CVE-2026-62823は、Windows DHCP Serverを運用している組織が、2026年8月の更新プログラムを優先して適用すべき脆弱性です。未認証の攻撃者が隣接ネットワークから細工したパケットを送信することで、利用者の操作を必要とせず、DHCP Server上でコードを実行できる可能性があります。
Microsoftの公開時点では、実際の悪用や脆弱性情報の事前公開は確認されていません。しかし、Microsoftは悪用可能性を「Exploitation More Likely」と評価しており、CVSS基本値も8.8です。「インターネットに公開していない」「社内ネットワークのサービスだから」という理由で後回しにするのは適切ではありません。(Microsoft Security Response Center)
最初に行うべきことは、DHCP Server役割が稼働しているサーバーを特定し、DHCPリレーを含む到達可能なネットワークを確認したうえで、Windows Serverのバージョンと更新方式に対応する2026年8月のセキュリティ更新プログラムを適用することです。
CVE-2026-62823の概要
CVE-2026-62823は、Windows DHCP Serverのヒープベースのバッファオーバーフローに起因するリモートコード実行の脆弱性です。
| 項目 | 内容 |
|---|---|
| 対象サービス | Windows DHCP Server |
| 脆弱性の種類 | ヒープベースのバッファオーバーフロー |
| 想定される影響 | リモートコード実行 |
| 攻撃元 | 隣接ネットワーク |
| 攻撃に必要な権限 | 不要 |
| 利用者の操作 | 不要 |
| 攻撃の複雑さ | 低い |
| CVSS基本値 | 8.8 |
| 公開時点の悪用状況 | 悪用確認なし |
| Microsoftの評価 | 悪用可能性が高め |
| 主な対策 | 2026年8月の対応するWindows Server更新を適用 |
CVEレコードでは、未認証の攻撃者が隣接ネットワークからWindows DHCP Serverに対してコードを実行できる可能性があると説明されています。単なる情報漏えいやサービス停止ではなく、サーバー上で任意の処理を実行される可能性がある点が重要です。(Microsoft Security Response Center)
CVE-2026-62823を優先すべき理由
認証を突破する必要がない
攻撃者は、Windowsアカウントやドメインアカウントを事前に取得する必要がありません。
DHCP Serverが受信するネットワークパケットを利用するため、攻撃の入口はログオン画面や管理用Web画面ではありません。DHCP通信がサーバーに到達するネットワーク上に攻撃者が存在すれば、攻撃を試行される可能性があります。
一般的な「管理者アカウントを多要素認証で保護する」「RDPを管理ネットワークに限定する」といった対策だけでは、この脆弱性への直接的な防御にはなりません。
利用者の操作を必要としない
メール添付ファイルやOffice文書の脆弱性では、利用者がファイルを開くことが攻撃成立の条件になる場合があります。
CVE-2026-62823では、DHCP Serverが細工されたパケットを処理すること自体が攻撃のきっかけになります。そのため、利用者教育やメールフィルタリングでは防ぎにくく、サーバー側の更新が必要です。
「隣接ネットワーク限定」は安全という意味ではない
この脆弱性の攻撃元は、インターネット全体ではなく隣接ネットワークに限定されています。そのため、インターネット経由で直接攻撃できる脆弱性より危険度が低いように見えるかもしれません。
しかし、実際の企業ネットワークでは、次のような端末がDHCPを利用しています。
- 社員用PC
- 無線LAN接続端末
- ゲスト端末
- スマートフォン
- IoT機器
- プリンターや複合機
- 支店や拠点の端末
- VPN接続端末
これらの端末の一つが侵害された場合、攻撃者は内部ネットワーク上の足場を得ます。CVE-2026-62823は、その後の横展開に利用される可能性を考慮すべき脆弱性です。
また、DHCPリレーやIPヘルパーを利用している環境では、DHCP Serverと同じVLANだけを確認しても不十分です。リレーによってDHCPメッセージが転送されるクライアントネットワークも調査対象に含めてください。
リレーが存在するだけで脆弱性を必ず悪用できるとは断定できませんが、少なくとも「別セグメントだから影響しない」とは判断できません。
DHCP Serverの障害は広範囲に影響する
DHCP Serverは、クライアントへIPアドレス、デフォルトゲートウェイ、DNS Serverなどのネットワーク設定を提供する基盤サービスです。
DHCP Serverが侵害された場合、サーバー自体の被害に加え、次のような業務影響が考えられます。
- 新しい端末がネットワークに接続できない
- リース更新後に通信できなくなる
- 拠点や無線LANの接続障害が発生する
- DHCPの設定やスコープが改変される
- 他のサーバーへの攻撃拠点として利用される
- DHCP Serverの復旧に時間がかかる
特に、組織全体のDHCPを少数のサーバーへ集約している環境では、1台の障害が多くのネットワークへ波及します。
