WindowsイベントログサービスのRPCインターフェースで脆弱性(CVE-2026-50502)、修正済みのCVE-2025-29969検証ロジックの盲点を突くPoCが公開

Windowsイベントログサービス（EventLog）に存在するリモートコード実行の脆弱性「CVE-2026-50502」のPoCが2026年7月20日に公開されました。

CVSSスコアは8.0（High）で、ネットワーク上の低権限アカウントの認証情報さえあれば、RDPやWinRMといった対話的ログオン権限なしにターゲットの端末でコードを実行できます。セキュリティ研究者Romain Bentz（Pixis）氏がLogin Sécurité社のブログに技術詳細とPoC実装を公開しており、Microsoftは2026年7月のPatch Tuesdayで修正済みです。野生での悪用は現時点で確認されていませんが、PoCが公開された以上、未パッチのWindows環境は現実的なリスクにさらされています。

CVE-2026-50502（Windows Eventログサービス RCE）のサマリー

• CVSSスコア8.0（High）、認証済みの低権限ドメインユーザーで悪用可能。RDP/WinRM不要
• Windows Eventログサービスが公開するMS-EVEN RPCインターフェースのElfrBackupELFWメソッドに存在
• 悪意あるEVTXファイルを攻撃者のSMB共有から被害者のStartupフォルダに.htaとして書き込む
• ユーザーが次にログオンした際にmshta.exeがHTAペイロードを実行
• 権限昇格なし（ユーザー権限のみで実行）。研究者は実世界の影響を「rather limited」と評価
• 修正版：Windows 10では10.0.19045.7548以降など（2026年7月14日Patch Tuesday）
• 野生での悪用：未確認
• 対象OS：Windows 10（1607以降）、Windows 11、Windows Server 2012以降のすべてのサポート対象バージョン

整理表

前身CVE-2025-29969とMicrosoftの修正——何が変わったか

今回の脆弱性を理解するには、先行するCVE-2025-29969を知る必要があります。SafeBreachが発見したこの脆弱性は、MS-EVEN RPCインターフェースのTOCTOU（Time-Of-Check, Time-Of-Use）問題でした。ElfrOpenBELWがファイルを開く時点でEVTX形式を検証してハンドルを返しますが、そのハンドルをElfrBackupELFWに渡してバックアップを実行する際には再検証が行われなかったため、開いてからコピーするまでの間にファイルを別のものにすり替えることができていました。

Microsoftはこの問題を「バックアップの実行時にも、コピーされる内容が正当なEVTXファイルかどうか（ヘッダー構造とサイズの一貫性）を検証する」という修正で対処しました。この修正は正しいアプローチですが、Pixis氏はここに疑問を持ちました。「このEVTX形式の検証には、どこまでの範囲をチェックしているのか」という問いがCVE-2026-50502の発見につながります。

CVE-2026-50502の仕組み——EVTXヘッダー検証の盲点とmshta.exeの寛容性

Pixis氏の技術解説によると、MicrosoftのEVTX形式検証はファイルの構造のみを確認しています。具体的にはEVTXヘッダーの整合性と宣言されたサイズが実際のサイズと一致しているかを確認しますが、ファイルの末尾に追加されたデータについては検証対象外です。

この特性を悪用した攻撃の骨格は次のとおりです。まず正常なWindowsシステムから取得した正規のEVTXファイルを用意します。次にEVTXファイルを末尾から追加するペイロードのサイズ分だけ切り詰め（ファイル全体のサイズを維持するための操作）、その末尾にHTAペイロード（VBScriptを含むHTML）を追記します。ファイルのEVTXヘッダーは完全に維持されており、宣言サイズと実際のサイズが一致しているため、ElfrOpenBELWとElfrBackupELFWの両方の検証を通過します。

もう一つの核心はmshta.exe（HTAエンジン）の寛容性です。.batファイルを用いる攻撃は成立しません。なぜならcmd.exeはバイナリデータ（EVTXヘッダーのnullバイト等）を処理できず、末尾のペイロードに到達できないからです。しかしmshta.exeはHTMLレンダリングエンジンとして動作し、バイナリデータを含むファイルであっても先頭から走査して最初に発見した有効なスクリプトブロックを実行します。EVTXバイナリの構造部分は無視され、末尾に追記されたVBScriptが実行されるわけです。

攻撃の流れ——低権限パスワード一つからコード実行まで

Pixis氏が実証した攻撃シナリオを整理します。

前提条件は「標的の低権限ドメインユーザーの認証情報を持っているが、そのユーザーはRDPやWinRMの権限を持っていないため直接ログオンできない」という状況です。通常このような状況では、認証情報を持っていてもコードを実行する手段がありません。CVE-2026-50502はこのギャップを埋めます。

攻撃者はまず、悪意あるEVTXファイル（malicious.evtx）を自分が管理するSMBサーバーで公開します。次にImpacketライブラリを使って標的の\pipe\eventlog名前付きパイプへRPC接続し、ElfrOpenBELWに攻撃者のSMB共有パス（UNCパス形式）を渡してハンドルを取得します。続いてElfrBackupELFWで書き込み先として被害者のStartupフォルダを指定します。

\Users\<username>\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\loginsec.hta

