マイクロソフトの2026年6月の「パッチチューズデー」では、6件のゼロデイ脆弱性と200件の脆弱性が修正された

2026年6月の「パッチ・チューズデー」で、さらに3件のゼロデイ脆弱性が修正されたため、記事とタイトルを更新しました。

本日はマイクロソフトの2026年6月の「パッチ・チューズデー」であり、5件の公開済みのゼロデイ脆弱性と、攻撃で実際に悪用されている1件を含む、計200件の脆弱性に対するセキュリティ更新プログラムが提供されます。

今回の「パッチ・チューズデー」では、33件の「重大」な脆弱性が修正されました。そのうち28件はリモートコード実行、4件は権限昇格、1件は情報漏洩の脆弱性です。

各脆弱性カテゴリごとのバグ数は以下の通りです：

• 65 権限昇格の脆弱性
• 19 セキュリティ機能のバイパス脆弱性
• 55 リモートコード実行の脆弱性
• 30 情報漏洩の脆弱性
• 7 サービス拒否（DoS）の脆弱性
• 27 なりすまし脆弱性

「パッチ・チューズデー」のセキュリティ更新プログラムについて報告する際、当サイトでは本日マイクロソフトがリリースしたもののみを対象としています。

したがって、この脆弱性の件数には、今月初めにマイクロソフトによって修正された、Mariner、Azure HorizonDB、Microsoft Copilot、Copilot Chat、M365 Copilot、Microsoft Exchange Online、およびMicrosoft Graphの脆弱性は含まれていません。

また、今月Googleによって修正されたMicrosoft EdgeおよびChromiumの脆弱性が360件にも上りましたが、これらは今回の「パッチ・チューズデー」のまとめからは除外されています。

本日リリースされたセキュリティ以外の更新プログラムについて詳しくは、Windows 11 の累積更新プログラム KB5094126 および KB5093998、ならびにWindows 10 の延長セキュリティ更新プログラム KB5094127 に関する各記事をご覧ください。

マイクロソフトが5つのゼロデイ脆弱性に対処

今月のパッチ・チューズデーでは、6件のゼロデイ脆弱性が修正されました。そのうち5件はすでに公開されており、1件は攻撃に悪用されていました。

マイクロソフトは、公式の修正プログラムが提供されていない間、ゼロデイ脆弱性を「公開済み」または「実際に悪用されている」ものと分類しています。

今月の「パッチ・チューズデー」で修正されたゼロデイ脆弱性は以下の通りです：

CVE-2026-45586 – Windows 共同翻訳フレームワーク (CTFMON) の権限昇格の脆弱性

マイクロソフトは、SYSTEM権限を付与するWindowsのCTFMONの脆弱性について、公開された情報を基に修正パッチを適用しました。

「Windows Collaborative Translation Framework において、ファイルアクセス前の不適切なリンク解決（『リンク追跡』）により、権限を持つ攻撃者がローカルで権限を昇格させることが可能になる」とマイクロソフトは説明している。

マイクロソフトはこの脆弱性を匿名の研究者の功績として挙げたが、これはセキュリティ研究者のNightmare Eclipseによって公表された「GreenPlasma」というゼロデイ脆弱性に対する修正であることが判明した。

GreenPlasmaは、権限昇格の脆弱性であり、悪用されるとSYSTEM権限を持つシェルを取得される可能性があります。

Nightmare Eclipseは、マイクロソフトのバグ報奨金プログラムおよび脆弱性開示プログラムの取り扱いに対する抗議として、BlueHammer、RedSun、UnDefend、YellowKey（本日修正済み）を含む一連のWindows向けゼロデイ脆弱性を公開した。

CVE-2026-49160 – HTTP.sys のサービス拒否（DoS）の脆弱性

マイクロソフトは、攻撃的セキュリティ企業Calif.の研究者が今月公表した、「HTTP/2 Bomb」と呼ばれるHTTP/2のサービス拒否（DoS）脆弱性に対し、修正パッチを適用した。

「HTTP/2における制御不能なリソース消費により、権限のない攻撃者がネットワーク上でサービス拒否攻撃を仕掛けることが可能になる」とマイクロソフトは説明している。

HTTP/2ボム攻撃とは、HTTP/2プロトコルがWebトラフィックのヘッダーを圧縮・管理する仕組みを悪用したサービス拒否（DoS）攻撃の手法であり、攻撃者はごく少量のデータを送信するだけで、サーバーに不釣り合いなほど大量のメモリを割り当てさせることを可能にする。

