MENU
日程Fit｜「いつ空いてますか？」の往復はもう不要。候補日を選んでURLを送るだけ｜登録不要｜今すぐ無料で使う →

CVE-2026-44815とは？Windows DHCP Clientの影響と6月更新後の確認項目

Windows

2026年6月9日に公開された「CVE-2026-44815」は、Windows DHCP Clientに存在するリモートコード実行の脆弱性です。CVSS基本値は9.8で、認証やユーザー操作なしに悪用される可能性があります。

管理者が最優先で行うべきことは、対象端末へ2026年6月の累積更新プログラム、またはそれ以降の更新を適用し、OSビルドが修正済みの値以上になったことを確認することです。DHCP Clientサービスを一律に無効化する対応は、IPアドレス取得やDNS登録に影響するため推奨されません。(Microsoft)

日程Fit。無料・登録不要。「いつ空いてる？」を、ひとつのリンクで。リンクを送って、○△×でかんたん日程調整。無料で日程を作る。
目次

CVE-2026-44815（DHCP Client Service RCE）とは

CVE-2026-44815は、Windows DHCP Clientのスタックベースのバッファーオーバーフローにより、権限を持たない攻撃者がネットワーク経由でコードを実行できる可能性がある脆弱性です。

Microsoftが示したCVSS 3.1の評価は次のとおりです。

項目評価
CVSS基本値9.8／緊急
攻撃元区分ネットワーク
攻撃条件の複雑さ低
必要な権限不要
ユーザー操作不要
機密性・完全性・可用性への影響いずれも高

2026年6月9日の公開時点では、脆弱性の事前公開や既知の悪用は確認されていませんでした。ただし、認証やユーザー操作を必要としないため、Microsoftは企業に対して早急なリスク評価と更新適用を推奨しています。(Microsoft)

悪用にはDHCP応答が届く経路が関係する

MicrosoftのFAQでは、悪用条件として不正なDHCPサーバーからの応答と、対象側でDhcpGetOriginalSubnetMask APIを呼び出すアプリケーションまたはコンポーネントが関係すると説明されています。(Microsoft Security Response Center)

そのため、単に「インターネットへ公開しているか」だけで優先度を決めるのは適切ではありません。実務上は、次の環境を優先的に確認します。

  • 社外のWi-Fiや共有LANへ接続するノートPC
  • DHCPサーバーを持ち込める検証用ネットワーク
  • DHCPスヌーピングを設定していない拠点LAN
  • BYOD端末を収容するネットワーク
  • 不特定多数が接続する会議室や研修環境
  • 独自のネットワーク管理ツールやVPNクライアントを使用する端末

一方で、条件に該当するアプリが見つからないことを理由に更新を延期すべきではありません。APIの呼び出し元を全端末で確実に列挙するのは難しく、将来のアプリ更新によって条件が変わる可能性もあるためです。

Windows DHCP Clientで何が変わるのか

今回の変更は、DHCPの設定項目や管理画面に新機能を追加するものではありません。Windowsの累積更新プログラムに、脆弱な処理を修正するセキュリティ対策が含まれます。

通常は、次の作業は必要ありません。

  • DHCPスコープの再作成
  • リース期間の変更
  • DHCPオプションの変更
  • IPアドレス設計の変更
  • DHCP Clientの手動再インストール
  • CVE専用ライセンスの購入

更新後は、DHCPによるアドレス取得、リース更新、DNS登録が従来どおり動作するかを確認します。業務端末では、VPN接続や無線LANの切り替えもテスト対象に含めると安全です。

影響を受けるWindowsと修正済みビルド

Microsoftの影響範囲には、Windows 10、Windows 11、Windows Server 2012以降が含まれます。Windows ServerではServer Coreインストールも対象になる製品があります。

次の表で、自社端末のOSビルドが「修正済みの最小ビルド」以上か確認してください。これより新しい累積更新プログラムを適用している場合も、通常は修正が含まれます。

OS修正済みの最小ビルド2026年6月の主なKB
Windows 11 Version 26H128000.2269KB5095051
Windows 11 Version 25H226200.8655KB5094126
Windows 11 Version 24H226100.8655KB5094126
Windows 11 Version 23H222631.7219KB5093998
Windows 10 Version 22H219045.7417KB5094127
Windows 10 Version 21H219044.7417KB5094127
Windows 10 Version 1809／Windows Server 201917763.8880KB5094123
Windows 10 Version 1607／Windows Server 201614393.9234KB5094122
Windows Server 202526100.32995KB5094125
Windows Server 202220348.5256KB5094128
Windows Server 2012 R29600.23228KB5094041
Windows Server 20129200.26132製品別のESU更新を確認

