CVE-2026-49179は、Windows Active Directoryに関連するNSPI RPCの処理を通じて、攻撃者にコードを実行される可能性があるリモートコード実行脆弱性です。対応の結論は、影響を受けるWindows ServerとWindowsクライアントへ、2026年8月11日の累積更新プログラムまたは後続の累積更新プログラムを適用することです。
2026年8月30日時点で、Microsoftは悪用可能性を「Exploitation Unlikely」と評価し、実際の悪用と一般公開はいずれも確認していません。ただし、CVSS v3.1の基本値は8.8で、悪用された場合は機密性・完全性・可用性のすべてに大きな影響が及びます。個別の回避策も提示されていないため、Active Directory環境では計画的な更新を早めに完了させる必要があります。(Microsoft Security Response Center)
なお、CVE-2026-49179を「ドメイン認証済みの攻撃者が境界外書き込みを起こす脆弱性」と説明するのは、現行の公式記録とは一致しません。2026年8月29日に更新されたMicrosoftのCVEレコードでは、弱点はコマンドインジェクションを示すCWE-77、攻撃に必要な特権は不要、利用者の関与は必要とされています。脆弱性情報を整理する際は、別のActive Directory脆弱性と混同しないことが重要です。(GitHub)
CVE-2026-49179の結論：8月KBまたは後続LCUを適用する
CVE-2026-49179への対応方針は明確です。
| 確認項目 | 内容 |
|---|---|
| 対象 | Windows Active Directory、NSPI RPCに関係する処理 |
| 影響 | リモートコード実行 |
| CVSS v3.1 | 8.8、深刻度High |
| 攻撃元 | ネットワーク経由 |
| 攻撃条件 | 複雑さは低い |
| 必要な特権 | 不要（PR:N） |
| 利用者の関与 | 必要（UI:R） |
| 実悪用 | 2026年8月30日時点で確認なし |
| 悪用可能性 | Exploitation Unlikely |
| 修正方法 | 2026年8月の累積更新、または後続の累積更新を適用 |
| 回避策 | Microsoftから個別の回避策は提示されていない |
CVSSベクトルはAV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:Hです。つまり、ネットワーク経由で到達でき、攻撃の複雑さは低い一方、利用者側の操作や接続が必要になる攻撃として評価されています。成功した場合は、情報漏えい、改ざん、サービス停止のすべてにつながる可能性があります。(GitHub)
「悪用可能性が低い」という評価は、更新を見送ってよいという意味ではありません。Active Directoryは認証や端末管理の基盤であり、侵害時の影響範囲が大きいため、少なくとも次の通常メンテナンスまでには修正を完了させるのが現実的な判断です。
NSPI RPCとは何か
NSPIは「Name Service Provider Interface」の略称です。Microsoftのプロトコル仕様では、メッセージングクライアントがサーバーに保存されたアドレス情報へアクセスし、操作するための仕組みと説明されています。
NSPIプロトコルは、アドレス帳データのモデルと、そのデータを操作するRPCインターフェイスで構成されています。単純なドメインログオン用プロトコルではなく、メッセージングクライアントによるアドレス帳関連の処理に使われる点が特徴です。(Microsoft Learn)
CVE-2026-49179では、このNSPI RPCを通じて受け取った細工された入力の処理が問題になります。MSRCが示す攻撃シナリオは、クライアントが悪意あるサーバーに接続し、細工された入力を処理するというものです。
そのため、次のような理解は適切ではありません。
- ドメインコントローラーの待ち受けポートだけを保護すればよい
- ドメイン認証済みの攻撃者だけが悪用できる
- ドメインコントローラーだけ更新すれば対応が完了する
- TCP 135をインターネットから遮断していれば影響を受けない
特に注意したいのは、攻撃に必要な特権がPR:Nである一方、利用者の関与がUI:Rになっている点です。事前にドメインユーザー権限を取得して直接ドメインコントローラーを攻撃する脆弱性とは、前提条件が異なります。(Microsoft Security Response Center)
