Microsoftが、Windowsの「リッチテキスト編集コントロール」に、リモートでコードを実行される脆弱性(CVE-2026-70096)があると公表しました。書式つきの文字を入力するための、Windowsの共通部品です。2026年10月の月例更新で修正されています。この記事は、MicrosoftのMSRCの情報をもとにまとめます。
脆弱性の概要
MSRCによる主な情報は、次のとおりです。
| 項目 |
内容 |
| CVE番号 |
CVE-2026-70096 |
| 種類 |
リモートコード実行(RCE)。ヒープベースのバッファオーバーフロー |
| CVSS(3.1)基本値 |
9.8 |
| Microsoftの深刻度 |
Important(重要) |
| 悪用の有無 |
確認されていない |
| 悪用される可能性 |
低い(Exploitation Unlikely) |
| 修正 |
2026年10月の月例セキュリティ更新 |
| 回避策 |
示されていない(更新の適用が対策) |
認証もユーザー操作も不要で、ネットワーク経由で、特別に細工したパケットを送ることで悪用されうる、とされています。CVSSの数値は9.8と高いですが、Microsoft自身の深刻度の格付けは「Important」で、現時点の悪用も確認されていません。数値の高さと、実際の緊急度は、分けて見る必要があります。
なぜ「共通部品」が要注意なのか
リッチテキスト編集コントロールは、太字や色、書式のついた文字を入力するための、Windowsの標準の部品です。多くのアプリが、同じ機能を自前で作らず、この部品を呼び出して使っています。
影響する会社・しない会社
- 影響する: Windowsを使っているすべての会社です。対象の製品やバージョンは、MSRCの該当ページで確認できます。
- 影響する: 月例更新の適用を、手動や個別の判断で遅らせている会社です。回避策が無いため、更新が唯一の対策になります。
- 影響しない(可能性が高い): 2026年10月の月例更新を、すでに適用済みの環境。ただし、全端末に行き渡っているかは、確かめないと分かりません。
情シスが今日やること
- 10月の月例更新の適用状況を確かめる。CVE-2026-70096を含む2026年10月の更新が、全端末に当たっているかを確認します。当たっていない端末を洗い出します。
- 対象製品をMSRCで確認する。自社で使うWindowsのバージョンや製品が対象かを、MSRCの該当ページで最終確認します。
- 慌てず、確実に当てる。悪用は確認されておらず、可能性も低いとされています。緊急の例外対応より、通常の定例の適用サイクルで、確実に行き渡らせることを優先します。
Microsoftの2026年10月の月例更新の優先度の全体像は、Microsoftの10月更新 DHCP/DNSやOffice・SharePointのRCEを優先にまとめています。
