Windows DNS Serverにワーム化可能なRCE CVE-2026-62878 - 2026年8月Patch Tuesdayで最優先すべき修正
DNSの仕組みと運用を基礎から学べる定番。
脆弱性の原理を体系的に押さえる教科書。
攻撃手法を手を動かして理解できる入門書。
当サイトは Amazon.co.jp を宣伝しリンクすることで紹介料を得る手段を提供する、Amazonアソシエイト・プログラムの参加者です。価格・在庫はリンク先の最新情報をご確認ください。
DNSは、ほぼすべての通信の起点になる基盤サービスです。そのDNSを担うWindows DNS Serverに、未認証の攻撃者がパケットを送るだけでコードを実行できる脆弱性が見つかりました。2026年8月のMicrosoft Patch Tuesdayで修正されたCVE-2026-62878です。CVSSは9.8(Critical)で、Zero Day Initiative(ZDI)はワーム化可能(wormable)、つまり感染したサーバーが次のサーバーを自動的に攻撃して広がりうる性質を持つと評価しています。
8月のPatch Tuesdayはこれ1件では終わりません。北朝鮮系のLazarusグループが実際の攻撃に使っていたゼロデイCVE-2026-68820(afd.sysの特権昇格)を含む、約421件という大規模な修正でした。本記事では、Microsoft MSRCのアドバイザリデータ、CISA KEVカタログのJSONフィード、ZDI・Rapid7・CrowdStrike・Check Point Researchの分析という一次〜準一次情報をもとに、何をどの順で当てるべきかを整理します。
WARNING
CVE-2026-62878の実悪用は執筆時点で確認されていませんが、認証不要・ユーザー操作不要でネットワーク越しに成立するRCEです。特にインターネットへ公開されているWindows DNS Server、およびDNSの役割を兼ねるドメインコントローラーには、2026年8月の更新プログラムを最優先で適用してください。
NOTE
本記事の数値・CVE番号・KB番号は、Microsoft MSRCのSecurity Update Guide(APIのアドバイザリデータを含む)、CISA KEVカタログJSONフィード(カタログバージョン2026.08.17)、ZDI・Rapid7・CrowdStrike・The Hacker News・Check Point Researchの記事で2026年8月18日時点に確認したものです。一次情報で確定できなかった点は本文で「未確認」と明示しています。
概要(まず結論)
| 項目 | 内容 |
|---|---|
| CVE | CVE-2026-62878 |
| 製品 | Windows DNS Server |
| 種別 | スタックベースのバッファオーバーフロー(CWE-121)によるリモートコード実行 |
| CVSS v3.1 | 9.8(Critical)CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
| 認証・ユーザー操作 | どちらも不要 |
| 影響バージョン | Windows Server 2012 / 2012 R2 / 2016 / 2019 / 2022 / 2025(詳細は後述) |
| Microsoftの悪用可能性評価 | Exploitation Less Likely(悪用の可能性は低め) |
| 悪用・公開状況 | 実悪用・情報公開ともに確認なし(2026年8月18日時点) |
| 回避策 | アドバイザリに記載なし。修正は8月の更新プログラム適用のみ |
| 公開日 | 2026年8月11日(米国時間) |
MicrosoftのFAQには「未認証の攻撃者が、影響を受けるサービスへ特別に細工したパケットをネットワーク経由で送信することで悪用でき、認証もユーザー操作も必要ない」と明記されています。攻撃の前提条件がほぼゼロという、RCEとして最悪に近い条件です。
一方でMicrosoft自身の評価は「Exploitation Less Likely」で、CVSSベクタの悪用成熟度もE:U(Unproven、実証コード未確認)です。スコアが高い割に悪用可能性評価は控えめという組み合わせですが、後述するSIGRedの例が示すとおり、DNSサーバーの脆弱性は公開後に研究者と攻撃者の解析が一気に進む領域です。評価の低さを「急がなくてよい」と読むのは危険です。
なぜ「ワーム化可能」なのか
ZDIはこの脆弱性を「リモートの未認証攻撃者が、ユーザー操作なしで昇格された権限でコードを実行できる。昔ながらのスタックベースのバッファオーバーフローで、結果としてワーム化可能(wormable)になっている」と評し、「特にインターネットに面したDNSサーバーへ、検証とデプロイを急ぐべき」と勧告しています。
