Microsoftは2026年6月9日、Remote Desktop Clientのリモートコード実行脆弱性「CVE-2026-42985」を公開しました。最優先で更新すべきなのは、管理者権限を持つ端末、社外や顧客環境へRDP接続する端末、踏み台として使うWindows Serverです。
この脆弱性では、攻撃者が制御するリモートデスクトップサーバーへ、利用者が脆弱なクライアントで接続すると、接続元の端末でコードを実行される可能性があります。RDP接続を受け付けるサーバーだけでなく、RDP接続を開始するクライアント側を確認することが重要です。
Windows Appは2.0.1193.0以降、従来のRemote Desktop Clientは1.2.7214.0以降が修正版です。Windows標準の「リモート デスクトップ接続」を使っている場合は、2026年6月のWindowsセキュリティ更新プログラムまたは、それ以降の累積更新プログラムを適用します。(NVD)
CVE-2026-42985とは
CVE-2026-42985は、Remote Desktop Clientのメモリ処理に関する脆弱性です。細工されたRDP通信を処理した際にメモリ破壊が発生し、接続元のWindows端末で任意のコードが実行されるおそれがあります。
| 項目 | 内容 |
|---|---|
| CVE番号 | CVE-2026-42985 |
| 公開日 | 2026年6月9日 |
| 対象 | Remote Desktop Client、Windows App、WindowsのRDPクライアント機能 |
| 影響 | リモートコード実行 |
| CVSS 3.1 | 8.8 |
| 攻撃元区分 | ネットワーク |
| 攻撃の複雑さ | 低 |
| 攻撃者に必要な権限 | なし |
| 利用者の操作 | 必要 |
| 悪用可能性評価 | Exploitation More Likely |
CVSSベクトルは「AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H」です。ネットワーク経由で攻撃でき、攻撃者の事前権限は不要ですが、利用者がRDP接続を実行する必要があります。機密性・完全性・可用性への影響はいずれも「High」と評価されています。(NVD)
「Exploitation More Likely」は悪用確認済みという意味ではない
Microsoftの「Exploitation More Likely」は、安定した攻撃コードが作られる可能性があり、過去に同種の脆弱性が悪用された傾向もあるため、通常より高い優先度で更新すべきという評価です。
すでに攻撃が確認されたことを示す「Exploitation Detected」とは別の区分です。ただし、「まだ悪用されていないから待ってよい」という意味ではありません。攻撃手法が確立される前に更新することが重要です。(Microsoft)
攻撃されるのはRDPサーバーではなく接続元の端末
この脆弱性で特に間違えやすいのは、攻撃対象がRemote Desktop Session Hostなどの接続先サーバーではなく、RDP接続を開始したクライアント端末である点です。
想定される流れは次のとおりです。
- 攻撃者が悪意のあるRDPサーバーを用意する、または正規のRDPサーバーを侵害する
- 利用者をそのサーバーへ接続させる
- 脆弱なRemote Desktop Clientが細工された応答を処理する
- 接続元の端末でコードが実行される
そのため、取引先から送られた接続情報、検証環境、一時的に構築したクラウドVM、外部委託先のサーバーなど、管理範囲外の接続先を利用する端末はリスクが高くなります。(Cisco Talos Blog)
受信方向のTCP 3389番ポートを閉じるだけでは、この脆弱性の直接的な対策にはなりません。NLAや多要素認証も重要ですが、脆弱なクライアントを更新する代わりにはならない点に注意してください。
誰が最優先でパッチを適用すべきか
優先順位は、OSの種類だけでなく「どこへ接続するか」と「どの権限で利用するか」で決めます。
| 優先度 | 対象端末 | 優先する理由 | 適用時期の目安 |
|---|---|---|---|
| 最優先 | ドメイン管理者やクラウド管理者が使う管理端末 | 侵害時の影響範囲が大きい | 即日から72時間以内 |
| 最優先 | 顧客、取引先、外部委託先へRDP接続する端末 | 接続先を自組織だけで管理できない | 即日から72時間以内 |
| 最優先 | MSP、ヘルプデスク、運用監視担当者の端末 | 多数の環境へ接続し、認証情報も保持しやすい | 即日から72時間以内 |
| 高 | 踏み台サーバーやジャンプホスト | Windows Server自身がRDPクライアントとして動作する | 7日以内 |
