Windows ALPC のヒープバッファオーバーフローでローカル権限昇格（KEV・是正期限 2026-09-22）

High（CVSS 7.8）に分類されるMicrosoft Windows ALPC（Advanced Local Procedure Call）。Windows のプロセス間通信の基盤で、ユーザーモードのプロセスとシステムサービスのやり取りに広く使われている。NVD の適用範囲は Windows 10 の各版を含み、ビルド番号で切られている。の脆弱性です。NVD の記述はこうである。「**Windows ALPC におけるヒープベースのバッファオーバーフロー**により、権限を持つ攻撃者がローカルで権限を昇格できる」。 **CVSS は 7.8（High）。**ベクタは **AV:L / AC:L / PR:L / UI:N / S:U / C:H / I:H / A:H**。同日 KEV 収載の CVE-2026-81963 と同じ形で、**すでに一般ユーザー権限を持っている攻撃者が、利用者の操作なしに昇格する**という位置づけである。 **ALPC が狙われ続ける理由は、置かれている場所にある。** ALPC は**低い権限のプロセスから、高い権限のサービスへメッセージを渡す通路**そのものである。つまり構造上、**信頼できない入力が特権プロセスの解析コードに届く**。そこにヒープバッファオーバーフロー（CWE-122）があると、攻撃者は「メッセージの中身」でカーネルまたは特権プロセスのメモリを壊せる。**CWE-908（初期化されていないリソースの使用）が併記されている**ことから、確保したメモリの内容が想定どおりに初期化されないまま使われる経路が関わっていると読める。 **この CVE の実務上の要点は、対象の広さである。** NVD の適用範囲には **Windows 10 の 1607 / 1809 / 21H2 / 22H2** が含まれ、**x86・x64・arm64** が並ぶ。1607 / 1809 という古い版が範囲に入っているということは、**LTSC / LTSB として長期運用されている端末や、組み込み・産業用途で更新が止まりがちな環境**が正面から対象になるということである。この種の端末は「更新を当てにくいから当てていない」まま何年も動いていることが多い。 **CISA は 2026-09-08 にこれを KEV へ収載し、是正期限を 2026-09-22 とした。** 実際の悪用が確認されている。

対応は **Windows Update を適用して、NVD が示すビルド以上にする**ことである。適用範囲がビルド番号で切られているので、版名ではなくビルドで確認する。 - Windows 10 **1607** … **10.0.14393.9512** 以上（x86 / x64） - Windows 10 **1809** … **10.0.17763.9245** 以上（x86 / x64） - Windows 10 **21H2** … **10.0.19044.7725** 以上（x86 / x64 / arm64） - Windows 10 **22H2** … **10.0.19045.7725** 以上（x86 / x64 / arm64） 確認は `winver`、または PowerShell で `Get-ComputerInfo -Property OsVersion,WindowsVersion`。**NVD の適用範囲は上記に限らない可能性がある**ので、Windows 11 や Server を運用している場合は MSRC のアドバイザリで自分の製品を必ず確認する。 **回避策は無いと考える。** ALPC は Windows のプロセス間通信の基盤であり、「使わない」「止める」という選択肢が存在しない。**更新を当てる以外の対応は無い。** **優先順位で見落としやすいのは、古い版の端末である。** 1607 / 1809 が範囲に入っている以上、**LTSC 運用の端末・工場や店舗の専用端末・検証用に残しているマシン**が最も危ない。これらは (1) 更新が手動運用になっている、(2) 一般ユーザー権限のアカウントで日常的に使われている、(3) EDR が入っていない、の3条件が揃いやすい。**PR:L の権限昇格が最も効く条件そのもの**である。まず資産の棚卸しで、この範囲のビルドが残っている端末を洗い出すこと。 **同日 KEV 収載の CVE-2026-81963（Windows Update Stack のリンク追跡）と合わせて扱う。** どちらもローカル権限昇格で、期限も同じ 2026-09-22 である。**「初期侵入の穴」ではなく「侵入後に SYSTEM を取る道具」が2本同時に実悪用として確認された**という事実のほうが、個々の CVE より重い情報である。初期侵入を止める対策（フィッシング対策・アプリケーション制御）だけに頼っている環境は、この2本で SYSTEM まで通される前提で設計を見直したほうがよい。 **侵害の確認は、昇格そのものではなく昇格後の行動を追うのが現実的である。** 一般ユーザーのセッションから **SYSTEM 権限のプロセスが生成された**痕跡（Sysmon イベント ID 1 の親子関係）、新規サービス・スケジュールタスクの登録（イベント ID 7045 / 4698）、`lsass.exe` へのハンドル取得（Sysmon イベント ID 10）を見る。ALPC の悪用そのものはログに残りにくい。

Microsoft Windows ALPC（Advanced Local Procedure Call）。Windows のプロセス間通信の基盤で、ユーザーモードのプロセスとシステムサービスのやり取りに広く使われている。NVD の適用範囲は Windows 10 の各版を含み、ビルド番号で切られている。 を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-85880）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。

はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/09/22 です。早急な対応が推奨されます。