【緊急】Windows CVE-2026-96951：悪用が確認された「ネット由来ファイルの目印（MOTW）」の保護の回避（CVSS v3.1 8.8）— 10月の更新プログラムを適用、届いたファイルは安易に開かない

Microsoftは2026年10月13日の月例更新で、Windows Shell の脆弱性 CVE-2026-96951 を修正しました。ネットから届いたファイルに付く目印「Mark of the Web（MOTW）」の保護を、回避されるおそれがあります。Microsoftは、更新の公開時点で悪用が確認されていると書き、CISAも同じ日にKEV（悪用が確認された脆弱性のカタログ）へ追加して、対応期限を10月16日としました。対象はWindows 10・11とWindows Serverの広い範囲です。

先に、分かっていることと分からないことを分けます。分かっているのは、(1) Microsoftが「悪用あり（Exploited: Yes）」と記載していること、(2) Microsoftが「公開済みの情報なし（Publicly Disclosed: No）」と記載していること、(3) 修正版が出ていることです。分からないのは、誰が、どの規模で、どんな相手に使っているかで、公式資料に書かれていません。KEVの「ランサムウェアでの利用」欄も「不明（Unknown）」です。
悪用が確認されている以上、「様子を見る」理由はありません。更新を先に適用してください。

今すぐ行う対策

• ✓Windows Update を実行し、再起動する。「設定」→「Windows Update」で10月の更新プログラムを適用します。再起動まで終わって、初めて修正が効きます。自動更新を止めている人や、長く再起動していない人は、特に確認してください
• ✓自分のWindowsが修正済みか、更新の履歴で確かめる。「設定」→「Windows Update」→「更新の履歴」で、下の表のKB番号があるか見ます。例：Windows 11 24H2・25H2・26H2は KB5127648、Windows 10 21H2・22H2は KB5126657 です
• ✓Windows 10 を使っているなら、更新を受け取れるかを先に確認する。一般版（Home・Pro など）の Windows 10 は2025年10月14日にサポートが終了しています（IPA。LTSC版は別の期間）。KB5126657のページは、適用対象を「Windows 10 ESU」「Windows 10 Enterprise LTSC 2021」「Windows 10 IoT Enterprise LTSC 2021」と書いています。ESU（拡張セキュリティ更新）に未加入の一般版で受け取れるとは、書かれていません。受け取れないなら、サポートが続く後継のOS（Windows 11 など）か、代替の製品へ移ってください（IPAの案内）
• ✓メールやチャットで届いたファイルは、送り主に別の方法で確認してから開く。この欠陥は、ネット由来のファイルに付く目印（MOTW）の防御を回避されるものです。MOTWに頼った警告や保護が働かない可能性があるので、「いつもの警告が出ない」ことを安全の証拠にしないでください（当サイトの推測。Microsoftは、回避後の個別の挙動までは説明していません）。Microsoftの説明では、攻撃者は細工したファイルを送り、利用者がリンクを押す・添付を開くなど「自分で動く」ことが前提です（当サイトの補足：知らない相手のファイルは、開かない・保存しない）
• ✓組織の管理者は、更新の配布状況を確認する。CISAの対応期限は10月16日です。更新できない端末があるなら、その端末では外部から届いたファイルを開かない運用に切り替える（当サイトの補足で、公式の手順ではありません）

何が起きるのか（Microsoftの説明）

• ▸場所と種類：Windows Shell の「コマンドインジェクション」（特別な文字の扱いの不備。CWE-77）。Microsoftの名称は「Windows Shell Security Feature Bypass（セキュリティ機能の回避）」です
• ▸何が回避されるか：Microsoftは、成功した攻撃者が「Mark of the Web（MOTW）の防御を回避できる」と書いています。MOTWは、インターネットから来たファイルに付く目印で、Windowsはこれを見て警告を出したり、保護された状態で開いたりします
• ▸どう攻撃されるか：メールやチャットで、細工したファイルを送る場面が想定されています。攻撃者が、利用者に強制的に見せることはできず、利用者が「リンクを押す」「添付を開く」などの操作をする必要があります（CVSSの「ユーザーの操作が必要」に対応）
• ▸この先に何が起きるか：公式の説明は「セキュリティ機能の回避」までで、回避したあとに何が実行されるかは書かれていません。CVSSの影響は「機密性・完全性・可用性とも高」で、CISAの評価も技術的影響は全面的（total）ですが、これは点数の付け方の話で、実際の攻撃の中身は公表されていません

