マイクロソフト、2026年2月のパッチ・チューズデーで6件のゼロデイと58件の欠陥を修正

.crit { font-weight:bold; color:red; } .article_section td { font-size: 14px！important;}。

本日は、マイクロソフトの2026年2月パッチ・チューズデーであり、6件の悪用が活発な脆弱性と3件の公開されたゼロデイ脆弱性を含む58件の欠陥に対するセキュリティ更新プログラムが提供される。

また、今回のパッチ・チューズデーでは、5件の「クリティカル」な脆弱性（うち3件は特権昇格の脆弱性、2件は情報漏えいの脆弱性）に対処している。

各脆弱性カテゴリにおけるバグの数は以下の通り：

• 25件の特権昇格の脆弱性
• 5 セキュリティ機能バイパスの脆弱性
• 12 リモート・コード実行の脆弱性
• 6 情報漏えいの脆弱性
• 3 サービス拒否の脆弱性
• 7 なりすましの脆弱性

パッチ・チューズデーのセキュリティ更新プログラムに関するレポートでは、マイクロソフトが本日リリースしたもののみをカウントしています。そのため、不具合の数には、今月初めに修正されたMicrosoft Edgeの3件の不具合は含まれていません。

これらのアップデートの一環として、マイクロソフトはまた、2026年6月下旬に期限切れを迎える2011年のオリジナル証明書に代わる、更新されたセキュアブート証明書の配布を開始した。

「このアップデートでは、Windows の品質アップデートに、デバイスを識別し、新しいセキュアブート証明書を受け取る能力を特定する、広範なターゲットデータが含まれます」と、マイクロソフトは Windows 11 アップデートの注意書きで説明している。

「これは、安全かつ段階的な展開に役立ちます。

本日リリースされた非セキュリティ更新プログラムの詳細については、Windows 11 KB5077181 および KB5075941 累積更新プログラム、およびWindows 10 KB5075912 拡張セキュリティ更新プログラムについての記事をご覧ください。

積極的に悪用される6件のゼロデイ

今月のパッチ・チューズデーでは、アクティブに悪用される6件の脆弱性が修正され、そのうち3件は公表されています。

マイクロソフトでは、公式な修正プログラムが提供されていないゼロデイ脆弱性を、一般に公開されている、または積極的に悪用されていると分類しています。

アクティブに悪用される6件のゼロデイ脆弱性は以下の通り：

CVE-2026-21510 – Windows シェルセキュリティ機能バイパスの脆弱性

この脆弱性は、特別に細工されたリンクまたはショートカットファイルを開くことで悪用される可能性があります。

「この脆弱性を悪用するには、攻撃者が悪意のあるリンクまたはショートカットファイルを開くようにユーザーを説得する必要があります。

「攻撃者は、Windows Shellコンポーネントの不適切な処理を悪用することで、Windows SmartScreenとWindows Shellのセキュリティ・プロンプトを回避し、攻撃者が制御するコンテンツをユーザーの警告や同意なしに実行させる可能性があります」とマイクロソフトは続ける。

マイクロソフト社は詳細を明らかにしていないが、おそらく攻撃者はMark of the Web（MoTW）のセキュリティ警告をバイパスすることができる。

マイクロソフトは、この欠陥の発見を、Microsoft Threat Intelligence Center (MSTIC)、Microsoft Security Response Center (MSRC)、Office Product Group Security Team、Google Threat Intelligence Group、および匿名の研究者によるものだとしている。

CVE-2026-21513 – MSHTML フレームワークのセキュリティ機能バイパスの脆弱性

マイクロソフトは、アクティブに悪用される Windows の MSHTML セキュリティ機能バイパスの欠陥にパッチを適用した。

「MSHTMLフレームワークの保護メカニズムの不具合により、許可されていない攻撃者がネットワーク経由でセキュリティ機能をバイパスすることが可能になる」とマイクロソフトは説明している。

