CyberSecurityAction

日本関連インシデント / 脆弱性情報

JPCERT 注意喚起: Microsoft 8 月更新で悪用確認済みゼロデイ CVE-2026-68820 を含む 400 件超を修正

2026 年 8 月 Patch Tuesday は CVE-2026-68820（WinSock 特権昇格）を含む 3 件のゼロデイを修正。JPCERT/CC が即時適用を要請。国内 Windows 環境は全台対応が急務。

喜村 圭佑（編集責任者）更新 約6分

SHARE

XB!in
JPCERT 注意喚起: Microsoft 8 月更新で悪用確認済みゼロデイ CVE-2026-68820 を含む 400 件超を修正

THREAT GAUGE算出基準

IMPACT（影響範囲）9.5
URGENCY（対応緊急度）9.0
EXPLOIT（悪用の容易さ）7.5

“CVE-2026-68820 は野生での悪用確認済み。全 Windows 対象”

01 · Overview

ニュースの概要

マイクロソフトは 2026 年 8 月 12 日（日本時間 8 月 13 日）、418 件の脆弱性に対するセキュリティ更新プログラムを公開した。このうち 62 件が緊急（Critical）、3 件がゼロデイであり、CVE-2026-68820（WinSock 用 Windows Ancillary Function Driver の特権昇格脆弱性）は実際の攻撃での悪用が確認済みとされる。JPCERT/CC は同日に注意喚起 JPCERT-AT-2026-0022 を発出し、早急なパッチ適用を呼びかけている。

CVE-2026-68820 は Windows の WinSock（Ancillary Function Driver for WinSock, afd.sys）に存在するローカル特権昇格脆弱性で、認証済みのローカルユーザーがこれを悪用することで管理者（SYSTEM）権限を取得できる。ランサムウェアオペレーターや APT グループが初期侵入後の権限昇格フェーズでこの種の脆弱性を悪用するパターンが常態化しており、CISA も即日 KEV カタログへの追加を検討しているとされる。

また今月の Patch Tuesday には、LegacyHive と呼ばれる Windows User Profile Service の特権昇格ゼロデイ（CVE-2026-62832）も含まれる。LegacyHive は 7 月に公開情報として開示されていた脆弱性であり、マイクロソフトは今月ようやく修正プログラムを提供した。さらに Windows QUIC プロトコルと DNS サーバーに対するリモートコード実行の緊急脆弱性も今月修正されており、対応優先順位の判断が求められる。

国内の企業・官公庁では Windows Server・Windows クライアントが広く使われており、パッチ未適用の環境は CVE-2026-68820 による権限昇格を起点とした横展開（ラテラルムーブメント）・ランサムウェア展開のリスクにさらされる。JPCERT/CC は Microsoft Update または Windows Update を用いた即日適用を強く推奨している。

総修正件数
418 件
緊急（Critical）
62 件
悪用確認済み CVE
CVE-2026-68820（WinSock EoP）
ゼロデイ数
3 件（うち 1 件悪用確認）
JPCERT 注意喚起番号
JPCERT-AT-2026-0022
パッチ公開日
2026年8月12日

JPCERT/CC 注意喚起・Microsoft MSRC・SANS ISC の公開情報を基に作成。攻撃者帰属・被害組織は未公表。

02 · Analysis

詳細な原因解説

CVE-2026-68820 の直接原因は、Windows の WinSock サブシステムを管理する Ancillary Function Driver（afd.sys）における不適切なリンク解決（Improper Link Resolution Before File Access）にある。認証済みのローカルユーザーが特定のシステムコールシーケンスを発行することで、カーネルレベルの操作を一般ユーザー権限から引き起こし、SYSTEM 権限を取得できる。

