情報取得日: 2026/10/13・本ページは公開情報の非公式まとめです
| CVE ID | CVE-2026-96951 |
|---|---|
| 製品 | Microsoft / Windows（Windows Shell） |
| CVSS | 8.8（High） CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H |
| 種別 (CWE) | CWE-77 コマンドインジェクション |
| 登録／公開日 | 2026/10/13 |
| KEV 期限 | 2026/10/16 まで（米国連邦機関向け目安） |
| 推奨対応 | ベンダーの指示に従って緩和策を適用し、CISA の BOD 26-04（リスクに基づくセキュリティ更新の優先順位付け）および「Forensics Triage Requirements」に従うこと。緩和策が利用できない場合はクラウドサービス向けの BOD 26-04 指針に従うか、製品の使用を中止する。各資産のインターネット露出の評価は利用者側の責任である。 |
| 出典 | https://nvd.nist.gov/vuln/detail/CVE-2026-96951 |
**Windows Shell にコマンドインジェクションの欠陥があり、Mark of the Web（MOTW）による保護を回避される。** MSRC の分類は Security Feature Bypass / Important、CVSS 3.1 は **8.8 High**（AV:N/AC:L/PR:N/UI:R）。2026年10月13日の月例更新で修正された。 **悪用はすでに確認されている。** MSRC の表示は「悪用あり（Exploitation Detected）」「一般公開なし」。CISA も同日 KEV に収載し、是正期限を **2026年10月16日**とした。 **攻撃には利用者の操作が要る（UI:R）。** MSRC の FAQ によれば、攻撃者はメールやインスタントメッセージで細工したファイルを送り、利用者にリンクのクリックや添付ファイルを開かせる必要がある。MOTW はインターネット由来のファイルに付く印で、SmartScreen や Office の保護ビューの警告はこれを手がかりにしている。回避されると、警告が出ないまま実行まで進む。 **対象は広い。** MSRC の影響製品一覧には Windows 10（1607 / 1809 / 21H2 / 22H2）、Windows 11（23H2 / 24H2 / 25H2 / 26H1 / 26H2）、Windows Server 2012 R2 / 2016 / 2019 / 2022 / 2025（Server Core を含む）が並ぶ。
各ベンダー公式アドバイザリで確認できた事実に基づき整理しています。確認できていない項目は「情報確認中」と明記し、存在しないパッチ番号・バージョンは記載しません。
| 環境 | 対応状況 | 対応方法・備考 |
|---|---|---|
| AWS (ECS/EC2) | ベンダーFW更新 |
EC2 上の Windows Server に 2026年10月の月例更新（2025: KB5126646 / 2022: KB5126655 / 2019: KB5126651 / 2016: KB5126868 / 2012 R2: KB5126836）を適用する。WorkSpaces の Windows も同様に更新する。
AWS から本 CVE 個別の速報は確認できていない（2026-10-14 時点）。Systems Manager Patch Manager で適用状況を確認できる。
参照リンク
|
| GCP | ベンダーFW更新 |
Compute Engine 上の Windows Server に 2026年10月の月例更新を適用し、上記の修正ビルド以上にする。
GCP から本 CVE 個別の速報は確認できていない（2026-10-14 時点）。
参照リンク
|
| Azure | ベンダーFW更新 |
Azure VM・Azure Virtual Desktop の Windows に 2026年10月の月例更新を適用する。Azure Update Manager で適用状況を確認する。
MSRC のセキュリティ更新ガイドが一次情報。影響製品一覧には Outlook.com（リリースノート 20260925.100）も載っており、サービス側で対処済みとされる。
参照リンク
|
| Linux | 対象外 |
対象外（Windows Shell の欠陥であり、Linux ディストリに該当パッケージは無い）。
Linux のメールゲートウェイを前段に置いている場合は、そこで添付ファイルの制限をかけられる。
参照リンク
|
**2026年10月13日の月例更新を適用する。** MSRC の影響製品一覧にある主な KB と修正ビルドは次のとおり。 - **Windows 11 24H2 / 25H2 / 26H2**: KB5127648（10.0.26100.9711 / 10.0.26200.9711 / 10.0.26300.9711） - **Windows 11 26H1**: KB5127646（10.0.28000.3231） - **Windows 11 23H2**: KB5126653（10.0.22631.7652） - **Windows 10 21H2 / 22H2**: KB5126657（10.0.19044.7807） - **Windows Server 2025**: KB5126646（10.0.26100.33650） - **Windows Server 2022**: KB5126655（10.0.20348.5761） - **Windows Server 2019 / Windows 10 1809**: KB5126651（10.0.17763.9376） - **Windows Server 2016 / Windows 10 1607**: KB5126868（10.0.14393.9612） - **Windows Server 2012 R2**: KB5126836（6.3.9600.23470） MSRC に回避策・緩和策の記載は無い。 **利用者端末を先に上げる。** 攻撃の入口はメール・チャットで届くファイルとリンクなので、メールや Web を日常的に開くクライアント端末と、利用者がログオンして使うリモートデスクトップ／VDI のホストを優先する。KEV の期限（2026年10月16日）は収載から3日しかない。 **更新までの間**は、メールゲートウェイで実行形式や見慣れない拡張子の添付を止める、外部から届いたファイルを開かないよう周知する、といった一般的な露出の削減が有効である（MSRC が示した緩和策ではない）。 **完了条件**は、管理下の Windows がすべて上記の修正ビルド以上であることを、Intune / WSUS / Systems Manager 等の適用レポートで確認できたことである。
High（CVSS 8.8）に分類されるMicrosoft Windows（Windows Shell）の脆弱性です。**Windows Shell にコマンドインジェクションの欠陥があり、Mark of the Web（MOTW）による保護を回避される。** MSRC の分類は Security Feature Bypass / Important、CVSS 3.1 は **8.8 High**（AV:N/AC:L/PR:N/UI:R）。2026年10月13日の月例更新で修正された。 **悪用はすでに確認されている。** MSRC の表示は「悪用あり（Exploitation Detected）」「一般公開なし」。CISA も同日 KEV に収載し、是正期限を **2026年10月16日**とした。 **攻撃には利用者の操作が要る（UI:R）。** MSRC の FAQ によれば、攻撃者はメールやインスタントメッセージで細工したファイルを送り、利用者にリンクのクリックや添付ファイルを開かせる必要がある。MOTW はインターネット由来のファイルに付く印で、SmartScreen や Office の保護ビューの警告はこれを手がかりにしている。回避されると、警告が出ないまま実行まで進む。 **対象は広い。** MSRC の影響製品一覧には Windows 10（1607 / 1809 / 21H2 / 22H2）、Windows 11（23H2 / 24H2 / 25H2 / 26H1 / 26H2）、Windows Server 2012 R2 / 2016 / 2019 / 2022 / 2025（Server Core を含む）が並ぶ。
**2026年10月13日の月例更新を適用する。** MSRC の影響製品一覧にある主な KB と修正ビルドは次のとおり。 - **Windows 11 24H2 / 25H2 / 26H2**: KB5127648（10.0.26100.9711 / 10.0.26200.9711 / 10.0.26300.9711） - **Windows 11 26H1**: KB5127646（10.0.28000.3231） - **Windows 11 23H2**: KB5126653（10.0.22631.7652） - **Windows 10 21H2 / 22H2**: KB5126657（10.0.19044.7807） - **Windows Server 2025**: KB5126646（10.0.26100.33650） - **Windows Server 2022**: KB5126655（10.0.20348.5761） - **Windows Server 2019 / Windows 10 1809**: KB5126651（10.0.17763.9376） - **Windows Server 2016 / Windows 10 1607**: KB5126868（10.0.14393.9612） - **Windows Server 2012 R2**: KB5126836（6.3.9600.23470） MSRC に回避策・緩和策の記載は無い。 **利用者端末を先に上げる。** 攻撃の入口はメール・チャットで届くファイルとリンクなので、メールや Web を日常的に開くクライアント端末と、利用者がログオンして使うリモートデスクトップ／VDI のホストを優先する。KEV の期限（2026年10月16日）は収載から3日しかない。 **更新までの間**は、メールゲートウェイで実行形式や見慣れない拡張子の添付を止める、外部から届いたファイルを開かないよう周知する、といった一般的な露出の削減が有効である（MSRC が示した緩和策ではない）。 **完了条件**は、管理下の Windows がすべて上記の修正ビルド以上であることを、Intune / WSUS / Systems Manager 等の適用レポートで確認できたことである。
Microsoft Windows（Windows Shell） を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-96951）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。
はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/10/16 です。推奨される対応: ベンダーの指示に従って緩和策を適用し、CISA の BOD 26-04（リスクに基づくセキュリティ更新の優先順位付け）および「Forensics Triage Requirements」に従うこと。緩和策が利用できない場合はクラウドサービス向けの BOD 26-04 指針に従うか、製品の使用を中止する。各資産のインターネット露出の評価は利用者側の責任である。
本ページの記載は下記の一次情報に基づく非公式まとめです。数値・対応状況は各出典元で最終確認してください。