このパスへの書き込みはEventLogサービスがユーザー権限で実行するため、そのユーザーが一度でも対象マシンにログオンしてプロファイルが存在していれば操作が完了します。ファイルがStartupフォルダに配置されると、対象ユーザーが次回ログオンした際にWindowsが自動実行し、mshta.exeがHTAペイロード内のVBScriptを起動します。

スタック全体を通じて対話的ログオン権限は一切不要であり、\pipe\eventlogへのRPCアクセスができるネットワーク接続と低権限の認証情報だけで攻撃が完結します。

影響範囲と現実的な制約

ネットワークエンジニアとしての経験から言えば、この脆弱性の実運用上のリスクは「中」程度と評価するのが妥当です。Pixis氏自身も実世界の影響を「rather limited（rather limited = むしろ限定的）」と表現しています。

制約が生じる理由が2点あります。まず、書き込みはユーザー権限のみで実行されるため、SYSTEMやAdministratorへの特権昇格は発生しません。次に、コードの実行は「被害者の次回ログオン時」という遅延実行であり、攻撃者がリアルタイムでコードを実行できるわけではありません。

一方で見逃せない点もあります。通常は「認証情報を持っていてもコード実行の手段がない」という状況を突破できる点は戦術的に有効です。また、イベントログサービスはすべてのWindowsマシンで動作しているため、影響範囲は非常に広く、企業ネットワーク上のすべての未パッチWindowsエンドポイントが対象です。今月のPatch Tuesdayでは同時にAD CS（Certighost、CVE-2026-54121）やWalletService（CVE-2026-49176）も修正されており、7月更新の未適用はこれら複数の脆弱性リスクを同時に残すことになります。

なお、MS-EVEN RPCインターフェースへのアクセスは一般的に\pipe\eventlogへの接続が許可されているネットワーク環境を前提としています。SMBをフィルタリングしている環境では攻撃面が大幅に縮小します。

情報システム部門が取るべき対応

パッチ適用が最優先です。 2026年7月セキュリティアップデートを適用することで本脆弱性は修正されます。Windows 10環境ではビルド10.0.19045.7548以降、その他のバージョンについてはMicrosoft Security Response Center（MSRC）の公式アドバイザリで各ビルド番号を確認してください。

即時パッチ適用が困難な環境向けには2つの暫定対策が有効です。まず、信頼できないホストへのアウトバウンドSMBをファイアウォールでブロックすることです。攻撃者のSMBサーバーへの接続を遮断すれば、悪意あるEVTXファイルを取得するステップが成立しません。次に、ユーザーのStartupフォルダに予期しない.htaファイルが存在しないかの監査を実施することです。

\Users\<username>\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\*.hta

このパターンのファイルが見つかった場合、CVE-2026-50502の悪用が試みられた可能性を示す指標となります。

また、ドメイン内の認証情報管理を見直すことも重要です。本脆弱性は低権限のパスワード一つが起点となるため、スティーラーログ経由での認証情報流出への対策がこの脆弱性の悪用リスク低減にも直結します。

出典

• CVE-2026-50502 : RCE via le service Windows Event Log (ElfrBackupELFW)——Romain Bentz (Pixis) / Login Sécurité（2026年7月20日）
• CVE-2026-50502 Security Advisory——Microsoft Security Response Center
• CVE-2026-50502: Public PoC Exploit Details Windows Event Log Remote Code Execution——Security Online（2026年7月29日）
• SafeBreach: CVE-2025-29969の発見と解説（前身脆弱性）

関連記事

Spring SecurityとSpring WSがXSS・SSRF・XXE・BSP検証バイパスを含む複数の脆弱性を修正(CVE-2026-41003,CVE-2026-40999)他 【2026年】サイバー攻撃・情報漏洩の最新 事例 ビジネスメール詐欺（BEC）・ニセ社長詐欺 不正送金被害まとめ-はてななど上場企業関連9社とLINE誘導型詐欺含む21件・被害総額約22億740万円超【2026年最新版】 WindowsのTCP/IP IPv6を使用する全てのシステムに影響を与える緊急度の高い 脆弱性(CVE-2024-38063) サイバー攻撃の事例を解説 Linuxカーネルの脆弱性 DirtyClone(CVE-2026-43503)でroot権限奪取が可能-JFrogがPoCを公開 ElasticがElastic Stack製品群に計6件の脆弱性を公表-Elasticsearch・Kibana・Elastic Defendが対象、CVSSv3.1最大6.5のDoS・情報漏洩・不正認可を修正（2026年7月1日） Microsoft、2026年6月定例パッチで史上最多206件の脆弱性を修正-3件のゼロデイや危険な脆弱性含む(CVE-2026-50507,CVE-2026-45586,CVE-2026-47291,CVE-2026-49160) Apache ActiveMQ、危険度の高い脆弱性など4件を修正-CVE-2026-42588-CVE-2026-45505

投稿者：三村

セキュリティ製品を手がける上場企業にて、SOC（セキュリティオペレーションセンター）運営およびWebアプリケーション脆弱性診断の営業に8年間従事。その後、システムエンジニアへ転身し、MDMや人事系SaaSの開発に携わる。
8年の実務経験と開発者としての知見を活かし、「セキュリティ対策Lab」ではダークウェブ調査、セキュリティインシデントの分析、および高度なセキュリティ対策解説の執筆・編集を統括しています。
LinkedIn(外部サイト)