| 高 | 開発・検証・演習環境へ接続する端末 | 一時的なサーバーや信頼性の低い環境を利用しやすい | 7日以内 |
| 通常 | 社内の固定サーバーだけへ接続する一般端末 | 接続先の管理性は高いが、攻撃経路は残る | 早期の定例更新 |
| 相対的に低 | RDP接続を一切開始しないサーバー | このCVEの攻撃条件を満たしにくい | 定例更新で確実に適用 |
これはMicrosoftが指定した期限ではなく、実務上の優先順位です。緊急変更が難しい場合でも、管理端末と社外接続端末だけは先行して更新すると、リスクを効率よく下げられます。
影響を受けるRemote Desktop Clientと修正版
同じ「リモートデスクトップ」でも、Windowsには複数のクライアントがあります。利用しているクライアントごとに更新方法が異なります。
| 利用しているクライアント | 影響を受けるバージョン | 修正版 | 更新方法 |
|---|---|---|---|
| Windows App | 2.0.1193.0未満 | 2.0.1193.0以降 | Microsoft StoreまたはMSIXを更新 |
| Remote Desktop Client for Windows Desktop | 1.2.7214.0未満 | 1.2.7214.0以降 | クライアントを更新。ただしWindows Appへの移行も実施 |
| Windows標準のリモート デスクトップ接続 | 修正前のWindowsビルド | 2026年6月更新以降 | Windows Updateを実行 |
| 旧Microsoft Store版Remote Desktopアプリ | すでにサポート終了 | Windows Appへ移行 | 旧アプリを継続利用しない |
Windows App 2.0.1193.0には、内部のRemote Desktopクライアントコンポーネントとして1.2.7214が含まれます。画面に「Windows App version」と「Client version」の2種類が表示される場合は、両方を確認してください。(Microsoft Learn)
Windowsの修正版OSビルド
Windows標準のRDPクライアント機能は、Windowsの累積更新プログラムで修正されます。次の数値は2026年6月時点の最低修正版ビルドです。
| Windowsのバージョン | 最低修正版OSビルド |
|---|---|
| Windows 11 23H2 | 22631.7219 |
| Windows 11 24H2 | 26100.8655 |
| Windows 11 25H2 | 26200.8655 |
| Windows 11 26H1 | 28000.2269 |
| Windows 10 21H2 | 19044.7417 |
| Windows 10 22H2 | 19045.7417 |
| Windows 10 1607 | 14393.9234 |
| Windows 10 1809 | 17763.8880 |
| Windows Server 2012 | 9200.26132 |
| Windows Server 2012 R2 | 9600.23228 |
| Windows Server 2016 | 14393.9234 |
| Windows Server 2019 | 17763.8880 |
| Windows Server 2022 | 20348.5256 |
| Windows Server 2025 | 26100.32995 |
これより新しい累積更新プログラムを適用している場合も修正は含まれます。特定のKB番号だけを探すより、現在のOSビルドが基準以上かを確認する方が確実です。(NVD)
一般ユーザー向けの確認・更新手順
Windows標準の「リモート デスクトップ接続」を使っている場合
スタートメニューで「リモート デスクトップ接続」と検索し、従来の画面が開く場合は、Windowsに組み込まれたmstsc.exeを利用しています。
- 「設定」を開く
- 「Windows Update」を選択する
- 「更新プログラムのチェック」を実行する
- 利用可能なセキュリティ更新プログラムをインストールする
- 再起動を求められた場合は再起動する
Win＋Rキーを押し、winverを実行する- 表示されたOSビルドを修正版ビルドと比較する
Windows Updateの「更新履歴」に表示されているだけでは、再起動待ちの可能性があります。更新後は必ずOSビルドまで確認してください。(Microsoft サポート)
Windows Appを使っている場合
- Windows Appを開く
- 「設定」でWindows App versionとClient versionを確認する