境界外書き込みではなくCWE-77のコマンドインジェクション
現行のMicrosoft CNAレコードでは、CVE-2026-49179の弱点は次のように分類されています。
CWE-77：コマンドで使用される特殊要素の不適切な無害化
これは、入力値に含まれる特殊な要素を適切に処理できず、意図しない命令として解釈される可能性があるコマンドインジェクションの分類です。
境界外書き込みやスタックベースのバッファオーバーフローは、メモリ領域の範囲確認に失敗する別の種類の脆弱性です。攻撃条件、検知方法、影響を受ける処理を正しく判断するためにも、CVE-2026-49179をメモリ破壊型の脆弱性として扱わないようにしてください。(GitHub)
影響範囲はドメインコントローラーだけではない
Microsoftの影響製品一覧には、Windows Server 2012からWindows Server 2025までの各サーバーOSに加えて、複数のWindows 10およびWindows 11も含まれています。
したがって、Active Directory Domain Servicesに関する脆弱性だからといって、ドメインコントローラーだけを更新して完了と判断するのは不十分です。少なくとも、MSRCの影響製品一覧に該当する次の端末を確認する必要があります。
- ドメインコントローラー
- Windows Serverのメンバーサーバー
- 管理者が使用するWindows端末
- メッセージングやアドレス帳機能を利用するWindows端末
- 信頼できないネットワークやサーバーへ接続できる端末
特に管理者用端末は、侵害後に高い権限の認証情報へ到達される可能性があります。ドメインコントローラーと並行して、特権管理端末やサーバー管理者のPCを優先的に更新するのが安全です。(GitHub)
Windows Server別の修正KBと最低ビルド
Windows ServerでCVE-2026-49179を修正する2026年8月の更新プログラムは次のとおりです。
| Windows Server | 2026年8月の修正KB | 修正済みと判断できる最低ビルド | 適用前の主な確認事項 |
|---|---|---|---|
| Windows Server 2025 | KB5120233 | 26100.33296 | LCUにSSUを統合 |
| Windows Server 2022 | KB5120242 | 20348.5499 | LCUにSSUを統合。オフラインイメージは前提更新を確認 |
| Windows Server 2019 | KB5120238 | 17763.9121 | SSU KB5005112の適用状況を確認 |
| Windows Server 2016 | KB5120418 | 14393.9418 | SSU KB5120236を先に承認・適用 |
| Windows Server 2012 R2 | KB5120385 | 9600.23338 | ESU契約とSSU KB5106412が必要 |
| Windows Server 2012 | KB5120386 | 9200.26280 | ESU契約とSSU KB5106414が必要 |
最低ビルドは、MicrosoftのCVEレコードで「このビルド未満が影響を受ける」とされている境界値です。表のビルド以上であれば、CVE-2026-49179の修正を含む状態と判断できます。(GitHub)
Windows Server 2025とWindows Server 2022のKB番号およびOSビルドは、Microsoftの各更新履歴でも確認できます。(マイクロソフトサポート)
Windows Server 2019とWindows Server 2016では、SSUの不足により更新が提示されなかったり、WSUSで配信できなかったりする場合があります。累積更新だけでなく、前提となるSSUの承認状態も確認してください。(マイクロソフトサポート)
Windows Server 2012とWindows Server 2012 R2は通常サポートを終了しており、更新の取得にはExtended Security Updatesが必要です。両製品のESU最終日は2026年10月13日です。CVE-2026-49179の修正と並行して、サポート中のWindows Serverへの移行計画も確定させる必要があります。(マイクロソフトサポート)
後続の累積更新を適用している場合
