Windows Shellのなりすましの脆弱性CVE-2026-32202の悪用
Windows Shellのなりすましの脆弱性CVE-2026-32202について、Microsoftは2026年4月27日のアドバイザリの改訂で、公開時に誤っていた悪用の表示を訂正し、悪用ありとした［1］。7月28日にはこのCVEを再リリースし、Windowsの2026年7月の更新のインストールを勧めている［1］。
脆弱性の内容
Microsoftのアドバイザリの説明では、Windows Shellの保護機構の不備で、権限のない攻撃者がネットワーク経由でなりすましを行える［1］。攻撃者は細工したファイルを被害者に送り、被害者がそのファイルを実行する必要がある［1］。悪用に成功した攻撃者は一部の機密情報を閲覧しうるが、影響を受けるコンポーネントのすべての資源が漏れるとは限らない［1］。開示された情報を変えることや、資源へのアクセスを制限することはできない［1］。
| 項目 | 値 | 資料 |
|---|---|---|
| CVSS（Microsoft） | 基本値4.3、現状値4.0（CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N/E:F/RL:O/RC:C） | ［1］ |
| 深刻度 | Important | ［1］ |
| CWE | CWE-693（Protection Mechanism Failure） | ［1］ |
| 悪用されたときの影響 | なりすまし（Spoofing） | ［1］ |
| 悪用の状況 | 悪用（Exploited）はYes、一般公開（Publicly disclosed）はNo、悪用可能性の評価は「Exploitation Detected」 | ［1］ |
アドバイザリの謝辞は、発見者としてAkamaiの研究者と、ACROS Security（0patch）の研究者を挙げる［2］。Microsoftは開発者向けの文書で、Windows Shellはオブジェクトを階層型の名前空間にまとめ、ユーザーとアプリケーションがオブジェクトにアクセスし管理する一貫した方法を提供すると説明している［16］。
2月の修正との関係
Microsoftは、CVE-2026-21510をWindows Shellのセキュリティ機能の回避の脆弱性とした［4］。保護機構の不備によって、ネットワーク経由で権限のない攻撃者がセキュリティ機能を回避できると説明した［4］。CVSSの基本値は8.8である［4］。
SecurityWeekの4月27日の記事によると、Akamaiは、CVE-2026-21510は細工したショートカットファイルを被害者に開かせれば遠隔コード実行に悪用できるものだったと報告した［11］。2月の修正は、SmartScreenでファイルのデジタル署名と取得元のゾーンを検証させ、遠隔コード実行の経路を緩和した［11］。それでも「被害者のマシンはなお攻撃者のサーバーに認証していた」とAkamaiは説明した［11］。Akamaiは「不完全な修正を見つけてMicrosoftに開示した」と述べ、新しい脆弱性CVE-2026-32202は、ユーザーの操作なしに（ゼロクリック）被害者に攻撃者のサーバーへ認証させたとした［11］。
認証の強制の仕組み
同じ記事が伝えたAkamaiの説明では、悪性のLNKファイルを含むフォルダーの内容を表示するとき、Windowsエクスプローラーがshell32にUNCパスからアイコンを取得させる［11］。この取得が、ユーザーの操作なしに攻撃者のサーバーへのSMB接続を起こす［11］。この接続はNTLM認証のハンドシェイクを自動で起こし、被害者のNet-NTLMv2ハッシュが攻撃者に送られる仕組みである［11］。ハッシュは、のちにNTLMリレー攻撃やオフラインでの解読に使われうる［11］。
Help Net Securityは、ユーザーがLNKファイルをダウンロードしたフォルダーを開き、エクスプローラーが内容を表示してショートカットのアイコンを取得しようとするときにSMB接続が起きるとAkamaiが説明したと報じた［13］。
0patchの説明では、CVE-2026-32202は、悪性のLNKファイルがあるネットワーク上のフォルダーをユーザーが表示したときに、Windowsのユーザーの認証情報を得るのに使われうるNTLM認証情報の漏えいである［9］。
時系列
| 日付 | 主体 | 内容 | 資料 |
|---|---|---|---|
| 2026年 | Microsoft | CVE-2026-21510を公開し、悪用・一般公開ともにYesと示した | ［4］ |
| 2026年 | - | CVE-2026-32202の番号が予約された | ［5］ |
| 2026年 | Microsoft | CVE-2026-32202のアドバイザリとCVEレコードを公開した | ［1、5］ |
| 2026年 | Microsoft | アドバイザリを改訂し、悪用可能性指標（Exploitability Index）・悪用の有無・CVSSベクトルの誤りを訂正した | ［1］ |
| 2026年 | CISA | KEVカタログに追加し、対応期限を5月12日とした | ［5、6］ |
