WindowsのNT OSカーネル権限昇格脆弱性 CVE-2026-42980のPoCが公開|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年07月23日更新日時: 2026年07月23日

2026年6月の月例パッチで修正されたWindowsのNT OSカーネルにおける権限昇格の脆弱性CVE-2026-42980について、動作する概念実証(PoC)コードが2026年7月21日に公開されました。この脆弱性は、WindowsカーネルのWMI(Windows Management Instrumentation)サブシステムにおける整数アンダーフロー(ラップアラウンド)に起因するものです。ローカルで認証済みの標準ユーザーが、カーネルのメモリ構造を破壊することで既存の権限境界を突破し、最終的にNT AUTHORITY\SYSTEMという最上位の権限へと昇格できてしまいます。CVSSスコアは7.8(重要)と評価されており、Microsoftはパッチ公開時点で「悪用される可能性が高い(Exploitation More Likely)」という判定を示していました。当サイトで既報の2026年6月の史上最多206件のパッチの一部として修正されたものですが、PoCの公開により改めて注意が必要な脆弱性です。

サマリー

CVE-2026-42980は、WindowsのNT OSカーネルのWMI(Windows Management Instrumentation)サブシステムに存在する整数アンダーフロー(CWE-191)の脆弱性で、悪用されるとローカルのSYSTEM権限への昇格が可能になります
CVSSv3.1の基本スコアは7.8(重要)で、攻撃元区分はローカル(AV:L)、攻撃の複雑さは低(AC:L)、必要な権限はローカルユーザー(PR:L)、利用者の操作は不要(UI:N)です
Microsoftは2026年6月9日の月例パッチ(Patch Tuesday)でこの脆弱性を修正しており、パッチ公開時点で「悪用される可能性が高い(Exploitation More Likely)」という評価を付与していました
整数アンダーフローが発生すると、ヒープベースのバッファオーバーフロー(CWE-122)が引き起こされ、カーネルのメモリ構造が破壊されることで権限境界が突破されます
影響を受けるのは、Windows 10(1607、1809、21H2、22H2)、Windows 11(23H2、24H2、25H2、26H1)、Windows Server 2012以降の幅広いバージョンです
本稿執筆時点(2026年7月21日)で、実際の攻撃での悪用は公式に確認されていませんが、PoCが公開されたことで攻撃者が悪用コードを作成するハードルが大きく下がりました
報告者はMicrosoftのアドバイザリ上では匿名(Anonymous)と記載されています

1 整理表
2 脆弱性の技術的な仕組み-WMIサブシステムの整数アンダーフロー
3 パッチ公開から約6週間後のPoC公開-Exploitation More Likelyの意味
4 広範な影響を受けるWindowsバージョン
5 情報システム部門への示唆
6 出典

整理表

項目	内容
CVE番号	CVE-2026-42980
脆弱性の種別	NT OSカーネルの権限昇格(整数アンダーフロー・ラップアラウンド)
対象コンポーネント	Windows NT OSカーネル(WMIサブシステムのメモリ管理コード)
CVSSv3.1スコア	7.8(重要・Important)
CVSSベクトル	AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
CWE	CWE-191(整数アンダーフロー)、CWE-122(ヒープベースバッファオーバーフロー)
Microsoftの悪用評価	Exploitation More Likely(悪用される可能性が高い)
修正パッチの公開日	2026年6月9日(6月Patch Tuesday、206件のうちの1件)
影響を受けるOS	Windows 10(1607/1809/21H2/22H2)、Windows 11(23H2/24H2/25H2/26H1)、Windows Server 2012以降
攻撃の前提条件	ローカルアクセス、認証済みユーザー権限
攻撃の結果	NT AUTHORITY\SYSTEM権限への昇格
PoC公開日	2026年7月21日
報告者	匿名(Anonymous)
実際の悪用	本稿執筆時点で未確認

脆弱性の技術的な仕組み-WMIサブシステムの整数アンダーフロー

CVE-2026-42980は、WindowsのNT OSカーネル内、具体的にはWMI(Windows Management Instrumentation)サブシステムのメモリ管理コードにおける整数アンダーフローに起因します。

整数アンダーフロー(ラップアラウンドとも呼ばれます)とは、計算結果が符号なし整数の最小値(0)を下回ったとき、値が折り返してその型の最大値付近の大きな数になってしまう現象です。カーネルのメモリ管理コードでこれが発生すると、意図した範囲を大きく超えたサイズでのメモリ確保や操作が引き起こされます。今回のケースでは、この整数アンダーフローがヒープベースのバッファオーバーフロー(CWE-122)を誘発し、カーネルの内部メモリ構造が破壊されます。

