Windows afd.sysの特権昇格ゼロデイCVE-2026-68820。侵入後にSYSTEM権限へ昇格する機構と8月更新の優先度

Windowsのカーネルドライバafd.sysに、ローカルの利用者がSYSTEM権限へ昇格できる脆弱性CVE-2026-68820が見つかりました。Microsoftは2026年8月11日の月例更新で修正しましたが、修正が公開される前から実際の攻撃で使われていたゼロデイです。同じ日にCISAはこの脆弱性をKnown Exploited Vulnerabilities(KEV)カタログへ追加しました。

この脆弱性が注目されたのは、深刻度の数値が飛び抜けて高いからではありません。CVSSは7.0で、v3.1の区分ではHighにあたりますが、同じ月例更新には9.8のスコアが付いた脆弱性も複数含まれており、数値の上で突出していたわけではありません。目を引くのは使われ方です。北朝鮮系のLazarusが防衛関連企業を狙う攻撃で、偽の求人を入り口にした一連の流れの一部としてこの脆弱性を悪用していたと、Check Point Researchが報告しました。特権昇格の脆弱性は単独では侵入の入り口になりませんが、いったん端末で足場を得た攻撃者がそこから最高権限をつかむための踏み台になります。

この記事は、Windows端末とサーバを運用する情報システム担当とSOCの担当者に向けて、MicrosoftのMSRC、CISAのKEVカタログとアラート、Check Point Researchの解析という一次情報を軸に、事実関係と実務の対応を整理します。攻撃を再現する手順や動作するコードは扱いません。記述は執筆時点(2026年8月18日)に確認できた範囲に限ります。

afd.sysとは何か#

afd.sys(Ancillary Function Driver for WinSock)は、Windowsのネットワーク処理を支えるカーネルモードのドライバです。アプリケーションがソケット通信を行うとき、WinSockのAPI(WSASocketやsend、recvなど)を呼び出しますが、その呼び出しはユーザーモードのライブラリを経由して、最終的にカーネル側のafd.sysが受け取ります。TCPやUDPの実際のやり取りを担うプロトコルドライバとアプリケーションのあいだをつなぐ位置にいる部品です。Check Point Researchの解析でも、afd.sysはWindowsのソケットの管理と処理を担うカーネルコンポーネントと説明されています。

この位置づけには二つの意味があります。ひとつは、ネットワーク通信を行うほぼすべてのアプリケーションがafd.sysを通ること。もうひとつは、afd.sysがカーネルモードで動くこと、つまりコードがカーネル空間でOSの中核と同じ特権レベルで実行されることです。ソケットを開ける権限は一般の利用者にもあるため、標準的な権限のプロセスからでもafd.sysの処理経路へ入力を届けられます。カーネルで動く部品に一般利用者が触れられるという組み合わせは、特権昇格の脆弱性が繰り返し見つかってきた場所でもあります。afd.sysを突くローカル特権昇格は、過去にもCVE-2023-21768やCVE-2024-38193など複数が報告されており、攻撃者にとってなじみのある攻撃面です。

use-after-freeとrace conditionが重なる機構#

CVE-2026-68820の分類はCWE-416、use-after-freeです。use-after-freeは、いったん解放したメモリ領域を、解放済みであることを追跡しきれずに再び使ってしまう欠陥を指します。解放された領域に攻撃者が別のデータを置ければ、プログラムはそれを本来のオブジェクトだと思い込んで処理を進め、結果としてメモリの読み書きが攻撃者の制御下に置かれることがあります。

CVE-2026-68820では、ここにrace condition(競合状態)が絡みます。Check Point Researchの解析によれば、afd.sysの中で同じソケット関連の状態を、二つのコード経路が同期をとらずに同時に操作できる箇所がありました。片方が状態を解放したあと、もう片方がその領域へアクセスしてしまうと、解放済みメモリの再利用が起きます。攻撃者は複数のスレッドを走らせて解放と参照のタイミングをぶつけ、狙った瞬間に競合を成立させます。競合の当たり所を制御できれば、カーネルメモリの読み書きという土台が手に入り、そこからSYSTEM権限への昇格につながります。