自社環境での対応優先度を判断する
すべてのWindows Serverを同じ優先度で扱う必要はありません。DHCP Server役割の稼働状況と、ネットワークからの到達性を基準に判断します。
| 優先度 | 該当する環境 | 推奨対応 |
|---|---|---|
| 最優先 | DHCP Serverサービスが稼働し、2026年8月更新が未適用 | 緊急の変更枠を確保して適用 |
| 最優先 | ゲスト、無線LAN、IoT、拠点ネットワークからDHCP通信を受ける | 到達経路を確認して速やかに適用 |
| 高 | DHCPフェールオーバー構成でサービスを提供している | 片系ずつ更新し、早期に両系を修正 |
| 高 | 組織全体のDHCPを集約している | 通常の月例更新より優先して検証 |
| 中 | DHCP Server役割はあるが、サービスを停止している | 不要なら役割を削除。必要なら更新 |
| 通常 | DHCP Server役割がインストールされていない | 本脆弱性の直接対象ではないが、月例更新は実施 |
DHCP Server役割がインストールされているだけで、直ちに同じリスクになるわけではありません。次の3点を組み合わせて判断することが重要です。
- DHCP Server役割がインストールされているか
- DHCP Serverサービスが稼働しているか
- クライアントやDHCPリレーからパケットが到達するか
対応する2026年8月の更新プログラム
Windows Serverのバージョンと更新方式により、適用するKB番号が異なります。
| Windows Server | 通常の更新プログラム | 修正後のOSビルド | 補足 |
|---|---|---|---|
| Windows Server 2012 | KB5120386 | 6.2.9200.26280相当 | Monthly Rollup、ESUが必要 |
| Windows Server 2012 R2 | KB5120385 | 6.3.9600.23338相当 | Monthly Rollup、ESUが必要 |
| Windows Server 2016 | KB5120418 | 14393.9418 | 最新SSUも確認 |
| Windows Server 2019 | KB5120238 | 17763.9121 | 累積セキュリティ更新 |
| Windows Server 2022 | KB5120242 | 20348.5499 | 通常の累積更新 |
| Windows Server 2022 Hotpatch | KB5120229 | 20348.5440 | Datacenter: Azure Edition |
| Windows Server 2025 | KB5120233 | 26100.33296 | 全エディション向け通常更新 |
| Windows Server 2025 Hotpatch | KB5120228 | 26100.33222 | 対象のAzure Edition／Azure Arc接続環境 |
Windows Server 2012、2012 R2、2016、2019、2022、2025の各更新プログラムは、Microsoftが2026年8月11日に公開しています。Windows Server 2012ではKB5120386、2012 R2ではKB5120385である点に注意してください。(マイクロソフトサポート)
Windows Server 2022と2025でHotpatchを利用している場合は、通常の累積更新ではなく、構成されているHotpatchの配信経路を確認します。Windows Server 2022のKB5120229はDatacenter: Azure Edition向けです。Windows Server 2025のKB5120228は、対象となるAzure EditionやAzure Arc接続済みのDatacenter／Standard環境で利用されます。(マイクロソフトサポート)
Hotpatchと通常更新を混同しない
HotpatchのOSビルド番号は、通常の累積更新を適用したサーバーより小さい場合があります。
例えば、Windows Server 2022では次のように異なります。
- 通常更新のKB5120242：20348.5499
- HotpatchのKB5120229：20348.5440
Hotpatch環境に対し、「ビルド番号が20348.5499未満だから未修正」と機械的に判定すると、誤検知する可能性があります。ビルド番号だけでなく、次の情報を確認してください。
- 適用済みKB番号
- Hotpatchの利用状態
- Windows UpdateやAzure Update Managerの準拠状態
- MSRCで示される修正済み更新
Hotpatchは、任意のWindows Serverに手動で選択して適用する代替パッケージではありません。サーバーに構成されている更新方式に従ってください。
Windows Server 2012と2012 R2はESUとSSUを確認する
Windows Server 2012と2012 R2は、通常サポートを2023年10月10日に終了しています。2026年8月の更新を受け取るには、Extended Security Updatesの対象になっている必要があります。ESUの最終日は2026年10月13日です。(マイクロソフトサポート)