Windows 10 Version 21H2／22H2については、KB5094127の適用対象がWindows 10 ESUやLTSCなどに限られます。OS名が表にあるだけで更新を受け取れるとは限らないため、エディションとサポート契約も確認してください。(Microsoft)

6月更新後にWindows管理者が確認すべきこと

OSビルドを確認する

KB番号だけでなく、最終的なOSビルドで判定するのが確実です。後続の累積更新プログラムを適用すると、2026年6月のKBが履歴上で見つけにくくなることがあるためです。

ローカル端末では、PowerShellで次のコマンドを実行します。

$os = Get-ItemProperty `
  'HKLM:\SOFTWARE\Microsoft\Windows NT\CurrentVersion'

[pscustomobject]@{
  ProductName    = $os.ProductName
  DisplayVersion = $os.DisplayVersion
  OSBuild        = "$($os.CurrentBuild).$($os.UBR)"
}

表示されたOSBuildを、前述の表と比較します。Intune、Configuration Manager、WSUSなどを使用している組織では、同じ情報を資産台帳へ出力し、修正済みビルド未満の端末を抽出してください。

更新の再起動待ちを残さない

更新ファイルが配信済みでも、再起動前の端末では修正が有効になっていない可能性があります。管理画面上の「インストール済み」という表示だけで完了とせず、次の3点を確認します。

  • 再起動保留が解消されている
  • 再起動後のOSビルドが更新されている
  • 管理ツールのコンプライアンス状態が正常になっている

長期間スリープ状態になるノートPCや、再起動を延期しやすい共有端末は取りこぼしが起きやすいため、別途抽出すると効果的です。

DHCP Clientサービスを停止していないか確認する

サービスの状態は、次のコマンドで確認できます。

Get-Service -Name Dhcp |
  Select-Object Name, Status, StartType

MicrosoftはDHCP Clientサービスについて、無効化しないよう案内しています。このサービスを停止すると、動的IPアドレスの取得だけでなく、DNSレコードの登録や依存サービスの起動にも影響します。(Microsoft Learn)

固定IPでもサービス停止は推奨されない

「固定IPだからDHCP Clientは関係ない」とは限りません。DHCP Clientサービスは、DHCPで設定したアダプターだけでなく、手動または固定IPで設定したアダプターのDNS更新にも使用されます。(Microsoft Learn)

固定IPのWindows Serverについても、サービス停止ではなくセキュリティ更新の適用で対処してください。

接続先のDHCPサーバーを確認する

端末がどのDHCPサーバーから設定を取得しているかは、次のコマンドで確認できます。

Get-CimInstance Win32_NetworkAdapterConfiguration `
  -Filter "IPEnabled=True" |
  Select-Object Description, DHCPEnabled, DHCPServer

または、コマンドプロンプトでipconfig /allを実行します。

表示されたDHCPサーバーのIPアドレスを、ネットワーク管理台帳に登録された正規サーバーと照合してください。未知のアドレスが見つかった場合は、端末だけでなくスイッチ、無線LAN、仮想ネットワーク側も調査します。

ネットワーク側で不正なDHCP応答を抑止する

更新適用と並行して、次の対策を確認します。

  • アクセススイッチでDHCPスヌーピングを有効にする
  • 正規DHCPサーバーへ通じるポートだけを信頼済みにする
  • 一般ユーザー用ポートからのDHCPサーバー応答を遮断する
  • 社内LAN、ゲストWi-Fi、検証環境を分離する
  • 不明なDHCPサーバーの検出を監視対象にする
  • DHCPリレーの転送先設定を点検する

これらは更新プログラムの代替ではありませんが、未更新端末が残った場合の悪用経路を減らせます。

APIを使用するアプリケーションを確認する

自社開発ツールや古いネットワーク管理ソフトがある場合は、DhcpGetOriginalSubnetMaskを使用していないか確認します。

優先して調査したいのは、次の種類のソフトウェアです。

  • IPアドレスやサブネット情報を収集する社内ツール
  • VPN、NAC、資産管理、端末管理エージェント
  • 古いC／C++製のネットワークユーティリティ
  • NIC設定を自動変更する業務アプリ
  • 独自のネットワーク診断プログラム

Windows標準の単一コマンドだけで、すべての呼び出し元を確実に特定することは困難です。ソースコード検索、ソフトウェアベンダーへの確認、EDRのプロセス情報などを組み合わせて判断します。

