AD CSのCVE-2026-62818を修正するKB一覧｜Windows Server 2012～2025

AD CSのCVE-2026-62818を修正するには、AD CS専用の個別パッチではなく、2026年8月11日に公開されたWindows Server向け累積セキュリティ更新プログラムを適用します。

Windows Server 2012はKB5120386、2012 R2はKB5120385、2016はKB5120418、2019はKB5120238が対象です。Windows Server 2022と2025では、通常の累積更新とHotpatchでKB番号が異なります。通常版とHotpatch版の両方をインストールするのではなく、現在のサービス方式に合った一方を選択してください。

CVE-2026-62818は、認証済みの攻撃者がネットワーク経由でコードを実行できるUse-after-freeの脆弱性です。2026年8月30日時点では、Microsoftは「悪用の可能性は低い」と評価し、公開済みの悪用情報や実際の悪用も確認していません。ただし、Microsoftから別の回避策は示されていないため、累積更新の適用が根本的な修正方法です。 (Microsoft Security Response Center)

CVE-2026-62818：AD CSリモートコード実行を修正する8月KB一覧

CVE-2026-62818を修正するKBは、Windows ServerのバージョンとHotpatchの利用状況によって次のように分かれます。

対象OS・サービス方式	修正KB	更新後のOSビルド	適用時の主な注意点
Windows Server 2012	KB5120386	KBの導入履歴で確認	ESU対象環境。SSU KB5106414を先に確認
Windows Server 2012 R2	KB5120385	KBの導入履歴で確認	ESU対象環境。SSU KB5106412を先に確認
Windows Server 2016	KB5120418	14393.9418	SSU KB5120236の承認・適用が必要
Windows Server 2019	KB5120238	17763.9121	前提SSU KB5005112を確認。SSU KB5104020を含む
Windows Server 2022・通常更新	KB5120242	20348.5499	SSU KB5120241を含む
Windows Server 2022・Hotpatch	KB5120229	20348.5440	Windows Server 2022 Datacenter: Azure Edition向け
Windows Server 2025・通常更新	KB5120233	26100.33296	SSU KB5120232を含む
Windows Server 2025・Hotpatch	KB5120228	26100.33222	Hotpatchを有効化したAzure EditionまたはAzure Arc対象構成向け

特に間違えやすいのがWindows Server 2012系です。KB5120385はWindows Server 2012 R2用であり、Windows Server 2012用はKB5120386です。どちらも拡張セキュリティ更新プログラムであるため、ESUを利用できる状態でなければ通常どおり配信・適用できません。 (マイクロソフトサポート)

Windows Server 2016ではKB5120418、Windows Server 2019ではKB5120238を使用します。それぞれの更新後ビルドは14393.9418と17763.9121です。 (マイクロソフトサポート)

Windows Server 2022では通常版がKB5120242、Hotpatch版がKB5120229です。Windows Server 2025では通常版がKB5120233、Hotpatch版がKB5120228です。Hotpatch用KBは通常版KBへの追加パッチではなく、別のサービス方式向けの更新です。 (マイクロソフトサポート)

Server Coreでも同じKBを使用する

CVE-2026-62818の影響範囲には、該当するWindows ServerのServer Coreインストールも含まれます。

ただし、Server Core専用の別KBがあるわけではありません。たとえばWindows Server 2019のServer CoreならKB5120238、Windows Server 2025のServer CoreならKB5120233というように、同じOSバージョンとサービス方式のKBを適用します。 (OpenCVE)

通常版とHotpatch版を両方入れない

Windows Server 2022と2025では、通常版とHotpatch版のKBが並んでいるため注意が必要です。

Windows Server 2022を通常の累積更新で管理している場合はKB5120242
Windows Server 2022 Datacenter: Azure EditionでHotpatchを利用している場合はKB5120229
Windows Server 2025を通常の累積更新で管理している場合はKB5120233
Windows Server 2025でHotpatchを購読・有効化している場合はKB5120228

Hotpatch版は、OSのセキュリティ更新を再起動なしで適用できるサービス方式です。Windows Server 2025では、Azure Editionに加え、Azure Arcに接続した対象のDatacenterおよびStandardでもHotpatchを利用できる構成があります。 (マイクロソフトサポート)

