: 同パッケージについて、2.5.11-ci.156755675以外の版は、今回示された影響版に含まれません。ただし、一つのパッケージの確認だけで社内の.NET環境全体を対象外とは判断しないでください。
- 影響しない: 会社の規模や業種で対象外になる条件は、発表には書かれていません。
情シスが今日やること
- 今日の確認で、Windows上の.NETを棚卸しする。 対象システムで
dotnet --infoを実行し、導入済みのバージョンを記録します。勧告に挙げられた.NETが見つかったシステムは、アプリの管理担当者と使用パッケージを確認してください。
- 開発部門と委託先に、パッケージと配布方式を照会する。 CVE-2026-105016を伝え、Microsoft.Native.Quic.MsQuic.Schannelの使用の有無と版、直接参照しているか、自己完結型アプリかどうかを確認します。回答期限は社内で決め、未確認のアプリを一覧にしてください。
- 導入経路に合わせて更新を手配する。 サポート対象の.NETは最新の保守更新を適用します。Visual Studio経由の.NET SDKはVisual Studioを更新し、影響版パッケージの直接参照は2.5.11-ci.159417053以降へ変更します。
- 再起動・再配備まで担当者と日程を決める。 ランタイムやSDKの更新後はアプリを再起動します。影響する自己完結型アプリは再コンパイルして再配備し、実施結果を記録してください。社内の実施期限と停止が必要な時間を、運用担当者・利用部門と調整します。