Microsoftが公開したCVSS v3.1のベクトルは AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H で、ベーススコアは7.0です。読み解くと、攻撃はローカル(AV:L)で成立し、実行には低い権限(PR:L)で足り、利用者の操作は不要(UI:N)である一方、成立させるには高い攻撃条件(AC:H)が必要です。AC:Hが付いているのは、race conditionのタイミングを合わせる必要があるためと読めます。競合を安定して当てるには試行を繰り返すか、条件を整える工夫が要ります。同じ脆弱性でも、Metabaseの未認証SQLインジェクションのように未認証のリモート攻撃者がネットワーク越しに悪用できるものとは、成立の難しさと前提が異なります。

もう一点、ScopeがUnchanged(S:U)である点にも触れておきます。CVSSのScopeは、影響が脆弱なコンポーネントを管理する権限の範囲を越えて別の管理範囲へ及ぶかどうかを示す指標です。S:Uは、この脆弱性の影響が脆弱なコンポーネントと同じ管理範囲、すなわちWindowsそのものの中に収まるという整理です。攻撃箇所がローカル(AV:L)である点と合わせると、その端末の中で権限を引き上げる脆弱性だと読めます。

競合状態を突く脆弱性の一般的な原理と、なぜタイミング依存の欠陥が見落とされやすいかは、次の記事で扱っています。

特権昇格ゼロデイが攻撃チェーンで果たす役割#

特権昇格(EoP)の脆弱性は、それ単独では攻撃の入り口になりません。攻撃者はまず何らかの方法で標的の端末にコードを実行できる状態、つまり足場を得ている必要があります。CVE-2026-68820を悪用するにも、標準的な利用者権限で動くプロセスがすでに走っていることが前提です。CVE-2026-68820のCVSSが7.0にとどまるのも、攻撃元がローカル(AV:L)で、低い権限(PR:L)と高い攻撃条件(AC:H)を要するという、この脆弱性固有の条件の組み合わせによるものです。

しかし攻撃者の視点では、この工程は欠かせません。フィッシングやなりすましで最初に得られるのは、たいてい一般利用者の権限です。その権限のままでは、EDRの監視を止めたり、他の利用者の資格情報を抜いたり、システム全体に永続化の仕掛けを埋め込んだりする操作の多くが制限されます。ここでEoPの脆弱性を使ってSYSTEM権限へ上がれれば、端末上で制御できる範囲が大きく広がります。ただしEDR自体の停止がSYSTEM権限だけで完結するわけではありません。Windowsには保護されたマルウェア対策サービスの仕組みがあり、管理者権限を持つ非保護プロセスからの停止やコード注入は制限されます。今回の事例で監視が無効化されたのも、SYSTEM権限そのものではなく、後段で展開されたFudModuleがカーネルモードで持つ機能によるものです。攻撃の全体像を、初期侵入、権限昇格、防御回避、永続化、目的遂行という段階で捉えると、CVE-2026-68820は権限昇格の段を埋める部品です。

Check Point Researchの報告では、この脆弱性が実際にそのように使われていました。Lazarusは偽の求人を装って標的に接触します。報告は二つの感染経路を挙げています。ひとつは、正規の署名済みPDFビューアと不正なlibmupdf.dllを組み合わせる経路です。DLLサイドローディングでMISTPENというダウンローダを起動し、ホスト情報の収集やスクリーンショット取得のモジュールを取り寄せて足場を固めたあと、CVE-2026-68820を突くモジュールを動かしてSYSTEM権限を取り、カーネルモードのルートキットFudModule v3.1を展開します。FudModuleはWindows 11の新しいビルドに対応するよう更新されており、プロセスやレジストリの通知コールバックの削除といった手段でEDRの可視性を無効化する機能を持ちます。最終的にはForestTigerというLazarusに広く帰属される裏口を送り込んで、長期の遠隔操作を確立します。もうひとつは、MuPDFをもとに改造したSecurityPDFというビューアと細工したPDFを組み合わせ、Troyと名付けられた別の裏口を実行する経路です。

