Windows の WinSock 補助機能ドライバ（afd.sys）に解放後使用　ローカルでSYSTEM相当へ昇格（KEV収載・期限8/25）

High（CVSS 7.0）に分類されるMicrosoft Windows Ancillary Function Driver for WinSock（afd.sys）の脆弱性です。Windows の **WinSock 補助機能ドライバ（Ancillary Function Driver for WinSock、実体は `afd.sys`）** に解放後使用（Use After Free）がある。**ローカルで既にログオンできている攻撃者が、権限を昇格できる**。 CVSS は 7.0（High）で、内訳は **AV:L・AC:H・PR:L**・UI:N・S:U・C:H/I:H/A:H である。**AV:L（ローカル）と PR:L（低い権限が必要）** が付いているため、この脆弱性だけで外部から侵入されることはない。数値が 8点台に届かないのはそのためである。 **ただしこの位置の脆弱性は、単体の点数より「組み合わせでの価値」で読む必要がある。** `afd.sys` はソケット通信を扱うカーネルドライバで、標準ユーザー権限のプロセスから普通に触れる。つまり、フィッシングや別の脆弱性で**一般ユーザーとしての足場**をいったん取られた後、そこから**カーネル権限（SYSTEM 相当）へ上がる踏み台**として使われる。実際に攻撃で使われる典型的な組み合わせが「初期侵入 + ローカル権限昇格」であり、`afd.sys` の権限昇格は過去にも同じ用途で悪用されてきた。 **CISA は 2026-08-11 にこれを KEV（悪用が確認された脆弱性カタログ）へ収載し、是正期限を 2026-08-25 に設定した。** KEV に載っているということは、理論上の危険ではなく**実際の攻撃で使われていることが確認されている**という意味である。CVSS 7.0 という数値だけを見て後回しにする判断は、この一点で成り立たなくなる。 **AC:H（攻撃条件が複雑）が付いている点も読み違えやすい。** 解放後使用は競合状態を突く必要があるため成功率が一定ではない、というのが AC:H の理由である。攻撃者側から見れば「何度も試せばよい」だけなので、**実効的な防御にはならない**。 影響範囲は広い。NVD の一覧では **Windows 10 の Version 1607 以降（22H2 まで）**、**Windows 11 の 23H2 / 24H2 / 25H2 / 26H1**、32bit・x64・一部 ARM64 が対象として挙がっている。サーバー系を含め、現行の Windows はおおむね対象と考えて確認するのが早い。

**やることは1つで、月例更新（2026年8月分）を当てることである。** Microsoft は MSRC の更新ガイドで CVE-2026-68820 の修正を含む累積更新を公開している。回避策として `afd.sys` を止めるという選択肢は**現実的に存在しない**（ソケット通信の基盤なので、止めるとネットワークが機能しない）。したがって**更新以外の恒久対応は無い**。 **優先順位の付け方**: KEV の是正期限が **2026-08-25** なので、連邦機関でなくてもこの日付を自組織の目標にするのが妥当である。ローカル権限昇格なので、優先すべきは「利用者が日常的に操作する端末」である。具体的には、①インターネット閲覧とメール受信を行うクライアント端末、②複数人が対話ログオンする踏み台サーバー・RDS/VDI、③開発者端末（任意コードを日常的に実行するため）の順になる。逆に、対話ログオンが無く外部から到達もしないバッチ専用サーバーは相対的に後でよい。 **該当するかの確認**: `winver` または `Get-ComputerInfo | Select OsName, OsVersion, WindowsBuildLabEx` でビルドを確認し、2026年8月の累積更新（KB）が入っているかを `Get-HotFix | Sort-Object InstalledOn -Descending | Select -First 5` で見る。WSUS / Intune / Configuration Manager を使っているなら、管理コンソール側で「8月の累積更新の適用率」を出すほうが確実である。 **パッチ前にできる緩和**: この脆弱性そのものを止める設定は無いので、**前段（初期侵入）を絞る**ことが実質的な緩和になる。標準ユーザーに管理者権限を渡さない、AppLocker / WDAC で未署名バイナリの実行を制限する、ASR ルールでスクリプト経由の実行を抑える、といった一般的な措置が、権限昇格の踏み台に到達させない効果を持つ。**ただしこれらは更新の代わりにはならない。** **侵害の確認**: 権限昇格は静かに済むので、単体の痕跡は残りにくい。見るべきは前後である。①Windows イベントログの 4672（特権ログオン）で、通常は特権を持たないアカウントに特別な権限が割り当てられていないか。②4688（プロセス作成）で、標準ユーザーのプロセスから `cmd.exe` / `powershell.exe` が SYSTEM として起動していないか。③System ログの BugCheck（イベント ID 1001）や `afd.sys` 起因のクラッシュが増えていないか（解放後使用の悪用失敗はブルースクリーンとして現れることがある）。**原因不明の再起動が同じ端末で繰り返されている場合は、悪用の試行を疑う根拠になる。**

Microsoft Windows Ancillary Function Driver for WinSock（afd.sys） を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-68820）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。

はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/08/25 です。早急な対応が推奨されます。