ワーム化可能とは、人手を介さずマルウェアが脆弱なコンピュータ間で自動的に伝播しうる性質を指します。成立条件を分解すると次のとおりです。
- 認証が不要: 攻撃前に資格情報を奪う必要がない。
- ユーザー操作が不要: メールを開かせる等の騙しが要らず、攻撃を自動化できる。
- ネットワーク経由で攻撃可能: パケットを送れれば良い。
- 対象が相互に通信し合う: DNSサーバーは再帰問い合わせやゾーン転送などで他のDNSサーバーと日常的に通信するため、乗っ取った1台を踏み台に次の1台を探して攻撃するループが組める。
この4条件が揃った過去の例が、WannaCryが悪用したSMBの脆弱性(EternalBlue)や、後述するDNSのSIGRed(CVE-2020-1350)です。2017年のWannaCryは、まさにこの性質によって数日で世界中に広がりました。
もうひとつ見逃せないのは、Active Directory環境ではDNSサーバーの多くがドメインコントローラーに同居しているという点です。Windowsのドメイン環境では、AD DSの役割とDNSの役割を同じサーバーへ入れる構成が標準的です。つまりDNS ServerのRCEは、単なる「DNSサーバー1台の乗っ取り」ではなく、ドメイン全体の認証基盤の乗っ取りへ直結しえます。DNSサービス自体も高い権限で動作するため、コード実行に成功した攻撃者はそのままシステムを掌握できます。
なお、脆弱性の内部的な詳細(どのレコード処理でオーバーフローするか、PoCの有無)は、Microsoftも各社も公開しておらず、執筆時点では未確認です。SNS上で特定のパケット形式やレコード種別を挙げる情報が流れても、一次情報の裏付けがない限り鵜呑みにしないでください。
DNSの再帰問い合わせやゾーン転送など、前提となる名前解決の仕組みはDNSと名前解決の仕組み解説で詳しく説明しています。
影響範囲と対象バージョン・修正KB
MSRCのアドバイザリデータから、影響製品と修正KB・修正済みビルドを整理します。
| 製品 | KB | 修正済みビルド |
|---|---|---|
| Windows Server 2025 | KB5120233 / KB5120228 | 10.0.26100.33296 / 10.0.26100.33222 |
| Windows Server 2022 | KB5120242 / KB5120229 | 10.0.20348.5499 / 10.0.20348.5440 |
| Windows Server 2019 | KB5120238 | 10.0.17763.9121 |
| Windows Server 2016 | KB5120418 | 10.0.14393.9418 |
| Windows Server 2012 R2 | KB5120385 | 6.3.9600.23338 |
| Windows Server 2012 | KB5120386 | 6.2.9200.26280 |
- Server Coreインストールも同様に対象です。
- サポート終了済みのWindows Server 2012 / 2012 R2にも修正が出ています。拡張セキュリティ更新(ESU)の対象環境は忘れずに適用してください。
- MSRCの影響製品リストにはWindows 10 Version 1607 / 1809(Server 2016 / 2019とビルドを共有)も含まれています。DNSサーバーはWindows Serverの役割ですが、更新プログラム自体は該当ビルドの全SKUに配信されます。
攻撃対象になるのはDNSサーバーの役割(サービス)が動作しているシステムです。自社のどのサーバーでDNSの役割が有効かを棚卸しし、ドメインコントローラー兼DNSサーバーとインターネット公開のDNSサーバーから順に適用するのが実務的な優先順位です。
悪用済みゼロデイCVE-2026-68820(afd.sys) - Lazarusが防衛産業を攻撃
8月のリリースで唯一「悪用済み(Exploitation Detected)」と明記されたのが、CVE-2026-68820です。
| 項目 | 内容 |
|---|---|
| CVE | CVE-2026-68820 |
| 製品 | Windows Ancillary Function Driver for WinSock(afd.sys) |
| 種別 | 解放済みメモリの使用(CWE-416)による特権昇格 |
| CVSS v3.1 | 7.0(Important)CVSS:3.1/AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H |