通常版とHotpatch版では更新後のビルド番号も異なります。Hotpatch版のビルド番号が通常版より小さくても、それだけで未修正とは判断できません。期待するKB、Hotpatchの適用状態、更新管理画面のコンプライアンス結果をセットで確認することが重要です。

CVE-2026-62818とは

CVE-2026-62818は、Active Directory Certificate Servicesで解放済みメモリが再利用される「Use-after-free」に分類される脆弱性です。

項目	内容
対象コンポーネント	Active Directory Certificate Services
脆弱性の種類	Use-after-free
CWE	CWE-416
想定される影響	リモートコード実行
攻撃経路	ネットワーク
必要な権限	低い権限を持つ認証済みユーザー
攻撃の複雑さ	低い
ユーザー操作	不要
CVSS 3.1	8.8
CVSSベクトル	AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
公開・悪用状況	2026年8月30日時点で公開済み悪用情報なし、悪用確認なし
Microsoftの悪用可能性評価	悪用の可能性は低い
根本的な修正	対象OS向け累積セキュリティ更新の適用
別の公式回避策	提示なし

この脆弱性では、攻撃者が完全な管理者権限を事前に持っている必要はありません。低い権限の認証済みアカウントで、ユーザー操作を必要とせず、ネットワーク経由で攻撃できる条件になっています。 (Microsoft Security Response Center)

「認証が必要だから安全」とは判断できない

認証済み攻撃者という条件は、未認証で誰でも攻撃できる脆弱性よりは悪用条件が限定されます。しかし、次のような状況では条件を満たされる可能性があります。

一般ユーザーのドメインアカウントが侵害された
委託先や運用担当者のアカウントが不正利用された
別の端末侵害から内部ネットワークへ侵入された
AD CSサーバーへ広い範囲から通信できる構成になっている

AD CSは、組織内の証明書発行、失効、端末認証、ユーザー認証などを支える信頼基盤です。CAサーバー上でコードを実行されると、単なるサーバー障害だけでなく、証明書サービス全体の完全性や可用性に影響する可能性があります。

そのため、Microsoftの評価が「悪用の可能性は低い」であっても、オンラインで稼働している発行CAでは優先度を下げすぎないほうが安全です。

自社のAD CSサーバーが対象か確認する

最初に、AD CSがインストールされているサーバーと、その役割を洗い出します。

管理者権限のPowerShellで次のコマンドを実行すると、AD CS関連の役割サービスを確認できます。

Get-WindowsFeature |
    Where-Object {
        $_.Name -eq 'AD-Certificate' -or
        $_.Name -like 'ADCS-*'
    } |
    Select-Object DisplayName, Name, InstallState

CAサービスの稼働状態は次のコマンドで確認できます。

Get-Service -Name CertSvc -ErrorAction SilentlyContinue |
    Select-Object Name, Status, StartType

Get-WindowsFeatureは、Windows Serverにインストールされている役割、役割サービス、機能を確認するためのコマンドレットです。別のサーバーを確認する場合は、-ComputerNameを指定できます。 (Microsoft Learn)

OS名とビルド番号を確認する

KBを割り当てる前に、OSの製品名とビルド番号を確認します。

$os = Get-CimInstance -ClassName Win32_OperatingSystem
$cv = Get-ItemProperty `
    -Path 'HKLM:\SOFTWARE\Microsoft\Windows NT\CurrentVersion'

[pscustomobject]@{
    ComputerName = $env:COMPUTERNAME
    OSName       = $os.Caption
    OSVersion    = $os.Version
    Build        = '{0}.{1}' -f $cv.CurrentBuild, $cv.UBR
}

Windows Server 2022と2025では、OS名だけでなく、通常更新かHotpatchかも確認してください。Azure Update Manager、Azure Arc、Windows Updateの履歴、社内の更新管理台帳など、実際に使用している管理基盤を基準に判断します。

CA以外のAD CS役割サービスも棚卸しする

AD CSには、証明機関だけでなく、環境によって次のような役割サービスが追加されていることがあります。

証明機関Web登録
ネットワークデバイス登録サービス
証明書登録ポリシーWebサービス
証明書登録Webサービス
オンラインレスポンダー

利用していない役割サービスが残っている場合は、パッチ適用とは別に、削除できるかを確認してください。ただし、用途を確認せずに停止・削除すると、端末登録、Wi-Fi認証、VPN認証、MDM、SCEPによる証明書配布などが停止する可能性があります。