修正版（MSRCより。OSごとの更新プログラムと修正後のビルド）

• ▸Windows 11 24H2／25H2／26H2：KB5127648。修正後のビルドは、24H2が 10.0.26100.9711、25H2が 10.0.26200.9711、26H2が 10.0.26300.9711
• ▸Windows 11 26H1：KB5127646（10.0.28000.3231）。Windows 11 23H2：KB5126653（10.0.22631.7652）
• ▸Windows 10 22H2：KB5126657（10.0.19045.7807）。Windows 10 21H2：KB5126657（10.0.19044.7807）。KB5126657のページは両方を載せています（MSRCの表は、22H2にも19044.7807と書いています）。Windows 10 1809：KB5126651（10.0.17763.9376）。Windows 10 1607：KB5126868（10.0.14393.9612）
• ▸Windows Server 2025：KB5126646（10.0.26100.33650）。2022：KB5126655（10.0.20348.5761）。2019：KB5126651（10.0.17763.9376）。2016：KB5126868（10.0.14393.9612）。2012 R2：KB5126836（6.3.9600.23470）
• ▸Outlook.com（Webのメール）も対象製品として載っています。ただしMSRCの欄は「Release Notes」で、利用者側の操作が要るかは確認していません
• ▸回避策・緩和策は、MSRCの記載に見当たりません。確認できたベンダー情報の範囲では、修正版の適用を優先してください

何が起きたか（日付つき）

• ▸2026年10月13日：Microsoftが10月の月例更新（Security Updates）を公開し、CVE-2026-96951 を悪用ありとして掲載しました。同日、CISAがKEVに追加し（対応期限10月16日）、NVDにも登録されました
• ▸10月14日（本記事の確認日）：NVDの状態は「解析中（Undergoing Analysis）」です。CVSS v3.1の8.8（HIGH）は、Microsoftが付けた値で、NISTの評価ではありません。NVDに載るCISAのSSVC評価は、悪用状況：active（実際に悪用）、自動化：不可、技術的影響：全面的（total）です
• ▸同じ日のKEV追加：CISAは、Ivanti Connect Secure（CVE-2026-104935）も10月13日にKEVへ追加しました（認証なしでコマンド実行につながるとCISAが説明）。この記事では扱いません。使っている組織は、CISAのKEVとIvantiの案内を確認してください

確認できなかったこと

• ▸攻撃の実態。誰が、どの規模で、どんなファイルを使って悪用しているかは、公式資料に書かれていません。ランサムウェアでの利用も、KEVは「不明」です
• ▸回避したあとに実行される内容。公式の説明は、MOTWの防御の回避までです
• ▸Windows 10 の一般版（Home・Pro など）で、ESU未加入のまま更新を受け取れるか。KBの適用対象にESUとLTSCが書かれていることまでは確認しましたが、個別の環境で受け取れるかは確認していません
• ▸NISTの評価。10月14日の確認時点で「解析中」です。8.8（HIGH）はMicrosoftの値で、NISTの評価が付くと変わることがあります
• ▸侵害の痕跡（IoC）。公式資料に、検知用のファイル名やログの形は出ていません

共有するならこの3行

• ▸WindowsにMark of the Web（ネット由来ファイルの目印）の防御を回避される脆弱性（CVE-2026-96951・CVSS v3.1 8.8）が見つかり、Microsoftは悪用を確認済み。10月13日の更新で修正された
• ▸★Windows Update を実行して再起動する。Windows 11 24H2・25H2・26H2は KB5127648、Windows 10 22H2は KB5126657。Windows 10 一般版はサポート終了で、ESU未加入だと受け取れるか要確認
• ▸更新が済むまで、メールやチャットで届いたファイルは、送り主に別の方法で確認してから開く。「いつもの警告が出ない」ことは安全の証拠ではない