ローカル特権昇格型の脆弱性は、攻撃者がすでに何らかの手段（フィッシング・ソーシャルエンジニアリング・RCE 脆弱性等）で端末に足がかりを得た後の「第 2 フェーズ」で使用される。管理者権限を得た攻撃者はセキュリティソフトの無効化・認証情報の窃取・ドメインコントローラーへの横展開が可能になるため、ランサムウェア攻撃の最終段階への移行を一気に加速させる。

LegacyHive（CVE-2026-62832）も同様のローカル特権昇格型であり、7 月に既に情報が公開されていたにもかかわらずパッチ提供まで 1 か月かかった。大規模なエンタープライズ環境では Patch Tuesday のサイクルに合わせたパッチ管理が主流だが、ゼロデイ・既悪用脆弱性については緊急展開の仕組みを別途整備する必要性が改めて浮き彫りになっている。

03 · Action

今からできる主な対策

明日からすぐ

1週間以内

05 · Forecast

今後起こりうる展開と対策

Kill Chain: CVE-2026-68820 の攻撃連鎖

Q. 攻撃者は CVE-2026-68820 をランサムウェア攻撃のどの段階で使用するか？

【初期アクセス】フィッシングメール・VPN 脆弱性・RDP ブルートフォース等で一般ユーザー権限の足がかりを得る。【特権昇格】CVE-2026-68820 または LegacyHive を悪用して SYSTEM 権限を取得。【防御回避】管理者権限でウイルス対策・EDR を無効化。【横展開】Active Directory の認証情報を窃取しドメインコントローラーへ侵入。【実行】全社ファイルサーバーへランサムウェアを展開。このシナリオはランサムウェアグループの標準的な TTP であり、今月の特権昇格ゼロデイはフェーズ 2 の加速に直結する。

システム思考: Patch Tuesday に依存したパッチ管理の限界

Q. 月次パッチサイクルが悪用確認済みゼロデイ対応に対して構造的に生む遅延とは？

マイクロソフトの Patch Tuesday モデルは月 1 回の計画的リリースで運用負荷を分散する優れた仕組みだが、悪用確認済みゼロデイが発見から次の Patch Tuesday まで最大 30 日間放置されるリスクを内包する。企業の変更管理プロセスがこれにさらに数日〜数週間を加算することで、攻撃者の悪用ウィンドウが広がる。今月は LegacyHive が 7 月開示後 8 月まで未修正だった事例もあり、緊急帯域外（OOB）パッチ公開ポリシーの整備が急務と言える。

パッチ適用 + 権限最小化 + 検知の三位一体

CVE-2026-68820 に対する最も効果的な対策は 2026 年 8 月の累積更新プログラムの即時適用である。パッチ適用完了までの間は、EDR の特権昇格検知アラートを最高感度に設定し、afd.sys 関連の異常なカーネル操作を監視する。

構造的な対策として、ローカル管理者権限の最小化（一般従業員端末へのローカル管理者付与の廃止）と、Microsoft Defender for Endpoint の Attack Surface Reduction（ASR）ルールの有効化を組み合わせることで、特権昇格型の悪用の影響を大幅に低減できる。

06 · AI Prompt

AI対策プロンプト

あなたは[組織名]の[業種]のシステム管理者です。[管理端末数]台の Windows 端末を[パッチ管理ツール: WSUS / Intune / SCCM / なし]で管理しています。2026 年 8 月 Patch Tuesday において悪用確認済みゼロデイ CVE-2026-68820 が含まれることを踏まえ、①今週中の緊急パッチ展開計画（優先順位付き）、②未適用端末の特定と対処手順、③経営層向けの影響範囲説明文（200 字以内）を日本語で作成してください。

プロンプトのカスタマイズ

以下を入力すると、上のプロンプトに反映されます。

自社または担当組織の名称

組織の業種

管理対象の Windows 端末の概数

使用しているパッチ管理ツール名

キーワード

  • Microsoft Patch Tuesday
  • CVE-2026-68820
  • WinSock 特権昇格
  • Windows ゼロデイ
  • JPCERT 注意喚起

SOURCES · 参考情報源