CVE-2023-36036とは？Microsoft Windowsの脆弱性をわかりやすく解説

ひとことでWindows のクラウドファイル用ドライバーで、権限を奪われる弱点
深刻度7.8 重要CVSS v3.1
まずやること2023年11月以降の Windows Update を入れる

基本情報（データから表示）

CVE番号	CVE-2023-36036
製品	Microsoft Windows
深刻度（CVSS）	7.8 重要CVSS v3.1 NVD による評価詳細（ベクター） `CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H`
KEVへの追加日	2023-11-14
米国政府機関の対応期限	2023-12-05
ランサムウェアでの悪用	不明（確認されていない）
弱点の種類（CWE）	CWE-122（ヒープ領域のバッファオーバーフロー）

何が起きた

Windows の Cloud Files Mini Filter Driver という部品に、権限昇格の弱点が見つかりました。悪用されると、攻撃者が SYSTEM 権限（Windows でいちばん強い権限）を得るおそれがあります。すでにパソコンに一般利用者の権限で入り込んだ攻撃者が、その機器の上で悪用する形です。実際に悪用されたことが確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Windows 10、Windows 11、Windows Server 2008 から Windows Server 2022 までの各版を使っている人・組織が対象です。Microsoft は 2023年11月の更新で修正しました。

何をすればいい

2023年11月以降の Windows Update が入っているか確認してください。例えば Windows 11 Version 23H2 と 22H2 は KB5032190、Windows 10 Version 22H2 と 21H2 は KB5032189、Windows Server 2022 は KB5032198 が修正です。ほかの版の番号は公式の案内を確認してください。

やることチェックリスト

2023年11月以降の Windows Update を入れる
Windows 11 は KB5032190 が入っているか見る
Windows 10 は KB5032189 が入っているか見る

用語メモ

権限昇格用語集で見る: 弱い権限しか持たない攻撃者が、本来は持てない強い権限を手に入れることです。
SYSTEM 権限用語集で見る: Windows の中でいちばん強い権限で、パソコンのほぼすべてを操作できます。
Windows Update 用語集で見る: Microsoft が Windows の修正を配る仕組みです。

次に読む

同じ製品・メーカーの脆弱性Microsoft Windows（CVE-2026-96951）8.8 重要CVSS v3.1Windowsで、インターネットから来たファイルへの守りをすり抜けられる弱点です。同じ製品・メーカーの脆弱性Microsoft Windows（CVE-2026-85880）7.8 重要CVSS v3.1Windowsの内部の通信の仕組みALPCで、権限を高められる弱点です。基本の解説KEV とはCISAが悪用を確認した脆弱性の一覧。載る条件

最新の脆弱性の一覧に戻る・これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

Microsoft Windows Cloud Files Mini Filter Driver Privilege Escalation Vulnerability

概要

Microsoft Windows Cloud Files Mini Filter Driver contains a privilege escalation vulnerability that could allow an attacker to gain SYSTEM privileges.

推奨対応

Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.

この元データの出どころ: CISA KEV カタログで見る

Microsoft Windows の権限昇格の脆弱性（CVE-2023-36036）