CVE-2026-42904は、Windows TCP/IPに存在するヒープベースのバッファーオーバーフロー脆弱性です。隣接ネットワーク上の未認証攻撃者が、ユーザー操作なしで権限昇格を試みる可能性があります。CVSS v3.1の基本値は9.6です。
対象のWindows 10、Windows 11、Windows Serverでは、2026年6月9日公開の累積更新プログラム、またはそれ以降の更新を適用し、修正済みビルド以上になっているか確認することが基本対策です。新しいTCP/IP機能を有効にしたり、特定のネットワーク設定へ変更したりする更新ではありません。(GitHub)
特に注意したいのは、インターネット公開サーバーだけが対象ではない点です。同じLANやWi-Fi、VPN内から到達できるWindowsも確認する必要があります。
CVE-2026-42904で最初に確認すべきこと
CVE-2026-42904の概要は次のとおりです。
| 項目 | 内容 |
|---|---|
| 公開日 | 2026年6月9日 |
| 対象コンポーネント | Windows TCP/IP |
| 脆弱性の種類 | ヒープベースのバッファーオーバーフロー |
| 想定される影響 | 権限昇格、機密性・完全性・可用性への重大な影響 |
| 攻撃元 | 隣接ネットワーク |
| 必要な権限 | 不要 |
| ユーザー操作 | 不要 |
| 攻撃条件の複雑さ | 低い |
| CVSS v3.1 | 9.6 |
| 基本対策 | 2026年6月の累積更新、またはそれ以降の更新を適用 |
公開情報では、攻撃に利用される具体的なパケット形式やポート番号までは示されていません。そのため、推測で特定のポートやIPv4・IPv6を無効化するのではなく、OSの累積更新を適用することが確実な対策です。
「隣接ネットワークから攻撃可能」の意味
CVE-2026-42904の攻撃元は、CVSS上で「Adjacent Network」と評価されています。
隣接ネットワークには、同じ物理ネットワークやローカルIPサブネットだけでなく、一定の管理範囲にあるVPNなども含まれる場合があります。一般的には、次のような環境を想定して確認します。
- 同じ社内LANやVLANに接続された端末
- 同じWi-Fiに接続されたPCや持ち込み端末
- VPN経由で社内サーバーへ直接到達できる端末
- 支店や店舗内で、Windows端末とIoT機器が同じセグメントにある環境
- 管理用サーバーと一般ユーザー端末が十分に分離されていない環境
したがって、「外部から直接アクセスできないサーバーだから安全」とは限りません。侵害されたPCや管理されていない端末が同一ネットワークに存在すれば、そこからWindowsシステムを狙われる可能性があります。(FIRST)
一方、一般的なインターネット上の任意の場所から、直ちに攻撃できることを意味するわけではありません。対策の優先順位は、インターネット公開の有無だけでなく、信頼できない端末から対象Windowsへネットワーク到達できるかで判断してください。
影響を受けるWindowsと修正済みビルド
Microsoftが公開した情報に基づく対象製品と修正済みビルドは、次のとおりです。
| 対象OS | 脆弱なビルド | 2026年6月9日の更新 | 修正済みビルド |
|---|---|---|---|
| Windows 10 Version 21H2 | 19044.7417未満 | KB5094127 | 19044.7417以上 |
| Windows 10 Version 22H2 | 19045.7417未満 | KB5094127 | 19045.7417以上 |
| Windows 11 Version 23H2 | 22631.7219未満 | KB5093998 | 22631.7219以上 |
| Windows 11 Version 24H2 | 26100.8655未満 | KB5094126 | 26100.8655以上 |
| Windows 11 Version 25H2 | 26200.8655未満 | KB5094126 | 26200.8655以上 |
| Windows 11 Version 26H1 | 28000.2269未満 | KB5095051 | 28000.2269以上 |
| Windows Server 2022 | 20348.5256未満 | KB5094128 | 20348.5256以上 |
| Windows Server 2025 | 26100.32995未満 | KB5094125 | 26100.32995以上 |
| Windows Server 2025 Server Core | 26100.32995未満 | KB5094125 | 26100.32995以上 |
(NVD)
2026年6月9日より後の累積更新プログラムを適用している場合、上記とは異なるKB番号でも修正が含まれます。Windowsの品質更新プログラムは累積型であるため、KB番号の完全一致より、OSビルドが基準以上かどうかを優先して確認してください。
なお、表にない古いWindowsやサポート終了済み製品については、「対象一覧にないから安全」と判断できません。更新プログラムを受け取れないOSは、サポート中のWindowsへの移行を検討する必要があります。
