PowerShell 7に脆弱性2件 Windowsの更新では上がらないことも

MicrosoftはPowerShell 7の脆弱性2件を公表し、直る版として7.4.21・7.5.12・7.6.8を挙げています。2件とも10月13日の月例の更新で出たもので、Microsoftは10月22日に、修正の版とダウンロードのリンクの表を直しました。いまの表では、7.6系の直る版は、10月22日に出たばかりの7.6.8です。

PowerShell 7は、Windowsに最初から入っているWindows PowerShell 5.1とは別に入れるソフトです。入れ方によっては、Windows Updateでは上がりません。社内の端末やサーバーに入っていないか、上がっているかを確かめる必要があります。

2件の中身

どちらも、10月22日の時点で悪用や公開は確認されていません。

Microsoftは、10月22日の表の直しを「情報の訂正だけ」と説明しています。7.6系を使っていて、10月13日のあとに上げたつもりの場合も、いまの版が7.6.8以降かを確かめます。

WDACや制限付き言語モードで、PowerShellで動かせるものを絞っている会社は、CVE-2026-96303でその守りがすり抜けられる恐れがあります。こうした守りに頼っているなら、優先して上げます(当社の見立て)。

Windows Updateで上がるとは限らない

PowerShell 7.2以降は、MSIで入れるときに、Microsoft Updateで更新を受け取るかを選べます。選んでいれば、Windows Update for Business、WSUS、Configuration Managerといった、ふだんのMicrosoft Updateの流れで更新を配れます。選んでいなければ、これらのどの経路でも更新は届きません。

選んでいても、注意があります。Microsoftによると、新しい版がMicrosoft Updateに出るまで、最大2週間かかることがあります。セキュリティの修正を含む更新でも、任意の更新として配られます。急いで入れたいときは、GitHubのリリースのページから入れるよう案内しています。

開発者や管理者が、MSIではなくzipやwinget、Microsoft Storeなど別の方法で入れていることもあります(当社の見立て)。入れ方がばらばらだと、版もばらばらになりがちです。

影響する会社・しない会社

• 影響する: 端末やサーバーにPowerShell 7(7.4・7.5・7.6)を入れている会社です。開発者や管理者の端末、管理用のサーバー、自動の処理を動かすサーバーに入っていることが多いです。
• 影響する: WDACやPowerShellの制限付き言語モードで、動かせるスクリプトを絞っている会社です。CVE-2026-96303で、その守りがすり抜けられる恐れがあります。
• 影響しない: PowerShell 7を入れておらず、Windowsに最初から入っているWindows PowerShell 5.1だけを使っている会社です。この2件の対象の製品の一覧に、5.1は入っていません。

情シスが今日やること

1. 資産管理の道具で、PowerShell 7(pwsh)が入っている端末とサーバーを洗い出し、版を集めます。
2. 7.4.21・7.5.12・7.6.8より前の版があれば、上げます。7.6系は、10月22日に出た7.6.8になっているかを確かめます。
3. PowerShell 7をMicrosoft Updateで受け取る設定になっているかを確かめます。なっていなければ、MSIで入れ直すときにMicrosoft Updateを選ぶか、配布の道具で版を管理します。
4. Microsoft Updateで受け取る設定でも、最大2週間かかり任意の更新になるため、急ぐ端末はGitHubのリリースのページの版で先に上げます。
5. WDACや制限付き言語モードに頼っている端末は、優先して上げ、更新が済むまでの間は、知らないサーバーにPowerShellからつながないよう、利用者に伝えます。