また、適用前に最新のServicing Stack Updateを確認します。
| OS | 先に確認するSSU | セキュリティ更新 |
|---|---|---|
| Windows Server 2012 | KB5106414 | KB5120386 |
| Windows Server 2012 R2 | KB5106412 | KB5120385 |
| Windows Server 2016 | KB5120236 | KB5120418 |
WSUSを利用している場合、Windows Server 2012ではKB5106414とKB5120386の両方を承認します。Windows Server 2012 R2ではKB5106412とKB5120385の両方が必要です。SSUが不足していると、セキュリティ更新が端末へ提示されない場合があります。(マイクロソフトサポート)
DHCP Serverの稼働状況を確認する方法
Active Directoryに登録されたDHCP Serverを確認する
ドメイン環境では、管理端末から次のPowerShellコマンドを実行すると、Active Directoryで承認されているDHCP Serverを確認できます。
Get-DhcpServerInDC |
Select-Object DnsName, IPAddressこの結果だけで棚卸しを完了させないでください。次のサーバーは表示されない可能性があります。
- ワークグループ環境のDHCP Server
- Active Directoryで未承認のDHCP Server
- アプライアンスやルーター上のDHCPサービス
- 過去に構築され、資産管理台帳から漏れているサーバー
CMDB、WSUS、構成管理ツール、EDR、仮想基盤の一覧とも突き合わせてください。また、Active Directory側に廃止済みサーバーの登録が残っている場合もあります。
DHCP Server役割とサービスを確認する
対象サーバー上で、管理者権限のPowerShellを起動して実行します。
Get-WindowsFeature -Name DHCP |
Select-Object Name, InstallState
Get-CimInstance Win32_Service -Filter "Name='DHCPServer'" |
Select-Object Name, State, StartMode次の状態であれば、優先対応の対象です。
DHCPのInstallStateがInstalledDHCPServerのStateがRunningStartModeがAuto- 有効なIPv4またはIPv6スコープが存在する
スコープとフェールオーバー構成は、次のコマンドで確認できます。
Get-DhcpServerv4Scope
Get-DhcpServerv6Scope
Get-DhcpServerv4FailoverGet-DhcpServerv4Failoverで関係が表示される場合は、2台を同時に更新せず、片系ずつ作業します。
OSバージョンとビルドを確認する
Get-CimInstance Win32_OperatingSystem |
Select-Object Caption, Version, BuildNumberビルドのリビジョンまで確認する場合は、次のコマンドを使用します。
$cv = Get-ItemProperty `
'HKLM:\SOFTWARE\Microsoft\Windows NT\CurrentVersion'
[pscustomobject]@{
ProductName = $cv.ProductName
DisplayVersion = $cv.DisplayVersion
Build = "$($cv.CurrentBuild).$($cv.UBR)"
}Windows Server 2012や2012 R2では、ビルド番号だけでなく、KBまたはパッケージの適用状態も併せて確認する方が確実です。
対象KBが適用済みか確認する
$targetKBs = @(
'KB5120386',
'KB5120385',
'KB5120418',
'KB5120238',
'KB5120242',
'KB5120229',
'KB5120233',
'KB5120228'
)
Get-HotFix |
Where-Object HotFixID -in $targetKBs |
Sort-Object InstalledOn -Descending |
Select-Object HotFixID, InstalledOn, DescriptionGet-HotFixでは、環境や更新方式によって一部のパッケージを確認できないことがあります。結果が空でも、直ちに未適用とは断定しないでください。
より詳しく確認する場合は、管理者権限で次のコマンドを実行します。
Get-WindowsPackage -Online |
Where-Object {
$_.PackageName -match `
'5120386|5120385|5120418|5120238|5120242|5120229|5120233|5120228'
