CVE-2026-62878の修正KB一覧｜Windows DNS Serverの更新手順

Windows DNS ServerのCVE-2026-62878は、未認証の攻撃者がネットワーク経由で細工したパケットを送り、利用者の操作なしでリモートコード実行を狙えるCVSS 9.8のCritical脆弱性です。

結論として、Windows Server 2025はKB5120233、2022はKB5120242、2019はKB5120238、2016はKB5120418、2012 R2はKB5120385、2012はKB5120386、または今後公開される後続の累積更新プログラムを適用してください。Hotpatch対象環境には別のKBがあります。

Microsoftは公式な回避策を提示していません。2026年8月30日時点では、既知の悪用や一般公開は確認されておらず、悪用可能性も「Exploitation Less Likely」と評価されています。しかし、認証不要・ユーザー操作不要・ネットワーク経由という攻撃条件を考えると、DNS Server役割を持つサーバー、特にDNSを兼用するドメインコントローラーは優先的に更新すべきです。(Microsoft Security Response Center)

この記事では、対象となる修正KB、サーバーの確認方法、安全な適用手順、更新後に確認すべき項目まで実務向けに整理します。

CVE-2026-62878とは

CVE-2026-62878は、Windows DNS Serverに存在するスタックベースのバッファオーバーフローに起因するリモートコード実行の脆弱性です。

項目	内容
CVE番号	CVE-2026-62878
対象コンポーネント	Windows DNS Server
脆弱性の種類	リモートコード実行
原因	スタックベースのバッファオーバーフロー
CWE	CWE-121
CVSS v3.1	9.8／Critical
CVSSベクター	`AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H`
攻撃元	ネットワーク経由
攻撃者の認証	不要
ユーザー操作	不要
攻撃の複雑さ	低い
公開状況	一般公開なし
悪用状況	既知の悪用なし
Microsoftの評価	Exploitation Less Likely
公式回避策	記載なし
修正方法	対象OSの2026年8月累積更新、または後続の累積更新を適用

特に注目すべきなのは、攻撃者がアカウントを持っている必要がなく、管理者や利用者にファイルを開かせる必要もない点です。DNS通信が対象サーバーまで到達できれば、攻撃を試行できる条件がそろいます。

一方、「Exploitation Less Likely」は脆弱性の深刻度が低いという意味ではありません。これはMicrosoftによる悪用可能性の評価であり、CVSS 9.8という技術的な影響や攻撃条件を打ち消すものではありません。

既知の悪用がないという情報も、その時点で観測されていないことを示すだけです。DNSサーバーのように組織内の多数の端末からアクセスされる基盤サービスでは、悪用が確認されてから更新するのでは遅れる可能性があります。

CVE-2026-62878を修正する8月KB一覧

対象となる2026年8月11日公開の更新プログラムは次のとおりです。

Windows Server	通常の修正KB	適用後のOSビルド	補足
Windows Server 2025	KB5120233	26100.33296	Hotpatch対象環境はKB5120228、ビルド26100.33222
Windows Server 2022	KB5120242	20348.5499	Datacenter: Azure EditionのHotpatchはKB5120229、ビルド20348.5440
Windows Server 2019	KB5120238	17763.9121	累積セキュリティ更新
Windows Server 2016	KB5120418	14393.9418	SSU KB5120236の確認が必要
Windows Server 2012 R2	KB5120385	KBの適用有無で確認	Monthly Rollup、ESU対象
Windows Server 2012	KB5120386	KBの適用有無で確認	Monthly Rollup、ESU対象

Windows Server 2025と2022では、通常の累積更新とHotpatchでKB番号およびビルド番号が異なります。Hotpatchを利用していない通常構成では、Windows Server 2025にKB5120233、Windows Server 2022にKB5120242を適用します。(マイクロソフトサポート)

Windows Server 2019はKB5120238、Windows Server 2016はKB5120418です。MicrosoftのKBページでは、それぞれWindows Server 2019とWindows Server 2016を適用対象として明記しています。(マイクロソフトサポート)

Windows Server 2012 R2はKB5120385、Windows Server 2012はKB5120386です。いずれも通常サポートは終了しており、更新を受け取るにはExtended Security Updates、通称ESUの要件を満たす必要があります。(マイクロソフトサポート)