研究者らは、この攻撃によって影響を受けたサーバーのメモリ使用量が劇的に増加する可能性があることを突き止めた。また、攻撃者はフロー制御の設定を操作することでメモリを占有し続け、サーバーがリソースを解放できないようにすることで、パフォーマンスの低下やサービス停止を引き起こす恐れがある。

この攻撃の影響を軽減するため、マイクロソフトはリクエスト内のヘッダー数を制限する新しいレジストリ設定「MaxHeadersCount」を導入し、その使用方法に関するサポート情報も公開しました。

「マイクロソフトは、新しいレジストリ設定『MaxHeadersCount』も導入しました。この設定により、HTTPサーバーが受け入れるHTTP/2およびHTTP/3リクエストに含まれるヘッダーの数を制限することができます。詳細については、KB5102602を参照してください」とマイクロソフトは続けた。

この不具合は、Quang Luong氏およびCodex of Calif.ioによるものである。

CVE-2026-45585 – Windows BitLocker のセキュリティ機能バイパス脆弱性

マイクロソフトは、「YellowKey」として知られる、ローカル攻撃者が暗号化されたドライブにアクセスできることを可能にしていたWindows BitLockerのバイパス脆弱性に対し、パッチを適用した。

「攻撃者がこの脆弱性を悪用すると、システムストレージデバイス上のBitLockerデバイス暗号化機能を回避できる可能性があります。対象デバイスに物理的にアクセスできる攻撃者は、この脆弱性を悪用して暗号化されたデータにアクセスする恐れがあります」とマイクロソフトは説明しています。

マイクロソフトはこの脆弱性を匿名の研究者の発見によるものと説明したが、Nightmare Eclipseも先月、これを公表していた。

YellowKeyの脆弱性は、USBドライブやEFIパーティションに細工されたファイルを配置し、Windowsリカバリ環境（WinRE）を起動することで悪用される可能性があります。WinREでは、CTRLキーを押し続けるとコマンドシェルが起動し、BitLockerで保護された暗号化ドライブに対して制限のないアクセス権限が得られてしまいます。

この脆弱性は、主にWindows 11およびWindows Server 2022/2025搭載デバイスにおいて、TPMのみによるBitLocker保護を使用しているシステムに影響を及ぼします。マイクロソフトは以前、この問題に対する一時的な回避策として、TPM保護のみに依存するのではなく、TPMとPINによる認証を有効にする方法などを公開していました。

マイクロソフトは5月にこの脆弱性に対する回避策を公開していましたが、今月のセキュリティ更新プログラムの一環として修正されました。

CVE-2026-50507 – Windows BitLocker のセキュリティ機能バイパス脆弱性

マイクロソフトは、ローカルの攻撃者が暗号化されたドライブにアクセスできるという、BitLockerの別のバイパス脆弱性に対する修正プログラムを公開した。

「攻撃者がこの脆弱性を悪用すると、システムストレージデバイス上のBitLockerデバイス暗号化機能を回避できる可能性があります。対象デバイスに物理的にアクセスできる攻撃者は、この脆弱性を悪用して暗号化されたデータにアクセスする恐れがあります」とマイクロソフトは説明しています。

マイクロソフトはこの脆弱性の原因を特定しなかったものの、このセキュリティ更新プログラムは「bitskrieg」として知られるBitLockerのゼロデイ脆弱性を修正するものとみられている。

先週の金曜日、Windowsセキュリティの専門家であるJonas Lykkegaard氏が、X上で「bitskrieg」と呼ばれるBitLockerのバイパス脆弱性を公表した。

Tharrosの主任脆弱性アナリストであるウィル・ドーマン氏は、マイクロソフトがCVE-2026-50507に対するセキュリティ更新プログラムの一環として、この脆弱性を修正したと述べている。

しかし、ドーマン氏は、この修正により、Windows デバイスで「BitLocker キーが正しく読み込まれていないため、必要なファイルにアクセスできませんでした」というエラーが表示される可能性があるとして注意を促している。

このエラーが表示された場合、Dormann氏によると、管理者権限で起動したコマンドプロンプトで以下のコマンドを実行し、WinREを一度無効にしてから再度有効にすることで解決できるとのことです：

reagentc /disable
reagentc /enable

CVE-2020-17103 – Windows Cloud Files Mini フィルタードライバーの権限昇格の脆弱性

マイクロソフトは、SYSTEM権限を取得できるとして公開されていた「Mini-Plasma」というゼロデイ脆弱性を修正した。

「CVE-2020-17103 で特定され、最近『Mini-Plasma』として公に言及されている脆弱性に対処するため、マイクロソフトは、お使いの Windows オペレーティングシステムに 2026 年 6 月の更新プログラムをインストールすることを推奨しています」とマイクロソフトは説明しています。

