エクスプロイト&脆弱性
2026年8月 セキュリティアップデート解説：Microsoft社は398件、Adobe社は51件の脆弱性に対応
今月のリリースは、先月と比べれば小規模になったものの、過去の水準からみれば依然として大規模です。「例を見ない規模」の基準そのものを見直す時期に来ているのかもしれません。
今月のリリースは、先月と比べれば小規模になったものの、過去の水準からみれば依然として大規模です。Linus Torvalds氏でさえ、大規模なアップデートは「ニューノーマル（新たな常態）」だと述べており、「例を見ない規模」の基準そのものを見直す時期に来ているのかもしれません。内容を整理しながら、AdobeとMicrosoftの最新セキュリティパッチを見ていきます。リリース全体を扱った動画版の総まとめも、こちらからご覧いただけます。
2026年8月Adobe社からのセキュリティアップデート
8月リリースの第1弾として、Adobeは5件のセキュリティ情報を公開し、Adobe ColdFusion、Commerce、Lightroom Classic、Content Credentials SDK、Adobe Campaign Classicに存在する51件の固有CVEに対処しました。
今月の概要一覧については、こちらのPDFをご参照ください。
Campaign Classicを利用している場合は、最優先で対応してください。適用優先度が1であるだけでなく、CVSSスコア10.0の脆弱性が2件含まれており、8月3日に公開されたばかりのパッチを置き換える内容です。ColdFusionも適用優先度1で、こちらにもCVSSスコア10.0の脆弱性が含まれています。Adobe Commerceは優先度2で、最大CVSSスコア9.1のコード実行の脆弱性が含まれます。Lightroom ClassicとContent Credentials SDKのパッチは対処するCVEの件数こそ多いものの、適用優先度は3です。
今月パッチが公開されたAdobeの脆弱性のうち、リリース時点で一般公開または悪用が確認されているものはありません。
2026年8月Microsoft社からのセキュリティアップデート
最初に、いくつかの点を指摘しておきます。今回も規模が大きく集計は難しいのですが、今月文書化されたその他のアップデートと合わせて、新規CVEは398件と見ています。ただし、悪用が確認されているものは1件にとどまります。対象は、WindowsおよびWindowsコンポーネント、OfficeおよびOfficeコンポーネント、AMD Zen、AzureおよびAzureコンポーネント、GitHub Copilot、Windows Defender、Exchange Server、SharePoint、OneDrive for macOS、Teams、Power BI、.NETおよびVisual Studio、DHCP ServerおよびDHCP Client、DNS Server、Windows TPMと多岐にわたります。今回、Minecraftへのパッチはありません。深刻度の内訳は、「緊急（Critical）」が62件、「警告（Moderate）」が1件で、残りは「重要（Important）」です。このうち8件はZDIプログラムを通じて報告されました。
この規模のアップデートは、少なくとも当面は「新たな常態」となりそうです。興味深いのは、報告・修正される脆弱性が急増しているにもかかわらず、実際に悪用される脆弱性は、少なくともゼロデイとしては、同じ勢いで増えているわけではないという点です。
今回も、実際に悪用されている脆弱性から順に見ていきます。
CVE-2026-68820 - Windows Ancillary Function Driver for WinSock の特権の昇格の脆弱性
本脆弱性により、攻撃者はSYSTEMレベルでコードを実行できるようになります。この種の脆弱性は、フィッシングやランサムウェアによるシステムの乗っ取りの際に、コード実行の脆弱性と組み合わせて利用されることがよくあります。1点指摘しておくと、Microsoftは本脆弱性を悪用確認済みとしながら、CVSSのエクスプロイトコード成熟度を「未実証（Unproven）」としており、評価に整合しない部分があります。
CVE-2026-62878 - Windows DNS Server のリモートでコードが実行される脆弱性
今月はDNS関連のパッチが複数ありますが、その中でも本脆弱性は際立っています。認証されていない攻撃者が、ユーザ操作を必要とせず、リモートから昇格した権限でコードを実行できるものです。原因は典型的なスタックベースのバッファオーバーフローで、ワーム化する可能性があります。Microsoftは「悪用される可能性は低い」としていますが、その評価を当てにするべきではありません。特にインターネットに面したDNSサーバには、早急にテストのうえパッチを適用してください。
CVE-2026-62893 - Windows Deployment Services TFTP Server のリモートでコードが実行される脆弱性