後続の累積更新でも修正できる

Windows Serverの月例更新は累積更新です。

今後、2026年9月以降の累積更新プログラムが公開された場合、原則としてCVE-2026-62878の修正も含まれます。そのため、古い8月KBを探して個別に適用するのではなく、対象OSで利用できる最新の累積セキュリティ更新を適用するのが基本です。

後続更新を適用した環境では、8月のKB番号が更新履歴に表示されないことがあります。この場合は、後続の累積更新が入っているか、OSビルドが修正済みの水準を上回っているかを確認してください。

HotpatchのKBを選ぶ際の注意点

Hotpatch用のKB5120228またはKB5120229は、すべてのWindows Serverで使用できるわけではありません。

Windows Server 2025のKB5120228は、Windows Server 2025 Datacenter: Azure Editionのほか、Hotpatchサブスクリプションを利用するAzure Arc接続済みの対象サーバー向けです。Windows Server 2022のKB5120229は、Windows Server 2022 Datacenter: Azure Edition向けです。

対象外の通常サーバーに対して、再起動を避ける目的だけでHotpatch用KBを選ぶことはできません。

Hotpatchを契約・構成していない場合は、通常の累積更新を使用します。

Windows Server 2025：KB5120233
Windows Server 2022：KB5120242

Hotpatchは対象環境でOSセキュリティ更新を再起動なしで適用できる仕組みですが、適用資格、サブスクリプション、ベースライン更新の状態を含めて管理する必要があります。(マイクロソフトサポート)

自社のWindows DNS Serverが対象か確認する方法

最初に、Windows Serverのバージョンだけを見るのではなく、DNS Server役割とDNSサービスの稼働状況を確認します。

DNS Server役割を確認する

管理者権限のPowerShellで次を実行します。

Get-WindowsFeature -Name DNS

Install StateがInstalledになっている場合、DNS Server役割がインストールされています。

続けてDNSサービスを確認します。

Get-Service -Name DNS -ErrorAction SilentlyContinue

StatusがRunningであれば、DNSサービスが稼働しています。

DNS Server役割がインストールされ、DNSサービスが稼働しているにもかかわらず修正KBが入っていない場合は、CVE-2026-62878への対応を優先してください。

OSの種類とビルド番号を確認する

Get-CimInstance Win32_OperatingSystem |
    Select-Object Caption, Version, BuildNumber

出力例は次のようになります。

Caption                         Version        BuildNumber
-------                         -------        -----------
Microsoft Windows Server 2022  10.0.20348     20348

BuildNumberだけでは累積更新のリビジョン番号まで確認できない場合があるため、KBの適用履歴も併せて確認します。

GUIを利用できるサーバーでは、winverを実行してOSビルドを確認する方法もあります。

修正KBの適用状況を確認する

対象となるKBをまとめて検索するPowerShell例です。

$kbPattern = 'KB5120233|KB5120228|KB5120242|KB5120229|KB5120238|KB5120418|KB5120385|KB5120386'

Get-CimInstance Win32_QuickFixEngineering |
    Where-Object { $_.HotFixID -match $kbPattern } |
    Select-Object HotFixID, InstalledOn

該当する更新がインストールされていれば、KB番号とインストール日が表示されます。

何も表示されない場合は、次の可能性があります。

修正KBが未適用
後続の累積更新に置き換えられている
Hotpatchや更新パッケージが別の方法で記録されている
インストール後の再起動が完了していない
更新の検出方法によって表示されていない

必要に応じて、Windowsの更新履歴、WSUSのレポート、Microsoft Configuration Managerなどの管理画面とも照合してください。

CBSパッケージを確認する場合は、次のコマンドも利用できます。

Get-WindowsPackage -Online |
    Where-Object {
        $_.PackageName -match '5120233|5120228|5120242|5120229|5120238|5120418|5120385|5120386'
    } |
    Select-Object PackageName, PackageState