この脆弱性はNightmare Eclipseによっても公表されており、同団体によると、これはもともと2020年9月にGoogle Project Zeroの研究者であるJamesForshaw氏によってマイクロソフトに報告されたものだという。

当時、この脆弱性にはCVE-2020-17103という識別子が割り当てられ、2020年12月に修正されたと報じられていた。しかし、Nightmare Eclipseは、この脆弱性は依然として悪用可能であると指摘しており、マイクロソフトが問題を完全に修正しなかったのか、それともパッチがいつの間にか再導入されたのかは不明であった。

現在悪用されている脆弱性は以下の通りです：

CVE-2026-42897 – Microsoft Exchange Server のなりすまし脆弱性

マイクロソフトは、標的のブラウザ上でJavaScriptを実行可能な、現在悪用されているMicrosoft Exchange Serverのなりすまし脆弱性を修正した。

「攻撃者は、ユーザーに細工された電子メールを送信することで、この問題を悪用する可能性があります。ユーザーがOutlook Web Accessでそのメールを開き、特定の操作条件が満たされた場合、ブラウザのコンテキスト内で任意のJavaScriptが実行される可能性があります」とマイクロソフトは説明しています。

マイクロソフトは、この脆弱性に対する更新プログラムの開発を現在も進めていると述べていますが、デフォルトで有効になっているはずの「Exchange Emergency Mitigation Service」を通じて、暫定的な対策を公開しています。

マイクロソフトは、この脆弱性を誰が発見したのか、またどのように悪用されたのかについては明らかにしていない。

他社からの最近の更新情報

2026年5月に更新プログラムやアドバイザリを公開したその他のベンダーには、以下の企業が含まれます：

• Acerは、Acer Wave 7ルーターに存在する2つの「最大深刻度」の未修正の脆弱性について警告を発しました。これらの脆弱性は、ルーターの乗っ取りに悪用される可能性があります。
• アドビは、Experience Manager、InDesign、InCopy、Substance 3D Sampler、Dreamweaver、Reader、ColdFusionなどに対するセキュリティ更新プログラムを公開しました。
• Check Pointは、Qilinランサムウェア攻撃で悪用されたリモートアクセスVPNおよびモバイルアクセスの脆弱性に対するセキュリティ更新プログラムをリリースしました。
• シスコは、PoC（概念実証）エクスプロイトが存在するUnified CMの脆弱性や、攻撃で悪用されたSD-WANのゼロデイ脆弱性を含む、多数の製品に対するセキュリティ更新プログラムをリリースしました。
• Fortinetは、FortiOS、FortiSandbox、FortiProxyにおける多数の脆弱性に対するセキュリティ更新プログラムを公開しました。
• GoogleはAndroidの6月セキュリティ情報（Security Bulletin）を公開し、124件の脆弱性と、実際に悪用されていた1件の脆弱性を修正しました。同社はまた、攻撃で悪用されたGoogle Chromeの新たなゼロデイ脆弱性も修正しました。
• Ivantiは、Ivanti Endpoint Manager Mobile（EPMM）およびIvanti Sentryの脆弱性に対するセキュリティ更新プログラムを公開しましたが、実環境で悪用された事例はありません。
• Ubiquitiは、リモートコード実行につながる可能性のある、深刻度評価が最高レベルの3つの脆弱性に対するセキュリティ更新プログラムを公開しました。 
• SAP は6月のセキュリティ更新プログラムを公開し、4つの重大な欠陥に対する修正を含んでいます。
• Veeamは、ドメインに参加しているバックアップサーバー上でリモートコード実行（RCE）を可能にする重大な「Backup & Replication」のセキュリティ脆弱性に対するセキュリティ更新プログラムをリリースしました。

2026年6月のパッチチューズデー セキュリティ更新プログラム

以下は、2026年5月の「パッチ・チューズデー」アップデートで修正された脆弱性の完全なリストです。本日以前に修正された脆弱性は除きます。

各脆弱性の詳細および影響を受けるシステムについては、こちらから完全なレポートをご覧いただけます。

2026年6月10日：2026年6月の「パッチ・チューズデー」更新で修正されたゼロデイ脆弱性を3件追加し、記事を更新しました。また、CVE-2026-45585に関する情報を修正しました。これは実際にはYellowKeyの脆弱性に関するものです。