Windowsの警告を回避する脆弱性が悪用、10月の更新で修正

やること

Windows のパソコンとサーバーに、10月の月例更新を当ててください。Windows Update で更新でき、Microsoft Update カタログからも入手できます。Microsoft Edge も 154.0.4258.62 以降に更新してください。

何が危ないのか

マイクロソフトは日本時間の10月13日深夜に、10月の月例更新を公開しました。この中の CVE-2026-96951 は、Windows シェルの欠陥です。マイクロソフトは、すでに悪用されていると公表しています。CVSS は 8.8 で、深刻度は「重要」です。

Windows には、インターネットから入手したファイルに印を付ける仕組みがあります。この印を「Web のマーク」と呼び、開くときの警告などに使われます。今回の欠陥を突かれると、この守りを回避されるおそれがあります。

マイクロソフトの説明では、攻撃者は細工したファイルをメールやメッセージで送ります。そのうえで、利用者にファイルを開かせたり、リンクを押させたりする必要があります。利用者が操作しなければ攻撃は成立しません。

JPCERT/CC も10月14日に注意喚起を出し、更新の適用を呼びかけています。

対象

Windows 10、Windows 11、Windows Server 2012 R2 から 2025 までの各版が対象です。マイクロソフトは10月26日に、Microsoft Edge も対象に加えました。版ごとの更新番号は上の表のとおりです。