- Windows App versionが2.0.1193.0未満ならアプリを閉じる
- Microsoft Storeを開く
- 「ライブラリ」から更新プログラムを確認する
- 更新後、Windows Appを再起動してバージョンを確認する
目標は次のとおりです。
- Windows App version：2.0.1193.0以降
- Client version：1.2.7214以降
Microsoft Storeのアプリ更新を組織のポリシーで停止している場合、自動では修正されません。管理者がIntune、Microsoft Storeアプリ配布、または公式MSIXを使って更新する必要があります。Microsoftは、Windows Appの更新が段階的に配信され、端末によって到着時期がずれる場合があると案内しています。(Microsoft サポート)
OSビルドをPowerShellで確認する方法
管理対象端末では、次のPowerShellを使うと、エディション、バージョン、OSビルドをまとめて確認できます。
$os = Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Windows NT\CurrentVersion'
[pscustomobject]@{
ProductName = $os.ProductName
DisplayVersion = $os.DisplayVersion
OSBuild = "$($os.CurrentBuild).$($os.UBR)"
}たとえばWindows 11 24H2で26100.8655以上と表示されれば、CVE-2026-42985の修正を含むビルドです。
管理者が実施すべき展開手順
クライアントの種類と利用者を棚卸しする
最初に、次の3種類を分けて確認します。
- Windows標準の
mstsc.exe - 従来のRemote Desktop Clientである
msrdcw.exe - Windows App
Azure Virtual Desktopでは、AVD InsightsやLog Analyticsを使い、ClientType、ClientVersion、ClientOS、最終接続日時を確認できます。Remote Desktop Clientの利用者を特定してからWindows Appを配布すると、未更新端末を残しにくくなります。(Microsoft Learn)
管理端末から先行展開する
全社一斉展開に時間がかかる場合は、次の順序が現実的です。
- 特権管理端末とジャンプホスト
- 社外・顧客環境へ接続する端末
- 開発・検証担当者の端末
- RDP利用履歴がある一般端末
- RDPを利用していない端末
少数の端末で接続、印刷、クリップボード、ドライブ転送、マルチモニター、SSO、MFAを確認した後、展開範囲を広げます。ただし、長期間の検証を理由に管理端末の更新を遅らせるべきではありません。
更新までの暫定対策
すぐに更新できない端末では、次の対策を組み合わせます。
- 許可済みのRDP接続先だけへ接続させる
- メールやチャットで届いた不明な
.rdpファイルを開かせない - 社外RDP接続を専用の管理端末に限定する
- 一般ユーザーによる任意のRDP接続を制限する
- 管理者アカウントで日常作業を行わない
- RDPの外向き通信とRD Gateway経由の接続を監視する
外向きTCP 3389番だけを遮断しても、RD Gatewayなどを経由してHTTPSで接続する環境には十分ではありません。暫定対策はあくまで更新までの補助と考えてください。
Remote Desktop ClientからWindows Appへの移行
従来のRemote Desktop Clientは、自動的にWindows Appへ置き換わりません。Windows Appを別途インストールし、動作確認後に旧クライアントをアンインストールする必要があります。
Microsoftは、移行期間中に両方のクライアントを同じ端末へインストールできると案内しています。そのため、次の順序で移行すると安全です。
- Windows Appを配布する
- ユーザーのアカウントとワークスペースを設定する
- AVD、Windows 365、Microsoft Dev Boxへの接続を確認する
- SSO、MFA、周辺機器のリダイレクトを確認する
- ショートカットや運用マニュアルをWindows App向けに変更する
- 旧Remote Desktop Clientをアンインストールする
Intuneなどで旧クライアントを配布している場合は、旧アプリの削除割り当てとWindows Appの配布割り当てを別々に管理します。先に旧クライアントを削除すると、Windows Appの設定不備によって業務接続ができなくなる可能性があります。(Microsoft Learn)
