MENU
日程Fit｜「いつ空いてますか？」の往復はもう不要。候補日を選んでURLを送るだけ｜登録不要｜今すぐ無料で使う →

CVE-2026-45648とは？Active Directoryドメインコントローラーのパッチ確認手順

Active Directory

Active Directory Domain Servicesを運用している管理者が最初に確認すべき点は、Windows Server 2022のドメインコントローラーがOSビルド20348.5256以上、Windows Server 2025が26100.32995以上になっているかです。

CVE-2026-45648は、Active Directory Domain Services（AD DS）のスタックベースのバッファーオーバーフローにより、低い権限を持つ認証済み攻撃者がネットワーク経由でコードを実行できる脆弱性です。ユーザー操作は必要ありません。対象のドメインコントローラーには、2026年6月の累積更新プログラム、またはそれ以降の累積更新プログラムを適用してください。(msrc.microsoft.com)

日程Fit。無料・登録不要。「いつ空いてる？」を、ひとつのリンクで。リンクを送って、○△×でかんたん日程調整。無料で日程を作る。
目次

CVE-2026-45648の概要

項目内容
CVE番号CVE-2026-45648
公開日2026年6月9日
対象機能Windows Active Directory Domain Services
脆弱性の種類スタックベースのバッファーオーバーフロー（CWE-121）
想定される攻撃ネットワーク経由のリモートコード実行
必要な権限低い権限の認証済みアカウント
ユーザー操作不要
CVSS 3.18.8
CVSSベクターAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

「認証済み攻撃者」とされているため、インターネットから誰でも直接攻撃できる脆弱性とは限りません。しかし、管理者権限は必要なく、侵害された一般ユーザーやサービスアカウントが攻撃の起点になる可能性があります。

フィッシングやマルウェアによってドメイン資格情報が奪われた後、ドメインコントローラーへの攻撃に利用されるシナリオを想定すべきです。機密性・完全性・可用性のすべてに高い影響が設定されているため、一般サーバーよりも優先して対処してください。(NVD)

影響を受けるドメインコントローラー

公式のCVEデータでは、次のWindows Serverが影響対象として示されています。

OS影響を受けるビルド修正プログラム修正済みビルド
Windows Server 202220348.5256未満KB509412820348.5256以上
Windows Server 202526100.32995未満KB509412526100.32995以上
Windows Server 2025 Server Core26100.32995未満KB509412526100.32995以上

Windows Server 2022用のKB5094128とWindows Server 2025用のKB5094125は、いずれも2026年6月9日に公開された累積セキュリティ更新プログラムです。6月以降の累積更新プログラムを導入し、上表より新しいビルドになっている場合も、通常は過去の修正を含みます。(NVD)

読み取り専用ドメインコントローラーも確認する

公開情報には、RODC（読み取り専用ドメインコントローラー）を除外する記載がありません。該当するOSでAD DSを実行している場合は、書き込み可能なドメインコントローラーと同様に棚卸ししてください。

AzureやAWSなどの仮想マシン上に構築したドメインコントローラーも、自己管理しているWindows Serverであれば同じ対応が必要です。一方、一般ユーザーのWindows PCに対して、このCVEだけを理由とした設定変更やパスワード変更を行う必要はありません。

Windows Server 2016と2019はどうするか

CVE-2026-45648の影響製品一覧には、Windows Server 2016とWindows Server 2019は掲載されていません。ただし、「このCVEの対象外」と「安全な状態」は同じ意味ではありません。

古いドメインコントローラーにも別の脆弱性が存在する可能性があるため、毎月の累積更新とサポート状況の確認は継続してください。未サポートOSについては、今回のCVE対応とは別に移行計画が必要です。

Active Directory Domain Servicesで何が変わるのか

今回の中心は、新機能の追加ではなく、AD DS内部のメモリ処理に関するセキュリティ修正です。

公開されているMicrosoftの情報では、次の作業は求められていません。

  • Active Directoryスキーマの拡張
  • フォレスト機能レベルやドメイン機能レベルの変更
  • ドメインコントローラーの再昇格
  • ユーザーアカウントの作り直し
  • 専用エージェントの追加
  • CVE対策専用のグループポリシー設定

通常のWindows Server累積更新プログラムとして導入し、再起動後にAD DS、DNS、Kerberos、SYSVOL、レプリケーションの状態を確認します。累積更新にはCVE-2026-45648以外の修正や機能変更も含まれるため、検証環境またはパイロット用ドメインコントローラーで事前確認することが重要です。(Microsoft サポート)

