Microsoft、2026年9月の定例パッチでサイバー攻撃への悪用済みゼロデイ脆弱性 2件を修正 CVE-2026-81963・CVE-2026-85880|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年09月09日更新日時: 2026年09月09日

Microsoft、2026年9月Patch Tuesdayでサイバー攻撃への悪用済みゼロデイ脆弱性 2件を修正　CVE-2026-81963・CVE-2026-85880

Microsoftは2026年9月8日（米国時間）、9月の月例セキュリティ更新プログラム（Patch Tuesday）を公開し、実際の攻撃で悪用が確認されているWindowsの権限昇格脆弱性 2件を修正しました。

対象は、Windows Update StackのCVE-2026-81963と、Windows Advanced Local Procedure Call（ALPC）のCVE-2026-85880です。いずれもCVSS v3.1の基本値は7.8（High）で、ローカルで低い権限を持つ攻撃者がより高い権限を取得できる脆弱性です。

米Cybersecurity and Infrastructure Security Agency（CISA）は同日、2件をKnown Exploited Vulnerabilities（KEV）Catalogへ追加しました。米連邦政府機関向けの対応期限は2026年9月22日です。

Microsoftは、実際の攻撃でどの脅威アクターが悪用したのか、被害組織数、初期侵入経路などを公表していません。今回確認できるのは「脆弱性の実悪用が確認され、更新プログラムが提供された」という段階です。

2026年9月Microsoft Patch Tuesdayのサマリー

確認できている内容：

Microsoftは2026年9月8日、9月のセキュリティ更新プログラムを公開しました。
Windowsの権限昇格脆弱性CVE-2026-81963とCVE-2026-85880について、実際の攻撃での悪用が確認されています。
2件ともCVSS v3.1の基本値は7.8（High）です。
CVE-2026-81963はWindows Update Stackの「Link Following」に関する脆弱性です。
CVE-2026-85880はWindows ALPCのヒープベースのバッファオーバーフローです。
いずれも攻撃経路はローカルで、低権限が必要、ユーザー操作は不要と評価されています。
CISAは2026年9月8日、2件ともKEV Catalogへ追加しました。
CISAのKEV上の対応期限は2026年9月22日です。
CVE-2026-81963はWindows 11 23H2／24H2／25H2／26H1とWindows Server 2025などが対象です。
CVE-2026-85880はWindows 10 1607／1809／21H2／22H2とWindows Server 2012～2022などが対象です。
Microsoftは攻撃者、被害件数、悪用方法の詳細を公表していません。
CISA KEVでは、2件ともランサムウェアキャンペーンでの利用状況は「Unknown」です。

現時点で未確認・未公表の内容：

攻撃者・脅威アクター
初期侵入経路
攻撃対象となった国・業種
日本企業への具体的な被害
悪用開始時期
被害組織数
ランサムウェアとの具体的な関係
信頼できる公開PoCの有無

項目	CVE-2026-81963	CVE-2026-85880
対象	Windows Update Stack	Windows Advanced Local Procedure Call（ALPC）
影響	権限昇格	権限昇格
CVSS v3.1	7.8（High）	7.8（High）
攻撃経路	Local	Local
必要権限	Low	Low
ユーザー操作	不要	不要
CWE	CWE-59、CWE-284	CWE-122、CWE-908
実悪用	Microsoftが確認	Microsoftが確認
CISA KEV	2026年9月8日追加	2026年9月8日追加
KEV対応期限	2026年9月22日	2026年9月22日
ランサムウェア利用	Unknown	Unknown
修正	2026年9月更新で提供	2026年9月更新で提供

CVE-2026-81963はWindows Update Stackの権限昇格脆弱性

CVE-2026-81963はWindows Update Stackに存在する権限昇格の脆弱性です。

MicrosoftがCVEへ登録した説明では、ファイルへアクセスする前のリンク解決が適切に処理されない「Improper Link Resolution Before File Access（Link Following）」と、不適切なアクセス制御が原因として挙げられています。

CWEはCWE-59（Improper Link Resolution Before File Access）とCWE-284（Improper Access Control）です。

CVSS v3.1は7.8で、Attack VectorはLocal、Attack ComplexityはLow、Privileges RequiredはLow、User InteractionはNoneです。機密性・完全性・可用性への影響はいずれもHighと評価されています。

インターネット越しに認証なしで直接侵入する脆弱性ではありません。攻撃者は何らかの方法で対象Windows上に低権限のアクセスを得た後、この脆弱性を利用して権限を昇格させる可能性があります。

CISAはKEV Catalogで、この脆弱性によりローカル攻撃者がSYSTEM権限まで昇格できると説明しています。

CVE-2026-81963の対象はWindows 11とWindows Server 2025

MicrosoftがCNAとして登録したCVE情報では、主な対象と修正後ビルドは次のとおりです。

製品	修正後ビルド
Windows 11 version 23H2	22631.7582
Windows 11 version 24H2	26100.9445
Windows 11 version 25H2	26200.9445
Windows 11 version 26H1	28000.2954
Windows Server 2025	26100.33438

Windows 11 23H2ではKB5122880、24H2／25H2ではKB5124008、26H1ではKB5124012が2026年9月8日付で公開されています。

