CVE-2026-65777とは？Active Directoryの弱鍵受理を修正する8月KBと互換性対策

CVE-2026-65777は、Windows Active Directoryにおける暗号鍵の強度検証を回避し、本来は拒否されるべき弱い鍵を受理させられるセキュリティ機能回避の脆弱性です。

管理者が取るべき対応は、Windows Server 2022／2025と対象のWindows 11に、2026年8月の累積更新または後継更新を適用することです。ただし、更新後は従来利用できていた古い暗号鍵が拒否され、証明書認証やデバイス登録などに互換性問題が発生する可能性があります。単にログインできるか確認するだけでなく、鍵の新規登録、更新、再発行、ローテーションまで試験することが重要です。

2026年8月11日の公開時点では、既知の悪用や脆弱性情報の事前公開は確認されておらず、悪用可能性も低いと評価されています。一方、Microsoftから更新を使わずに回避する方法は示されていません。Active Directoryは組織全体の認証と信頼関係を支えるため、緊急ゼロデイと同じ対応は不要でも、通常の月例更新より後回しにするべき脆弱性ではありません。(Microsoft Security Response Center)

CVE-2026-65777とは

CVE-2026-65777は、Windows Active Directoryが暗号鍵を検証する際の強度確認が不十分で、認証済みの攻撃者にセキュリティ機能を回避される可能性がある脆弱性です。

公開情報を整理すると、次のようになります。

項目	内容
CVE番号	CVE-2026-65777
対象	Windows Active Directory
脆弱性の種類	セキュリティ機能の回避
原因	暗号強度の不十分な検証
CWE	CWE-326：不十分な暗号強度
CVSS 3.1	5.3
Microsoftの深刻度	重要
攻撃経路	ネットワーク
必要な権限	低い権限が必要
攻撃の複雑さ	高い
ユーザー操作	不要
主な影響	データやディレクトリ情報の完全性
公開日	2026年8月11日

CVSSベクトルでは、攻撃元区分がネットワーク、攻撃条件の複雑さが高い、低い権限が必要、ユーザー操作は不要と評価されています。機密性と可用性への直接的な影響は示されていない一方、完全性への影響は高いとされています。(OpenCVE)

弱いパスワードを受理する脆弱性ではない

ここでいう「弱い鍵」は、短いパスワードや単純なパスワードを意味するものではありません。

問題となるのは、公開鍵暗号などで利用される暗号鍵の強度です。そのため、次の対応だけではCVE-2026-65777の修正にはなりません。

パスワードの最小文字数を増やす
パスワードの複雑性ポリシーを変更する
アカウントロックアウトの回数を厳しくする
管理者パスワードを変更する

これらは別のセキュリティ対策としては重要ですが、本脆弱性への正式な対策はWindowsのセキュリティ更新です。

認証なしで直ちにドメインを乗っ取られる脆弱性ではない

CVE-2026-65777の悪用には、何らかの認証済みアカウントが必要です。また、攻撃条件の複雑さも「高い」と評価されています。

したがって、インターネット上の第三者が認証なしでドメインコントローラーを即座に乗っ取れるタイプの脆弱性ではありません。

ただし、「低い権限が必要」という条件は、一般ユーザーの認証情報が侵害された後の攻撃経路として利用される可能性があることも意味します。Active Directoryでは一般ユーザーのアカウントでもディレクトリへアクセスできるため、管理者権限が不要だから安全とは判断できません。

どの鍵やプロトコルが対象かは限定されていない

Microsoftの公開情報だけでは、次の技術的な詳細までは明らかにされていません。

対象となる暗号アルゴリズム
拒否される鍵長の具体的なしきい値
問題となるActive Directory属性
悪用に使用される認証プロトコル
鍵の登録時と使用時のどちらで検証が行われるか

そのため、「RSA 1024ビットだけ調べればよい」「スマートカードを使っていないため影響しない」といった限定的な判断は避けるべきです。正確な対象範囲が公開されるまでは、Active Directoryと連携して公開鍵や証明書を扱う仕組みを広めに確認する必要があります。(Microsoft Security Response Center)

