Windows Update スタックのリンク追跡でローカル権限昇格（KEV・是正期限 2026-09-22）

High（CVSS 7.8）に分類されるMicrosoft Windows Update Stack（Windows Update の更新処理を担うコンポーネント）。NVD の適用範囲は Windows 11 の 23H2 / 24H2 / 25H2 / 26H1 で、ビルド番号で切られている。の脆弱性です。NVD の記述はこうである。「**Windows Update Stack におけるファイルアクセス前の不適切なリンク解決（link following）**により、権限を持つ攻撃者がローカルで権限を昇格できる」。CISA の KEV 記述では、昇格の到達点が **SYSTEM** と明示されている。 **CVSS は 7.8（High）。**ベクタは **AV:L / AC:L / PR:L / UI:N / S:U / C:H / I:H / A:H** で、**すでにその端末で何らかの権限を持っている攻撃者**（PR:L）が、**利用者の操作を必要とせず**（UI:N）に SYSTEM を取る、という形である。**入口ではなく、入った後に効く脆弱性**である。 **リンク追跡（CWE-59）が Windows Update で成立する理屈は、権限の非対称にある。** 更新処理は SYSTEM 権限で走り、その過程で一時ディレクトリなどのファイルを読み書きする。そこに**低い権限のユーザーが作れる場所**が混ざっていると、ユーザーがシンボリックリンク（あるいはジャンクション・ハードリンク）を仕込んでおくことで、**SYSTEM 権限のプロセスに、本来触れないファイルを触らせる**ことができる。攻撃者はコードを注入するのではなく、**高権限プロセスの正常な書き込みを別の場所へ向けさせる**。 **この型は「対策済みのはずの場所」で繰り返し出る。** Windows Update・インストーラ・サービスの一時ファイル処理は、SYSTEM 権限とユーザー書き込み可能なパスが接する数少ない場所なので、リンク追跡の温床になり続けている。 **CISA は 2026-09-08 にこれを KEV へ収載し、是正期限を 2026-09-22 とした。** 収載は実際の悪用が確認されたという意味である。**同日に、同じく Windows のローカル権限昇格である CVE-2026-85880（ALPC のヒープバッファオーバーフロー）も KEV へ収載されている。**「初期侵入用の穴」ではなく「昇格用の道具」が2本同時に KEV に入った、という読み方が実態に近い。

対応は **Windows Update を適用して、NVD が示すビルド以上にする**ことである。適用範囲はビルド番号で切られているので、版（23H2 / 24H2 …）ではなくビルドで確認する。 - Windows 11 **23H2** … **10.0.22631.7582** 以上 - Windows 11 **24H2** … **10.0.26100.9445** 以上 - Windows 11 **25H2** … **10.0.26200.9445** 以上 - Windows 11 **26H1** … **10.0.28000.2954** 以上 確認は端末で `winver` を実行するか、PowerShell で `[System.Environment]::OSVersion.Version` あるいは `Get-ComputerInfo -Property OsVersion,WindowsVersion` を見る。**x64 と arm64 の両方が対象である。** **回避策は実質的に無い、と考えるのが安全である。** 脆弱なのは Windows Update そのものの処理経路なので、「サービスを止める」は現実的な緩和にならない（更新を止めれば修正も届かない）。MSRC のアドバイザリに個別の緩和策が載っている場合はそれに従うが、**基本は更新を当てる一択**である。 **運用としては、優先順位の付け方を変えるべき案件である。** PR:L の権限昇格は「まず侵入されていることが前提」なので、単体では後回しにされやすい。だが KEV 収載は**実際に攻撃の連鎖の中で使われている**ことを意味しており、フィッシングやマルウェアで一般ユーザー権限を取られた後の**SYSTEM への到達を1手で許す**部品として機能している。**一般利用者の端末（クライアント PC）こそ対象である**点に注意する。サーバだけ急いでクライアントを後回しにする運用は、この CVE では順序が逆になる。 **侵害の確認は難しく、単一の決定的な痕跡は期待しにくい。** 現実的には、①**Windows Update の一時ディレクトリ配下にシンボリックリンク・ジャンクションが存在しないか**を確認する、②**Sysmon のイベント ID 11（ファイル作成）で、標準ユーザーが更新関連パスに作成したリンクを探す**、③昇格後の典型的な行動（新規サービスの登録、`lsass` へのアクセス、スケジュールタスクの追加）を EDR で追う、という組み立てになる。**同日 KEV 収載の CVE-2026-85880 と同じ更新プログラムで両方直る場合が多い**ので、まとめて当てる。

Microsoft Windows Update Stack（Windows Update の更新処理を担うコンポーネント）。NVD の適用範囲は Windows 11 の 23H2 / 24H2 / 25H2 / 26H1 で、ビルド番号で切られている。 を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-81963）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。

はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/09/22 です。早急な対応が推奨されます。