| 2026年 | 0patch | 一部のWindowsでMicrosoftの修正が機能していないとみられると公表し、マイクロパッチを配布した | ［9］ |
| 2026年 | Microsoft | 脆弱性に包括的に対処するためとして、CVE-2026-32202を再リリースした | ［1］ |
対象の製品と版
Microsoftの影響を受ける製品の一覧は30行で、Windows Serverの各版のServer Coreのインストールを含む［3］。
| 製品 | 影響を受ける版 | 修正版 | 資料 |
|---|---|---|---|
| Windows 11 | Version 24H2、25H2 | KB5101650（ビルド10.0.26100.8875、10.0.26200.8875） | ［3］ |
| Windows 11 | Version 26H1 | KB5101649 | ［3］ |
| Windows 11 | Version 23H2 | KB5099414（ビルド10.0.22631.7376） | ［3］ |
| Windows 10 | Version 21H2、22H2 | KB5099539 | ［3］ |
| Windows 10 | Version 1809 | KB5099538 | ［3］ |
| Windows 10 | Version 1607 | KB5099535 | ［3］ |
| Windows Server | 2025 | KB5099536 | ［3］ |
| Windows Server | 2022 | KB5099540 | ［3］ |
| Windows Server | 2019 | KB5099538 | ［3］ |
| Windows Server | 2016 | KB5099535 | ［3］ |
| Windows Server | 2012 R2 | KB5099444 | ［3］ |
| Windows Server | 2012 | KB5099445 | ［3］ |
悪用の状況
CISAはCVEレコードに付けたSSVCで、Exploitationをactive、Automatableをno、Technical Impactをpartialと評価した［5］。NVDに載るKEVの項目では、脆弱性名は「Microsoft Windows Protection Mechanism Failure Vulnerability」である［6］。項目は、ベンダーの指示に従って緩和策を適用し、クラウドサービスは該当するBOD 22-01の指針に従い、緩和策が無ければ製品の使用を中止するよう求めている［6］。CISAは、KEVカタログへの追加を告知する文書を公開した［7］。
SecurityWeekの記事で、Akamaiは、ロシアと関係するAPT28がCVE-2026-21510を、MSHTMLのセキュリティ機能の回避の脆弱性CVE-2026-21513とあわせて悪用したと述べた［11］。これらの脆弱性は、ウクライナとEU諸国を狙った2025年12月の攻撃でAPT28が悪用した可能性が高いとした［11］。
The Hacker Newsの記事によると、Akamaiの研究者は、APT28がWindows Shellの名前空間の解析の仕組みを使い、UNCパスで遠隔のサーバーからDLLを読み込ませると説明した［12］。そのDLLは、ネットワークゾーンの適切な検証なしにControl Panel（CPL）のオブジェクトとして読み込まれる［12］。
Proofpointは5月27日のブログで、CVE-2026-32202を、2026年にメールで悪用された3つ目の標的型のCVEとした［10］。TA422がCVE-2026-21513とともにゼロデイとして悪用し、2025年末からウクライナとEU加盟国を狙ったと説明した［10］。CVE-2026-21509とCVE-2026-32202は公表から数日のうちにAPT28に悪用されたとも書いた［10］。
修正と回避策
0patchの6月12日のブログによると、Microsoftの修正はWindows Server 2025とWindows 11 24H2・25H2では機能するが、ほかのサポート中の版では機能していないとみられる［9］。機能していないとみられる版として、Windows 10 22H2（ESU適用）とWindows 11 23H2を挙げた［9］。Windows Serverでは、2012・2012 R2（ESU適用）から2022までの各版が対象になっている［9］。これらの版は、2026年6月の更新まで適用しても脆弱性が残る［9］。
0patchは、Microsoftがwindows.storage.dllのShellLink::_InitExtractIconにMapUrlToZoneExの呼び出しを加えたと説明した［9］。NTLMの漏えいを、信頼された場所のLNKに限るための変更である［9］。周辺のコードの論理により、加えた確認は回避でき、0patchの概念実証では実際に回避された［9］。0patchはMicrosoftにこの漏れを通知し、次の更新の周期に修正が入ると見込む［9］。