ドメインコントローラーのパッチ適用チェックリスト

段階確認内容完了条件
棚卸し全ドメイン、全サイトのDCを一覧化するOS、ビルド、サイト、FSMO、GC、RODCを確認済み
事前診断AD DSとレプリケーションを診断する重大な既存エラーがない
復旧準備システム状態バックアップと復旧手順を確認するバックアップ日時と保管先を確認済み
パイロット非FSMOの冗長DCから適用する再起動後の認証・DNS・レプリケーションが正常
展開DCを1台ずつ更新する同一ドメインのDCを同時停止していない
事後確認ビルドとサービスを確認する対象ビルド以上で、AD診断が正常
完了処理残存DCとテンプレートを確認する未修正DCと古いOSイメージが残っていない

適用前に確認する項目

まず、次のコマンドを実行し、既存の障害がないか確認します。

repadmin /replsummary
dcdiag /e /test:Advertising /test:Services /test:Replications /test:SysVolCheck /test:NetLogons

更新前からレプリケーションエラーやSYSVOL障害が発生している場合は、原因を把握してからパッチを適用します。既存障害と更新後の障害を切り分けられなくなるためです。

次の項目も確認してください。

  • OSドライブの空き容量
  • 再起動待ち状態の有無
  • AD DSのシステム状態バックアップ
  • BitLocker回復キーの保管場所
  • PDCエミュレーターなどFSMO役割の配置
  • 各拠点で認証を継続できるDCの台数
  • DNS、DHCP、証明書サービスなどの兼用役割
  • 監視システムのメンテナンス設定

仮想マシンのスナップショットだけを、ドメインコントローラーの復旧手段にしないでください。障害時はActive Directoryの復旧手順に沿って対応できるよう、システム状態バックアップと復旧担当者を確認しておきます。

適用する順番

複数のドメインコントローラーがある場合は、一般に次の順番が安全です。

  1. レプリケーションが正常な非FSMOドメインコントローラー
  2. 同一サイト内の残りのドメインコントローラー
  3. 他サイトやRODC
  4. PDCエミュレーターなど重要なFSMO役割を持つドメインコントローラー

各サーバーの再起動後、認証、DNS、SYSVOL、レプリケーションが正常であることを確認してから、次のサーバーへ進みます。

単一ドメインコントローラー構成では認証停止を避けられない可能性があります。復旧可能なバックアップを確認し、計画停止として実施してください。中長期的には、ドメインコントローラーの冗長化も検討すべきです。

PowerShellで全ドメインコントローラーのビルドを確認する

次のスクリプトは、Active DirectoryモジュールとPowerShellリモート処理を使用して、ドメインコントローラーのビルドを確認します。

Import-Module ActiveDirectory

$minimumBuild = @{
    '20348' = 5256   # Windows Server 2022
    '26100' = 32995  # Windows Server 2025
}

Get-ADDomainController -Filter * | ForEach-Object {
    $dc = $_

    try {
        $os = Invoke-Command -ComputerName $dc.HostName -ErrorAction Stop -ScriptBlock {
            $version = Get-ItemProperty `
                'HKLM:\SOFTWARE\Microsoft\Windows NT\CurrentVersion'

            [pscustomobject]@{
                ProductName  = [string]$version.ProductName
                CurrentBuild = [string]$version.CurrentBuild
                UBR          = [int]$version.UBR
            }
        }

        if ($minimumBuild.ContainsKey($os.CurrentBuild)) {
            $status = if ($os.UBR -ge $minimumBuild[$os.CurrentBuild]) {
                '修正済み'
            } else {
                '未修正'
            }
        } else {
            $status = '対象OSを個別確認'
        }

        [pscustomobject]@{
            DomainController = $dc.HostName
            Site             = $dc.Site
            OS               = $os.ProductName
            Build            = "$($os.CurrentBuild).$($os.UBR)"
            Status           = $status
        }
    }
    catch {
        [pscustomobject]@{
            DomainController = $dc.HostName
            Site             = $dc.Site
            OS               = '-'
            Build            = '-'
            Status           = "取得失敗: $($_.Exception.Message)"
        }
    }
} | Format-Table -AutoSize

PowerShellリモート処理を無効にしている環境では、各ドメインコントローラーで次のコマンドを実行できます。

$version = Get-ItemProperty `
    'HKLM:\SOFTWARE\Microsoft\Windows NT\CurrentVersion'

"$($version.CurrentBuild).$($version.UBR)"