影響を受けるWindowsと修正KB

CVE-2026-65777の対象として公表されているWindowsと、2026年8月の修正更新は次のとおりです。

対象製品	2026年8月の修正KB	修正後のOSビルド
Windows Server 2022	KB5120242	20348.5499
Windows Server 2025	KB5120233	26100.33296
Windows Server 2025 Server Core	KB5120233	26100.33296
Windows 11 バージョン23H2	KB5120240	22631.7517
Windows 11 バージョン24H2	KB5121003	26100.9168
Windows 11 バージョン25H2	KB5121003	26200.9168
Windows 11 バージョン26H1	KB5121000	28000.2704

対象にはx64版のほか、該当するWindows 11のArm64版も含まれます。更新状況はKB番号だけでなく、OSのリリースと完全なビルド番号を組み合わせて確認してください。(マイクロソフトサポート)

2026年8月より後の累積更新を適用済みであれば、通常は過去のセキュリティ修正も含まれます。その場合、8月のKBが更新履歴に直接表示されていなくても、直ちに未修正とは限りません。後継の累積更新と現在のOSビルドを確認します。

Hotpatch環境は標準のビルド番号と分けて確認する

Windows ServerのHotpatchを使用している環境では、標準の累積更新とはKB番号とビルド番号が異なります。

2026年8月のHotpatchとして案内されている主な更新は次のとおりです。

Hotpatch対象	KB	OSビルド
Windows Server 2025の対象Hotpatch環境	KB5120228	26100.33222
Windows Server 2022 Datacenter: Azure Edition	KB5120229	20348.5440

Hotpatch環境を標準累積更新のビルド番号だけで判定すると、更新済みのサーバーを未修正と誤判定する可能性があります。Azure Update ManagerやWindows Updateの更新履歴などで、サーバーのサービスチャネルと適用KBを併せて確認してください。(マイクロソフトサポート)

Windows 11が対象でも、Windows 11がドメインコントローラーになるわけではない

対象一覧にWindows 11が含まれていることから、「クライアントPCがActive Directoryサーバーとして攻撃されるのか」と疑問を持つ管理者もいるでしょう。

通常のWindows 11は、AD DSのドメインコントローラーとして動作しません。しかし、Microsoftの影響対象には複数のWindows 11リリースが明記されています。ドメインコントローラーだけを更新して完了とせず、該当するWindows 11にも月例更新を配布してください。

特に、次のような端末は優先的な確認対象です。

Active Directory管理ツールを使用する管理端末
特権アクセス専用ワークステーション
証明書認証を利用する端末
デバイス登録や公開鍵認証を利用する端末
Active Directory連携アプリケーションを実行する端末

CVSS 5.3でもActive Directoryでは後回しにしない

CVSS 5.3は一般的には「中」の範囲です。また、公開時点では既知の悪用も確認されていません。

それでも、Active Directory環境では次の理由から優先度を下げすぎないことが重要です。

Active Directoryは認証、認可、端末管理の信頼基盤である
攻撃が成功した場合の完全性への影響が高い
認証済みの攻撃者がネットワーク経由で悪用できる
更新以外の正式な回避策が示されていない
侵害された一般ユーザーアカウントが攻撃の起点になる可能性がある

対応方針としては、緊急停止を伴うゼロデイ対応ではなく、2026年8月の通常のセキュリティ更新期間内で、ドメインコントローラーを優先して適用するのが現実的です。

既に不審なアカウント利用やディレクトリ変更が確認されている場合は、更新の優先度をさらに引き上げます。その際はパッチ適用だけで終わらせず、認証情報の侵害調査やActive Directoryの監査も必要です。

更新後に注意すべき弱鍵拒否の互換性問題

CVE-2026-65777の修正後は、これまでActive Directoryが受理していた弱い暗号鍵が拒否される可能性があります。

これは更新プログラムの不具合ではなく、脆弱性を塞ぐための意図した動作です。古い製品や独自システムが安全性の低い鍵を生成している場合、更新によって初めて問題が表面化することがあります。

