• ひとことでWindows の VBScript エンジンで、メモリを壊されてしまう弱点です。
  • 深刻度7.5 重要CVSS v3.1
  • まずやること2018年5月以降の Windows の更新を入れる

何をすればいいかを詳しく読む

基本情報（データから表示）

CVE番号CVE-2018-8174
製品Microsoft Windows
深刻度（CVSS）7.5 重要CVSS v3.1
NVD による評価
詳細（ベクター）CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H
KEVへの追加日2022-02-15
米国政府機関の対応期限2022-08-15
ランサムウェアでの悪用悪用が確認されている
弱点の種類（CWE）CWE-787（範囲外への書き込み）

何が起きた

Windows の VBScript エンジン（VBScript という言語のプログラムを動かす部分）が、メモリ上のデータを扱う方法に弱点が見つかりました。悪用されると、離れた場所からコードを実行される可能性があります。NVD の評価では、ログインは不要ですが、利用者がページやファイルを開くなどの操作が必要です。CISA によると、実際の悪用が確認されており、ランサムウェアでの悪用も確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

攻撃の流れ: 1. 攻撃者が細工したページやファイルを用意する → 2. 利用者がそれを開く → 3. VBScript エンジンでメモリが壊される → 4. 攻撃者のコードが実行される1攻撃者が細工したページやファイルを用意する2利用者がそれを開く3VBScript エンジンでメモリが壊される4攻撃者のコードが実行される攻撃の流れ: 1. 攻撃者が細工したページやファイルを用意する → 2. 利用者がそれを開く → 3. VBScript エンジンでメモリが壊される → 4. 攻撃者のコードが実行される1攻撃者が細工したページやファイルを用意する2利用者がそれを開く3VBScript エンジンでメモリが壊される4攻撃者のコードが実行される攻撃の流れ: 1. 攻撃者が細工したページやファイルを用意する → 2. 利用者がそれを開く → 3. VBScript エンジンでメモリが壊される → 4. 攻撃者のコードが実行される1攻撃者が細工したページやファイルを用意する2利用者がそれを開く3VBScript エンジンでメモリが壊される4攻撃者のコードが実行される

誰が影響を受ける

Windows 7、Windows 8.1、Windows RT 8.1、Windows 10、Windows Server 2008、Windows Server 2008 R2、Windows Server 2012、Windows Server 2012 R2、Windows Server 2016 などを使っている人・組織が対象です。Microsoft は 2018年5月8日に修正を公開しています。

何をすればいい

Windows Update などで、2018年5月以降のセキュリティ更新（例: KB4103718、KB4103725、KB4103723、KB4103721 など。Windows の版によって番号が違います）が入っているか確認してください。メーカーの公式の案内も確認してください。知らない相手からのファイルやリンクは開かないようにしてください。

やることチェックリスト

  • 2018年5月以降の Windows の更新を入れる
  • Windows の版に合った KB が入ったか調べる
  • 知らない相手からのファイルを開かない

用語メモ

VBScript
Microsoft が作った、Windows や古い Internet Explorer で使われるスクリプト言語です。
エンジン
ここでは、プログラムを読み取って実際に動かすソフトの部分を指します。
ランサムウェア 用語集で見る
データを使えなくして、元に戻す代わりにお金を要求する悪質なプログラムです。

次に読む

同じ製品・メーカーの脆弱性Microsoft Windows（CVE-2026-96951）8.8 重要CVSS v3.1Windowsで、インターネットから来たファイルへの守りをすり抜けられる弱点です。同じ製品・メーカーの脆弱性Microsoft Windows（CVE-2026-85880）7.8 重要CVSS v3.1Windowsの内部の通信の仕組みALPCで、権限を高められる弱点です。基本の解説ランサムウェアとはデータを暗号化して身代金を求める不正プログラムと対策

最新の脆弱性の一覧に戻る ・ これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

Microsoft Windows VBScript Engine Out-of-Bounds Write Vulnerability

概要

A remote code execution vulnerability exists in the way that the VBScript engine handles objects in memory, aka "Windows VBScript Engine Remote Code Execution"

推奨対応

Apply updates per vendor instructions.

この元データの出どころ: CISA KEV カタログで見る