Windows Update Stackの権限昇格ゼロデイCVE-2026-81963と2026年9月更新の対応優先度

Microsoftが2026年9月8日に公開した月例のセキュリティ更新には、公開前から実際の攻撃に使われていた脆弱性が2件含まれていました。そのひとつがWindows Update Stackの権限昇格の脆弱性CVE-2026-81963です。CVEレコードの説明は、Windows Update Stackにおけるファイルアクセス前のリンク解決の不備により、認証された攻撃者がローカルで権限を昇格できる、というところまでです。MicrosoftのFAQは、悪用に成功した攻撃者がSYSTEM権限を得ると記載しています。CISAは同じ日にこの脆弱性をKnown Exploited Vulnerabilities(KEV)カタログへ追加しました。

更新を配る仕組み自体が攻撃面になったという点が、この脆弱性の性格をよく表しています。更新の適用は高い権限を持つ処理が担い、システム領域のファイルを作ったり置き換えたり消したりします。その処理が扱うパスの途中に、低い権限の利用者が細工した「別の場所を指す入り口」を差し込めると、高い権限の処理が意図しない場所へ書き込んでしまいます。CVE-2026-81963に付いた分類がCWE-59(リンク解決の不備)とCWE-284(不適切なアクセス制御)の組み合わせであることは、この筋書きと符合します。

この記事は、Windows端末とサーバを運用する情報システム担当とサーバ管理者に向けて、MicrosoftのSecurity Update Guide、CVEレコード、CISAのKEVカタログとアラートという一次情報を軸に、事実関係と実務の手順を整理します。攻撃を再現するコードや具体的な悪用手順は扱いません。記述は執筆時点(2026年9月9日)に確認できた範囲に限ります。

2026年9月の月例更新で悪用が確認された2件#

Microsoftの2026年9月の更新は、公開資料に載るCVEの数が過去最大規模になりました。集計の仕方によって数字が割れており、報道では966件から974件までの幅があります。総数そのものより、運用側が最初に見るべきなのは悪用の有無です。

MicrosoftがCVRF形式で公開している9月の更新資料を確認すると、脅威情報の欄に Exploited:Yes が付いているCVEは次の2件だけでした。

どちらも公開前の開示はなし、つまり修正が出る前に情報が公になっていたわけではなく、攻撃の側が先に見つけて使っていたゼロデイです。Microsoftの深刻度評価はいずれもImportantで、Criticalではありません。深刻度の区分だけを見て後回しにすると、実際に使われている脆弱性を残したまま月を越すことになります。

MicrosoftのSecurity Update Guideは、CVE-2026-81963について「Improper link resolution before file access ('link following') in Windows Update Stack allows an authorized attacker to elevate privileges locally」と記載し、脅威情報として Publicly Disclosed:No、Exploited:Yes、Latest Software Release:Exploitation Detected を示しています。FAQには、悪用に成功した攻撃者はSYSTEM権限を得られると記載されています。

CVE-2026-81963の中身#

CVEレコードに登録された情報を、そのまま読み解きます。タイトルはWindows Update Stack Elevation of Privilege Vulnerability、公開日は2026年9月8日、採番したCNAはMicrosoftです。CVSS v3.1のベクトルは AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H/E:F/RL:O/RC:C で、ベーススコアは7.8、時間的スコアは7.2です。

ベクトルを分解すると、この脆弱性の前提がはっきりします。攻撃元区分はローカル(AV:L)なので、ネットワーク越しに直接突けるものではなく、対象の端末やサーバ上でコードを実行できる状態が要ります。攻撃条件の複雑さは低(AC:L)で、8月に修正されたafd.sysの脆弱性がAC:Hだったのと対照的です。安定して成立させやすい部類だと読めます。必要な権限は低(PR:L)、つまり管理者である必要はありません。利用者の関与も不要(UI:N)です。機密性、完全性、可用性への影響はいずれも高(C:H/I:H/A:H)で、SYSTEM権限を得られるという記載と整合します。

時間的評価指標に付いた E:F は、悪用コードの成熟度がFunctional、すなわち動作する悪用コードが存在する状態を指します。RL:O は公式の修正が提供済み、RC:C は報告内容が確認済みという意味です。

Scopeが変更なし(S:U)である点も押さえておきます。CVSS v3.1のScopeは、影響が脆弱なコンポーネントを管理する権限の範囲を越えて別の管理範囲へ及ぶかどうかを表す指標です。S:Uは、脆弱なコンポーネントと影響を受ける資源が同じセキュリティ権限の管理範囲に属する状態を指します。物理的な端末の境界を表す指標ではありません。攻撃元がローカル(AV:L)であることのほうが運用上の意味が大きく、この脆弱性は侵入の入口ではなく、すでに端末上で足場を得た攻撃者が権限を引き上げる工程で効いてきます。MITRE ATT&CKでいえばExploitation for Privilege Escalation(T1068)にあたる位置づけです。

