CVE-2019-1130とは？Microsoft Windowsの脆弱性をわかりやすく解説

ひとことでWindows のアプリ導入サービスで、ハードリンクの扱いから権限を上げられる弱点
深刻度7.8 重要CVSS v3.1
まずやることWindows Update で更新を入れる

基本情報（データから表示）

CVE番号	CVE-2019-1130
製品	Microsoft Windows
深刻度（CVSS）	7.8 重要CVSS v3.1 NVD による評価詳細（ベクター） `CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H`
KEVへの追加日	2022-05-23
米国政府機関の対応期限	2022-06-13
ランサムウェアでの悪用	悪用が確認されている
弱点の種類（CWE）	CWE-59（ファイルにアクセスする前のリンクの解決の不備）

何が起きた

Windows の AppX Deployment Service（AppXSVC）が、ハードリンクをきちんと扱わないため、権限を上げられてしまう弱点（権限昇格）が見つかりました。対象の機器の上で（ローカルで）、一般利用者程度の権限を持つ攻撃者が悪用でき、利用者の操作は不要です。実際に悪用が確認されており、ランサムウェアでの悪用も確認されています。なお、NVD の説明では CVE-2019-1129 とは別の弱点とされています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Microsoft によると、Windows 10（最初の版と Version 1607、1703、1709、1803、1809、1903）、Windows 8.1、Windows RT 8.1、Windows Server 2012、Windows Server 2012 R2、Windows Server 2016、Windows Server 2019 などが影響を受けます。

何をすればいい

Windows Update で、2019年7月のセキュリティ更新（版ごとの更新）が入っているか確認してください。Windows 10 は 2025年10月14日にサポートが終わっているため、使い続けず、サポートの続いている Windows に移行してください。あわせて公式の案内（Microsoft のセキュリティ更新プログラムガイド）を確認してください。

やることチェックリスト

Windows Update で更新を入れる
2019年7月の更新が入ったか確かめる
サポート中の Windows に移行する

用語メモ

ハードリンク用語集で見る: 1つのファイルに、別の名前や場所からもたどり着けるようにする仕組みです。悪用すると、本来触れないファイルを操作させられることがあります。
権限昇格用語集で見る: 攻撃者が、本来は持っていない強い権限を手に入れることです。
ランサムウェア用語集で見る: ファイルを使えなくして、元に戻す代わりにお金を要求する悪意のあるプログラムです。

次に読む

同じ製品・メーカーの脆弱性Microsoft Windows（CVE-2026-96951）8.8 重要CVSS v3.1Windowsで、インターネットから来たファイルへの守りをすり抜けられる弱点です。同じ製品・メーカーの脆弱性Microsoft Windows（CVE-2026-85880）7.8 重要CVSS v3.1Windowsの内部の通信の仕組みALPCで、権限を高められる弱点です。基本の解説ランサムウェアとはデータを暗号化して身代金を求める不正プログラムと対策

最新の脆弱性の一覧に戻る・これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

Microsoft Windows AppX Deployment Service Privilege Escalation Vulnerability

概要

A privilege escalation vulnerability exists when Windows AppX Deployment Service (AppXSVC) improperly handles hard links.

推奨対応

Apply updates per vendor instructions.

この元データの出どころ: CISA KEV カタログで見る

Microsoft Windows の権限昇格の脆弱性（CVE-2019-1130）