PCやサーバーが対象か確認する手順
winverで確認する
一般的なWindows PCでは、次の手順でバージョンとビルドを確認できます。
WindowsキーとRキーを押す- 「ファイル名を指定して実行」に
winverと入力する - 表示されたバージョンとOSビルドを確認する
- 前述の表にある修正済みビルドと比較する
例えば、Windows 11 Version 24H2で「OSビルド 26100.8500」と表示された場合、修正済みの26100.8655を下回っています。Windows Updateを実行し、再起動後にもう一度確認してください。
PowerShellで確認する
複数台の管理やWindows Server Coreでは、PowerShellを利用すると効率的です。
$os = Get-CimInstance Win32_OperatingSystem
$cv = Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Windows NT\CurrentVersion'
[pscustomobject]@{
Caption = $os.Caption
DisplayVersion = $cv.DisplayVersion
OSBuild = '{0}.{1}' -f $os.BuildNumber, $cv.UBR
}実行結果が次のように表示されます。
Caption DisplayVersion OSBuild
------- -------------- -------
Microsoft Windows Server 2022 21H2 20348.5256この例では、Windows Server 2022の修正済みビルドである20348.5256に到達しています。
Get-HotFixでKB番号を調べる方法もありますが、後続の累積更新によって元のKBが置き換えられることがあります。脆弱性対応の判定には、KBの有無だけでなくOSビルドも使用してください。
Windows Updateを適用する手順
一般ユーザーは、次の手順で更新できます。
- 「設定」を開く
- 「Windows Update」を選択する
- 「更新プログラムのチェック」を実行する
- 利用可能な累積更新プログラムをインストールする
- Windowsを再起動する
winverで修正済みビルド以上になったことを確認する
更新のダウンロードだけでは対策が完了していない場合があります。再起動を求められている端末は、再起動後のビルドまで確認してください。
企業では、Windows Update for Business、Microsoft Intune、WSUS、Configuration Managerなど、現在利用している更新管理方式で配布します。CVE-2026-42904専用の設定を追加する必要はなく、対象OS向けの累積更新プログラムを通常の手順で展開します。
管理者が優先して更新すべきシステム
全対象端末を更新する必要がありますが、展開順序を決める場合は、隣接ネットワークからの到達性を基準にします。
| 優先度 | 環境の例 | 判断理由 |
|---|---|---|
| 最優先 | 一般端末とサーバーが同じVLANにある | 侵害端末から重要サーバーへ到達しやすい |
| 最優先 | BYODや来訪者端末と業務PCの分離が不十分 | 信頼できない端末が隣接する可能性がある |
| 最優先 | VPN接続端末から管理サーバーへ広く到達できる | 社外端末の侵害が内部へ波及する可能性がある |
| 高 | 拠点、店舗、工場などのフラットなネットワーク | 端末数が多く、更新状況にばらつきが生じやすい |
| 高 | 認証、ファイル共有、仮想化管理などの重要サーバー | 侵害時の業務影響が大きい |
| 通常 | 厳密に隔離され、接続元が限定されたシステム | 攻撃経路は限定されるが、更新は必要 |
実際の展開では、次の順序で進めると見落としを減らせます。
- OS、エディション、バージョン、ビルドを一覧化する
- 各端末が属するVLANやVPNからの到達性を確認する
- 代表的なPCとサーバーへ先行適用する
- 業務アプリ、Office連携、ネットワーク通信をテストする
- 対象全体へ配布し、再起動を完了させる
- 配布後のOSビルドと更新失敗端末を集計する
一部の2026年6月向けWindows 11およびWindows Server 2025の更新情報には、OLE Automationを利用するサードパーティー製アプリからOfficeアプリを開けない場合がある既知の問題が後日追記されています。Office連携を行う基幹システムがある組織では、代表端末での動作確認を挟んでから全社展開してください。(マイクロソフトサポート)
更新をすぐ適用できない場合の一時対策
業務上の理由で更新を直ちに適用できない場合は、隣接ネットワークからの到達範囲を狭めます。
- 業務サーバーと一般ユーザー端末をVLANやACLで分離する
- 来訪者用Wi-Fiと社内ネットワークを分離する
- 無線LANのクライアント間通信を必要に応じて制限する
- VPN利用者が到達できるサーバーとポートを最小限にする
- 管理用ネットワークへの接続元を管理端末に限定する
- 未管理端末やサポート切れ端末を社内LANから隔離する