KB番号だけではなく、OSビルドも確認することがポイントです。後続の累積更新プログラムを導入したサーバーでは、KB5094128やKB5094125が直接表示されなくても、CVEの修正を含んでいる場合があります。

Windows Server 2022の判定値に注意する

Microsoftは2026年6月17日、KB5094128のCSVファイルに記載されていたビルド番号を修正しました。誤って記載されていた20348.5257ではなく、正しいビルドは20348.5256です。

資産管理ツールや脆弱性スキャナーに20348.5257を登録していると、修正済みサーバーを未修正と誤判定する可能性があります。検出ルールを確認してください。(Microsoft サポート)

更新プログラムの配布方法

Windows Update、Windows Update for Business、Microsoft Update Catalog、WSUSから導入できます。

WSUSを利用する場合の製品と分類は次のとおりです。

OSWSUSの製品分類
Windows Server 2022Microsoft Server operating system-21H2Security Updates
Windows Server 2025Microsoft Server operating system-24H2Security Updates

Windows Server 2022では、KB5094128にSSU KB5094147が統合されています。Windows Server 2025では、KB5094125にSSU KB5094137が統合されています。(Microsoft サポート)

Microsoft Update Catalogから手動導入する場合

Windows Server 2025のKB5094125は、複数のMSUファイルと前提パッケージを特定の順番で導入する場合があります。個別にダブルクリックするより、必要なMSUファイルを同じフォルダーに置き、DISMで導入する方法が安全です。MicrosoftのKBに記載された順番を確認してください。(Microsoft サポート)

Windows Server 2022のオフラインイメージを更新する場合は、KB5030216以降のLCUがイメージに含まれていることを確認します。古いサービススタックのままでは、0x800f0823エラーが発生する可能性があります。

インストールメディアやWinPEを更新する作業では、Windowsのバージョンとアーキテクチャに合ったboot.stlファイルも必要です。これは稼働中のドメインコントローラーへ通常のWindows Updateを適用するだけであれば、一般に意識する必要はありません。(Microsoft サポート)

適用後に確認する項目

再起動後、OSビルドだけを確認して完了にしないことが重要です。

サービスと共有フォルダー

Get-Service NTDS, KDC, Netlogon, DFSR -ErrorAction SilentlyContinue
Get-Service DNS -ErrorAction SilentlyContinue
Get-SmbShare -Name SYSVOL, NETLOGON -ErrorAction SilentlyContinue

各サービスが実行中で、SYSVOLとNETLOGON共有が存在することを確認します。

Active Directoryとレプリケーション

repadmin /replsummary
repadmin /showrepl
dcdiag /test:Advertising /test:Services /test:Replications /test:DNS

少なくとも次の動作もテストしてください。

  • ドメインユーザーによる新規ログオン
  • Kerberos認証を利用する業務システムへの接続
  • DNSの名前解決
  • グループポリシーの取得
  • 別サイトのドメインコントローラーとのレプリケーション
  • パスワード変更
  • 時刻同期

更新直後だけでなく、数時間後または次のレプリケーション周期後にも監視します。

適用前に知っておきたい既知の問題

Windows Server 2022でBitLocker回復キーを要求される場合がある

KB5094128では、特定のBitLockerグループポリシー構成を持つ一部の端末が、更新後の最初の再起動時にBitLocker回復キーを要求される可能性があります。

主に次の条件が重なる環境が対象です。

  • OSドライブでBitLockerを使用している
  • TPM検証プロファイルにPCR7を明示的に含めている
  • msinfo32.exeでPCR7バインドが「不可」と表示される
  • 新しいSecure Boot証明書を利用できる状態になっている

更新前にBitLocker回復キーを確認し、該当するグループポリシーを監査してください。Microsoftは、問題のある構成では対象ポリシーを「未構成」に戻し、BitLockerのバインドを更新する回避策を案内しています。(Microsoft サポート)

WSUSで同期エラーの詳細が表示されない

Windows Server 2022および2025では、以前のセキュリティ対策に伴い、WSUSの同期エラー詳細が表示されない状態が継続しています。

エラー詳細が見えないことと、同期や承認が成功していることは別です。更新の配布率、Windows Updateログ、対象サーバーのビルドを組み合わせて確認してください。(Microsoft サポート)

一部の外部アプリからOffice文書を開けない場合がある

2026年6月9日以降のWindows更新では、OLEオートメーションを利用する一部の外部アプリから、WordやExcelなどを開けない既知の問題が報告されています。

