• ひとことでWindowsで、インターネットから来たファイルへの守りをすり抜けられる弱点です。
  • 深刻度8.8 重要CVSS v3.1
  • まずやることWindows Updateで10月の更新を適用する

何をすればいいかを詳しく読む

基本情報（データから表示）

CVE番号CVE-2026-96951
製品Microsoft Windows
深刻度（CVSS）8.8 重要CVSS v3.1
NVD に登録された、他の機関（開発元など）による評価
詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
KEVへの追加日2026-10-13
米国政府機関の対応期限2026-10-16
ランサムウェアでの悪用不明（確認されていない）
弱点の種類（CWE）CWE-77（コマンドインジェクション）

何が起きた

MicrosoftのWindows Shellで、インターネットから来たファイルへの守り（Mark of the Web）をすり抜けられてしまう問題が見つかりました。この問題は、実際に悪用されていることが確認されています。攻撃者が細工したファイルを送り、利用者がそれを開くなどの操作をきっかけにして悪用されます。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

攻撃の流れ: 1. 攻撃者が細工したファイルを送る → 2. 利用者がそのファイルを開く → 3. インターネットから来たファイルへの守りがすり抜けられる1攻撃者が細工したファイルを送る2利用者がそのファイルを開く3インターネットから来たファイルへの守りがすり抜けられる攻撃の流れ: 1. 攻撃者が細工したファイルを送る → 2. 利用者がそのファイルを開く → 3. インターネットから来たファイルへの守りがすり抜けられる1攻撃者が細工したファイルを送る2利用者がそのファイルを開く3インターネットから来たファイルへの守りがすり抜けられる攻撃の流れ: 1. 攻撃者が細工したファイルを送る → 2. 利用者がそのファイルを開く → 3. インターネットから来たファイルへの守りがすり抜けられる1攻撃者が細工したファイルを送る2利用者がそのファイルを開く3インターネットから来たファイルへの守りがすり抜けられる

誰が影響を受ける

Windows 10、Windows 11、Windows Server 2012 R2〜2025 で、2026年10月のセキュリティ更新プログラムを当てていないものが影響を受けます。ただし、Windows 10 の Home や Pro と Windows Server 2012 R2 は通常のサポートが終わっており、この修正は、拡張セキュリティ更新（ESU）に入っている環境にしか届きません。

何をすればいい

Windows Update で、2026年10月のセキュリティ更新プログラムを適用してください。Windows 10 の Home や Pro は2025年10月14日にサポートが終わっており、その後の更新は、有料の拡張セキュリティ更新（ESU）に入っている PC にしか届きません。Windows Server 2012 R2 も、更新が届くのは ESU に入っている環境だけです。ESU に入っていない場合は、Windows Update をしてもこの弱点は直らないため、サポート中の Windows 11 などへの移行を検討してください。知らない相手から届いたファイルやリンクは開かないようにしましょう。また、CISA は、この脆弱性について侵害の痕跡がないか調べるよう求めています。

やることチェックリスト

  • Windows Updateで10月の更新を適用する
  • ESUのないWindows 10 Home/Proは移行を検討する
  • 侵害の痕跡がないか調べる

用語メモ

Mark of the Web 用語集で見る
インターネットから手に入れたファイルに付けられる印で、開くときに警告を出すなどして利用者を守る仕組みです。
セキュリティ更新プログラム 用語集で見る
見つかった弱点を直すために、メーカーが配る修正のことです。

次に読む

同じ製品・メーカーの脆弱性Microsoft Windows（CVE-2026-85880）7.8 重要CVSS v3.1Windowsの内部の通信の仕組みALPCで、権限を高められる弱点です。同じ製品・メーカーの脆弱性Microsoft Windows（CVE-2026-81963）7.8 重要CVSS v3.1Windows Updateの仕組みで、リンクの扱いの不備からSYSTEM権限を奪われる弱点です。基本の解説KEV とはCISAが悪用を確認した脆弱性の一覧。載る条件

最新の脆弱性の一覧に戻る ・ これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

Microsoft Windows Command Injection Vulnerability

概要

Microsoft Windows Shell contains a command injection vulnerability that allows an unauthorized attacker to bypass a security feature over a network.

推奨対応

Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.

この元データの出どころ: CISA KEV カタログで見る