本脆弱性はZDIプログラムを通じて報告されたもので、認証もユーザ操作も必要とせずにコードを実行できます。TFTPには認証メカニズムがなく、UDPポート69経由でリモートからアクセスできます。TFTP経由でWindows Imaging Format（WIM）ファイルを配布しているWDSサーバ（標準的なPXEブート構成）が影響を受けます。原因は、オブジェクトに対する操作を行う前に、その存在を検証していないことにあります。UDPポート69は本来、ネットワーク境界で遮断されているはずですが、企業内での水平移動・内部活動（ラテラルムーブメント）に悪用されるおそれは十分にあります。WDSを利用した展開を行っている場合は、こちらも早急にテストのうえパッチを適用してください。
CVE-2026-62815 - Microsoft QUIC のリモートでコードが実行される脆弱性
こちらも、認証やユーザ操作を必要としないリモートコード実行の脆弱性で、QUICコンポーネントに存在します。QUICは、TCPではなくUDP上で動作するIETF標準のトランスポートプロトコルで、HTTP/3の基盤でもあります。約1,350万のWebサイトが利用しているとされます。該当する場合は、早急にテストのうえパッチを適用してください。
CVE-2026-59124 - Microsoft High Performance Computing (HPC) Pack のリモートでコードが実行される脆弱性
深刻度は「重要」ですが、CVSSスコアは9.8です。HPCが既定で有効ではないため、評価が引き下げられているにすぎません。HPCは大きく成長している分野であり、本脆弱性も認証・ユーザ操作を必要としないリモートコード実行です。すべての環境に該当するわけではありませんが、Microsoftが「悪用される可能性が高い」としている点も踏まえると、HPCを利用している環境では見過ごすべきではありません。
CVE-2026-62911 - Microsoft Exchange Server の特権の昇格の脆弱性
本リリースにはExchangeの脆弱性が複数含まれますが、その中でも本脆弱性は際立っています。認証バイパスを通じて特権昇格が可能になるもので、悪用に成功した攻撃者は「すべてのExchangeユーザのメールボックスを乗っ取り、メールの送信、閲覧、添付ファイルのダウンロード」ができるとされています。本脆弱性はPwn2Own Berlinで実演されたものの1つであり、Microsoftの悪用可能性やエクスプロイトコード成熟度の評価は参考になりません。動作するエクスプロイトがすでにMicrosoftへ提供されているため、現実的な脅威として扱うべきです。Exchangeのアップデートは例のとおり事前にテストしたうえで、アップグレードのためのメンテナンス時間を早めに確保してください。
Microsoftが2026年8月に公開したCVEの全一覧については、こちらのPDFをご参照ください。PDF内の「※」は、サードパーティが公開し、Microsoftのリリースに含められたCVEを示します。「※※」は、Microsoftによる修正がすでに完了しており、エンドユーザによる追加対応が不要なCVEを示します。
その他の脆弱性
以下では、本リリースに含まれる残りの脆弱性を種類別に整理します。今回も要点をまとめていきますが、リリースの規模を踏まえ、各環境に関係する詳細は別途ご確認ください。
緊急に分類された脆弱性
残る「緊急」のパッチのうち、CVSSスコア10.0を含む、一見して最も深刻に見えるものは対応不要です。これらはすでにMicrosoftにより緩和済みで、今回の398件には含まれていません。一方、iSCSI Targetサービスの脆弱性はCVSSスコア9.8ですが、既定ではインストールされていません。DHCP Serverのヒープオーバーフローと、SharePointのデシリアライゼーションの脆弱性は、いずれも「悪用される可能性が高い」とされています。このSharePointの脆弱性には、関連する特権昇格の脆弱性が2件付随しています。Officeコンポーネントでは、今月もプレビューウィンドウが攻撃経路となる脆弱性が多数あります。その一方で、「緊急」でありながらプレビューウィンドウが攻撃経路ではないOfficeの脆弱性もいくつか見られます。
このほか、AD CS、RRAS、SSTP、対になったDevice Health Attestationの2件といった中位グループもあり、いずれも攻撃条件の複雑さが高いことだけが救いです。ただし、攻撃条件の複雑さは盾にはならず、五分五分の賭け程度に考えるべきです。RMCASTの脆弱性は認証不要ですが、隣接ネットワークからの攻撃が必要です。Key Guardの脆弱性は、攻撃者がVirtual Trust Level 1（VTL1）の権限を取得できる可能性がある点でやや注目されます。「緊急」の最後の1件はRDPクライアントの脆弱性で、攻撃にはユーザが悪意あるRDPサーバに接続する必要があります。
リモートコード実行関連