- Windowsの異常終了、予期しない再起動、権限変更を監視する
これらは攻撃機会を減らすための補完策です。OS内部の脆弱性そのものは修正されないため、累積更新プログラムの代わりにはなりません。
また、公開情報から攻撃対象のポートを推測し、SMB、RDP、IPv6などを一律に無効化する対応は避けてください。業務停止を招く一方で、CVE-2026-42904の攻撃経路を確実に遮断できるとは限りません。
料金・移行・サポート期限の確認ポイント
CVE-2026-42904の修正プログラム自体に、個別の購入料金が設定されているわけではありません。サポート中のWindows 11やWindows Serverでは、通常の月例累積更新として適用できます。
注意が必要なのは、すでに通常サポートが終了しているWindowsです。
| 利用環境 | 料金・移行の考え方 | 主な期限 |
|---|---|---|
| サポート中のWindows 11 | 通常の累積更新を適用。CVE対応だけを理由にOSを買い替える必要はない | エディションとバージョンごとに異なる |
| Windows Server 2022／2025 | 通常のサーバー更新手順で適用 | 各製品のライフサイクルに従う |
| 個人向けWindows 10 Version 22H2 | ESUへの登録が必要。設定同期、Microsoft Rewards、1回限りの購入などの登録方法が案内されている | コンシューマーESUは2026年10月13日まで |
| 組織向けWindows 10 | 有償ESUを移行期間中の暫定策として利用可能 | 通常サポートは2025年10月14日に終了 |
| Windows 11 Version 23H2 Home／Pro | サポート中バージョンへアップグレードする | 2025年11月11日に終了済み |
| Windows 11 Version 23H2 Enterprise／Education | 更新を適用しつつ、後継バージョンへの移行を計画する | 2026年11月10日 |
| Windows 11 Version 24H2 Home／Pro | 6月更新を適用し、次期バージョンへの移行も準備する | 2026年10月13日 |
Windows 10の組織向けESUは、公式案内上、初年度の参考価格が1台当たり61米ドルで、年度ごとに価格が上がる仕組みです。購入時期や契約形態、地域、販売店によって実際の費用が異なるため、ライセンス担当者または販売店で確認してください。
ESUはWindows 10の新機能を追加するサービスではなく、移行までの間に重要なセキュリティ更新を受け取るための措置です。長期運用の代替策ではなく、Windows 11や別のサポート対象環境へ移行するまでの橋渡しとして扱うのが適切です。(マイクロソフトサポート)
よくある疑問
インターネットに公開していないPCも更新が必要ですか
必要です。
CVE-2026-42904は隣接ネットワークからの攻撃が想定されています。同じLANやWi-Fi、VPN内に信頼できない端末が存在する場合、インターネット非公開のWindowsも攻撃対象になり得ます。
ウイルス対策ソフトがあれば更新しなくてもよいですか
ウイルス対策ソフトだけでは不十分です。
攻撃コードや不審な挙動を検出できる可能性はありますが、Windows TCP/IP内部の脆弱性自体は修正されません。累積更新プログラムを適用してください。
2026年6月9日のKBと異なる番号でも大丈夫ですか
後から公開された累積更新プログラムで、修正済みビルド以上になっていれば問題ありません。
更新履歴にKB5094126などが見つからなくても、より新しい累積更新で置き換えられている可能性があります。最終的にはOSビルドで判定します。
TCP/IPの設定変更や再構成は必要ですか
通常は必要ありません。
この更新はWindows TCP/IPのセキュリティ修正です。IPアドレス、DNS、プロキシ、ファイアウォールなどの既存設定を、CVE対応のためだけに変更する必要はありません。
Windows 10は更新だけで対応できますか
ESUまたは対象となるLTSC環境で、2026年6月のセキュリティ更新を受け取れている場合は対応できます。
通常サポートが終了したWindows 10をESUなしで使用している場合、Windows Updateを実行しても必要な修正を受け取れない可能性があります。ESUへの登録状況を確認するか、Windows 11への移行を進めてください。
今日実施する対応
CVE-2026-42904への対応では、次の4点を実施してください。
winverまたはPowerShellでWindowsのバージョンとOSビルドを確認する- 修正済みビルド未満なら、2026年6月9日以降の累積更新を適用して再起動する
- Windows 10ではESUまたはLTSCの対象状況、Windows 11ではバージョンのサポート期限を確認する
- 管理者は、同一LAN、Wi-Fi、VPNから到達できる重要サーバーを優先して更新する
この脆弱性では、外部公開の有無だけで危険度を判断しないことが重要です。信頼できない端末が存在するネットワークから対象Windowsへ到達できるかを確認し、更新後は必ず修正済みビルド以上になっていることまで検証してください。
コメント