CVE-2026-68820が実攻撃で悪用、Microsoftが421件の脆弱性を修正する8月セキュリティ更新を公開

2026年8月13日

登場人物紹介

チップス
どんぐり大学卒、一般企業の情報システム部で働く若手エンジニア。
入社1〜3年目らしい悩みを抱えつつ、日々の運用やセキュリティ対応に奮闘中。慌てんぼうだが素直で吸収力が高く、ボスに鍛えられながら着実に成長している。

ボス
セキュリティ、インフラ、運用の修羅場をくぐってきた歴戦のエンジニア。サイバーセキュリティラボの所長でボスと呼ばれている。
現場視点と経営視点の両方から、本当に使えるセキュリティとキャリア戦略を叩き込む。口は悪いが面倒見はよく、若手育成と実践的な情報発信に力を注いでいる。
@boss_sec_labo

「毎月アップデートが来るけど、全部すぐ適用しないといけないの？」
「今月は特に急ぎのパッチがあるって聞いたけど、どれから対応すればいい？」

チップス

毎月100件以上のパッチが届くのに、すぐには対応しきれないでしゅ……どれを優先すればいいか分からないでしゅ。

ボス

先月の7月は570件という記録的な件数だったが、8月も状況は変わらんな。
ゼロデイが実際の攻撃に使われているから、今月は特に早めに動いた方がいいぞ。

チップス

すでに攻撃されてるんでしゅか？それは怖いでしゅ……

今月のMicrosoftセキュリティ更新プログラム（Patch Tuesday）は421件の脆弱性に対処しています。
うち1件はすでに実際の攻撃で悪用されているゼロデイで、CISAも既知悪用脆弱性（KEV）カタログに追加済みです。
JPCERT/CCとIPAも緊急の注意喚起を出しています。

2026年8月のMicrosoft更新は421件の脆弱性を修正（うち62件がCritical）
CVE-2026-68820（WinSock権限昇格）が実際の攻撃で悪用中。CISAは8月25日までの適用を義務付け
CVSS 9.8のCritical RCEが複数存在（Windows DNS Server・Microsoft QUIC・Windows Deployment Services）

どのパッチを優先すべきか、理由も合わせて整理します。
Windowsを使っている企業なら、対岸の火事では済みません。

オススメ案件

新着案件をもっと見る

今月のパッチ内容と悪用中のゼロデイ

2026年8月12日、MicrosoftはPatch Tuesdayとして421件の脆弱性を修正するセキュリティ更新を公開しました。
重大度別では62件がCritical（緊急）、357件がImportant（重要）です。

今月もっとも注意が必要なのはCVE-2026-68820です。
WindowsのWinSock用補助機能ドライバ（Ancillary Function Driver）に存在する権限昇格の脆弱性で、「use-after-free（解放済みメモリを参照する）」という手法で悪用されます。
CVSSスコアは7.0ですが、すでに実際の攻撃に使われていることが確認されており、CISAは8月25日を期限に政府機関への適用を義務付けてKEVカタログに登録しています。

さらに公開済みのゼロデイも2件あります。
Windows User Profile ServiceのCVE-2026-62832（CVSS 7.8）と、Windows Container Isolation FS Filter DriverのCVE-2026-72971（CVSS 5.5）で、いずれも権限昇格または改ざんを可能にします。
「公開済み」とは攻撃者がすでに手口を把握しているということです。

今月のゼロデイをまとめると以下の通りです。

CVE番号	状態	対象コンポーネント	CVSS
CVE-2026-68820	悪用実績あり	WinSock（権限昇格）	7.0
CVE-2026-62832	公開済み	User Profile Service（権限昇格）	7.8
CVE-2026-72971	公開済み	Container Isolation FS（改ざん）	5.5

CVSS 9.8のCritical脆弱性群にも要注意

チップス

ゼロデイが怖いのは分かりましゅけど、CVSSが9.8のもあるんでしゅよね？

ボス

スコアだけで優先順位をつけるのは危険だが、CVSS 9.8クラスはとにかく早めに当てておくべきだ。
特にDNSサーバーを使っている企業は、ここを見落とすと相当まずいことになる。

Windows DNS Serverに3件のCritical RCE（CVE-2026-62817、CVE-2026-62820、CVE-2026-62878）が修正されています。
いずれも「認証不要でネットワーク隣接経路から攻撃可能」という条件で、社内LANに接続できる攻撃者が特別なアカウントなしにDNSサーバーを乗っ取れてしまいます。
DNSサーバーを掌握されると、ネットワーク全体のトラフィックを書き換えられるリスクがあります。

Microsoft QUICプロトコル（CVE-2026-62815、CVSS 9.8）とWindows Deployment Services（CVE-2026-62893、CVSS 9.8）にも深刻なRCEが修正されています。
Windows Deployment ServicesはOSのネットワーク展開を担うコンポーネントで、企業環境で広く使われているだけに影響範囲が広いです。

今月の主なCritical RCE脆弱性を挙げます。

CVE-2026-62878 / CVE-2026-62817 / CVE-2026-62820：Windows DNS Server / CVSS 9.8 / 認証不要でRCE
CVE-2026-62815：Microsoft QUIC / CVSS 9.8
CVE-2026-62893：Windows Deployment Services / CVSS 9.8