確認対象に含めたいシステム

Microsoftは対象となる具体的な鍵やプロトコルを限定していません。そのため、次の表は「影響が確認済みの製品一覧」ではなく、鍵検証の厳格化による影響を確認するための実務的な候補です。

確認対象	更新後に試す操作
スマートカードや証明書ベースのサインイン	既存カードでのサインイン、新規発行、更新、失効後の再発行
Windows Hello for Business	既存端末の認証、新規セットアップ、PINリセット、鍵の再登録
AD CSの証明書サービス	新規申請、自動登録、自動更新、手動更新、失効と再発行
VPNや無線LANの証明書認証	既存接続、再認証、証明書更新後の接続
古いネットワーク機器やアプライアンス	再起動後の接続、証明書交換、鍵の再生成
Active Directory連携ミドルウェア	サービス再起動、アカウント再登録、設定変更
独自のLDAP連携アプリケーション	鍵情報の新規登録、変更、削除、再登録
古い暗号ライブラリを使う業務アプリ	新規鍵生成、署名、認証、鍵ローテーション

「今まで使えていた」という理由だけで安全とは判断できません。古い鍵がキャッシュされたまま使われている場合や、既存セッションが維持されている場合、更新直後は正常に見えても、後日の再認証や鍵更新で失敗する可能性があります。

ログイン試験だけでは不十分

更新後の確認を、既存ユーザーによる通常ログインだけで終えるのは不十分です。

少なくとも、次のタイミングを含めて試験します。

新しいユーザーや端末の登録
証明書の新規発行
証明書の更新と自動更新
鍵のローテーション
PINや認証情報のリセット
サービスや端末の再起動後
キャッシュを使用しない再認証
失効後の再発行と再登録

特に、証明書の有効期限が数か月先の場合、更新直後には問題が現れず、証明書の更新日に突然利用できなくなることがあります。テスト環境では、有効期限を待たずに更新や再発行を実行してください。

更新済みと未更新のDCが混在すると切り分けにくい

複数のドメインコントローラーのうち、一部だけに更新を適用した状態では、要求を処理したDCによって結果が異なる可能性があります。

例えば、同じ操作でも次のような現象が起こり得ます。

ある端末では成功し、別の端末では失敗する
一度目は成功し、再試行すると失敗する
拠点によって結果が異なる
特定のDCを停止すると症状が変わる

この状態を長期間続けると、アプリケーション障害なのか、DC固有の問題なのか、弱鍵拒否の影響なのかを判断しにくくなります。

代表DCでの試験が完了したら、障害監視を行いながら残りの対象DCにも速やかに展開してください。

CVE-2026-65777の更新手順

安全に展開するには、更新の適用と互換性確認を一つの作業として計画します。

段階	実施内容	完了の判断基準
対象の棚卸し	DC、RODC、対象Windows 11、Hotpatch環境を一覧化する	OSリリース、ビルド、KB、サービスチャネルが確認できる
更新前確認	ADの複製、DNS、時刻同期、イベントログを確認する	更新前から存在する障害を把握できている
依存関係の確認	証明書認証、公開鍵登録、古い機器、独自アプリを洗い出す	試験担当者と試験項目が決まっている
代表DCへの適用	利用形態を代表する1台へ先行適用する	再起動後にAD関連サービスと複製が正常
ライフサイクル試験	新規登録、更新、再発行、鍵交換まで確認する	既存利用と新規操作の両方が成功する
全体展開	残りの対象DCとWindows 11へ配布する	対象機器が修正済みビルドまたは後継更新になる
事後監視	認証失敗、登録失敗、証明書エラーを監視する	通常運用と更新処理に異常がない

OSビルドを確認する

ローカルコンピューターの完全なOSビルドは、PowerShellで確認できます。

$os = Get-CimInstance -ClassName Win32_OperatingSystem
$cv = Get-ItemProperty `
    -Path 'HKLM:\SOFTWARE\Microsoft\Windows NT\CurrentVersion'