0patchのマイクロパッチの対象は、Windows 11 v23H2〜v21H2、Windows 10 v22H2〜v1803、Windows 7である［9］。Windows Serverは2008 R2・2012・2012 R2・2016・2019・2022を対象にした［9］。0patchはAkamaiの研究者の詳しい分析で問題を再現し、旧版のWindowsの利用者向けにこのパッチを作った［9］。PRO・Enterpriseのアカウントで0patch Agentを入れたオンラインのコンピューターには、Enterpriseのグループ設定で妨げた場合を除いて配布と適用を済ませたとした［9］。
未公表の事項
- Microsoftのアドバイザリでの、観測した攻撃の時期・標的・規模
- CVE-2026-32202自体を悪用した攻撃者についてのMicrosoftの説明
- 訂正前のCVSSベクトルと悪用可能性指標の値
- 再リリースで追加の修正を受けた製品と版、0patchの指摘との対応
出典
当事者
- ［1］Microsoft Corporation『Windows Shell Spoofing Vulnerability』（2026年4月14日公開、2026年8月21日更新）
- ［2］Microsoft Corporation『Windows Shell Spoofing Vulnerability（Acknowledgements）』（2026年4月14日公開、2026年8月21日更新）
- ［3］Microsoft Corporation『Windows Shell Spoofing Vulnerability（Affected Products）』（2026年4月14日公開）
- ［4］Microsoft Corporation『Windows Shell Security Feature Bypass Vulnerability』（2026年2月10日公開）
公的機関
- ［5］MITRE Corporation『CVE-2026-32202』（2026年4月14日公開、2026年10月15日更新）
- ［6］National Institute of Standards and Technology『CVE-2026-32202』（2026年4月14日公開、2026年10月26日更新）
- ［7］Cybersecurity and Infrastructure Security Agency『CISA Adds Two Known Exploited Vulnerabilities to Catalog』（2026年4月28日公開、保存記録のみ） 保存記録
調査・観測
- ［9］ACROS Security『Broken official patches for Windows Shell Spoofing Vulnerability (CVE-2026-32202)』（2026年6月12日公開）
- ［10］Proofpoint, Inc.『More CVEs, Same Playbook: 2026 Vulnerability Exploitation in the Wild』（2026年5月27日公開）
報道機関
- ［11］Wired Business Media『Incomplete Windows Patch Opens Door to Zero-Click Attacks』（2026年4月27日公開）
- ［12］The Hacker News『Microsoft Confirms Active Exploitation of Windows Shell CVE-2026-32202』（2026年4月28日公開）
- ［13］Help Net Security『CISA, Microsoft warn of active exploitation of Windows Shell vulnerability (CVE-2026-32202)』（2026年4月29日公開）
背景資料
- ［16］Microsoft Corporation『Windows Shell』（2018年5月31日公開、2025年4月15日更新）
更新記録
- 2026年5月3日：公開した。
- 2026年5月27日：Proofpointのブログ（出典10）を加え、CVE-2026-32202を悪用した攻撃者の記述を「悪用の状況」に加えた。
- 2026年6月12日：0patchのブログ（出典9）を加え、公式の修正が一部の版で機能していないとの指摘とマイクロパッチを「修正と回避策」「時系列」に、0patchの説明を「脆弱性の内容」に加えた。
- 2026年7月28日：Microsoftのアドバイザリの7月28日の改訂（出典1）で示されたCVEの再リリースと7月の更新の推奨を、リードと「時系列」に加えた。
- 2026年8月21日：Microsoftのアドバイザリの8月21日の改訂（出典1）で更新された謝辞（出典2）を「脆弱性の内容」に加えた。
- 2026年10月15日：CVEレコードの10月15日の更新版（出典5）に載るCISAのSSVCの評価を「悪用の状況」に加えた。
- 2026年10月26日：NVDの10月26日の更新版（出典6）に載るKEVの脆弱性名と求める対応を「悪用の状況」に加えた。