なお、AD CSがインストールされていないサーバーは、このコンポーネントを経由する攻撃の優先調査対象ではありません。ただし、2026年8月の累積更新にはほかのセキュリティ修正も含まれるため、AD CSがないことを理由に累積更新そのものを除外しないでください。

KB適用前に確認するポイント

Windows Server 2012と2012 R2はESUを確認する

Windows Server 2012と2012 R2の2026年8月更新は、拡張セキュリティ更新プログラムとして提供されています。

ESUのライセンスやAzure Arc経由のESUが正しく構成されていない場合、KBを入手できても適用に失敗する可能性があります。Azure Arc対応サーバーでは、ESU用エンドポイントへの通信要件も確認してください。 (マイクロソフトサポート)

SSUの不足を確認する

古いWindows Serverでは、サービススタック更新プログラムが不足していると、対象KBが表示されない、ダウンロードされない、適用に失敗するといった問題が起こります。

対象OS	事前に確認するSSU・前提更新
Windows Server 2012	SSU KB5106414
Windows Server 2012 R2	SSU KB5106412
Windows Server 2016	SSU KB5120236
Windows Server 2019	前提SSU KB5005112。KB5120238にはSSU KB5104020を含む
Windows Server 2022・通常版	SSU KB5120241をKB5120242に含む
Windows Server 2022・Hotpatch	SSUをHotpatch更新に含む
Windows Server 2025・通常版	SSU KB5120232をKB5120233に含む
Windows Server 2025・Hotpatch	SSUをHotpatch更新に含む

Windows Server 2012、2012 R2、2016をWSUSで管理している場合は、累積更新だけでなく、対応するSSUも承認してください。 (マイクロソフトサポート)

Windows Server 2019では、2021年8月10日のSSUであるKB5005112が前提です。長期間更新されていないサーバーでは、KB5120238だけを直接適用しようとせず、前提更新の有無を確認してください。 (マイクロソフトサポート)

CAのバックアップと復旧手順を確認する

更新前には、少なくとも次の復旧対象を確認します。

CAデータベースとデータベースログ
CA証明書と秘密鍵
CAの構成情報
CAPolicy.infなど個別に管理している設定
HSMを使用している場合はHSMベンダー指定のバックアップ
復旧時に必要なパスワードと保管場所
CRL、AIA、OCSPなど周辺サービスの復旧手順

MicrosoftのCAバックアップ手順でも、CA証明書と秘密鍵、証明書データベース、データベースログが主要なバックアップ対象として示されています。秘密鍵を含むバックアップは極めて機密性が高いため、アクセス権を限定した安全な場所に保管してください。 (Microsoft Learn)

バックアップファイルが存在するだけでは不十分です。復元に必要なパスワード、担当者、手順書、保管媒体へのアクセス方法まで確認しておく必要があります。

CVE-2026-62818の修正KBを適用する手順

対象サーバーとKBの対応表を作る

最初に、サーバーごとに次の情報を一覧化します。

確認項目	記録例
サーバー名	CA01
CAの種類	エンタープライズ発行CA
OS	Windows Server 2022
インストール方式	Desktop Experience
更新方式	通常LCU
現在のビルド	20348.xxxxx
適用するKB	KB5120242
再起動可否	8月30日22時以降
バックアップ確認	完了
動作確認担当	PKI管理者

Windows Server 2022または2025で「通常版かHotpatchか分からない」という状態のまま、KB番号だけで手動適用しないでください。まず現在のサービス方式を確定します。

検証環境または待機系から適用する

複数の発行CAがある場合は、一斉に適用せず、1台ずつ更新します。

単一の発行CAしかない場合は、次の影響を考慮してメンテナンス時間を確保してください。

証明書の新規発行が一時的にできない
自動登録が再試行待ちになる
NDESや証明書登録Webサービスが利用できない
管理コンソールからCAへ接続できない
再起動中に失効処理やCRL公開処理を実行できない