2026年8月のKBを個別に探してインストールする必要はありません。2026年9月以降の累積更新プログラムを適用し、OSビルドが表の最低ビルド以上になっていれば、原則としてCVE-2026-49179の修正も含まれます。
更新状況は、KB番号だけでなく次の両方で判断してください。
| 確認結果 | 判断 |
|---|---|
| 8月KBがインストール済み | 修正済み |
| 後続LCUがインストール済みで最低ビルド以上 | 修正済み |
| 8月KBが見つからないが、ビルドは最低値以上 | 後続LCUで修正済みの可能性が高い |
| ビルドが最低値未満 | 未修正 |
| 更新履歴は成功だが、再起動保留中 | 再起動後に再確認が必要 |
| Server 2012／2012 R2でKBが提示されない | ESU、SSU、Azure Arc接続要件を確認 |
資産管理ツールで「KB5120233がない」などの条件だけを使うと、後続LCUを適用した端末を誤って未対応と判定することがあります。最終的にはOSビルドも確認するのが確実です。
CVE-2026-49179の対応優先順位
悪用可能性が「低い」と評価されている場合でも、一律に後回しにするのは適切ではありません。優先順位は、次の4要素で判断します。
| 判断要素 | 確認内容 |
|---|---|
| 資産の重要度 | ドメインコントローラー、管理端末、認証基盤か |
| 通信可能範囲 | 信頼できないサーバーや外部ネットワークへ接続できるか |
| 修正状況 | 最低ビルド未満か、後続LCUまで適用済みか |
| 代替対策 | RPC通信制限、ネットワーク分離、出口制御があるか |
実務上は、次の順序が分かりやすいでしょう。
最優先で更新する端末
- ドメインコントローラー
- Active Directory管理者が使用する端末
- 外部または信頼できないネットワークへ接続できる管理サーバー
- 更新が長期間滞っているWindows Server
- ESUで稼働を続けているWindows Server 2012／2012 R2
続いて更新する端末
- Active Directoryドメインに参加しているメンバーサーバー
- メッセージングクライアントやアドレス帳機能を利用するWindows端末
- 一般利用者のWindows 10／11端末
- 検証環境、待機系、災害対策サイトのサーバー
待機系や災害対策用のドメインコントローラーは、日常的に使われていないため更新対象から漏れやすい部分です。稼働頻度ではなく、フォレスト内に存在するすべてのドメインコントローラーを対象にしてください。
Active Directoryへ安全に8月KBを適用する手順
対象ドメインコントローラーを一覧化する
Active Directory PowerShellモジュールを利用できる管理端末で、ドメインコントローラーのOSとサイトを確認します。
Get-ADDomainController -Filter * |
Select-Object HostName,
Site,
OperatingSystem,
OperatingSystemVersion複数ドメインがある場合は、各ドメインのドメインコントローラーを漏れなく確認します。次の情報を一覧にすると、更新順序を決めやすくなります。
- ホスト名
- ドメイン名
- ADサイト
- Windows Serverのバージョン
- 現在のOSビルド
- FSMOの保有状況
- バックアップの最終成功日時
- 更新予定日時
- 更新後の確認結果
ADレプリケーションと正常性を事前確認する
更新前からレプリケーション障害があると、更新後に発生した問題との切り分けが難しくなります。少なくとも次のコマンドを実行し、結果を保存してください。
repadmin /replsummary
dcdiag /e /qrepadmin /replsummaryでは、失敗回数や最大遅延時間を確認します。dcdiag /e /qでは、重大なエラーが表示されないことを確認します。
エラーがある場合は、更新を強行するのではなく、DNS、時刻同期、サイト間通信、レプリケーション接続を先に修復します。
バックアップと復旧手順を確認する
ドメインコントローラーでは、仮想マシンのスナップショットだけを復旧手段にしないでください。Active Directoryに対応したバックアップまたはシステム状態バックアップを用意し、復元方法まで確認します。
確認すべき項目は次のとおりです。
- 最新バックアップが正常終了している