| 悪用状況 | 実悪用を確認済み(Microsoft) |
| CISA KEV | 2026年8月11日追加、是正期限2026年8月25日 |
| 獲得できる権限 | SYSTEM |
afd.sysはWindows Sockets APIを支えるカーネルモードドライバで、ネットワーク通信を行うほぼすべてのWindowsアプリケーションが経由するコンポーネントです。ローカルの低権限ユーザーが細工したアプリケーションを実行し、競合状態(race condition)を勝ち取ることでSYSTEM権限へ昇格できます。CVSSが7.0にとどまるのは攻撃条件の複雑さがAC:H(競合状態の成立が必要)だからで、実際に攻撃で使われている以上、スコアの低さは免罪符になりません。
この脆弱性を報告したCheck Point Researchは、北朝鮮系のLazarusグループが「Operation Dream Job」と呼ばれる採用詐欺キャンペーンでこのゼロデイを使っていたと報告しています。要点は次のとおりです。
- 偽の求人・採用担当者を装って標的に接触し、マルウェアを実行させる手口。防衛・航空宇宙・ドローン・軍事技術関連の組織が重点的に狙われ、フランス、ドイツ、ブラジル、インドなどで標的が確認されています。
- 遅くとも2026年7月上旬から悪用されており、Check Pointが7月28日にMicrosoftへ報告、8月11日のPatch Tuesdayで修正されました。
- 特権昇格の後、Lazarusのカーネルモードルートキット「FudModule」をSYSTEM権限で動かし、最終的に「ForestTiger」と呼ばれるバックドアを設置します。
特権昇格の脆弱性は単体では侵入に使えませんが、初期侵入(フィッシング等)と組み合わせて防御を無力化する要石になります。CISAはこのCVEを公開当日の8月11日にKEVカタログへ追加し、連邦民間行政機関へ8月25日までの是正を義務付けました。KEV掲載は「現実に攻撃されている」ことの実務的なシグナルであり、民間組織でも優先度判断にそのまま使えます。
ZDIは、MicrosoftがCVSSの悪用成熟度を「Unproven」としながら悪用済みと発表している不整合も指摘しています。CVSSベクタの機械的な読み取りだけで判断せず、アドバイザリ本文の悪用フラグとKEVを併読すべき理由がここにもあります。
2026年8月Patch Tuesdayの全体像
7月の史上最多となった約622件のPatch Tuesdayに続き、8月も大規模な月になりました。例によって、集計方法により総数はソース間で幅があります。
| 出典 | 件数 |
|---|---|
| Rapid7 | 421件(うちWindows本体236件) |
| CrowdStrike | 415件 |
| ZDI / The Hacker News | 398件(新規CVEとして集計) |
各社とも集計基準の詳細は明示しておらず、差分の正確な内訳は未確認ですが、7月(570〜622件)と同様に「別枠配信分や再掲分をどこまで数えるか」の違いとみられます。本記事では広く引用されている約421件を代表値とします。深刻度Criticalは62件で、これは複数ソースで一致しています。
種別の内訳(CrowdStrike集計)は、特権昇格が174件(約42パーセント)、リモートコード実行が109件(約26パーセント)、情報漏えいが85件(約20パーセント)です。
ゼロデイはMicrosoftの定義(悪用済みまたは修正前に公開済み)で3件でした。
| CVE | 製品 | 種別 | CVSS | 状況 |
|---|---|---|---|---|
| CVE-2026-68820 | afd.sys | 特権昇格 | 7.0 | 悪用済み・KEV追加 |
| CVE-2026-62832 | Windows User Profile Service | 特権昇格 | 7.8 | 公開済み。Exploitation More Likely |
| CVE-2026-72971 | Windows Container Isolation FS Filter Driver(unionfs.sys) | 改ざん | 5.5 | 公開済み。Exploitation Unlikely |
ゼロデイ以外で押さえておきたいCriticalも挙げておきます。
- CVE-2026-62893(Windows Deployment Services、CVSS 9.8): TFTP処理経由の未認証RCEです。WDSを使っている環境では、UDPポート69の露出を確認してください。
