Windows ShellのCVE-2026-96951、悪用確認済み——10月の更新で修正

CVE-2026-96951 とは——Windows Shell に発見されたコマンドインジェクション

2026年10月13日、MicrosoftはWindows Shellに存在するコマンドインジェクション脆弱性CVE-2026-96951を公開した（cve.org）。CISA（米サイバーセキュリティ・インフラストラクチャセキュリティ庁）の既知悪用脆弱性カタログ（KEV）には2026年10月13日付で追加されており、悪用が確認されている（CISA KEV）。

脆弱性の本質はCWE-77（コマンドで使用される特殊要素の不適切な無力化）にある。Windows Shellがコマンドで使われる特殊要素を適切に処理しないため、権限のない攻撃者がネットワーク経由でセキュリティ機能を回避できる。MicrosoftのFAQによると、回避されるのはMark of the Web（MOTW、ネットから入手したファイルに付く警告の目印）による防御である。攻撃には、細工したファイルをメールやメッセージで送りつけ、リンクのクリックや添付ファイルを開く操作を利用者にさせる必要がある。MSRCの改訂情報では悪用が検出されている（Exploitation Detected）。CVSSスコアは8.8（HIGH）で、Microsoftが評価したベクタは AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H/E:F/RL:O/RC:C だ。

EPSS（悪用確率の統計的推定）は2026年10月29日時点で0.098（パーセンタイル0.9554）と高く、全CVEの上位5%に位置する（NVD）。この数値は確率の推定であり「悪用される」と断定するものではない。

ほかの製品で悪用が見つかった脆弱性への対応は、PAN-OS管理画面のCVE-2026-0322で説明しています。

関連記事Struts CVE-2016-3081は悪用確認？

CVE-2026-96951 の影響を受ける Windows バージョン一覧

影響範囲はWindows 10の旧バージョンから最新のWindows 11 26H2、さらにサーバー製品全域に及ぶ。下表はCVE公式記録（cve.org）に基づく影響バージョンの一覧だ。

CVE-2026-96951 影響を受ける製品・バージョン（2026年10月29日時点）

製品	アーキテクチャ	影響を受けるビルド範囲
Windows 10 Version 1607	32-bit / x64	10.0.14393.0 〜 10.0.14393.9612 未満
Windows 10 Version 1809	32-bit / x64	10.0.17763.0 〜 10.0.17763.9376 未満
Windows 10 Version 21H2	32-bit / ARM64 / x64	10.0.19044.0 〜 10.0.19044.7807 未満
Windows 10 Version 22H2	32-bit / ARM64 / x64	10.0.19045.0 〜 10.0.19045.7807 未満
Windows 11 Version 23H2	ARM64 / x64	10.0.22631.0 〜 10.0.22631.7652 未満
Windows 11 Version 24H2	ARM64 / x64	10.0.26100.0 〜 10.0.26100.9711 未満
Windows 11 Version 25H2	ARM64 / x64	10.0.26200.0 〜 10.0.26200.9711 未満
Windows 11 Version 26H1	ARM64 / x64	10.0.28000.0 〜 10.0.28000.3231 未満
Windows 11 Version 26H2	ARM64 / x64	10.0.26300.0 〜 10.0.26300.9711 未満
Windows Server 2012 R2（Core 含む）	x64	6.3.9600.0 〜 6.3.9600.23470 未満
Windows Server 2016（Core 含む）	x64	10.0.14393.0 〜 10.0.14393.9612 未満
Windows Server 2019（Core 含む）	x64	10.0.17763.0 〜 10.0.17763.9376 未満
Windows Server 2022	x64	10.0.20348.0 〜 10.0.20348.5761 未満
Windows Server 2025（Core 含む）	x64	10.0.26100.0 〜 10.0.26100.33650 未満
Microsoft Edge（Chromium 版）	—	1.0.0.0 〜 154.0.4258.62 未満
Outlook.com	—	1.0.0 〜 20260925.100 未満

自社で使用している製品のビルド番号を確認し、上表のビルドより古ければ影響を受ける。表のビルド以降に更新されていれば修正済みである。

修正版——2026年10月の更新プログラムとCISAの期限

MSRC（Microsoft Security Response Center）の更新プログラムガイドには、Windows各版について2026年10月の更新プログラム（KB）が修正として掲載されている。CVE公式記録の影響範囲は「〜未満」のビルドで示されており、表のビルド以降に更新済みの端末は対象外である。Microsoft Edge（Chromium版）は10月26日の改訂で追加され、154.0.4258.62以降への更新が案内されている。各版のKB番号は MSRCのCVE-2026-96951のページ で確認できる。CVE公式記録とMSRCに、公式の回避策の記載は確認できない。

CISAがKEVに掲載した際の「対処期限2026年10月16日」は、米国連邦政府機関（FCEB機関）を対象とした義務的な期限であり、日本企業や民間組織に対して法的拘束力を持つものではない。

CISAが求める対処の要旨は次のとおりだ（CISA KEV）。

• ベンダーの指示に従って緩和策を適用し、BOD 26-04の優先度付けガイダンスに従う。
• クラウドサービスについては、該当するBOD 26-04のガイダンスに従う。
• 緩和策が利用できない場合は、製品の使用を停止する。
• 各資産のインターネット露出を評価し、BOD 26-04のパッチ適用ガイドラインに従う。

対処——更新プログラムの適用と期限

• 2026年10月の更新プログラムを適用する。対応するKBはMSRCのCVE-2026-96951のページを参照。Edgeは154.0.4258.62以降。
• 公式の回避策は確認できない。
• CISAの対処期限は2026年10月16日（米連邦機関向け）。

自社の機器が対象かどうかの判断や、すでに侵入されていないかの確認は、構成やログを見ないと判断できません。

---

参考文献

• CVE.org — CVE-2026-96951 公式記録: https://www.cve.org/CVERecord?id=CVE-2026-96951
• Microsoft Security Response Center — CVE-2026-96951 アドバイザリ: https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-96951
• NVD（米国国立脆弱性データベース）— CVE-2026-96951: https://nvd.nist.gov/vuln/detail/CVE-2026-96951
• CISA — Known Exploited Vulnerabilities Catalog: https://www.cisa.gov/known-exploited-vulnerabilities-catalog