} |
Select-Object PackageName, PackageState, InstallTime最終的には、WSUS、Microsoft Configuration Manager、Azure Update Managerなどの更新管理システムでも適用結果を確認します。
DHCPリレーを含めて到達範囲を確認する
サーバーが社内の保護されたネットワークに置かれていても、DHCPリレーによって多数のネットワークからDHCPメッセージを受信している場合があります。
次の項目を確認してください。
| 確認項目 | 確認内容 |
|---|---|
| 直接接続ネットワーク | DHCP Serverと同じセグメントの端末 |
| DHCPリレー | ルーターやL3スイッチのIPヘルパー設定 |
| 無線LAN | 社員用、BYOD、ゲスト用SSID |
| IoTネットワーク | カメラ、センサー、会議室端末など |
| 拠点ネットワーク | WAN経由でDHCPを集約している支店 |
| VPN | VPNクライアントへのアドレス配布方式 |
| フィルタリング | DHCPリレー元や受信インターフェースの制限 |
ネットワーク構成図が古い場合は、ルーターやL3スイッチの実際の設定から、DHCPリレー先を確認してください。
推奨する更新手順
| 手順 | 実施内容 | 判断ポイント |
|---|---|---|
| 対象特定 | DHCP Server役割、サービス、スコープを確認 | 稼働中のサーバーを最優先 |
| 到達範囲確認 | VLAN、DHCPリレー、ゲスト、IoTを確認 | 信頼度の低いネットワークほど優先 |
| 構成保全 | DHCP設定とサーバーをバックアップ | 復旧手順も確認 |
| 冗長性確認 | DHCPフェールオーバーの状態を確認 | 正常な片系を残して作業 |
| 事前検証 | 検証環境または影響の小さいサーバーへ適用 | DHCP取得と更新を試験 |
| 更新適用 | OSと更新方式に対応するKBを適用 | Hotpatchと通常更新を混同しない |
| 再起動 | 必要に応じて再起動 | 保留中の再起動を残さない |
| 動作確認 | サービス、スコープ、リース発行を確認 | サービス起動だけで完了にしない |
| 監視 | DHCPイベントと監査ログを確認 | クラッシュや異常要求を監視 |
フェールオーバー環境は片系ずつ更新する
DHCPフェールオーバーを構成している場合は、次の順序で進めます。
- フェールオーバー関係が正常であることを確認する
- 片方のサーバーへ更新を適用する
- 必要に応じて再起動する
- DHCP Serverサービスとスコープを確認する
- テスト端末でリース取得を確認する
- フェールオーバー関係の正常性を確認する
- もう一方のサーバーを更新する
障害が発生しているフェールオーバー関係のまま更新を始めると、片系停止時にDHCPサービスを継続できない可能性があります。
適用後は実際のリース取得まで確認する
サーバー側では、少なくとも次のコマンドを確認します。
Get-Service -Name DHCPServer
Get-DhcpServerv4Scope
Get-DhcpServerv4Statistics
Get-DhcpServerv4Failoverさらに、管理されたテスト端末からDHCPリースを取得します。
ipconfig /release
ipconfig /renew
ipconfig /allipconfig /releaseは、ネットワーク接続が一時的に切断されるコマンドです。リモート管理中の端末や業務利用中の端末では実行せず、現地または代替接続手段を確保したテスト端末で実行してください。
適用後は、次の状態まで確認して完了とします。
- DHCP Serverサービスが稼働している
- スコープが有効である
- 新しいリースが発行される
- 既存クライアントがリースを更新できる
- DHCPフェールオーバーが正常である
- DHCP Serverのイベントログに重大なエラーがない
- 再起動待ちが残っていない
- 更新管理システムで適用済みになっている
適用時に失敗しやすいポイント
Windows Server 2012のKB番号を取り違える
Windows Server 2012はKB5120386、Windows Server 2012 R2はKB5120385です。
名称が似ているため、手動ダウンロードやWSUSの承認時に取り違えやすい点に注意してください。
WSUSで累積更新だけを承認する
Windows Server 2012と2012 R2では、SSUが不足しているとセキュリティ更新が表示されない、または適用に失敗する可能性があります。
WSUSでは次の組み合わせを確認します。
- Windows Server 2012：KB5106414とKB5120386
- Windows Server 2012 R2：KB5106412とKB5120385
「対象の累積更新を承認したから完了」ではなく、実際に各サーバーへインストールされたかまで確認してください。
Hotpatch環境を通常ビルドと比較する
Hotpatchと通常の累積更新では、修正後のビルド番号が異なります。