CVSSの各指標の読み方そのものは、次の記事で整理しています。

リンク追跡による権限昇格が成立する機構#

CWE-59は「Improper Link Resolution Before File Access ('Link Following')」という名前の弱点です。MITREの定義では、プログラムがファイル名をもとにファイルへアクセスしようとするが、そのファイル名がリンクやショートカットとして意図しない資源に解決されてしまうことを防げていない状態を指します。結果として、攻撃者がファイルシステムを渡り歩き、想定外のファイルを読んだり上書きしたりできると説明されています。

今回のCVEについて、Microsoftは悪用の具体的な手口を公開していません。以下は、CWE-59に分類されるWindowsの権限昇格が一般にどう成立するかという成立例であり、CVE-2026-81963で確認された手順ではありません。またCWE-59の成立に、以下のすべてが必要というわけでもありません。

こうした条件が重なると、高い権限の処理が「攻撃者が指定した任意の場所へ書き込む、あるいは消す」道具に変わります。任意の場所へ書けるということは、システムが読み込むDLLや設定ファイルを差し替えられるということで、そこからSYSTEM権限でのコード実行までは短い距離です。

くり返しになりますが、今回のCVEについて公開されているのは分類と影響範囲までで、どのファイル操作が狙われたのか、どのパスが起点だったのかは公開されていません。

Microsoft Learnの「Create symbolic links」は、この利用者権利(定数名SeCreateSymbolicLinkPrivilege)が既定でAdministratorsグループのメンバーに付与されること、シンボリックリンクを想定していないアプリケーションでは脆弱性が露出しうるため信頼できる利用者にのみ付与すべきこと、標準利用者にはこの権利を割り当てないことを対策として挙げています。

同じ回に悪用が確認されたCVE-2026-85880#

もう1件のゼロデイは、Windows Advanced Local Procedure Call(ALPC)の権限昇格CVE-2026-85880です。ALPCはWindows内部のプロセス間通信の仕組みで、システムサービスとクライアントの間のやり取りを支えています。

CVEレコードでの説明は「Heap-based buffer overflow in Windows ALPC allows an authorized attacker to elevate privileges locally」で、分類はCWE-122(ヒープベースのバッファオーバーフロー)とCWE-908(初期化されていない資源の使用)の組み合わせです。CVSS v3.1のベクトルは AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H/E:U/RL:O/RC:C、ベーススコアは7.8です。

MicrosoftのFAQには、低い権限のAppContainer内でコードを実行できる攻撃者が、この脆弱性を使ってサンドボックスを脱出し、対象システム上で権限を昇格できると書かれています。追加の利用者操作は不要です。AppContainerはブラウザのレンダラープロセスなどが動く隔離環境なので、ブラウザ側の別の欠陥と組み合わせると、閲覧からSYSTEM権限までつながる連鎖が成立し得ます。サンドボックス脱出の脆弱性が単体の深刻度以上に警戒されるのは、こうした連鎖の途中の部品として機能するためです。

報道によれば、CVE-2026-81963の報告者にはRomain Deperne氏とMicrosoft Threat Intelligence Centerが、CVE-2026-85880にはVolexityとProofpointの研究者が挙げられています。ただし執筆時点でMicrosoftが公開しているCVRF資料には謝辞の記載が含まれておらず、この帰属は報道ベースの情報です。

影響を受ける製品と適用すべき更新プログラム#

2件のゼロデイは、影響する製品がきれいに分かれています。CVE-2026-81963は新しい世代のクライアントとサーバに、CVE-2026-85880は古い世代に集中しており、片方を確認しただけでは自組織の資産を見落とします。

修正されたビルド番号も公開されています。CVE-2026-81963では、Windows 11 24H2と25H2が10.0.26100.9445と10.0.26200.9445より前、Windows 11 23H2が10.0.22631.7582より前、Windows Server 2025が10.0.26100.33438より前のビルドが影響を受けるとされています。適用済みかどうかを判断するときは、KBの適用履歴だけでなく winver やビルド番号でも確認できます。

Windows Server 2012とWindows Server 2012 R2は延長セキュリティ更新プログラムの枠組みで提供されるため、契約や有効化の状態によっては自動では降ってきません。古い資産を抱えている組織は、配信経路が生きているかを先に確かめてください。

KEVカタログ収録と是正期限の意味#

CISAは2026年9月8日、この2件を含む4件をKEVカタログへ追加しました。同日追加された残りの2件は、Adobe CommerceおよびMagentoのCVE-2026-75650と、N-able N-centralのCVE-2026-86218です。カタログの版は2026.09.08、収録件数は1699件でした。

KEVの各エントリには是正期限(dueDate)が付きます。CVE-2026-81963とCVE-2026-85880はいずれも2026年9月22日で、追加日から14日後です。ランサムウェアキャンペーンでの既知の利用はUnknownと記載されています。

この期限が法的に拘束するのは、CISAのBOD 26-04が適用される米国の連邦文民行政機関です。日本の組織に直接の義務が生じるわけではありません。ただしKEVは、悪用が実際に確認された脆弱性だけを集めた台帳として設計されており、自組織の適用順序を決める材料としてそのまま使えます。CISAも連邦機関以外の組織に対して、KEV収録の脆弱性を優先的に是正する運用を取り入れるよう促しています。