パッチ適用を最優先すべきDNSサーバー

すべての対象サーバーを更新する必要がありますが、同時に更新できない場合は、到達可能性と侵害時の影響から優先順位を決めます。

優先度	対象	優先する理由
最優先	インターネットからDNS通信が到達するサーバー	外部の未認証攻撃者が到達できる可能性がある
最優先	DNS Server役割を持つドメインコントローラー	DNSとActive Directoryが同一サーバー上にあり、侵害時の影響が大きい
高	社内の多数の端末やサーバーから到達できるDNS	侵害済み端末から攻撃される可能性がある
高	冗長構成になっていない単独DNS	障害や攻撃による停止が組織全体に影響する
通常	DNS役割が停止中、または未使用のサーバー	このCVEに対する直接の攻撃面は小さいが、累積更新自体は必要

「社内ネットワークにしか公開していない」という理由だけで優先度を大幅に下げるのは危険です。

社内端末、VPN接続端末、業務サーバー、仮想デスクトップなどからDNS通信が到達できる場合、別の侵害を起点として攻撃される可能性があります。

CVE-2026-62878の安全な更新手順

更新前にDNSの冗長性を確認する

DNSは認証、ファイル共有、業務システム、インターネット接続など多くの処理に影響します。

更新対象が1台しかない場合は、更新中や再起動中に名前解決が停止する可能性があります。可能であれば、次の状態を確認してから作業してください。

クライアントに複数のDNSサーバーが設定されている
セカンダリDNSまたは複数のドメインコントローラーが稼働している
片方ずつ更新できる
DNSフォワーダーと条件付きフォワーダーの設定を確認できる
主要な内部ゾーンと外部名前解決のテスト手順がある

Active Directory統合DNSを複数のドメインコントローラーで運用している場合は、原則として1台ずつ更新します。

更新前の状態を記録する

DNSゾーンとフォワーダーを確認します。

Get-DnsServerZone

Get-DnsServerForwarder

代表的な内部名と外部名を、更新対象のDNSサーバーに直接問い合わせます。

Resolve-DnsName "server01.contoso.local" -Server "192.0.2.10"

Resolve-DnsName "www.microsoft.com" -Server "192.0.2.10"

ドメインコントローラーの場合は、DNS診断とActive Directoryレプリケーションも確認します。

dcdiag /test:dns /v

repadmin /replsummary

更新前から存在する警告と、更新後に発生した問題を区別できるように、結果をテキストファイルへ保存しておくと有効です。

dcdiag /test:dns /v > C:\Temp\dcdiag-dns-before.txt

repadmin /replsummary > C:\Temp\repadmin-before.txt

SSUとESUの前提条件を確認する

古いWindows Serverでは、累積更新の前にServicing Stack Update、通称SSUが必要です。

Windows Server	事前確認
Windows Server 2025	最新SSUは通常の累積更新に統合
Windows Server 2022	最新SSUは通常の累積更新に統合
Windows Server 2019	事前にKB5005112が必要。現在の累積更新にはSSUも統合
Windows Server 2016	SSU KB5120236を先に適用またはWSUSで承認
Windows Server 2012 R2	ESUの有効化とSSU KB5106412が必要
Windows Server 2012	ESUの有効化とSSU KB5106414が必要

Windows Server 2016、2012 R2、2012では、WSUSを利用している場合、累積更新だけでなく対応するSSUも承認されているか確認してください。(マイクロソフトサポート)

Windows Server 2012および2012 R2では、ESUのライセンスやAzure Arc経由のESU構成が正常でなければ、更新が検出されない、またはインストールに失敗する可能性があります。

検証用サーバーから順番に適用する

複数台のDNSサーバーがある場合は、次の順序で進めます。

セカンダリDNSまたは影響の小さい1台へ適用
必要な再起動を実施
DNSサービスと名前解決を確認
Active Directoryレプリケーションを確認
問題がなければ次のDNSサーバーへ展開
最後にプライマリ相当のサーバーを更新

通常の累積更新では、再起動が必要になることを前提にメンテナンス時間を確保してください。

Hotpatch対象環境では再起動なしで適用できる場合がありますが、Hotpatchの適用資格やベースライン状態を確認せずに再起動不要と判断してはいけません。

WSUSで更新を配信する場合の確認点

WSUSを使用している場合は、次の項目を確認します。

対象Windows Server製品が同期対象になっている
Security Updates分類を同期している
対象KBが拒否状態になっていない
SSUが必要なOSではSSUも承認されている
サーバーが正しいコンピューターグループに所属している
承認期限や再起動期限が適切に設定されている
更新後にクライアントから状態レポートが送信されている