この欠陥がどのように悪用されたかについての詳細は不明である。

この欠陥は、再びMicrosoft Threat Intelligence Center (MSTIC)、Microsoft Security Response Center (MSRC)、Office Product Group Security Team、Google Threat Intelligence Groupに起因している。

CVE-2026-21514 – Microsoft Word のセキュリティ機能バイパスの脆弱性

マイクロソフトは、積極的に悪用されている Microsoft Word のセキュリティ機能バイパスの欠陥にパッチを適用しました。

「攻撃者は、ユーザーに悪意のあるOfficeファイルを送り、それを開くように仕向ける必要があります。

「この更新プログラムは、脆弱なCOM/OLEコントロールからユーザーを保護するMicrosoft 365とMicrosoft OfficeのOLE緩和策をバイパスする脆弱性に対処しています」とマイクロソフトは続ける。

マイクロソフトは、この欠陥はOfficeプレビューペインでは悪用できないとしている。

この欠陥は、Microsoft Threat Intelligence Center (MSTIC)、Microsoft Security Response Center (MSRC)、Office Product Group Security Team、Google Threat Intelligence Group、および匿名の研究者によるものである。

詳細が発表されていないため、CVE-2026-21510、CVE-2026-21513、CVE-2026-21514 が同じキャンペーンで悪用されたのかは不明です。

CVE-2026-21519 – デスクトップ ウィンドウ マネージャーの特権昇格の脆弱性

マイクロソフトは、積極的に悪用される Desktop Window Manager の特権昇格の脆弱性にパッチを適用しました。

「この脆弱性の悪用に成功した攻撃者は、SYSTEM 権限を獲得する可能性がある」とマイクロソフトは警告しています。

この脆弱性がどのように悪用されたのか、詳細は明らかにされていない。

マイクロソフトは、この欠陥の発見をマイクロソフト脅威インテリジェンスセンター(MSTIC)とマイクロソフトセキュリティレスポンスセンター(MSRC)によるものだとしている。

CVE-2026-21525 – Windows リモートアクセス接続マネージャのサービス拒否の脆弱性

マイクロソフトは、積極的に悪用される Windows リモートアクセス接続マネージャのサービス拒否の欠陥を修正しました。

Windows リモートアクセス接続マネージャの Null ポインタ非参照は、許可されていない攻撃者がローカルでサービスを拒否することを可能にする」とマイクロソフトは説明している。

マイクロソフト社は、この欠陥の発見を0patchのACROSセキュリティチームによるものだとしている。

ACROSのCEOであるMitja Kolsek氏は、このエクスプロイトは公開マルウェアリポジトリで発見されたが、どのように攻撃に悪用されているかは不明であると語った。

「我々は2025年12月、CVE-2025-59230のエクスプロイトを探していたところ、公開マルウェアリポジトリでこの問題のエクスプロイトを発見した」とKolsek氏は語った。

「この問題は当時0dayであることが判明したので、パッチを適用し（blog.0patch.com/2025/12/free-micropatches-for-windows-remote.html）、Microsoftに報告した。この問題が悪用されたという情報はありませんが、両方の問題を組み合わせた悪用の質は、プロの仕事であることを示唆しています。”

CVE-2026-21533 – Windows リモートデスクトップサービスの特権昇格の脆弱性

マイクロソフトは、Windows リモートデスクトップサービスにおける特権の昇格を修正しました。

「Windows リモートデスクトップにおける不適切な特権管理により、許可された攻撃者がローカルで特権を昇格させることができる」とマイクロソフトは説明している。

マイクロソフト社は、この欠陥の発見をCrowdStrike社のAdvanced Research Teamによるものだとしている。

CrowdStrikeは、彼らが観測したエクスプロイトにより、脅威行為者は新しいユーザーをAdministratorグループに追加することが可能になると述べている。

「CVE-2026-21533のエクスプロイト・バイナリは、サービス・コンフィギュレーション・キーを変更し、攻撃者がコントロールするキーに置き換える。

「現在のところ、CrowdStrikeはこの活動を特定の標的や敵対勢力によるものとは断定していませんが、エクスプロイト・バイナリを保有する脅威行為者は、近いうちにCVE-2026-21533を使用または販売しようとする試みを加速させるでしょう。