Windows Server 2025ではKB5122871が公開され、OSビルド26100.33438へ更新されます。

端末管理では「9月更新を配信したか」だけではなく、対象端末が修正済みビルドまで到達しているかを確認した方が確実です。

CVE-2026-85880はWindows ALPCのヒープベースバッファオーバーフロー

CVE-2026-85880は、Windows Advanced Local Procedure Call（ALPC）に存在する権限昇格脆弱性です。

ALPCはWindows内部でプロセス間通信に使われる仕組みです。

MicrosoftのCVE情報では、原因としてCWE-122（Heap-based Buffer Overflow）とCWE-908（Use of Uninitialized Resource）が登録されています。

CVSS v3.1の基本値は7.8で、Attack VectorはLocal、Attack ComplexityはLow、Privileges RequiredはLow、User InteractionはNoneです。

この脆弱性も、外部からネットワーク経由で直接コード実行する脆弱性ではありません。何らかの方法で低権限アクセスを獲得した攻撃者が、Windows上で権限を引き上げる段階に利用できる脆弱性です。

Microsoftは実際の攻撃で悪用されたことを確認していますが、攻撃手順や被害者の詳細は公表していません。

CVE-2026-85880はWindows 10とWindows Server 2012～2022が対象

MicrosoftがCNAとして登録した影響製品には、Windows 10の旧世代・長期サポート系とWindows Serverが含まれています。

主な修正後ビルドは次のとおりです。

製品	修正後ビルド
Windows 10 Version 1607	14393.9512
Windows 10 Version 1809	17763.9245
Windows 10 Version 21H2	19044.7725
Windows 10 Version 22H2	19045.7725
Windows Server 2012	9200.26349
Windows Server 2012 R2	9600.23397
Windows Server 2016	14393.9512
Windows Server 2019	17763.9245
Windows Server 2022	20348.5622

Windows 10 21H2／22H2ではKB5122878が公開され、ビルド19044.7725／19045.7725へ更新されます。Windows 10 1809ではKB5122876、Windows 10 1607ではKB5123099が公開されています。

Windows 10 22H2は通常サポートを終了しているため、企業ではESUやLTSCなど自社が利用しているサポートチャネルと更新対象を照合する必要があります。

「Windows 10がある」という資産情報だけでは、更新を受け取れる端末か判断できません。エディション、バージョン、ESU契約、LTSCの有無まで確認します。

CISAは2件を同日にKEVへ追加

CISAは2026年9月8日、CVE-2026-81963とCVE-2026-85880をKnown Exploited Vulnerabilities Catalogへ追加しました。

2件の対応期限はともに2026年9月22日と設定されています。

この期限は米連邦政府機関向けのBOD 26-04に基づくもので、日本企業へ法的な適用義務があるわけではありません。

ただし、企業の脆弱性管理では「CVSSが高い順」だけではなく、実悪用の有無、KEV掲載、自社資産への影響、更新可否を組み合わせて優先順位を決める材料になります。

2件とも初期侵入より侵害後の権限昇格で使われる可能性

2件のCVSSベクトルは、Attack VectorがLocal、Privileges RequiredがLowです。

この条件から、脆弱性単体でインターネット上のWindowsへ認証なしで侵入できるものではありません。

想定すべきなのは、攻撃者が別の手段で低権限アクセスを得た後の権限昇格です。

企業のインシデントでは、フィッシング、認証情報窃取、外部公開サービスの侵害、マルウェア実行、正規アカウントの不正利用などによって最初のアクセスを得た後、OSの権限昇格脆弱性を組み合わせることがあります。

ただし、Microsoftは今回の実攻撃でどの初期侵入手法と組み合わせられたかを公表していません。これらを今回の攻撃経路として断定することはできません。

ランサムウェアでの悪用は確認されていない

CISA KEVでは、CVE-2026-81963とCVE-2026-85880の「Known Ransomware Campaign Use」はともにUnknownとなっています。

これは「ランサムウェアで使われていない」と確認された意味ではありません。現時点でCISAがKEV上でランサムウェアキャンペーンとの関係を確認していない状態です。

Microsoftも、今回の2件を悪用した攻撃者やマルウェア、ランサムウェアグループについて公表していません。

したがって、ランサムウェアや国家支援型攻撃者、特定の脅威アクターとの関係は現時点で断定できません。

「996件修正」は一次情報から確認できず、総数は断定しない

起点となったSecurityOnlineの記事では、2026年9月Patch Tuesdayで「996件の脆弱性を修正」とされています。

今回、Microsoft Security Update Guide、MicrosoftのCVE情報、Microsoft Update Catalogなどを確認しましたが、「996件」という総数をMicrosoftが公式に示した一次情報は確認できませんでした。

9月の脆弱性総数は外部セキュリティ企業・報道機関の集計方法によって差が出ています。Microsoft Security Update Guideは公開後もCVEの追加や修正が行われるため、Patch Tuesday当日に新規公開されたCVEだけを数えるか、月初に公開済みのAzure等を含めるか、外部CVEを含めるかなどで数字が変わります。

そのため、本記事では総修正件数を断定せず、MicrosoftとCISAの一次情報で確認できる「実悪用済みの2件」を対応優先度の中心として扱います。