通常の累積更新では、再起動を前提に作業計画を作るのが安全です。Hotpatchは再起動なしでセキュリティ更新を適用できる仕組みですが、基準月の更新、保留中の再起動、サービス状態などによっては別途再起動が必要になる場合があります。

WSUSなどで対象KBを承認する

WSUSを使用している場合は、OSごとの製品分類が正しいか確認します。

代表的な設定は次のとおりです。

対象	WSUSで確認する製品・分類
Windows Server 2016	Windows Server 2016、分類はSecurity Updates
Windows Server 2019	Windows Server 2019、分類はSecurity Updates
Windows Server 2022通常版	Microsoft Server operating system-21H2、分類はSecurity Updates
Windows Server 2022 Hotpatch	Server 2022 Hotpatch Category、分類はSecurity Updates
Windows Server 2025通常版	Microsoft Server operating system-24H2、分類はSecurity Updates
Windows Server 2025 Hotpatch	KB5120228はWSUSから提供されない

Windows Server 2022のHotpatch版KB5120229はMicrosoft Update Catalogにはありませんが、Windows UpdateとWSUSから提供されます。WSUSでは「Server 2022 Hotpatch Category」を同期する必要があります。 (マイクロソフトサポート)

Windows Server 2025のHotpatch版KB5120228は、Windows UpdateまたはMicrosoft Updateから提供されます。Microsoft Update CatalogとWSUSでは提供されないため、検索しても見つからないのは異常ではありません。 (マイクロソフトサポート)

Windows Server 2025を手動適用する場合は順序に注意する

Windows Server 2025の通常版KB5120233をMicrosoft Update Catalogから手動適用する場合、複数のMSUファイルが表示されることがあります。

個別に適用する場合は、次の順序が指定されています。

KB5043080
KB5120233

必要なMSUを同じフォルダーに配置し、DISMに前提パッケージを検出させる方法もあります。KB5120233だけを取り出して先に適用すると、前提パッケージ不足で失敗する可能性があります。 (マイクロソフトサポート)

更新後にKBとビルドを確認する

対象となるKBをまとめて検索する場合は、次のPowerShellを使用できます。

$TargetKBs = @(
    'KB5120386',
    'KB5120385',
    'KB5120418',
    'KB5120238',
    'KB5120242',
    'KB5120229',
    'KB5120233',
    'KB5120228'
)

Get-HotFix -Id $TargetKBs -ErrorAction SilentlyContinue |
    Select-Object HotFixID, Description, InstalledOn

1台のサーバーに表示されるのは、そのOSとサービス方式に対応したKBだけです。

ただし、Get-HotFixはWin32_QuickFixEngineeringを利用して更新履歴を取得します。更新方式やパッケージの種類によっては、すべての更新が表示されるとは限りません。結果が空でも直ちに「未適用」と断定せず、OSビルド、Windows Updateの履歴、WSUSやAzure Update Managerのコンプライアンス結果も確認してください。 (Microsoft Learn)

AD CSの動作を確認する

KBの導入だけで作業完了にせず、AD CSの機能確認まで実施します。

最低限、次の項目を確認してください。

CertSvcサービスが起動している
CA管理コンソールから対象CAへ接続できる
代表的な証明書テンプレートでテスト発行できる
自動登録を使用している端末で登録エラーがない
CRLとAIAの公開先へアクセスできる
OCSPを利用している場合はレスポンダーが正常
NDES、SCEP、CEP、CESなど実際に利用する登録経路が正常
Windowsのシステムログとアプリケーションログに新しい重大エラーがない

サービス状態は次のコマンドでも確認できます。

Get-Service -Name CertSvc |
    Select-Object Name, Status, StartType

CAが起動していても、証明書テンプレートのアクセス権、CRL公開、Web登録など一部の経路だけで問題が起きることがあります。実際の利用経路を使ったテストが必要です。