Hotpatch対象サーバーを通常更新のビルド番号だけで評価すると、修正済みサーバーを未修正と判断したり、反対に必要なHotpatchを見落としたりする可能性があります。
フェールオーバーの2台を同時に更新する
同時更新すると、再起動やサービス停止の間、DHCPを提供できるサーバーがなくなる可能性があります。
更新配信を自動化している場合も、フェールオーバーのペアが同時刻に再起動しないよう、デバイスグループやメンテナンス時間を分けてください。
サービスの起動確認だけで完了にする
DHCPServerサービスがRunningでも、スコープ、バインド、リレー、フェールオーバーに問題があれば、クライアントはアドレスを取得できません。
必ずテスト端末から新しいリースを取得し、サーバー側のリース一覧や統計にも反映されることを確認します。
「悪用確認なし」を適用延期の理由にする
公開時点で攻撃が確認されていないことは、将来も悪用されないことを意味しません。
Microsoftが悪用可能性を高めと評価していることに加え、攻撃条件が未認証、低複雑度、利用者操作不要であるため、実証コードや攻撃手法が広まる前に修正することが重要です。(Microsoft Security Response Center)
すぐに更新できない場合の暫定対策
恒久対策は、対応するセキュリティ更新プログラムの適用です。ネットワーク制限だけで対応を完了させないでください。
更新までの間は、次の対策を組み合わせます。
- DHCP Serverが受信するネットワークを必要最小限に限定する
- 不要なDHCPリレー設定を削除する
- リレー経由の環境では、正規のリレー元だけを許可する
- ゲスト、BYOD、IoTネットワークを業務ネットワークから分離する
- DHCP Serverサービスの停止や異常再起動を監視する
- DHCPパケットの急増や異常な送信元を監視する
- 未使用のDHCP Server役割を削除する
- フェールオーバー先を先に更新し、修正済みサーバーへ処理を寄せる
UDP 67番ポートを一律に遮断すると、正規のDHCPサービスも停止します。既存のネットワーク設計を確認せず、単純なポート遮断を実施してはいけません。
また、L2スイッチでDHCPスヌーピングを利用していても、それだけで正規DHCP Serverの脆弱性が修正されるわけではありません。DHCPスヌーピングや通信制御は補助的な防御として扱い、パッチの代替にしないことが重要です。
CVE-2026-62823に関するよくある疑問
DHCP Server役割がないWindows Serverも影響するか
CVE-2026-62823の直接的な確認対象は、Windows DHCP Server役割を使用しているサーバーです。
ただし、2026年8月の累積更新には、この脆弱性以外のセキュリティ修正も含まれます。DHCP Server役割がないことを理由に、月例セキュリティ更新全体を省略してはいけません。
インターネットから接続できなければ安全か
インターネットから直接到達できないことは、攻撃面を減らす要素にはなります。しかし、隣接ネットワーク上の侵害済み端末、不正接続端末、ゲスト端末、IoT機器などから攻撃される可能性は残ります。
DHCPリレーを利用している場合は、サーバーが設置されたセグメントだけでなく、DHCP通信を転送しているネットワークを確認してください。
後続の累積更新でも修正できるか
Windows Serverの累積更新では、通常、後続のセキュリティ更新に過去の修正が含まれます。
ただし、更新方式、ESUの状態、Hotpatchの適用サイクルによって確認方法が異なります。この記事に記載した2026年8月のKBより新しい更新を利用する場合は、MSRCのSecurity Update Guideと各KBの適用対象を確認してください。
更新後に再起動は必要か
通常の累積更新では、再起動が必要になる可能性があります。実際の要求は適用したパッケージとサーバーの状態で確認してください。
Hotpatchは再起動を減らす仕組みですが、すべての更新やすべての月で再起動が不要になるとは限りません。更新管理画面の指示と保留中の再起動状態を確認します。
DHCP Serverを確認し、8月KBを優先適用する
CVE-2026-62823は、未認証の隣接ネットワーク攻撃者が、利用者操作なしでWindows DHCP Server上のコード実行を狙える脆弱性です。
対応では、単に「Windows Serverへ月例更新を配信した」だけで終わらせず、次の順序で確認してください。
Get-DhcpServerInDCや資産管理情報からDHCP Serverを洗い出す- DHCP Server役割、サービス、スコープの稼働状況を確認する
- DHCPリレー、ゲスト、無線LAN、IoTを含む到達範囲を確認する
- OSとHotpatch利用状況に対応する2026年8月KBを適用する
- フェールオーバー環境は片系ずつ更新する
- 再起動、サービス、スコープ、リース取得まで確認する
- Windows Server 2012／2012 R2はESU終了前に移行計画を進める
特に、稼働中のDHCP Server、集中管理型のDHCP Server、信頼度の低いネットワークからDHCP通信を受けるサーバーは最優先です。悪用が広がってから対応するのではなく、攻撃手法が一般化する前に修正を完了させてください。
コメント