JVN iPediaは2026年10月19日、MicrosoftのWindowsに関するDNSサーバーの脆弱性3件を掲載しました。いずれも境界外読み取りの問題で、深刻度の指標であるCVSS v3基本値は6.5(警告)です。情シスは、管理するWindowsの版とビルド番号を照合し、各脆弱性のベンダ情報で対策を確認してください。
3件ともネットワーク経由、利用者の操作は不要
掲載されたのは、CVE-2026-108127、CVE-2026-108128、CVE-2026-108129です。DNSサーバーは、名前とIPアドレスの対応を扱う仕組みです。3件とも、本来の範囲を超えた領域を読み取る「境界外読み取り(CWE-125)」に分類されています。
CVE-2026-108127について、JVN iPediaは、認可された攻撃者がネットワーク経由で情報を漏らす恐れがあるとしています。
3件とも、CVSS v3の評価ではネットワーク経由、攻撃条件の複雑さと必要な特権レベルは低、利用者の関与は不要とされています。「利用者が何かを操作しなければ問題ない」という判断では、対応を保留できません。一方、特権が不要な攻撃と読み替えることも避け、それぞれのベンダ情報で条件と対策を確認する必要があります。
対象製品とビルド番号の条件は3件で共通
Windows 10・11では、次の版とビルド番号が対象です。記載した番号「未満」が該当します。
- Windows 10 1607：10.0.14393.9612未満
- Windows 10 1809：10.0.17763.9376未満
- Windows 10 21h2：10.0.19044.7807未満
- Windows 10 22h2：10.0.19045.7807未満
- Windows 11 23h2：10.0.22631.7652未満
- Windows 11 24h2：10.0.26100.9711未満
- Windows 11 25h2：10.0.26200.9711未満
- Windows 11 26h1：10.0.28000.3231未満
- Windows 11 26H2：10.0.26300.9711未満
サーバーでは、次の製品とビルド番号が対象です。
- Microsoft Windows Server 2016：10.0.14393.9612未満
- Microsoft Windows Server 2019：10.0.17763.9376未満
- Microsoft Windows Server 2022：10.0.20348.5761未満
- Microsoft Windows Server 2025：10.0.26100.33650未満
Microsoft Windows Server 2012とMicrosoft Windows Server 2012 r2も影響対象です。この2製品には、ビルド番号の境界が記載されていません。
この対象製品・ビルド番号の一覧は、資料上では3件に共通しています。具体的な更新プログラムや適用手順は、それぞれのベンダ情報で確認してください。同じ更新で3件に対応できるかどうかは、今回の資料だけでは断定できません。
影響する会社・しない会社
- 影響する: 上記のWindows 10・11やWindows Serverを、記載のビルド番号未満で管理している会社です。PCだけでなく、サーバーも照合対象に含めます。
- 影響する: Microsoft Windows Server 2012またはMicrosoft Windows Server 2012 r2を利用する会社です。ビルド番号による判定条件がないため、対策状況はベンダ情報で確認する必要があります。
- 影響しない: ビルド番号の境界が明示された製品では、その境界以上のビルドは3件とも掲載された対象条件から外れます。ただし、ビルド条件のないWindows Server 2012と2012 r2には、この判定を使えません。
情シスが今日やること
以下は社内確認の進め方です。資料には対応期限が示されていないため、今日の作業では対象の抽出と確認担当の割り当てを優先します。
- 管理画面のOS情報と資産台帳を照合する。 利用中の端末・サーバー管理画面で、OSの版とビルド番号を確認します。上記の条件に該当する機器を抽出し、情報が欠けている機器は「影響なし」ではなく「未確認」に分けてください。
- 3件それぞれのベンダ情報を確認する。 JVN iPediaの各項目を起点に、具体的な更新プログラムと適用手順を調べます。対象条件は共通ですが、対策の確認記録は脆弱性番号ごとに残します。JVN iPediaも、ベンダ情報を確認して適切な対策を取るよう案内しています。
- サーバー管理者と運用委託先に対象一覧を送る。 機器名、OSの版、ビルド番号、3件の脆弱性番号を共有し、対策状況と作業可能日の回答を求めます。Windows Server 2012と2012 r2は、ビルド番号だけで確認を終えないでください。
- 確認結果と実施予定日を記録する。 今日の確認結果を基に、対象機器、適用する対策、作業担当、実施予定日を一覧にします。具体的な更新内容が未確認の段階で、3件を一括して対応完了にしない運用にしてください。