KBが表示されない・適用できない場合の確認事項

症状	主な原因	対処
Server 2012にKB5120385を適用できない	KBの取り違え	Server 2012はKB5120386を使用する
Server 2012／2012 R2に更新が表示されない	ESUまたはSSUが不足	ESU状態とKB5106414／KB5106412を確認する
Server 2016にKB5120418が表示されない	SSU KB5120236が未承認	WSUSでSSUと累積更新の両方を承認する
Server 2019でKB5120238が失敗する	前提SSU KB5005112がない	KB5005112の導入履歴を確認する
Server 2022でHotpatch KBが見つからない	通常版環境または製品分類不足	Azure EditionとHotpatch状態、WSUS分類を確認する
Server 2025でKB5120228がWSUSにない	Hotpatch版はWSUS非対応	Windows UpdateまたはMicrosoft Updateで適用する
Server 2025の手動適用に失敗する	チェックポイント更新の順序が不正	KB5043080の後にKB5120233を適用する
`Get-HotFix`にKBが表示されない	取得方式の制約	OSビルドと更新管理サービスでも確認する
更新が「再起動待ち」のままになる	保留中の再起動や更新処理	メンテナンス時間内に再起動し、再スキャンする
適用後に証明書を発行できない	CertSvc停止、権限、周辺サービスの問題	サービス、イベントログ、登録経路を順番に確認する

更新が配信されないときに、AD CS役割の再インストールやCAサービスの初期化を先に行う必要はありません。まずOS、エディション、通常版・Hotpatch、ESU、SSU、WSUS製品分類の順に確認してください。

更新までの暫定対策

MicrosoftからCVE-2026-62818を無効化する専用設定や公式回避策は示されていません。そのため、次の対策はあくまで更新までの露出を減らす補完策です。

CAサーバーへ到達できるネットワークを必要な範囲に制限する
管理用ネットワークと一般クライアント用ネットワークを分離する
不要なAD CS役割サービスを影響確認後に停止・削除する
CAへアクセスできるアカウントの異常な認証を監視する
証明書要求数の急増やCertSvcの異常停止を監視する
オフラインルートCAは通常どおりオフラインを維持する
オフラインルートCAを次回起動する前に更新計画へ組み込む

ネットワーク制限を行っても、脆弱なコード自体は残ります。また、証明書要求に必要な通信を過度に遮断すると、端末の自動登録、MDM、VPN、Wi-Fi認証などに影響します。

暫定対策だけで完了とせず、最終的には対応するKBまたは、その修正を含む後続の累積更新を適用してください。

よくある質問

Windows Server 2012用はKB5120385ではないのですか

KB5120385はWindows Server 2012 R2用です。Windows Server 2012にはKB5120386を使用します。

OS名に「R2」が付くかどうかを確認してください。PowerShellでは次のコマンドで製品名を確認できます。

(Get-CimInstance Win32_OperatingSystem).Caption

Windows Server 2022ではKB5120242とKB5120229の両方が必要ですか

両方は必要ありません。

通常の累積更新を使用しているWindows Server 2022にはKB5120242、Windows Server 2022 Datacenter: Azure EditionでHotpatchを使用している場合はKB5120229を適用します。

Windows Server 2025ではKB5120233とKB5120228のどちらを選びますか

通常の累積更新を使用している場合はKB5120233です。

Hotpatchを購読・有効化し、Windows UpdateまたはAzure側の更新管理でHotpatch対象として認識されている場合はKB5120228です。OSのエディション名だけで判断せず、実際のHotpatch登録状態を確認してください。

Server Core用の別KBはありますか

ありません。Server Coreでも、同じWindows Serverバージョンとサービス方式のKBを使用します。

8月のKBより新しい累積更新を適用しても修正されますか

通常のWindows Server累積更新では、後続の適用可能な累積更新に過去のセキュリティ修正が含まれるのが基本です。

ただし、Hotpatchでは基準月の更新や適用状態が関係します。後続更新を使う場合は、MSRCのCVEページ、該当KBのサポート情報、更新管理サービスのコンプライアンス結果で、CVE-2026-62818が修正済みになっていることを確認してください。

悪用の可能性が低いなら適用を延期してもよいですか

「悪用の可能性が低い」は、脆弱性が存在しないという意味ではありません。

CVE-2026-62818は、低い権限の認証済み攻撃者が、ユーザー操作なしでネットワーク経由のコード実行を狙える条件です。特にオンラインの発行CA、広いネットワークから到達できるCA、単一障害点になっているCAでは、通常の月例更新期間内に優先して適用するのが適切です。