すべてのmstsc.exeをWindows Appへ置き換える必要はない
Windows Appへの移行案内は、主にAzure Virtual Desktop、Windows 365、Microsoft Dev Boxなどのクラウド接続で使われてきたRemote Desktop Clientを対象としています。
オンプレミスのRemote Desktop Servicesや個別PCへの接続にmstsc.exeを使用している場合、必要な機能とWindows Appの対応状況を確認せず、機械的に置き換えるべきではありません。今回必要なのは、利用中のクライアントを特定し、それぞれに対応した更新を適用することです。
設定・更新・移行・料金・期限の確認ポイント
| 確認項目 | 結論 |
|---|---|
| 設定変更 | 脆弱性を無効化する専用設定ではなく、更新が基本対策 |
| Windows更新 | 2026年6月のセキュリティ更新、またはそれ以降を適用 |
| Windows App | 2.0.1193.0以降へ更新 |
| Remote Desktop Client | 1.2.7214.0以降へ更新し、Windows Appへの移行を進める |
| 追加料金 | CVE修正自体に新しい料金やプラン変更の発表はない |
| サービス料金 | AVDやWindows 365など、接続先サービスの契約は従来どおり必要 |
| パッチ期限 | Microsoftによる強制期限はないが、More Likelyのため早期適用を推奨 |
| MSI版の期限 | パブリッククラウド向けサポートは2026年3月27日に終了済み |
| 一部クラウドの期限 | Azure Government、21Vianet、AVD Classicは2026年9月28日まで延長 |
Remote Desktop Client for WindowsのMSI版は、パブリッククラウド環境ではすでにサポート期間を過ぎています。修正版へ更新できた場合でも、それを長期運用の完了状態とはせず、Windows Appへの移行計画を進める必要があります。(Microsoft Learn)
Windows 10はESUの登録状況も確認する
一般提供のWindows 10は2025年10月14日にサポートを終了しています。Windows 10 22H2などで今回のセキュリティ更新を受け取るには、対象となるESUへ登録しているか、サポート対象のLTSCなどを使用している必要があります。
個人向けESUでは、PC設定の同期、Microsoft Rewardsポイント、30米ドル相当と税金による1回限りの購入などの登録方法が案内されています。法人向けはライセンスや管理方式によって条件と料金が異なるため、契約内容を確認してください。(Microsoft)
更新時に失敗しやすいポイント
RDPサーバーだけを更新してしまう
この脆弱性では、接続元のクライアント端末が攻撃対象です。接続先サーバーだけを更新しても、管理者PCやジャンプホストが古いままならリスクが残ります。
Windows Updateだけで完了したと思う
Windows AppとMSI版Remote Desktop Clientは、OSとは別の更新経路を持ちます。Windows Updateが最新でも、Windows Appが2.0.1193.0未満なら追加対応が必要です。
「悪用確認なし」を理由に先送りする
Exploitation More Likelyは、攻撃コードが安定して作られる可能性をMicrosoftが高く評価している状態です。公開済みの攻撃コードを待ってから更新する運用では遅れる可能性があります。
旧クライアントを先に削除する
Remote Desktop ClientからWindows Appへの移行は自動ではありません。Windows Appで業務接続を確認してから、旧クライアントを削除します。
今すぐ実施するチェックリスト
- 管理端末、ジャンプホスト、社外RDP接続端末を抽出する
mstsc.exe、msrdcw.exe、Windows Appのどれを使っているか確認する- Windowsを2026年6月の修正版ビルド以上へ更新する
- Windows Appを2.0.1193.0以上へ更新する
- Remote Desktop Clientを1.2.7214.0以上へ更新する
- 旧MSI版の利用者はWindows Appへの移行を開始する
- 更新完了まで不明なRDP接続先と
.rdpファイルを利用しない - 更新後にOSビルドとアプリバージョンを再確認する
CVE-2026-42985で最も重要なのは、「RDPを公開しているサーバー」だけを探すのではなく、RDPを使って外部へ接続する端末を探すことです。まず特権管理端末と社外接続端末を更新し、その後に全端末へ展開してください。
コメント