[pscustomobject]@{
    OS             = $os.Caption
    DisplayVersion = $cv.DisplayVersion
    Build          = "$($cv.CurrentBuild).$($cv.UBR)"
}

例えば、Windows Server 2022で結果が20348.5499以上であれば、同じリリース内では2026年8月の修正済みビルド以上です。

ただし、Hotpatch環境では標準のビルド番号をそのまま基準にしないでください。管理サービス上の適用KBとサービスチャネルも確認します。

更新前後にActive Directoryの状態を比較する

更新前に、Active Directoryの複製状態と診断結果を保存しておくと、更新後の障害切り分けが容易になります。

repadmin /replsummary
dcdiag /e /q

repadmin /replsummaryでは、ドメインコントローラー間の複製失敗を確認します。

dcdiag /e /qは、フォレスト内のDCを対象に診断し、主に問題がある項目を表示します。更新前から存在していたDNSや複製エラーを記録しないまま作業すると、既存障害を更新プログラムの影響と誤認することがあります。

あわせて、次の項目を確認します。

すべてのDCがActive Directoryサイトに正しく配置されているか
DNS名前解決が正常か
時刻同期に大きなずれがないか
SYSVOLとNETLOGON共有が利用できるか
システム状態を復旧できるバックアップがあるか
再起動後も管理接続できるか
拠点内に利用可能な別のDCがあるか

代表DCでは鍵の登録先まで指定して試験する

複数のDCがある環境では、通常の動作確認だけでは要求をどのDCが処理したか分からない場合があります。

可能な範囲で、テスト対象が更新済みDCを利用したことを確認してください。アプリケーションログ、認証ログ、ネットワーク接続、DNS応答などを使い、実際に処理したDCを記録します。

試験結果には、少なくとも次の情報を残します。

実施日時
利用者またはサービス
対象端末
実行した操作
処理したDC
成功または失敗
エラーコード
関連するイベントログ
使用した証明書や鍵の識別情報

更新後に障害が発生した場合の切り分け

更新後に認証や鍵登録が失敗しても、直ちに更新プログラムを削除するべきではありません。まず、失敗する条件を絞り込みます。

症状	優先して確認すること
特定のDCを使用したときだけ失敗する	更新状態、複製状態、そのDC固有のイベントログ
既存認証は成功するが新規登録に失敗する	新しく生成される鍵のアルゴリズムや鍵長
証明書更新時だけ失敗する	証明書テンプレート、暗号プロバイダー、更新時の鍵再利用設定
古い端末や機器だけ失敗する	ファームウェア、暗号ライブラリ、鍵生成機能
サービス再起動後から失敗する	キャッシュされた認証情報と再認証処理
拠点や時間帯によって成否が変わる	更新済み・未更新DCの混在、DNS、サイト構成
多数のシステムが同時に失敗する	共通テンプレート、共通ライブラリ、AD複製、DNS、時刻同期

正常な鍵と失敗する鍵を比較する

正常に処理できる端末と、更新後に失敗する端末がある場合は、次の情報を比較します。

公開鍵アルゴリズム
鍵長
署名アルゴリズム
暗号プロバイダー
証明書テンプレート
証明書の発行元
端末や機器のファームウェア
アプリケーションと暗号ライブラリのバージョン
鍵を新規生成した日時
既存鍵を再利用しているか

弱い鍵が原因と判断できた場合は、製品ベンダーと組織の暗号ポリシーが推奨する設定で鍵を再生成し、証明書や登録情報を再発行します。

Active Directoryの属性を直接書き換えない

障害を早く解消しようとして、Active Directory内の鍵情報や証明書関連属性を手作業で編集するのは危険です。

整合性が崩れると、問題が一時的に解消したように見えても、次の更新や複製のタイミングで再発する可能性があります。

原則として、次の順序で対処します。

鍵を生成する製品やアプリケーションを更新する
ベンダー推奨の暗号設定へ変更する
安全な強度の鍵を新規生成する
正規の登録、更新、再発行手順を実行する
古い鍵や証明書を失効させる
すべてのDCで動作を再確認する