カーネルのメモリ構造の破壊に成功した攻撃者は、Windowsが維持している権限境界を突破し、NT AUTHORITY\SYSTEMという最上位の権限コンテキストでコードを実行できるようになります。

MSRCの説明によれば、攻撃は認証済みのローカルユーザー権限から実行可能であり、利用者の追加操作は必要ありません。CVSSベクトルが示すとおり、ネットワーク経由の遠隔利用は不可で、攻撃者が対象マシンにローカルアクセスできる状況が前提となります。しかしいったんこの条件が整えば、攻撃の複雑さは低く評価されており、高い技術力を持つ攻撃者でなくとも悪用できる可能性があります。

パッチ公開から約6週間後のPoC公開-Exploitation More Likelyの意味

この脆弱性が2026年6月9日のPatch Tuesdayで修正された際、Microsoftは悪用評価として「Exploitation More Likely(悪用される可能性が高い)」を付与していました。Microsoftが使用する悪用評価には、「Exploitation Detected(悪用を確認)」「Exploitation More Likely」「Exploitation Less Likely」の3段階があります。Exploitation More Likelyは、現時点では悪用が確認されていないものの、攻撃者がパッチをリバースエンジニアリングして機能するエクスプロイトを作成できると予測する根拠があることを示しています。脆弱性が容易に再現でき、かつ影響を受けるコンポーネントが広く普及している場合、パッチ公開後数日以内にPoCコードが出現するのが典型的なパターンです。

今回は修正から約6週間後に実際にPoCが公開されており、Microsoftの評価が現実になった形です。PoCが公開された時点で、詳細な技術情報を必要としない攻撃者にとっての門戸が大きく開くことになります。貴サイトで既報のBlueHammer(CVE-2026-33825)の事例でも、GitHubにPoCが公開されてから数日後には実際の攻撃への転用が確認されていました。今回の状況もそれと本質的に同じ構図であり、対応を急ぐ必要があります。

広範な影響を受けるWindowsバージョン

MSRCのアドバイザリによれば、この脆弱性は現在サポートされているほぼすべてのWindowsバージョンに影響します。クライアントOSでは、Windows 10の1607・1809・21H2・22H2、そしてWindows 11の23H2・24H2・25H2・26H1が対象です。サーバーOSについてはWindows Server 2012以降の各バージョンが含まれます。

WMIはWindowsのシステム管理において中心的な役割を担うコンポーネントであり、管理者によるリモート管理やスクリプトによる自動化など、企業環境で広く活用されています。このコンポーネントにおける権限昇格の脆弱性は、特に企業ネットワーク環境において、すでに端末への足がかりを得た攻撃者が権限を昇格させ、さらなる横展開や永続化に利用するという、ポストエクスプロイトの手口として悪用されやすい性質を持っています。

情報システム部門への示唆

本脆弱性はローカルで認証済みのユーザー権限を必要とするため、遠隔から認証なしで悪用できるCVE-2026-50522(SharePoint RCE)のような脆弱性と比べると、初期侵入の手段としては使いにくいものです。しかし侵害後の権限昇格という観点では、標準ユーザーアカウントがSYSTEM権限に昇格できるというのは、ランサムウェアやAPT攻撃における横展開・永続化の典型的な攻撃ステップとして非常に有用です。当サイトで既報の2026年7月の史上最多569件のPatch Tuesdayに含まれる権限昇格の脆弱性群とあわせて考えても、Windowsカーネルの権限昇格脆弱性は今年特に継続的なリスクとなっています。

対応の優先度としては、6月のPatch Tuesdayを適用済みであれば、CVE-2026-42980に対するパッチはすでに適用されています。まず自環境でのパッチ適用状況を確認することが最初のステップです。もし未適用の環境が残っている場合はPoCが公開された今、攻撃のリスクが高まっているため、速やかに適用することが必要です。また、当サイトで既報のNightmare EclipseによるLegacyHiveのような未パッチのゼロデイとは異なり、今回はパッチが入手可能な状態にあります。パッチ適用が完了した環境でも、WMI関連の異常なシステムコールや予期しないSYSTEM権限での実行プロセスがないか、EDRのログで念のため確認しておくことをお勧めします。