ゼロデイという性格そのものと、修正が存在しない期間に悪用が先行する構図は、次の記事で整理しています。

Check Point Researchのブログは、Lazarusが関与するOperation Dream Jobの一環としてCVE-2026-68820が悪用されたこと、この脆弱性がafd.sysのrace conditionにもとづくuse-after-freeであること、攻撃が偽の求人から正規の署名済みPDFビューアと不正なDLLのサイドローディングへ進み、ダウンローダMISTPENを経てこの脆弱性でSYSTEM権限を得たうえでカーネルモードルートキットFudModule(コンパイル時刻2026年7月7日)を展開しForestTigerで永続化する流れであること、標的にフランス、ドイツ、ブラジル、インドの防衛や航空宇宙の組織が含まれること、2026年7月28日にMicrosoft Security Response Centerへ報告し7月31日に確認、8月5日にCVEが採番され8月11日に修正が公開されたことを記載しています。攻撃者は侵害したRoundcube webmailやCMSを悪用しRelayShellというPHPウェブシェルを中継に用いていたとも述べています。

影響を受ける版と修正#

CVE-2026-68820は、セキュリティ更新の提供対象となっている広範なWindowsに影響します。MSRCのSecurity Update Guideが影響対象として挙げているのは、Windows 10(1607、1809、21H2、22H2)、Windows 11(23H2、24H2、25H2、26H1)、Windows Server(2012、2012 R2、2016、2019、2022、2025。Server Coreインストールを含む)です。afd.sysはネットワーク機能の基盤であり、クライアントとサーバの区別なく組み込まれているため、対象は広くなります。なお、この一覧のうちWindows 10の各版やWindows Server 2012系には、通常サポートが終了しESU(拡張セキュリティ更新)への加入やLTSC/LTSBといった条件付きで更新が提供される版が含まれます。該当する版を使っている場合は、更新が実際に届く契約や構成になっているかも併せて確認してください。

修正は2026年8月11日の月例更新(Patch Tuesday)に含まれます。この日のリリースで修正されたCVEはセキュリティ企業Tenableの集計で398件にのぼり、そのうち悪用が確認されたゼロデイはCVE-2026-68820の1件でした。同じリリースには、公開済みだが悪用は確認されていないゼロデイとしてCVE-2026-62832(Windows User Profile ServiceのEoP)とCVE-2026-72971(Windows Container Isolation FS Filter Driverの改ざん)も含まれます。適用は各版に対応する累積更新プログラムを当てる通常の手順で、afd.sysだけを個別に差し替えるものではありません。

日本語での情報としては、JPCERT/CCが2026年8月12日付で「2026年8月マイクロソフトセキュリティ更新プログラムに関する注意喚起」を公開し、CVE-2026-68820の悪用が確認されている旨とWindows Updateなどでの更新適用を案内しています。IPAも同日にMicrosoft製品の脆弱性対策の情報を掲載しています。

KEV収録の意味と是正期限の適用対象#

CISAのKEVカタログは、悪用が実際に確認された脆弱性を集めた一覧です。CVE-2026-68820は2026年8月11日に、同日追加された3件(Cisco Secure Firewall ASA/FTDのCVE-2026-20349、MetabaseのCVE-2026-72898)の一つとして収録されました。KEVの各項目には是正期限(Due Date)が付き、CVE-2026-68820の期限は2026年8月25日です。

ここで正確に押さえておきたいのは、この期限が誰を拘束するかです。KEVの是正期限は、CISAのBOD 26-04(Prioritizing Security Updates Based on Risk)にもとづいて米国の連邦文民行政機関(FCEB)に課される要件です。民間企業や日本の組織に、この日付までに対応する法的義務が直接生じるわけではありません。同日のCISAアラートも、BOD 26-04がFCEBを対象とすると明記しています。

とはいえ、KEV収録は日本の組織にとっても実務上の重みを持ちます。KEVに載っているという事実は、その脆弱性が理論上の危険ではなく現に悪用されている証拠だからです。数あるCVEの中でどれから手を付けるかを決めるとき、KEV収録は優先度を引き上げる強い根拠になります。CISA自身も、FCEB以外の組織に対してはKEVカタログを脆弱性管理の優先順位付けの入力として使うよう案内しています。

