CVE-2024-26169とは？Microsoft Windowsの脆弱性をわかりやすく解説

ひとことでWindows のエラー報告サービスで、一般利用者が最高の権限を得られる弱点です。
深刻度7.8 重要CVSS v3.1
まずやることWindows Update で更新の状態を調べる

基本情報（データから表示）

CVE番号	CVE-2024-26169
製品	Microsoft Windows
深刻度（CVSS）	7.8 重要CVSS v3.1 NVD に登録された、他の機関（開発元など）による評価詳細（ベクター） `CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H`
KEVへの追加日	2024-06-13
米国政府機関の対応期限	2024-07-04
ランサムウェアでの悪用	悪用が確認されている
弱点の種類（CWE）	CWE-269（権限管理の不備）

何が起きた

Windows のエラー報告サービス（Windows Error Reporting Service）に、権限の管理が正しくない弱点が見つかりました。機器上で一般利用者程度の権限を持つ攻撃者が悪用でき、SYSTEM という最高レベルの権限を得られるおそれがあります。実際の悪用が確認されており、ランサムウェアの攻撃にも使われたことが分かっています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Microsoft によると、影響を受けるのは Windows 10（1507、1607、1809、21H2、22H2）、Windows 11（21H2、22H2、23H2）、Windows Server 2012 R2、Windows Server 2016、Windows Server 2019、Windows Server 2022、Windows Server 2022, 23H2 Edition です。

何をすればいい

Microsoft は 2024 年 3 月 12 日にこの弱点を直す更新を出しています。Windows Update で 2024 年 3 月以降のセキュリティ更新が入っているか確認してください。あわせて公式の案内を確認してください。

やることチェックリスト

Windows Update で更新の状態を調べる
2024 年 3 月以降のセキュリティ更新を入れる
Windows Server にも同じ更新を入れる

用語メモ

SYSTEM 用語集で見る: Windows の中で、管理者よりも強い、いちばん高い権限です。
Windows Update 用語集で見る: Windows の修正や新しい機能を、インターネットから受け取って入れる仕組みです。
ランサムウェア用語集で見る: ファイルを使えなくして、元に戻す代わりにお金を要求する不正なプログラムです。

次に読む

同じ製品・メーカーの脆弱性Microsoft Windows（CVE-2026-96951）8.8 重要CVSS v3.1Windowsで、インターネットから来たファイルへの守りをすり抜けられる弱点です。同じ製品・メーカーの脆弱性Microsoft Windows（CVE-2026-85880）7.8 重要CVSS v3.1Windowsの内部の通信の仕組みALPCで、権限を高められる弱点です。基本の解説ランサムウェアとはデータを暗号化して身代金を求める不正プログラムと対策

最新の脆弱性の一覧に戻る・これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

Microsoft Windows Error Reporting Service Improper Privilege Management Vulnerability

概要

Microsoft Windows Error Reporting Service contains an improper privilege management vulnerability that allows a local attacker with user permissions to gain SYSTEM privileges.

推奨対応

Apply updates per vendor instructions or discontinue use of the product if updates are unavailable.

この元データの出どころ: CISA KEV カタログで見る

Microsoft Windows の権限管理の不備の脆弱性（CVE-2024-26169）