- バックアップデータへアクセスできる
- Directory Services Restore Modeの認証情報を確認できる
- 別の正常なドメインコントローラーが稼働している
- 障害時の担当者と連絡方法が決まっている
1台ずつ段階的に適用する
複数のドメインコントローラーへ同時に更新を配信しないようにします。
可能であれば、最初はFSMOなどの重要な役割が集中していないドメインコントローラーを選びます。OSのバージョンやADサイトが複数ある場合は、それぞれの組み合わせから検証用の1台を選ぶと問題を早期に発見できます。
基本的な流れは次のとおりです。
- SSUなどの前提更新を確認する
- 2026年8月LCUまたは後続LCUをインストールする
- サーバーを再起動する
- OSビルドを確認する
- ADレプリケーションと認証を確認する
- 問題がなければ次のドメインコントローラーへ進む
少なくとも1台の正常なドメインコントローラーを利用可能な状態に保ちながら作業してください。
KB番号とOSビルドを確認する
現在のOS情報は、次のPowerShellで確認できます。
Get-CimInstance Win32_OperatingSystem |
Select-Object CSName,
Caption,
Version,
BuildNumberWindows Server 2016以降では、リビジョン番号も確認します。
Get-ItemProperty `
'HKLM:\SOFTWARE\Microsoft\Windows NT\CurrentVersion' |
Select-Object ProductName,
DisplayVersion,
CurrentBuild,
UBR例えば、Windows Server 2022でCurrentBuildが20348、UBRが5499以上であれば、CVE-2026-49179の修正基準を満たしています。
2026年8月の対象KBを確認する場合は、次のコマンドを利用できます。
Get-HotFix -Id `
KB5120233,
KB5120242,
KB5120238,
KB5120418,
KB5120385,
KB5120386 `
-ErrorAction SilentlyContinueただし、このコマンドで8月KBが表示されなくても、後続の累積更新が適用されていれば修正済みです。KB番号だけで未対応と判断せず、必ずOSビルドと最新LCUの適用状況を併せて確認してください。
更新後にADの動作を検証する
再起動後は、更新プログラムが「インストール成功」と表示されるだけで完了にしないことが重要です。
次の項目を確認します。
repadmin /replsummaryでレプリケーションエラーがないdcdiag /e /qで重大なエラーがない- ドメインユーザーが正常にサインインできる
- Kerberos認証を利用する業務システムへ接続できる
- DNSの名前解決が正常に行われる
- グループポリシーを取得できる
- LDAP連携システムが正常に動作する
- アドレス帳やメッセージング関連機能が利用できる
- Directory Service、DNS Server、Systemログに新しい重大エラーがない
クライアント側では、次のコマンドでグループポリシーの適用結果を確認できます。
gpresult /r認証確認には、更新済みクライアントからファイルサーバーや業務システムへ接続し、通常の業務動作をテストする方法が有効です。
回避策がない場合の暫定対策
Microsoftから個別の回避策は提示されていません。そのため、次の対策は更新までのリスクを下げるための暫定措置であり、パッチの代わりにはなりません。(Microsoft Security Response Center)
不要なRPC通信を制限する
ドメインコントローラーや管理端末から、信頼できないネットワークへの不要なRPC通信を制限します。
ただし、RPCはActive Directory管理、バックアップ、監視、リモート管理、メッセージングなど複数の機能で利用されます。依存関係を確認せずにTCP 135やRPCの動的通信を一律に遮断すると、正常な管理処理まで停止する可能性があります。
通信制限を行う場合は、次の順序で進めます。
- 現在のRPC通信先をログで把握する
- 業務上必要な通信先を整理する
- 検証環境または限定的な端末で制限する
- 認証、監視、バックアップへの影響を確認する
- 段階的に本番環境へ展開する
外向き通信を監視する