- CVE-2026-62815(Microsoft QUIC、CVSS 9.8): QUIC実装の脆弱性です。HTTP/3を有効にしたサーバーが対象になりえます。
- CVE-2026-59124(HPC Pack、CVSS 9.8): デフォルトではインストールされない製品ですが、利用環境では未認証RCEです。
- CVE-2026-62911(Exchange Server特権昇格): Pwn2Own Berlinで実証された脆弱性の修正です。
- CVE-2026-63520(SharePoint Server RCE): 7月修正の認証バイパスCVE-2026-55040(CVSS 9.1)と組み合わせると未認証RCEチェーンになる、とRapid7が報告しています。SharePointは7月から悪用が続いているため、オンプレミス運用者は8月分まで含めて確実に適用してください。デシリアライズ起点のSharePoint RCEの仕組みはCVE-2026-45659の解説を参照してください。
対策と優先順位
421件を同じ重さで扱うのは不可能です。次の順で進めることを推奨します。
1. KEV掲載のCVE-2026-68820を含む8月更新を全Windows端末へ適用する悪用済みゼロデイへの対処が最優先です。afd.sysはクライアント・サーバーを問わず存在するため、対象は全Windows環境です。是正期限(8月25日)はCISAが連邦機関に課したものですが、民間でも目安として使えます。
2. DNSの役割を持つサーバーへCVE-2026-62878の修正を最優先で当てる適用順は次が実務的です。
- インターネットに面しているWindows DNS Server
- ドメインコントローラー兼DNSサーバー
- 内部専用のDNSサーバー
CVE-2026-62878にはMicrosoftが公表した回避策(レジストリ設定等)が存在しません。SIGRedのときにあったような一時しのぎが使えないため、対処は更新プログラムの適用一択です。
3. 攻撃対象面を恒常的に減らす- Windows DNS Serverを不必要にインターネットへ公開しない。外部向けの権威DNSは専用のサービスや別実装へ分離し、AD統合のDNSは内部に閉じるのが定石です。
- DNSの役割が本当に必要か棚卸しする。使っていない役割が残っていれば、それは攻撃面でしかありません。
- DNSサーバーのクラッシュや再起動(dns.exeの異常終了)を監視する。エクスプロイト開発の初期段階では、失敗した攻撃がサービスクラッシュとして観測されることがあります。
DNSとドメインコントローラーは止まると業務全体へ波及します。ステージングでの検証とバックアップ(システム状態のバックアップを含む)を確保しつつ、検証に何週間もかけないことです。ワーム化可能な脆弱性は、公開からエクスプロイト出現までの時間が優先度を決めます。
国内でも脆弱性起点の侵害事例は続いています。放置された既知脆弱性がどう使われるかは2026年の国内セキュリティインシデントまとめも参考にしてください。
過去の類似事例: SIGRed(CVE-2020-1350)
Windows DNS Serverのワーム化可能なRCEには、有名な前例があります。2020年7月に修正されたSIGRed(CVE-2020-1350)です。
| 項目 | SIGRed(CVE-2020-1350) | CVE-2026-62878 |
|---|---|---|
| CVSS | 10.0 | 9.8 |
| 種別 | 整数オーバーフローに起因するヒープバッファオーバーフロー | スタックバッファオーバーフロー |
| 認証・ユーザー操作 | 不要 | 不要 |
| wormable評価 | Microsoft自身が「ワーム化可能とみなす」と明言 | ZDIがワーム化可能と評価 |
| 影響バージョン | Windows Server 2003〜2019 | Windows Server 2012〜2025 |
| 回避策 | レジストリ(TcpReceivePacketSize)あり | なし |
SIGRedはCheck Pointが発見した脆弱性で、SIGレコードの解析処理(SigWireRead関数)における整数オーバーフローが原因でした。バッファサイズの計算が16ビットに収まる前提で書かれており、DNS圧縮ポインタを悪用して65,535バイトを超えるレコードを処理させるとヒープが溢れます。このバグは17年間、Windows Serverのコードベースに潜んでいました。
当時Microsoftは異例の対応を取りました。CVSSに満点の10.0を付け、公式FAQで「これはワーム化可能な脆弱性であり、ユーザー操作なしに脆弱なコンピュータ間でマルウェアが伝播する可能性がある」と明言し、パッチを即座に当てられない環境向けにレジストリの回避策(TCP経由のDNSパケット受信サイズを制限するTcpReceivePacketSizeの設定)まで用意しています。
