Microsoftの2月のパッチ火曜日アップデートで6つのゼロデイエクスプロイトが修正される

Microsoftの2月のセキュリティアップデートは大規模なものだ。この最新の「Patch Tuesday」では合計58件の脆弱性が修正されており、そのうち6件はゼロデイ欠陥だ。ゼロデイとは、実際に積極的に悪用されているか、開発者によって正式な修正がリリースされる前に公開されている脆弱性です。

BleepingComputer の報告によると、次のカテゴリでセキュリティ上の欠陥が見つかりました: 25 件の特権昇格の脆弱性、5 件のセキュリティ機能バイパスの脆弱性、12 件のリモート コード実行の脆弱性、6 件の情報漏えいの脆弱性、3 件のサービス拒否の脆弱性、および 7 件のスプーフィングの脆弱性。特権昇格の脆弱性のうち 3 件と情報漏えいの脆弱性のうち 2 件は「重大」とみなされています。 (これらの数字には、2 月初めにパッチが適用された 3 つの Microsoft Edge 脆弱性は含まれていません。)

火曜日のパッチ更新は通常、毎月第 2 火曜日の午前 10 時 (PT) 頃にリリースされ、デバイスは自動的に受信するはずです。 BleepingComputer の報告によると、今月のリリースには、6 月に期限が切れる 2011 証明書のセキュア ブート証明書の更新も含まれています。

2 月に 6 つのゼロデイにパッチが適用されました

2 月に修正された、積極的に悪用された 6 件のうち 3 件は、セキュリティ機能バイパスの脆弱性です。

• CVE-2026-21510: これは Windows シェルの欠陥であり、ユーザーが悪意のあるリンクやショートカット ファイルを開く必要があるにもかかわらず、攻撃者が警告やユーザーの同意を得ることなくコンテンツを実行できるようになります。

• CVE-2026-21513: この MSHTML フレームワークの脆弱性により、権限のない攻撃者がネットワーク経由でセキュリティ機能をバイパスすることが可能になります。 Microsoftは、この欠陥が悪用された方法の詳細を公開していない。

• CVE-2026-21514: Microsoft Word のこの脆弱性により、ユーザーが悪意のある Office ファイルを開くと、攻撃者が Microsoft 365 および Microsoft Office の OLE 緩和策をバイパスすることができます。

上記の 3 つの欠陥はすべて、Microsoft Threat Intelligence Center (MSTIC)、Microsoft Security Response Center (MSRC)、Office Product Group Security Team、Google Threat Intelligence Group と、CVE-2026-21510 および CVE-2026-21514 の匿名の研究者によるものであると考えられています。

ゼロデイのうち 2 つは特権昇格の脆弱性です。 CVE-2026-21519 は、攻撃者が SYSTEM 権限を取得することを可能にするデスクトップ Windows マネージャーの欠陥であり、CVE-2026-21533 は、攻撃者がローカルで権限を昇格することを可能にする Windows リモート デスクトップ サービスの欠陥です。前者は MSTIC と MSRC によるものとされており、後者は CrowdStrike の先端研究チームによって発見されました。

最後に、CVE-2026-21525 は、Windows リモート アクセス接続マネージャーのサービス拒否の脆弱性であり、権限のない攻撃者がローカルでサービスを拒否できるようになります。この欠陥は、ACROS セキュリティ チームによって 0patch によって発見されました。報告によると、2025 年 12 月にパブリック マルウェア リポジトリで発見されました。