累積更新のアンインストールは最後の手段

Microsoftから、CVE-2026-65777だけを無効化するレジストリ設定やグループポリシーなどの回避策は提示されていません。(Microsoft Security Response Center)

累積更新を削除すると、本脆弱性だけでなく、同じ更新に含まれるほかのセキュリティ修正も失われます。業務継続に重大な影響があり、一時的な復旧がどうしても必要な場合を除き、弱い鍵を生成する製品や設定を修正する方法を優先してください。

更新のアンインストールを検討する場合は、次の情報を保存したうえで、Microsoftまたは製品ベンダーへ問い合わせます。

問題の発生日時
適用したKBとOSビルド
影響を受ける端末やアプリケーション
成功する操作と失敗する操作の違い
エラーコード
関連イベントログ
処理を担当したDC
証明書や公開鍵の情報
更新を外した場合の再現結果

よくある疑問

既存の弱い鍵は更新直後にすべて使えなくなるのか

公開情報だけでは、既存鍵のすべてが更新直後に拒否されるのか、登録や更新など特定の処理時に拒否されるのかは判断できません。

そのため、現在の利用確認だけでなく、新規登録、再登録、更新、再発行、鍵交換まで試験する必要があります。

8月のKBが見つからなければ未修正なのか

必ずしも未修正ではありません。

後継の累積更新を適用している場合、2026年8月の修正が含まれている可能性があります。OSのリリース、完全なビルド番号、適用済みの後継更新を確認してください。

また、Hotpatch環境では標準累積更新とKB番号やビルドが異なります。

Windows 11よりドメインコントローラーだけを優先すればよいか

初動では、Active Directoryを実際に提供するドメインコントローラーを優先するのが合理的です。

ただし、対象一覧にはWindows 11も含まれます。DCへの展開後は、該当するWindows 11にも累積更新を配布し、未修正端末を残さないようにしてください。

悪用事例がないなら次月まで待ってよいか

公開時点で悪用事例がないことは、今後も悪用されないことを保証しません。セキュリティ更新の公開後は、修正内容の解析によって攻撃方法が推測される可能性もあります。

互換性試験のために短期間の段階展開を行うことは合理的ですが、調査を理由に更新を無期限で延期するべきではありません。

まとめ：8月更新と鍵ライフサイクル試験をセットで実施する

CVE-2026-65777は、Windows Active Directoryの鍵強度検証を回避し、本来拒否されるべき弱い暗号鍵を受理させられる脆弱性です。

公開時点では既知の悪用はなく、攻撃条件の複雑さも高いものの、Active Directoryの完全性に影響するため軽視できません。Microsoftから別の回避策も示されていないため、2026年8月の累積更新または後継更新を適用することが基本対策です。

管理者は、次の順序で対応してください。

Windows Server 2022／2025と対象Windows 11のリリース、ビルド、サービスチャネルを確認する
ADの複製やDNSが正常な状態で、代表DCへ更新を先行適用する
通常ログインだけでなく、鍵の新規登録、更新、再発行、ローテーションまで試験する
問題がなければ残りのDCとWindows 11へ速やかに展開する
弱い鍵が拒否された場合は、受理条件を緩めず、安全な鍵へ再生成・再登録する

今回の更新で重要なのは、パッチを入れることだけではありません。これまで見逃されていた古い暗号鍵への依存を把握し、安全な鍵へ置き換えるところまでが対策です。

この記事を書いた人

佐藤健司

実務の現場で詰まりがちなポイントを地図にするITブログ「IT trip」を運営。Windows／Office（Teams・Excel）からSQL、サーバ運用、ガジェットまで、再現性のある手順と“なぜそうなるか”を丁寧に解説します。読んだらすぐ試せること、そして迷った人の次の一歩が見えることを大切にしています。

CVE-2026-65777とは？Active Directoryの弱鍵受理を修正する8月KBと互換性対策