なお、執筆時点でJPCERT/CCとIPAからは2026年9月分のMicrosoft月例更新に関する注意喚起は公開されていません。両機関のMicrosoft月例に関する最新の注意喚起は2026年8月分です。国内機関の注意喚起を待つ運用にしていると、KEV収録から数日の空白が生まれる点は意識しておいてください。

CISAのKEVカタログのデータには、CVE-2026-81963がMicrosoft Windows Link Following Vulnerabilityとして2026年9月8日に追加され、Windows Update Stackのリンク追跡の脆弱性によりローカルの攻撃者がSYSTEMまで権限を昇格できると記載されています。是正期限は2026年9月22日、ランサムウェアキャンペーンでの既知の利用はUnknownです。CVE-2026-85880も同じ日付と期限で、Windows ALPCのヒープベースのバッファオーバーフローとして収録されています。

KEVとEPSSとCVSSを組み合わせた優先順位づけ#

月例更新のCVEが900件を超える規模になると、深刻度順に並べるだけでは手が回りません。3つの指標を役割で使い分けると、限られた工数の配り先が決まります。

• CVSSは、悪用されたときにどれだけの被害が出るかという「深刻度」を表します。攻撃が実際に起きているかは示しません。
• EPSSは、今後30日以内にその脆弱性が悪用される確率を推定した「見込み」です。まだ悪用が観測されていない大量のCVEを仕分けるのに向きます。
• KEVは、悪用が実際に確認されたという「事実」の記録です。3つの中で最も強い根拠になります。

今回の2件はKEV収録という時点で最上位に置く判断になります。CVSSは7.8で、同じ月にはスコアが9台の脆弱性がいくつもありますが、優先すべきはスコアの大きさではなく悪用の実績です。

EPSSについては、執筆時点でFIRSTのAPIに両CVEのスコアが登録されていませんでした。EPSSは公開直後のCVEには値が付かないことがあり、収録を待つ間の判断はKEVとベンダーの脅威情報に頼ることになります。EPSSが低いことをもって「まだ大丈夫」と読むのは誤りです。

優先順位づけの考え方と、KEVやEPSSを社内の運用へ組み込む手順は、次の記事でまとめています。

検知と暫定的な緩和の考えどころ#

パッチ適用が唯一の根本対応です。Microsoftはこの2件について回避策や緩和策を提示していません。適用までの間に打てる手は、被害を小さくすることと、悪用の痕跡に気づけるようにすることに限られます。

この脆弱性の前提は、攻撃者が対象の端末で低い権限(PR:L)のコードを実行できることです。つまり管理者権限を渡していない端末でも前提は満たされます。前提そのものを崩すには、業務端末で不要なスクリプト実行を制限する、初期侵入の経路になりやすいマクロや実行ファイルの添付を止めるといった、コードを実行させない側の対策が要ります。標準利用者に管理者権限を配らない最小権限の運用は、今回の悪用前提を崩す対策ではありませんが、昇格後の横展開や設定改変の余地を狭める一般的な被害抑制策として別途有効です。脆弱性そのものを消すのは更新の適用だけである点は変わりません。権限を絞る設計の考え方は次の記事で扱っています。

検知の観点では、標準権限のプロセスが一時フォルダや更新の作業領域を操作する動きが調査の手がかりになります。ただしリパースポイントやジャンクションの設定操作を単独で記録する仕組みは限られます。Sysmonの公開仕様では、Event ID 11(FileCreate)はファイルの作成と上書きの記録であり、リパースポイントの設定を識別できるとは説明されていません。導入済みのEDRやファイルシステム監査で、リパースポイントの設定操作を収集できるかどうかを製品仕様で確認したうえで、収集できない場合は標準権限プロセスのファイル操作とプロセス生成を相関させる調査に切り替えてください。あわせて、高い権限のサービスプロセスが本来触らないパスへ書き込んだ形跡、SYSTEMとして起動した見慣れないプロセス、更新処理の直後に現れた新しい実行ファイルも確認対象になります。

こうした痕跡を後から追えるかどうかは、ログの保全期間と収集範囲で決まります。侵害の疑いが出てから設定を変えても、その前の記録は戻りません。

SeCreateSymbolicLinkPrivilegeの割り当ても点検しておく価値があります。既定ではAdministratorsのみですが、開発環境の都合で標準利用者やDevelopersグループへ広げている組織があります。今回のCVEの悪用に直接必要な権限とは限りませんが、リンクを使った攻撃全般の敷居を下げる設定なので、必要な範囲まで戻してください。

まとめ#

CVE-2026-81963は、更新を適用する仕組み自体のファイル操作を突く権限昇格の脆弱性です。CVSSの数値は7.8にとどまりますが、公開前から悪用され、修正と同じ日にKEVへ収録されました。同じ回のCVE-2026-85880と合わせて、9月の更新を後回しにする理由はありません。