マイクロソフト、2026年1月の月例パッチで悪用確認のゼロデイ含む脆弱性114件に対処（CVE-2026-20805他）

佐々山 Tacos

2026.01.14

マイクロソフト、2026年1月の月例パッチで悪用確認のゼロデイ含む脆弱性114件に対処（CVE-2026-20805他）

BleepingComputer – January 13, 2026

マイクロソフトは13日に2026年1月の月例セキュリティ更新プログラムをリリースし、脆弱性114件に対処。これには、攻撃での悪用事例が検出されたゼロデイが1件含まれている。

問題のゼロデイCVE-2026-20805はデスクトップウィンドウマネージャーにおける情報開示の脆弱性で、デスクトップウィンドウマネージャー内の機微な情報が、本来当該情報へアクセス権を持たないはずの人物にまで漏れる可能性がある問題と説明されている。この問題をログイン済みの攻撃者が悪用することに成功した場合、リモートの ALPCポートに関連付けられたセクションのアドレスを読み取ることができるようになるとされる。

脆弱性の発見者としてはマイクロソフトの脅威インテリジェンスセンター（MSTIC）およびセキュリティレスポンスセンター（MSRC）がクレジットされているものの、どのような攻撃で悪用されているのか等の詳細は共有されていない。

米CISAも13日にCVE-2026-20805をKEVカタログ（悪用が確認済みの脆弱性カタログ）に追加。米連邦政府機関に対し、2月3日までの対応を命じている。同カタログの説明によると、この脆弱性がランサムウェアキャンペーンで利用されたかどうかは不明だという。

このほか、今回の月例パッチでは深刻度が「Critical（緊急）」と評価された以下の6件の脆弱性なども修正されている。

CVE-2026-20822：Windows Graphics コンポーネントにおける特権昇格の脆弱性。解放済みメモリ使用に起因する問題で、悪用に成功した攻撃者はSYSTEM権限を取得できる可能性があるとされる。

CVE-2026-20952：Microsoft Officeにおけるリモートコード実行の脆弱性。解放済みメモリ使用の問題により、権限を持たない攻撃者にローカルでのコード実行を許す恐れがあるとされる。

CVE-2026-20953：Microsoft Officeにおけるリモートコード実行の脆弱性。解放済みメモリ使用の問題により、権限を持たない攻撃者にローカルでのコード実行を許す恐れがあるとされる。

CVE-2026-20957：Microsoft Excelにおけるリモートコード実行の脆弱性。整数アンダーフローの問題により、権限を持たない攻撃者にローカルでのコード実行を許す恐れがあるとされる。

CVE-2026-20955：Microsoft Excelにおけるリモートコード実行の脆弱性。信頼できないポインタデリファレンスの問題により、権限を持たない攻撃者にローカルでのコード実行を許す恐れがあるとされる。

CVE-2026-20944：Microsoft Wordにおけるリモートコード実行の脆弱性。境界外読み取りの問題により、権限を持たない攻撃者にローカルでのコード実行を許す恐れがあるとされる。

FortinetがFortiSIEMのCriticalな脆弱性を開示、研究者がPoCエクスプロイトも公開（CVE-2025-64155）

FortiGuard Labs – Jan 13, 2026

Fortinetは1月13日、同社の複数製品における脆弱性数件に関するセキュリティアドバイザリをリリース。これには、深刻度が「Critical」と評価されるFortiSIEMの脆弱性CVE-2025-64155が含まれる。

CVE-2025-64155はFortiSIEMにおけるOSコマンドインジェクションの脆弱性で、認証されていない攻撃者が悪用した場合、細工されたTCPリクエストを通じて不正なコードやコマンドを実行される恐れがあるとされる。影響を受けるバージョンおよびソリューションは以下の通り。

バージョン	影響を受けるバージョン	ソリューション
FortiSIEM 7.4	7.4.0	7.4.1以降へのアップグレード
FortiSIEM 7.3	7.3.0 〜 7.3.4	7.3.5以降へのアップグレード
FortiSIEM 7.2	7.2.0 7.2.6	7.2.7以降へのアップグレード
FortiSIEM 7.1	7.1.0 〜 7.1.8	7.1.9以降へのアップグレード
FortiSIEM 7.0	7.0.0 〜 7.0.4	固定リリースへの移行
FortiSIEM 6.7	6.7.0 〜 6.7.10	固定リリースへの移行

（表：Fortinetのアドバイザリを参考に作成）

CVE-2025-64155の発見者・報告者としてクレジットされたHorizon3.aiのZach Hanley（@hacks_zach）氏も、同じく13日中に同脆弱性の詳細やIoCを記したブログ記事を公開。PoCエクスプロイトもGitHub上で共有した。

記事の中でHanley氏は、2025年8月にアドバイザリがリリースされた別のFortiSIEMの脆弱性CVE-2025-25256について調査していたところ、新たにCVE-2025-64155の存在を発見したと述べた。なおHanley氏はこの新たな脆弱性を8月14日にFortinetに報告したものの、Fortinet PSIRTのアドバイザリが公開されるまでにはそれから150日ほどかかっている。

このほか、13日にアドバイザリがリリースされたその他の脆弱性には以下が含まれる。

CVE-2025-47855（CVSSv3スコア 9.3、Critical評価）：FortiFone Web Portalページにおける情報漏洩の脆弱性。認証されていない攻撃者が悪用を成功させた場合、細工されたHTTPまたはHTTPSリクエストを通じてデバイス構成設定情報を取得できるようになる恐れがあるとされる。

CVE-2025-25249（CVSSv3スコア 7.4、High評価）：FortiOSおよびFortiSwitchManagerのcw_acdデーモンにおけるヒープベースのバッファオーバーフローの脆弱性。リモートの認証されていない攻撃者が悪用を成功させた場合、特別に細工されたリクエストを通じてコードまたはコマンドを実行できるようになる恐れがあるとされる。

Fortinet製品に関するその他の脆弱性は、PSIRTアドバイザリページから確認できる。