更新後の動作確認と既知の問題

CVE-2026-44815の修正は累積更新プログラムの一部です。更新後に問題が発生しても、必ずしもDHCP Clientの修正が原因とは限りません。

少数のテスト端末へ先行配信し、次の項目を確認してから展開範囲を広げます。

確認対象テスト内容
有線LANIPアドレス、デフォルトゲートウェイ、DNSの取得
無線LAN切断後の再接続、別アクセスポイントへの移動
DNS登録端末名での名前解決、A／PTRレコードの更新
VPN接続、切断、社内DNSへの切り替え
業務アプリ起動、ファイル連携、ネットワーク接続
管理機能Intune、EDR、資産管理ツールからの疎通
再起動更新完了後の起動とOSビルドの確認

2026年6月9日以降の一部Windows更新では、OLEオートメーションを利用するサードパーティー製アプリからWord、Excel、PowerPointなどを起動できない既知の問題が報告されています。該当する業務では、Officeファイルを直接開く方法で切り分け、各KBの最新情報を確認してください。(マイクロソフトサポート)

Windows Server 2012 R2でWSUSを使用している場合は、最新のサービススタック更新プログラムであるKB5079233と、月例ロールアップのKB5094041を両方承認する必要があります。SSUが不足すると、更新が提示されない、またはインストールできない場合があります。(マイクロソフトサポート)

設定・更新・移行・料金・期限の判断

項目管理者が確認すべき内容
設定DHCPスコープやリース設定の変更は原則不要。DHCP Clientサービスを一律に停止しない
更新2026年6月の累積更新、または修正を含む後続の累積更新を適用する
移行サポート中OSではCVE対応のためのOS移行は不要。ただし旧OSは移行計画を進める
料金サポート中OSでは通常の累積更新として提供。ESU対象OSは契約やライセンス費用を確認する
期限技術的な猶予期間はないため、検証後できるだけ早く展開する
完了条件KB配信ではなく、再起動後のOSビルドと管理ツールの準拠状態で判定する

Windows Server 2012 R2のESUは購入が必要で、年単位の更新となります。最終日は2026年10月13日です。CVE-2026-44815を修正できても、その後のセキュリティ更新を継続できなくなるため、Windows Server 2022やWindows Server 2025などへの移行を別途進める必要があります。(マイクロソフトサポート)

Windows 10やWindows Server 2012／2012 R2などの旧環境では、今回の更新を「延命策」と「移行完了」のどちらにも扱わないことが重要です。脆弱性対応とOS移行は、別の作業として管理してください。

よくある疑問

DHCPを使用していない端末も更新が必要ですか

必要です。固定IPでもDHCP ClientサービスがDNS登録に使われる場合があり、アダプター設定だけで非該当とは判断できません。Microsoftの影響対象に含まれるOSは、修正済みビルドへ更新してください。

DHCPサーバー役のWindows Serverだけが対象ですか

いいえ。脆弱性が存在するのはDHCP Serverロールではなく、WindowsのDHCP Client側です。一般のWindows PCや、固定IPで運用するWindows Serverも確認対象です。

DHCP Clientサービスを止めれば更新しなくてもよいですか

推奨されません。IPアドレス取得、DNS登録、依存サービスへ影響する可能性があります。停止を恒久対策にせず、更新適用とネットワーク側のDHCP制御で対応してください。

7月以降の累積更新を適用すれば修正されますか

対象OS向けの後続累積更新プログラムには、通常、過去のセキュリティ修正が含まれます。特定のKB番号が見つからない場合でも、OSビルドが表の修正済みビルド以上であれば判断できます。ただし、適用対象や既知の問題は最新のKB情報で確認してください。

まず実施するチェックリスト

CVE-2026-44815への対応は、次の順序で進めると取りこぼしを減らせます。

  • 全Windows端末の製品名、バージョン、OSビルドを収集する
  • 修正済みビルド未満の端末を抽出する
  • モバイル端末や共有ネットワーク接続端末を優先する
  • テスト端末へ2026年6月以降の累積更新を適用する
  • DHCP、DNS、VPN、業務アプリの動作を確認する
  • 再起動を含めて本番展開を完了する
  • 正規DHCPサーバーと端末の取得先を照合する
  • ESU対象OSの契約状況と更新期限を確認する
  • サポート終了OSの移行日程を確定する

重要なのは、「更新を配信した」ではなく、修正済みビルドへの更新、再起動、ネットワーク制御、旧OSの移行計画まで確認して対応完了とすることです。

Windows
Windows Update 脆弱性対策 Windows DHCP Client CVE-2026-44815

この記事を書いた人

佐藤健司のアバター 佐藤健司

実務の現場で詰まりがちなポイントを地図にするITブログ「IT trip」を運営。Windows／Office（Teams・Excel）からSQL、サーバ運用、ガジェットまで、再現性のある手順と“なぜそうなるか”を丁寧に解説します。読んだらすぐ試せること、そして迷った人の次の一歩が見えることを大切にしています。

関連記事

コメント

コメントする

目次