SIGRedから得られる教訓は2つあります。第一に、DNSサーバーのパーサは何十年も前のコードが現役で動いている領域であり、今回のCVE-2026-62878のような「昔ながらのバッファオーバーフロー」が2026年になっても出てくること。第二に、SIGRedはMSRCの評価で「Exploitation More Likely」とされ、公開直後から世界中で解析が進み、後にCISA KEVカタログにも掲載されたことです(KEVへの追加は2021年11月3日。カタログ創設時の初期登録分)。悪用の有無は公開時点のスナップショットでしかなく、状況は公開後に動きます。CVE-2026-62878も同じ轍を踏む可能性を前提に動くべきです。
まとめ
- 2026年8月のPatch Tuesdayは約421件(集計により398〜421件)を修正し、うちCriticalは62件でした。
- CVE-2026-62878はWindows DNS Serverのスタックバッファオーバーフローで、CVSS 9.8。未認証・ユーザー操作不要のネットワーク経由RCEであり、ZDIはワーム化可能と評価しています。回避策はなく、対処はパッチ適用のみです。Windows Server 2012〜2025が対象で、DNSの役割を持つサーバー(特にインターネット公開のものとドメインコントローラー)へ最優先で適用してください。
- CVE-2026-68820(afd.sysの特権昇格)は唯一の悪用済みゼロデイで、LazarusがOperation Dream Jobで防衛関連組織への攻撃に使っていたとCheck Pointが報告しています。公開当日にCISA KEVへ追加され、是正期限は8月25日です。
- 公開済みゼロデイとしてCVE-2026-62832(User Profile Service特権昇格、Exploitation More Likely)とCVE-2026-72971(unionfs.sys改ざん)も修正されています。
- CVE-2026-62878の実悪用・PoC・脆弱性の内部詳細、および各社のCVE集計差の正確な内訳は、執筆時点で未確認です。最新状況は必ずMSRCのアドバイザリとCISA KEVカタログで確認してください。
参考資料
- Microsoft MSRC: CVE-2026-62878 - Windows DNS Server Remote Code Execution Vulnerability
- Microsoft MSRC: CVE-2026-68820 - Windows Ancillary Function Driver for WinSock Elevation of Privilege Vulnerability
- Zero Day Initiative: The August 2026 Security Update Review
- Rapid7: Patch Tuesday - August 2026
- CrowdStrike: August 2026 Patch Tuesday: Updates and Analysis
- The Hacker News: Microsoft Patches 398 Flaws Including a Windows Driver Zero-Day Under Active Attack
- Security Affairs: Microsoft Patch Tuesday for August 2026 Fixed a Zero-Day and Wormable RCE
- Check Point Research: Shattering the Dream - When a Job Offer Becomes a Zero-Day Attack
- CISA: Known Exploited Vulnerabilities Catalog
- Microsoft MSRC: CVE-2020-1350 - Windows DNS Server Remote Code Execution Vulnerability(SIGRed)
- Microsoft KB4569509: Guidance for DNS Server Vulnerability CVE-2020-1350
- Check Point Research: SIGRed - Resolving Your Way into Domain Admin: Exploiting a 17 Year-old Bug in Windows DNS Servers