Windows Server 2019では、WSUSの製品としてWindows Server 2019、分類としてSecurity Updatesが必要です。Windows Server 2016でも、対象製品とセキュリティ更新の分類を正しく同期する必要があります。(マイクロソフトサポート)

適用後に確認する項目

更新のインストール成功だけでは、DNSサービスが正常に使えることまでは確認できません。

DNSサービスの状態

Get-Service -Name DNS

StatusがRunningであることを確認します。

内部DNSレコードの名前解決

Resolve-DnsName "server01.contoso.local" -Server "192.0.2.10"

Aレコードだけでなく、環境に応じて次のレコードも確認します。

SRVレコード
CNAMEレコード
MXレコード
PTRレコード
Active Directory用のDNSレコード

外部ドメインの名前解決

再帰問い合わせやフォワーダーを利用している場合は、外部名も確認します。

Resolve-DnsName "www.microsoft.com" -Server "192.0.2.10"

内部名は解決できても、フォワーダーやファイアウォールの問題で外部名だけ失敗するケースがあります。

DNSゾーンとフォワーダー

Get-DnsServerZone

Get-DnsServerForwarder

次の状態を確認します。

必要なゾーンが読み込まれている
ゾーンが停止状態になっていない
フォワーダーのIPアドレスが保持されている
条件付きフォワーダーが利用できる
セカンダリゾーンの転送が正常に行われている

Active Directory統合DNS

ドメインコントローラーでは、更新後にも次を実行します。

dcdiag /test:dns /v

repadmin /replsummary

更新前の結果と比較し、新しいエラーが発生していないことを確認してください。

DNS関連イベントログ

利用可能なDNS関連ログを確認します。

Get-WinEvent -ListLog "*DNS*" |
    Select-Object LogName, RecordCount, IsEnabled

DNS Serverログ、Systemログ、Active Directory関連ログを確認し、更新後から継続して発生しているエラーがないかを調べます。

更新が表示されない場合の確認事項

対象KBがWindows UpdateやWSUSに表示されない場合は、次の順序で確認します。

すでに後続の累積更新が入っている

累積更新は過去の修正を含みます。

後続の累積更新がインストールされている場合、KB5120233などの8月KBが個別に表示されなくても、CVE-2026-62878が修正済みである可能性があります。

KB番号だけでなく、更新日、OSビルド、適用済みの最新累積更新を確認してください。

SSUが不足している

Windows Server 2016、2012 R2、2012では、SSUが不足していると累積更新が提示されない、またはインストールに失敗する可能性があります。

WSUSではSSUが未承認になっていないかを確認します。

Windows Server 2012または2012 R2でESUが有効になっていない

Windows Server 2012と2012 R2は、2023年10月10日に通常サポートを終了しています。

2026年8月のセキュリティ更新を受け取るにはESUが必要です。Microsoftが案内するESUの最終日は2026年10月13日であるため、更新適用と並行して新しいWindows Serverへの移行を進める必要があります。(マイクロソフトサポート)

Hotpatch用KBを通常サーバーで探している

KB5120228やKB5120229はHotpatch対象環境向けです。

通常構成では、KB5120233またはKB5120242を確認してください。

再起動保留になっている

前回の更新や役割追加による再起動が保留されていると、新しい累積更新の検出やインストールに影響する場合があります。

保留中の再起動を確認し、メンテナンス時間内に再起動してから再検出します。

すぐに更新できない場合の暫定的な対策

MicrosoftはCVE-2026-62878に対する公式の回避策を提示していません。そのため、次の対策は修正の代わりではなく、パッチ適用までのリスク低減策です。

DNSサーバーへの通信を必要なネットワークからだけ許可する
管理ネットワークやサーバーネットワークを分離する
外部公開が不要なDNSサーバーをインターネットから到達できない状態にする
不要なDNS Server役割が残っている場合は、影響を確認したうえで削除する
DNSサービスの異常終了や再起動を監視する
DNSサーバーへの不審な通信量増加を監視する
冗長DNSを用意し、片方ずつ早期に更新する