その他のリモートコード実行の脆弱性では、SharePointだけで7件を占めます。うち6件は、異なるコードパスにほぼ同じ形で存在する「信頼できないデータのデシリアライゼーション」の問題で、いずれも低い権限の認証のみで、ユーザ操作なしで攻撃できます。7件目は入力検証の不備で、認証は不要なものの、攻撃を成立させる条件はより厳しくなっています。LDAPとSMBv3には、それぞれ対になるパッチが公開されています。LDAPの2件はヒープオーバーフローと解放済みメモリの使用（use-after-free）で、いずれも攻撃には何らかのユーザ操作が必要です。SMBv3の2件はいずれもヒープオーバーフローです。Visual Studio Codeには、認可の欠如、OSコマンドインジェクション、コードインジェクションの3件があり、いずれもユーザが何かを開く、または実行することが前提です。AIコーディングツールの脆弱性が毎月続く傾向は、今月も途切れませんでした。CVSSスコア8.1〜8.8の帯域は雑多ですが、共通点があります。LSASSとExchange Serverはいずれも低権限アクセスで攻撃可能なヒープオーバーフロー、Dynamics 365 On-PremisesはSharePointと同種のデシリアライゼーション、Active Directory Domain Servicesはユーザの関与を必要とするコマンドインジェクションです。
さらに、Teams、Power BI、Outlookに各1件、Windows Media Foundationに2件、加えて攻撃条件の複雑さが高い3件（RPC Runtime Library、Windows TCP/IP、iSCSI Target Serviceの2件目）があります。特殊な攻撃条件が揃う必要があるぶん時間の猶予は多少ありますが、放置してよい理由にはなりません。ファイル形式関連の脆弱性も山積みです。Excelに17件、Accessに6件、OfficeとOffice Wordに各4件、Wordに1件、PowerPointに1件、.NET Coreに1件あります。Remote Desktop Clientの残る3件はCVSSスコア7.5と比較的低めですが、安心はできません。3件とも攻撃条件の複雑さが高く、ユーザ操作を必要とします。これはまさに、フィッシング攻撃が突いてくる組み合わせです。リモートコード実行の最後として、DNS Serverにさらに2件、ローカルの低権限アクセスを必要とするDHCP Clientの解放済みメモリの使用、物理メディアを必要とするUniversal Disk Formatドライバの脆弱性、Windows Codecs Libraryの脆弱性があります。
特権昇格関連
今月は180件近い特権昇格の脆弱性が修正されています。例月どおり、その大半はローカルの攻撃者がSYSTEMレベルまたは管理者の権限でコードを実行できるというもので、脆弱性そのものの詳しい技術情報がなければ付け加えられる点は限られます。それを除くと、個別に取り上げるべきものは20件ほどです。アクセス制御の不備は、相変わらず同じ場所で繰り返されています。SharePointには特権昇格が2件あり、さらにSSRF（サーバサイドリクエストフォージェリ）経由で1件、ユーザのクリックを必要とするクロスサイトスクリプティング（XSS）経由で1件が加わります。Entra ConnectにはSQLインジェクション、.NET Frameworkには不適切な認可、Azure CycleCloudには認可の欠如の脆弱性があります。異なる5つの製品が、「誰に何を許可するか」の確認という同じ教訓を示した形です。意外な常連となったのがWindows Telephony Serviceで、今回単独で4件の特権昇格が修正されました。レガシーなサービス1つに対し、1回のリリースで4件という数字は、傾向として注視すべきものです。
残りは多岐にわたります。Key GuardにはOSより下層のトラストチェーンに関わるヒープオーバーフロー、DHCP ClientとNarrator Brailleにはローカルの低権限で攻撃できる脆弱性、.NETにはスコープ変更を伴う捕捉されない例外、.NET Frameworkにはクリックを必要とするパストラバーサル、GitHub CopilotとVS Codeには同じくクリックを必要とするOSコマンドインジェクション、Azure Storage ExplorerにはXSSがあります。Azure Monitor AgentとOneDrive for macOSは攻撃の起点として高い権限が必要なため、実際の緊急度は限定的です。最後のExchange ServerのSSRFは、Microsoft自身が影響範囲を機密性のみ（完全性・可用性への影響なし）と評価しています。
セキュリティ機能のバイパス
