マイクロソフト、4月の月例パッチで悪用確認のゼロデイ含む脆弱性167件を修正（CVE-2026-32201ほか）

佐々山 Tacos

2026.04.15

マイクロソフト、4月の月例パッチで悪用確認のゼロデイ含む脆弱性167件を修正（CVE-2026-32201ほか）

BleepingComputer – April 14, 2026

マイクロソフトは、2026年4月の月例セキュリティ更新プログラムにおいて167件の脆弱性を修正。これには、攻撃での悪用が確認されたゼロデイ脆弱性CVE-2026-32201が含まれる。

CVE-2026-32201はMicrosoft SharePoint Serverにおけるスプーフィングの脆弱性で、CVSS:3.1スコアは6.5、深刻度は「Important（重要）」と評価されている。不適切な入力確認に起因する問題で、認可されていない攻撃者による悪用が成功した場合、機微な情報の一部を閲覧できるようになる可能性があるほか、開示された情報に変更を加えることもできるようになる可能性があるとされる。

マイクロソフトは悪用が検知された旨をアドバイザリに記しているが、どのような攻撃で悪用されたのかなどの詳細は明かしていない。同脆弱性はまた、米CISAのKEVカタログ（悪用が確認済みの脆弱性カタログ）にも追加されている。

マイクロソフトはまた、今月の月例パッチがリリースされる前にすでに公開されていたMicrosoft Defenderにおける特権昇格の脆弱性CVE-2026-33825にも対処。このゼロデイは認可された攻撃者によるローカルでの特権昇格を可能にするもので、悪用を成功させた攻撃者はSYSTEM権限を取得できる恐れがあるとされる。攻撃での悪用は検出されていないもののPoCエクスプロイトが公開されており、マイクロソフトのアドバイザリには今後悪用される可能性が高いとの記載がある。CVSS:3.1スコアは7.8、深刻度は「Important（重要）」と評価されている。

このほか、4月の月例パッチでは深刻度が「Critical（緊急）」と評価される以下8件の脆弱性などが修正された。

CVE-2026-23666：.NET Frameworkにおけるサービス拒否の脆弱性。例外的な状態における不適切な処理（CWE-755）に起因する問題により、認可されていない攻撃者がネットワーク経由でサービス拒否を引き起こすことができるようになる恐れがある。PoCエクスプロイトが公開されている。
CVE-2026-32190：Microsoft Officeにおけるリモートコード実行の脆弱性。解放済みメモリ使用の問題により、認可されていない攻撃者によるローカルでのコード実行が可能になる恐れがある。
CVE-2026-33115：Microsoft Wordにおけるリモートコード実行の脆弱性。解放済みメモリ使用の問題により、認可されていない攻撃者によるローカルでのコード実行が可能になる恐れがある。
CVE-2026-33114：Microsoft Wordにおけるリモートコード実行の脆弱性。信頼できないポインタデリファレンス（CWE-822）により、認可されていない攻撃者によるローカルでのコード実行が可能になる恐れがある。
CVE-2026-32157：リモートデスクトップクライアントにおけるリモートコード実行の脆弱性。解放済みメモリ使用の問題により、認可されていない攻撃者によるネットワーク経由でのコード実行が可能になる恐れがある。
CVE-2026-33826：Windows Active Directoryにおけるリモートコード実行の脆弱性。不適切な入力確認の問題により、認可された攻撃者による隣接するネットワーク経由でのコード実行が可能になる恐れがある。
CVE-2026-33824：Windows インターネットキー交換（IKE）拡張機能におけるリモートコード実行の脆弱性。二重解放（CWE-415）の問題により、認可されていない攻撃者によるネットワーク経由でのコード実行が可能になる恐れがある。