CVE-2026-49179では、クライアントが悪意あるサーバーへ接続する攻撃シナリオを考慮する必要があります。受信通信だけでなく、ドメインコントローラー、管理端末、サーバーから外部や未管理ネットワークへのRPC接続も監視してください。
確認対象には次のような通信があります。
- ドメインコントローラーから未知のIPアドレスへのRPC通信
- 管理端末から通常利用しないサーバーへの接続
- DNSで新規または評価の低いドメインを名前解決した直後のRPC通信
- 業務時間外に開始された外向き通信
- 通常の管理経路と異なるセグメント間のRPC通信
NSPIやRPCを独自判断で無効化しない
Microsoftは、NSPIを無効化する設定やレジストリ変更を回避策として提示していません。未検証のレジストリ変更、RPCサービスの停止、ポートの全面遮断は、Active Directoryやメッセージング機能に障害を起こす可能性があります。
公式に案内されていない変更を本番環境へ適用するよりも、更新プログラムを早期に検証して展開する方が確実です。
よくある質問
ドメインコントローラーだけ更新すればよいですか
ドメインコントローラーだけでは不十分です。
Microsoftの影響製品一覧にはWindows Serverだけでなく、Windows 10とWindows 11も含まれています。ドメインコントローラーを優先しつつ、影響を受けるメンバーサーバー、管理端末、一般クライアントにも累積更新を展開してください。(GitHub)
2026年8月のKBを必ず適用する必要がありますか
後続の累積更新プログラムを適用している場合、8月KBを個別に適用する必要はありません。
例えばWindows Server 2022では、OSビルドが20348.5499以上であれば修正基準を満たします。9月以降のLCUによってさらに新しいビルドになっている場合も、CVE-2026-49179は修正済みです。
「Exploitation Unlikely」なら更新を後回しにできますか
緊急遮断が常に必要な状況ではありませんが、長期間の先送りは避けるべきです。
攻撃の自動化可能性や実悪用状況は低く評価されている一方、CVSSは8.8で、技術的な影響は大きいとされています。Active Directoryや管理端末については、通常の月例更新より優先度を下げず、検証後の早い保守枠で適用するのが妥当です。(GitHub)
更新後に再起動は必要ですか
Windows Serverの累積更新は、再起動を前提に計画してください。
インストール履歴が成功になっていても、再起動前は新しいビルドや修正済みファイルが完全に有効になっていない場合があります。更新後に再起動し、OSビルドとActive Directoryの正常性を再確認します。
Windows Server 2012／2012 R2で更新が表示されません
次の項目を確認してください。
- ESUを利用できる状態になっているか
- Windows Server 2012ではSSU KB5106414を適用しているか
- Windows Server 2012 R2ではSSU KB5106412を適用しているか
- WSUSでSSUと月例ロールアップの両方を承認しているか
- Azure Arc経由の場合、ESUに必要な接続先へ通信できるか
Server 2012／2012 R2のESUは2026年10月13日に終了します。今回の更新を適用できても、その後のセキュリティ更新を継続できる期間は限られているため、移行を同時に進めてください。(マイクロソフトサポート)
CVE-2026-49179対応で今すぐ確認すべきこと
CVE-2026-49179への対応では、脆弱性の深刻度だけでなく、攻撃条件を正しく理解することが重要です。
現行の公式情報では、CVE-2026-49179は境界外書き込みではなく、CWE-77のコマンドインジェクションです。また、ドメイン認証済み攻撃者を前提とするのではなく、特権不要かつ利用者の関与が必要な攻撃として評価されています。
まず、すべてのドメインコントローラーと管理端末のOSビルドを確認してください。最低ビルド未満の端末があれば、必要なSSUを準備し、2026年8月の累積更新または後続LCUを1台ずつ段階的に適用します。
更新後は、KBのインストール履歴だけで終わらせず、OSビルド、ADレプリケーション、DNS、認証、グループポリシー、LDAP連携まで確認します。個別の回避策はないため、通信制限を補助的に使いながら、最終的には影響を受けるサーバーとクライアントの更新を完了させることが必要です。
コメント