今月のセキュリティ機能のバイパスの脆弱性は11件で、いずれも「重要」に分類され、悪用や一般公開は確認されていません。Visual Studio Codeが4件を占め、Python拡張機能も含まれます。1件は異常時に保護が無効化されるフェイルオープンの問題、残る3件は認可チェックの不備で、いずれもユーザのクリックが必要です。日常的にクリック操作を繰り返すツールであることを考えると、このハードルは高くありません。PowerShellにはコードインジェクションによるバイパスがあり、Copilot Chatにも同様の1件があります。Exchange ServerとWindows Defender Firewall Serviceには認可の欠如の脆弱性があります。.NETにはHTTPリクエストスマグリング、Active Directoryには弱い暗号化、Schannelには署名検証の不備に起因する脆弱性があります。個別の緊急度は低いものの、SchannelとActive Directoryの2件は「暗号の信頼性が損なわれる」性質のものであり、スコアが低くても再確認する価値があります。
情報漏洩関連
情報漏洩の脆弱性については、幸い、その大半は内容が特定されていないメモリまたはメモリアドレスの漏洩にとどまります。注目すべきはCVSSスコア6.5の一群です。Windows DHCP Serverだけで8件を占め、Remote Desktop Clientに3件、SMB Clientに2件、Excelに2件、さらにPowerShell、.NET、Azure CycleCloud、Dynamics製品2件、SharePoint、Teams（iOS版）、VS Codeに各1件あります。いずれも認証不要でネットワーク経由のメモリリークですが、DHCP Serverが1回のリリースで8件というのは、偶然ではなく傾向と見るべきです。それ以外はCVSSスコア5.5以下で、ほぼすべてが「内容が特定されていないメモリの漏洩」であり、違いは漏洩元のコンポーネントだけです。Officeのファイル形式関連が最多で、Excel、Word、Office全般、Office Graphics、PowerPointに約20件が分散しています。Win32kに4件、NTFSに5件、GDI/GDI+に3件、Event LoggingとWMIに各2件、DWM Coreに2件、AMD Zenに2件です。残りの単発の脆弱性は、通常のパッチサイクルで問題なく対応できます。
なりすまし関連
8月のなりすまし関連では、SharePointが11件で突出しています。大半は格納型XSSで、認証された攻撃者がコンテンツを偽装できるものです。低スコア帯には、デシリアライゼーション、コードインジェクション、SSRF、認証情報の露出などが混在します。SharePoint以外では、Teams（Android／iOS版）にCVSSスコア8.8と高めのXSSの脆弱性があり、Exchange Serverにも1件あります。Windows NATには、隣接ネットワークから攻撃可能でスコープ変更を伴うオリジン検証の不備があります。最後はOutlookの、認証情報の露出につながるなりすましの脆弱性です。
サービス拒否（DoS攻撃）関連
今月は14件のサービス拒否（DoS）の脆弱性にパッチが公開されています。目立つのはNULLポインタ参照で、TCP/IP、iSCSI Target Service、Windows Graphics Kernel、Remote Registry Service（2件）が、いずれも認証不要・ネットワーク経由で同じようにクラッシュします。iSCSI Target Serviceにはヒープオーバーフローによる2件目のDoSもあり、リモートコード実行と合わせると本リリースで計3件です。リソース枯渇型の脆弱性は.NET、RPC、DHCP Client、Microsoft Identityにあり、いずれも認証不要で、大量のリクエストを送り付けてクラッシュさせるものです。残りはローカルまたは昇格済みのアクセスを必要とするもので、Exchange Server、Windows Network File System、そしてWindows Management Servicesのパス／リンク解決の脆弱性です。特殊なものはなく、通常のパッチサイクルで対応できますが、Remote Registry ServiceとiSCSI Target Serviceが繰り返し登場している点は覚えておいてください。
改ざん関連
最後に、今月は改ざんの脆弱性にもいくつかパッチが公開されています。まず、不適切な認可に起因するSharePointの脆弱性です。Windows HTTP Protocol Stackには、隣接ネットワークから攻撃可能な部分的な文字列比較の不備があり、Windows Helloには機密データを平文でローカルに保存する脆弱性があります。再確認する価値があるのはWindows Helloです。生体認証の仕組みが何かを平文で保存しているというのは、CVSSスコア5.5という控えめな数字であっても、望ましい状態ではありません。
今月、新しいアドバイザリの公開はありません。
次回の予定
次回のPatch Tuesdayは9月8日で、米国ではLabor Day（レイバーデー）の直後にあたります。次回もリリースの規模にかかわらず、詳しい内容をお届けします。それまで、計画的にパッチ適用を進めてください。
参考記事
The August 2026 Security Update Review
By: Dustin Childs, Zero Day Initiative
翻訳：与那城 務（Platform Marketing, TrendAI Research）