CVE-2024-38080とは？Microsoft Windowsの脆弱性をわかりやすく解説

ひとことでWindows の Hyper-V で、一般の利用者が最も強い権限を得られる弱点です。
深刻度7.8 重要CVSS v3.1
まずやることWindows Update で更新を適用する

基本情報（データから表示）

CVE番号	CVE-2024-38080
製品	Microsoft Windows
深刻度（CVSS）	7.8 重要CVSS v3.1 NVD に登録された、他の機関（開発元など）による評価詳細（ベクター） `CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H`
KEVへの追加日	2024-07-09
米国政府機関の対応期限	2024-07-30
ランサムウェアでの悪用	不明（確認されていない）
弱点の種類（CWE）	CWE-190（整数オーバーフロー（桁あふれ））

何が起きた

Windows の仮想化の仕組み Hyper-V に、権限を不正に引き上げられる弱点（権限昇格）が見つかりました。悪用されると、一般の利用者の権限しか持たない攻撃者が、Windows で最も強い権限である SYSTEM 権限を得るおそれがあります。攻撃者は対象のパソコンやサーバーの上で、一般利用者程度の権限があれば悪用できるとされています。実際に悪用されたことが確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Microsoft によると、対象は Windows 11（21H2、22H2、23H2）と Windows Server 2022、Windows Server 2022 23H2 Edition です。

何をすればいい

Windows Update で、2024年7月のセキュリティ更新が入っているか確認してください。Windows 11 23H2 と 22H2 は KB5040442、21H2 は KB5040431、Windows Server 2022 は KB5040437、Windows Server 2022 23H2 Edition は KB5040438 です。Microsoft の公式の案内も確認してください。

やることチェックリスト

Windows Update で更新を適用する
Windows 11 23H2 なら KB5040442 を入れる
Windows Server 2022 なら KB5040437 を入れる

用語メモ

Hyper-V: 1台のコンピューターの中で、複数の仮想的なコンピューター（仮想マシン）を動かすための Windows の仕組みです。
権限昇格用語集で見る: 本来持っていない、より強い権限を不正に手に入れることです。
SYSTEM 権限用語集で見る: Windows で最も強い権限で、パソコンのほぼすべてを操作できます。

次に読む

同じ製品・メーカーの脆弱性Microsoft Windows（CVE-2026-96951）8.8 重要CVSS v3.1Windowsで、インターネットから来たファイルへの守りをすり抜けられる弱点です。同じ製品・メーカーの脆弱性Microsoft Windows（CVE-2026-85880）7.8 重要CVSS v3.1Windowsの内部の通信の仕組みALPCで、権限を高められる弱点です。基本の解説KEV とはCISAが悪用を確認した脆弱性の一覧。載る条件

最新の脆弱性の一覧に戻る・これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

Microsoft Windows Hyper-V Privilege Escalation Vulnerability

概要

Microsoft Windows Hyper-V contains a privilege escalation vulnerability that allows a local attacker with user permissions to gain SYSTEM privileges.

推奨対応

Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.

この元データの出どころ: CISA KEV カタログで見る

Microsoft Windows の権限昇格の脆弱性（CVE-2024-38080）