マイクロソフト、攻撃で悪用されているゼロデイ6件などを修正（CVE-2026-21533、CVE-2026-21525ほか）

マイクロソフト、攻撃で悪用されているゼロデイ6件などを修正（CVE-2026-21533、CVE-2026-21525ほか）

Help Net Security – February 11, 2026

マイクロソフトが2026年2月の月例セキュリティ更新プログラムをリリースし、脆弱性およそ60件に対処。これには、攻撃での悪用が観測されているゼロデイ脆弱性が6件含まれる。

今回修正された6件のゼロデイは以下：

• CVE-2026-21513：MSHTML Framework（Trident）におけるセキュリティ機能バイパスの脆弱性。攻撃者は、ユーザーを誘導して悪意あるHTMLまたはショートカット（.lnk）ファイルを開かせることによりこの脆弱性を悪用可能とされる。どのような攻撃で悪用されているかは明かされていない。CVSS（v3.1）スコアは8.8、深刻度は「Important（重要）」の評価。

• CVE-2026-21514：Microsoft Wordにおけるセキュリティ機能バイパスの脆弱性。攻撃者がこの脆弱性を悪用するためには、悪意あるOfficeファイルをユーザーに送付し、これを開くよう誘導する必要がある。悪用が成功した場合、脆弱なCOM/OLE コントロールからユーザーを保護するMicrosoft 365およびMicrosoft OfficeのOLE緩和策をバイパスできるようになるとされる。どのような攻撃で悪用されているかは明かされていない。CVSS（v3.1）スコアは7.8、深刻度は「Important（重要）」の評価。

• CVE-2026-21510：Windows シェルにおけるセキュリティ機能バイパスの脆弱性。攻撃者は悪意あるリンクまたはショートカットファイルを使ってこれを悪用することで、Windows SmartScreenおよびシェルのセキュリティプロンプトをバイパスし、ユーザーへの警告や同意確認なしでファイルを実行できるようになるとされる。どのような攻撃で悪用されているかは明かされていない。CVSS（v3.1）スコアは8.8、深刻度は「Important（重要）」の評価。

• CVE-2026-21519：デスクトップ ウィンドウ マネージャー（DWM）における特権昇格の脆弱性。すでに侵害されたホスト上で権限を持つ攻撃者がこれを悪用すると、権限をSYSTEMへ昇格させることが可能になるとされる。どのような攻撃で悪用されているかは明かされていない。CVSS（v3.1）スコアは7.8、深刻度は「Important（重要）」の評価。

• CVE-2026-21525：Windows リモート アクセス 接続マネージャー（RASMAN）におけるサービス拒否の脆弱性。権限を持たない攻撃者が悪用すると、同サービスをクラッシュさせることが可能になるとされる。脆弱性の発見者としてクレジットされているACROS Security（0patch）によると、2025年12月に公開マルウェアリポジトリ内でこの脆弱性のエクスプロイトが発見されたとのこと。CVSS（v3.1）スコアは6.2、深刻度は「Moderate（警告）」の評価。

• CVE-2026-21533：Windows リモート デスクトップ サービス（RDS）における特権昇格の脆弱性。すでに侵害されたホスト上で権限を持つ攻撃者がこれを悪用すると、権限をSYSTEMへ昇格させることが可能になるとされる。脆弱性の発見者としてクレジットされたCrowdStrikeによると、同脆弱性のエクスプロイトバイナリは、サービス構成キーを攻撃者のキーに置き換える性能を持ち、これにより攻撃者は権限を昇格させ、新規ユーザーをAdministrator グループに追加できるようになるという。またCrowdStrikeの調査により、このバイナリは遅くとも2025年12月24日から米国およびカナダの組織に対して使用されていたとみられることがわかっている。CVSS（v3.1）スコアは7.8、深刻度は「Important（重要）」の評価。

その他の脆弱性については、マイクロソフトのブログ記事から確認できる。

Fortinet、深刻度の高いFortiSandboxとFortiOSの脆弱性にパッチ（CVE-2025-52436、CVE-2026-22153）

SecurityWeek – February 11, 2026

Fortinetは2月10日、FortiAuthenticator、FortiClient for Windows、FortiGate、FortiOS、FortiSandboxの脆弱性に関する8件のアドバイザリをリリース。これには、深刻度が高い脆弱性に関するものも2件含まれる。

今回修正された中で最も深刻度が高かったのはFortiSandboxにおけるXSSの脆弱性であるCVE-2025-52436で、CVSSv3スコアは7.9、深刻度は「High」の評価。攻撃者が細工されたリクエストを使ってこの脆弱性を悪用した場合、認証なしでコマンドを実行できるようになる恐れがあるとされる。

次に深刻度が高いのが、FortiOSにおける認証バイパスの脆弱性であるCVE-2026-22153。特定の条件下で悪用が可能となり、認証されていない攻撃者によるAgentless VPNのLDAP認証またはFSSOポリシーのバイパスを許す恐れがあるとされる。CVSSv3スコアは7.5、深刻度は「High」の評価。

このほかにも、FortiOS SSL-VPNにおける情報漏洩の脆弱性CVE-2025-68686など、深刻度が中程度の脆弱性も複数修正されている。いずれの脆弱性についても、Fortinetは攻撃での悪用事例には言及していない。

上記以外の脆弱性については、同社のPSIRTページから確認できる。

【無料配布中レポート】

各種レポートを無料配布中！バナー画像よりダウンロード可能です。

【最新版】インテリジェンス要件定義に関するガイドブック

地政学レポート

OSINT関連レポート

ディープ＆ダークウェブレポート