CVE-2026-62818対応で実施すべきこと

CVE-2026-62818の修正では、次の順序で対応すると取り違えや確認漏れを防げます。

AD CSを導入しているサーバーを洗い出す
OS、Server Coreの有無、通常版・Hotpatchを確認する
Windows Server 2012系ではESUとSSUを確認する
CAデータベース、CA証明書、秘密鍵のバックアップを確認する
対応する8月KBまたは後続の累積更新を適用する
KB、OSビルド、更新管理サービスの結果を照合する
CertSvc、証明書発行、CRL、実際の登録経路を動作確認する

最も重要なのは、KB番号だけを見て手動適用しないことです。特にWindows Server 2012と2012 R2の取り違え、Windows Server 2022／2025の通常版とHotpatch版の取り違えに注意してください。

この記事を書いた人

佐藤健司

実務の現場で詰まりがちなポイントを地図にするITブログ「IT trip」を運営。Windows／Office（Teams・Excel）からSQL、サーバ運用、ガジェットまで、再現性のある手順と“なぜそうなるか”を丁寧に解説します。読んだらすぐ試せること、そして迷った人の次の一歩が見えることを大切にしています。

AD CSのCVE-2026-62818を修正するKB一覧｜Windows Server 2012～2025

CVE-2026-62818：AD CSリモートコード実行を修正する8月KB一覧

Server Coreでも同じKBを使用する

通常版とHotpatch版を両方入れない

CVE-2026-62818とは

「認証が必要だから安全」とは判断できない

自社のAD CSサーバーが対象か確認する

OS名とビルド番号を確認する

CA以外のAD CS役割サービスも棚卸しする

KB適用前に確認するポイント

Windows Server 2012と2012 R2はESUを確認する

SSUの不足を確認する

CAのバックアップと復旧手順を確認する

CVE-2026-62818の修正KBを適用する手順

対象サーバーとKBの対応表を作る

検証環境または待機系から適用する

WSUSなどで対象KBを承認する

Windows Server 2025を手動適用する場合は順序に注意する

更新後にKBとビルドを確認する

AD CSの動作を確認する

KBが表示されない・適用できない場合の確認事項

更新までの暫定対策

よくある質問

Windows Server 2012用はKB5120385ではないのですか

Windows Server 2022ではKB5120242とKB5120229の両方が必要ですか

Windows Server 2025ではKB5120233とKB5120228のどちらを選びますか

Server Core用の別KBはありますか

8月のKBより新しい累積更新を適用しても修正されますか

悪用の可能性が低いなら適用を延期してもよいですか

CVE-2026-62818対応で実施すべきこと

この記事を書いた人

コメント

コメントするコメントをキャンセル

AD CSのCVE-2026-62818を修正するKB一覧｜Windows Server 2012～2025

CVE-2026-62818：AD CSリモートコード実行を修正する8月KB一覧

Server Coreでも同じKBを使用する

通常版とHotpatch版を両方入れない

CVE-2026-62818とは

「認証が必要だから安全」とは判断できない

自社のAD CSサーバーが対象か確認する

OS名とビルド番号を確認する

CA以外のAD CS役割サービスも棚卸しする

KB適用前に確認するポイント

Windows Server 2012と2012 R2はESUを確認する

SSUの不足を確認する

CAのバックアップと復旧手順を確認する

CVE-2026-62818の修正KBを適用する手順

対象サーバーとKBの対応表を作る

検証環境または待機系から適用する

WSUSなどで対象KBを承認する

Windows Server 2025を手動適用する場合は順序に注意する

更新後にKBとビルドを確認する

AD CSの動作を確認する

KBが表示されない・適用できない場合の確認事項

更新までの暫定対策

よくある質問

Windows Server 2012用はKB5120385ではないのですか

Windows Server 2022ではKB5120242とKB5120229の両方が必要ですか

Windows Server 2025ではKB5120233とKB5120228のどちらを選びますか

Server Core用の別KBはありますか

8月のKBより新しい累積更新を適用しても修正されますか

悪用の可能性が低いなら適用を延期してもよいですか

CVE-2026-62818対応で実施すべきこと

この記事を書いた人

関連記事

コメント

コメントする コメントをキャンセル

コメントするコメントをキャンセル