DNSの再帰問い合わせを無効化することや、特定の通信方式だけを遮断することを、CVE-2026-62878の正式な修正とみなしてはいけません。

MSRCが攻撃成立に必要なDNS機能を限定していない以上、独自設定によって安全になったと判断せず、累積更新を適用してください。

オフラインイメージを更新する場合の注意点

稼働中のWindows Serverへ通常のWindows Updateを適用する場合とは別に、インストールメディアやオフラインイメージへDynamic Updateを組み込む場合は注意が必要です。

Microsoftは、更新するWindowsのバージョンとアーキテクチャに対応したboot.stlファイルがインストールメディアに含まれていない場合、メディアから起動できなくなったり、エラー0xc0430001が発生したりする可能性を案内しています。

この注意事項は、通常の稼働中サーバーへの月例更新ではなく、OSイメージやインストールメディアを保守する管理者向けです。(マイクロソフトサポート)

よくある質問

DNS Server役割を入れていないWindows Serverも更新が必要ですか

CVE-2026-62878の直接的な攻撃面はWindows DNS Serverコンポーネントです。そのため、まずDNS Server役割とDNSサービスの状態を確認します。

ただし、2026年8月の累積更新にはCVE-2026-62878以外のセキュリティ修正も含まれます。DNS役割がないことを理由に、OSの累積更新そのものを長期間延期するのは適切ではありません。

ドメインコントローラーは優先して更新すべきですか

DNS Server役割を持つドメインコントローラーは優先対象です。

Active DirectoryはDNSに強く依存しています。DNSとドメインコントローラーが同一サーバー上にある場合、侵害や停止による影響が認証基盤全体に及ぶ可能性があります。

ただし、複数のドメインコントローラーを同時に更新せず、1台ずつ名前解決とレプリケーションを確認しながら進めてください。

悪用可能性が低めなら次回の定期更新まで待てますか

「Exploitation Less Likely」は、更新を不要とする評価ではありません。

CVE-2026-62878は、認証不要、ネットワーク経由、ユーザー操作不要、攻撃の複雑さが低いという条件を持ちます。通常の検証期間は確保しつつ、DNSサーバーを2026年8月の優先更新対象に含めるべきです。

Hotpatchなら必ず再起動なしで修正できますか

Hotpatchの対象資格を持ち、必要なベースラインや管理構成が整っている場合に限られます。

通常のWindows Server 2025や2022へHotpatch用KBを適用することはできません。Hotpatchを利用していないサーバーでは、通常の累積更新を適用し、再起動を含むメンテナンス計画を立ててください。

更新後に問題が起きたらKBをアンインストールしてよいですか

最初に冗長DNSへ切り替え、名前解決、フォワーダー、ゾーン、Active Directoryレプリケーション、イベントログを確認してください。

セキュリティ更新をアンインストールすると、CVE-2026-62878の脆弱な状態へ戻る可能性があります。安易に削除せず、組織の変更管理や障害対応手順に従って判断します。

対応時に押さえるべきポイント

CVE-2026-62878への対応では、次の順番で進めると漏れを防げます。

Get-WindowsFeature DNSでDNS Server役割を棚卸しする
OSの種類と通常更新・Hotpatchの区分を確認する
対応する8月KBまたは後続の累積更新を選ぶ
Windows Server 2012系、2016、2019ではSSUやESUの前提条件を確認する
冗長DNSの片方から更新する
必要な再起動を行う
KB、OSビルド、DNSサービスの状態を確認する
内部名、外部名、フォワーダー、DNSゾーンをテストする
ドメインコントローラーではdcdiagとrepadminを実行する
WSUSや端末管理ツールの準拠状況を更新する

CVE-2026-62878には公式な回避策がないため、最終的な対応は修正済み累積更新の適用です。まずDNS Server役割を持つサーバーを抽出し、OSごとのKB、SSU、ESU、Hotpatchの条件を照合したうえで、冗長構成を維持しながら順次更新してください。

この記事を書いた人

佐藤健司

実務の現場で詰まりがちなポイントを地図にするITブログ「IT trip」を運営。Windows／Office（Teams・Excel）からSQL、サーバ運用、ガジェットまで、再現性のある手順と“なぜそうなるか”を丁寧に解説します。読んだらすぐ試せること、そして迷った人の次の一歩が見えることを大切にしています。