KEVとEPSSを組み合わせて、社内の適用順をどう決めるかは次の記事で扱っています。

CISAのKEVカタログは、CVE-2026-68820について、Windows Ancillary Function Driver for WinSockにuse-after-freeの脆弱性が存在し、認証済みの攻撃者がローカルで権限を昇格できることを記載しています。追加日は2026年8月11日、Due Dateは2026年8月25日、ランサムウェアでの利用はUnknownです。是正の必要な措置として、ベンダーの指示に従った緩和とBOD 26-04への準拠を求めています。この期限はBOD 26-04にもとづき米国の連邦文民行政機関へ課されるもので、それ以外の組織に対してはカタログを脆弱性管理の優先順位付けの入力として使うことが想定されています。

企業がとるべき対応#

対応の中心は、2026年8月の月例更新を適用することです。afd.sysはWindowsに標準で組み込まれており、追加の製品を入れていなくても影響を受けます。クライアントとサーバの双方が対象になるため、端末管理の仕組みで配布状況を確認し、未適用の資産を洗い出します。

適用の優先度をどう位置づけるかは、次の三点で判断できます。第一に、KEVに収録され実際に悪用されていること。第二に、標的型攻撃の権限昇格の工程で使われており、初期侵入を許した場合に被害を深くする部品であること。第三に、影響範囲がクライアントからサーバまで広く、放置すると攻撃者が足場を最高権限へ引き上げる余地を残すことです。CVSSの数値は7.0と、同じ月例更新に並ぶ9点台の脆弱性より低いものの、悪用の実態を踏まえると数値以上の優先度で扱う判断が妥当です。

EDRでの検知について補足します。CVE-2026-68820の悪用そのものは、race conditionを突く短時間のメモリ操作であり、単体の挙動として捉えるのは容易ではありません。現実的なのは、権限昇格の前後に並ぶ振る舞いの連なりを見ることです。一般的な観点の例を挙げると、標準権限のプロセスが突然SYSTEM権限の操作を始める、その直後にセキュリティ製品のサービスが停止する、署名のないドライバや見慣れないドライバが読み込まれる、といった並びは、単独では説明のつかない組み合わせです。Lazarusが用いたFudModuleがEDRの可視性を無効化する目的を持つことを踏まえると、EDR自身の稼働状態と設定の改ざんを監視対象に含める設計が効きます。

なぜソフトウェア更新を後回しにしないことがこれほど重要かは、次の記事で整理しています。

CVSSの数値だけで優先度を決めず、悪用の実態や資産の重要度と組み合わせて読む考え方は、次の記事で扱っています。

MicrosoftのSecurity Update Guideは、CVE-2026-68820をWindows Ancillary Function Driver for WinSockのuse-after-freeによる特権昇格の脆弱性とし、認証済みの攻撃者がローカルで権限を昇格できると記載しています。CVSS v3.1のベーススコアは7.0、ベクトルはAV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:Hで、深刻度はImportantです。悪用の状況はExploited:Yes、一般公開はNoと示されています。影響を受ける製品としてWindows 10、Windows 11、Windows Server 2012から2025までが挙げられ、対応する累積更新プログラムの適用が案内されています。

まとめ#

CVE-2026-68820は、WinSockのカーネルドライバafd.sysに存在するuse-after-freeの脆弱性です。ローカルの認証済み利用者がrace conditionを突いてSYSTEM権限へ昇格できます。CVSSは7.0で最上位の数値ではありませんが、Microsoftが修正を出す前から実際の攻撃で使われていたゼロデイであり、CISAは2026年8月11日にKEVカタログへ追加しました。

この脆弱性の重みは、数値ではなく使われ方にあります。特権昇格は攻撃の入り口ではなく、フィッシングなどで得た足場を最高権限へ引き上げる後半の工程です。Check Point Researchの報告では、北朝鮮系のLazarusが偽の求人を入り口とするOperation Dream Jobの中でこの脆弱性を悪用し、EDRを無効化するカーネルルートキットの展開につなげていました。

対応は8月の月例更新を適用することに尽きますが、優先度の判断は数値だけに頼らず、KEV収録と実際の悪用、そして標的型攻撃の権限昇格に使われている事実を根拠に引き上げるのが妥当です。KEVの是正期限が直接拘束するのは米国の連邦文民行政機関ですが、日本の組織にとっても、悪用が確認された脆弱性を優先して塞ぐための確かな根拠になります。更新の適用に加えて、入り口となる初期侵入の対策と、権限昇格から防御回避へ続く振る舞いをEDRで捉える設計を併せて備えることが、この事案から引き出せる要点です。