ドメインコントローラーにOfficeや業務アプリをインストールしていない一般的な構成では、影響は限定的です。該当する場合は、外部アプリ経由ではなくOffice文書を直接開く方法が暫定回避策です。(Microsoft サポート)

設定・更新・移行・料金・期限の確認ポイント

確認項目対応
AD DS設定CVE対策専用の設定変更は公開されていない
セキュリティ更新対象となるすべてのDCへ累積更新を適用する
再起動再起動を前提にメンテナンス枠を確保する
スキーマ更新公開情報上、不要
OS移行Server 2022／2025ではCVE対応のための移行は不要
ユーザー対応通常はパスワード変更やPC設定変更は不要
追加料金セキュリティ更新自体の追加購入は通常不要
強制期限Microsoftによる一律の適用期限は示されていない

更新プログラムは通常のWindows UpdateやWSUSなどで配布されており、CVE対策専用のライセンス購入は必要ありません。ただし、検証環境、保守作業、停止時間、バックアップ、監視などの運用コストは発生します。(Microsoft サポート)

適用期限の目安

Microsoftの公開情報に強制的な適用期限はありませんが、ドメインコントローラーは認証基盤であり、攻撃には低い権限のアカウントを利用できます。そのため、通常のクライアント更新より優先度を上げるべきです。

社内の緊急パッチ基準がない場合は、次の進め方が目安になります。

  • 当日中：対象DCの棚卸し、ビルド確認、既存障害の確認
  • 24時間以内：検証環境またはパイロットDCへ適用
  • 72時間以内：重要サイトと主要ドメインへ展開
  • 7日以内：全対象DC、RODC、待機系、OSイメージの対応を完了

これはMicrosoftが定めた期限ではなく、認証基盤のリスクを考慮した運用上の目標です。変更凍結中でも、未適用期間と例外承認者を明確にしてください。

よくある疑問

PDCエミュレーターだけ更新すればよいですか

いいえ。脆弱性は各ドメインコントローラー上のAD DSに存在するため、対象OSを使用しているすべてのドメインコントローラーを更新する必要があります。

ファイアウォールで防げますか

ネットワーク分離や未管理端末からのアクセス制限は、攻撃経路を減らす補完策になります。しかし、AD DSではLDAP、Kerberos、RPC、DNSなど複数の通信が必要です。安易なポート遮断は認証や管理機能を停止させる可能性があります。

公式の修正プログラムに代わる設定回避策は公開されていないため、ネットワーク制御だけで対応完了としないでください。

一般ユーザーはパスワードを変更すべきですか

CVEが公開されたという理由だけで、全ユーザーのパスワードを変更する必要はありません。

ただし、侵害の兆候や不審な認証、特権アカウントの悪用が確認された場合は、パッチ適用だけでは不十分です。端末隔離、ログ調査、資格情報の無効化、ドメイン侵害を想定したインシデント対応を実施してください。

更新後のビルドが表より新しければ修正済みですか

通常は修正済みと判断できます。Windows Serverの月例更新は累積型であり、後続の累積更新プログラムには過去のセキュリティ修正が含まれます。

ただし、プレビュー更新、適用失敗、更新のアンインストール、保留中の再起動がないかも確認してください。

まず実施すべきこと

CVE-2026-45648への対応は、AD DSの設定変更や移行プロジェクトではなく、対象ドメインコントローラーを漏れなく更新し、再起動後の認証基盤を検証する作業です。

最初に全ドメインコントローラーのOSビルドを取得し、次の基準を下回るサーバーを抽出してください。

  • Windows Server 2022：20348.5256未満
  • Windows Server 2025：26100.32995未満

その後、レプリケーションが正常な非FSMOドメインコントローラーから1台ずつ更新します。更新後は、ビルド番号、AD DSサービス、DNS、SYSVOL、Kerberos認証、レプリケーションを確認し、全サイトとRODCまで対応を完了させてください。

Active Directory
Active Directory Windows Server セキュリティ更新 ドメインコントローラー CVE-2026-45648

この記事を書いた人

佐藤健司のアバター 佐藤健司

実務の現場で詰まりがちなポイントを地図にするITブログ「IT trip」を運営。Windows／Office（Teams・Excel）からSQL、サーバ運用、ガジェットまで、再現性のある手順と“なぜそうなるか”を丁寧に解説します。読んだらすぐ試せること、そして迷った人の次の一歩が見えることを大切にしています。

関連記事

コメント

コメントする

目次