6つのゼロデイのうち、CVE-2026-21513、CVE-2026-21510、CVE-2026-21514は公表されています。

他社の最近のアップデート

2026年2月にアップデートやアドバイザリを公開した他のベンダーには、次のようなものがある：

• Adobeは、Audition、After Effects、InDesign、Substance 3D、Adobe Lightroom Classicなどのセキュリティアップデートを公開した。いずれの欠陥も悪用されていない。
• BeyondTrust社は、同社のリモートサポート（RS）および特権リモートアクセス（PRA）ソフトウェアの重大なRCE欠陥に対するセキュリティ更新プログラムをリリースした。
• CISA は、連邦政府機関に対し、サポートが終了したネットワーク・エッジ・デバイスを削除するよう求める新しい拘束力のある運用指令を発表した。
• シスコは、Secure Web Appliance、Cisco Meeting Management などのセキュリティアップデートをリリース。
• フォーティネットは、FortiOS および FortiSandbox のセキュリティアップデートをリリースした。
• Googleは、Androidの2月のセキュリティ情報を公開したが、セキュリティ修正は含まれていない。
• n8nは、以前に修正されたCVE-2025-68613 RCEの欠陥のパッチバイパスとして機能する重大な脆弱性を修正した。
• SAPは 、2つの重大な脆弱性の修正を含む、複数の製品の2月のセキュリティ更新プログラムをリリースした。

セキュリティ更新プログラムではないが、MicrosoftはWindows 11のインサイダービルドに組み込まれたSysmon機能の配布を開始した。

2026年2月パッチチューズデーのセキュリティ更新プログラム

以下は、2026年2月のパッチ・チューズデー・アップデートで解決された脆弱性の完全なリストである。

各脆弱性の完全な説明と影響するシステムにアクセスするには、ここで完全なレポートを見ることができます。

更新 2/10/26：CVE-2026-21533 と CVE-2026-21525 がどのように悪用されるかについての情報を追加しました。

.ia_ad { background-color：#width: 95%; max-width: 800px; margin: 15px auto; border-radius: 8px; border：1px solid #d6ddee; display: flex; align-items: stretch; padding: 0; overflow: hidden; }：0; overflow: hidden; } .ia_lef { flex: 1; max-width: 200px; height: auto; display: flex; align-items: stretch; } .ia_lef a { display: flex; width: 100%; height: 100%; } .ia_lef a img { width: 100%; height: 100%; border-radius: 8px 0 0 8px; margin: 0; display: block; } .ia_rig { flex: 2; padding：display: flex; flex-direction: column; justify-content: center; } .ia_rig h2 { font-size: 17px !important; font-weight: 700; color：#line-height: 1.4; font-family：margin: 0 0 14px 0; } .ia_rig p { font-weight: bold; font-size: 14px; margin: 0 0 clamp(6px, 2vw, 14px) 0; } .ia_button { background-color：#border：1px solid #3b59aa; color: black; text-align: center; text-decoration: none; border-radius: 8px; display: inline-block; font-size: 16px; font-weight: bold; cursor: pointer; padding：width: fit-content; } .ia_button a { text-decoration: none; color: inherit; display: block; } @media (max-width: 600px) { .ia_ad { flex-direction: column; align-items: center; } .ia_lef { max-width: 100%; } .ia_lef a img { border-radius: 8px 8px 0 0; } .ia_rig { padding：15px;
width: 100%;
}

.ia_button {
width: 100%;
margin: 0px auto;
}
}

ITインフラの未来はここにある

現代のITインフラは、手作業のワークフローでは対応できないほど高速に動いています。

この新しいTinesガイドでは、チームが隠れた手作業の遅延を削減し、自動応答によって信頼性を向上させ、すでに使用しているツールの上にインテリジェントなワークフローを構築して拡張する方法をご紹介します。

ガイドを見る