Windows 2026年9月公開の3脆弱性CVE-2026-71343ほか、KBと確認手順

MicrosoftのMSRC(セキュリティ更新プログラム ガイド)は、2026年9月8日に、Windowsの3件の脆弱性を公開しました。CVE-2026-69582、CVE-2026-71343、CVE-2026-69265です。10月6日に3件とも版1.1になっていますが、内容は「謝辞の更新で、情報だけの変更」と書かれています。

3件は同じ日に公開され、対象の製品と版の一覧、直るKB番号が共通です。月例の更新プログラムを入れていれば、まとめて確認できます。日本での提供についての特別な記載は、公式ページにありません。

3件の比較(公式ページの表記)

公式ページが示すCVSSのベクターは、3件とも同じ「AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H」です。

CVE-2026-69582について。公式ページの題は「Windows Partition Management ドライバー」ですが、ページの分類の欄とFAQの文には「Windows Volume Manager Extension Driver」と書かれています。同じ番号の同じページの表記で、どちらの名前で探しても同じCVEに行き着きます。

攻撃の条件

3件とも、公式のCVSSでは、攻撃元区分はローカル、攻撃条件の複雑さは低、必要な特権レベルは低、ユーザー関与レベルはなし、スコープは変更なしです。機密性、整合性、可用性への影響はいずれも高です。

公式の説明は次のとおりです。

• CVE-2026-69582: 認可された攻撃者が、ローカルで権限を昇格させることを可能にします。成功すると、SYSTEM特権を獲得する可能性があります。
• CVE-2026-71343: ヒープベースのバッファーオーバーフローにより、認可された攻撃者がローカルでコードを実行できます。
• CVE-2026-69265: 認可された攻撃者が、ローカルで権限を昇格させることを可能にします。成功すると、SYSTEM特権を獲得する可能性があります。

CVE-2026-71343の題には「リモート」とありますが、公式のFAQは、この語は攻撃者の場所ではなく悪用の種類を示す、と説明しています。

この攻撃自体はローカルで実行されます。つまり、攻撃者がこの脆弱性を悪用するには、攻撃者または標的のユーザーがローカル コンピューターからコードを実行する必要があります。

同じFAQは、必要な特権レベルが低である点について、認証された攻撃者であれば誰でも引き起こせ、管理者特権や他の昇格された特権は必要ない、と書いています。攻撃の具体的な手順は、公式ページにも、この記事にも書きません。

悪用の有無

3件とも、公式ページの「Exploited」は「No」、一般への事前の公開(Publicly disclosed)も「No」です。2026年10月7日に確認した時点の表記です。

悪用される可能性の評価は、CVE-2026-71343だけが「悪用される可能性が高い」で、ほかの2件は「悪用される可能性は非常に低い」です。この評価は、最初の公開時点のものと公式ページに書かれています。CISAの悪用済み脆弱性の一覧に載っているかは、今回確認した公式ページには書かれていません。

対象の製品と版、直し方

3件とも、対象は同じ30の製品と版で、リリース日は2026年9月8日です。直し方は、下表のKBを含む更新プログラムの適用です。公式ページの「ダウンロード」欄は、Windows Server 2012と2012 R2が「Monthly Rollup」、そのほかが「Security Update」です。

上の表は、3件のページの一覧を照らし合わせた結果、30行すべてでKBとビルド番号が3件で一致していたものです。ここにない版(たとえばWindows 11 22H2や、Windows Server 2008系)は、3件の公式ページの対象一覧に載っていません。載っていないことと、安全であることは別なので、サポート状況は別に確認してください。

ビルド番号は、更新後に設定画面やwinverで確認できる番号と照らすための数字です。回避策の記載は、確認した範囲では公式ページにありませんでした。

影響する会社・しない会社

• 影響する: 上の表のWindows 10、Windows 11、Windows Serverを使っていて、表のビルド番号より古い会社。3件とも直すのは同じKBです。
• 影響する: 一般の利用者のアカウントでログインする端末がある会社。公式は、必要な特権レベルは低で、管理者権限は不要としています。
• 影響する: 更新プログラムの適用を遅らせている拠点や、更新を止めている端末のある会社。
• 影響しない: すでに表のビルド番号以上に更新済みの端末。ただし、台帳の記録で確かめます。
• 影響しない: 3件の公式ページの対象一覧にない製品や版。ただし、サポートが終了した版は別に点検が必要です。

情シスが今日やること

1. 端末とサーバーのビルド番号を一覧にします。 winverか資産管理ツールで、Windowsの版とビルド番号を集めます。上の表のビルド番号に届いているかを照らします。
2. 更新が入っていない端末の一覧を作ります。 Windows Updateや更新の管理ツール(WSUS、Intuneなど)の画面で、KBが未適用の端末を出し、拠点と持ち主を付けます。
3. サーバーの適用日を決めます。 再起動が要る更新は、業務に影響が出る時間を避けて日を決め、担当と窓口を通知します。ドメインコントローラーやファイルサーバーも対象に含めます。
4. CVE-2026-71343を優先して確認します。 公式の評価が「悪用される可能性が高い」なのは3件のうちこの1件です。ただし、Exploitedは3件ともNoです。
5. 終わったら記録を残します。 CVE番号、適用したKB、適用後のビルド番号、確認した日を台帳に記入し、未適用の端末には期限を決めて再度確認します。