Windows VFPにリモートコード実行の脆弱性、修正版あり
Windows 10・11とWindows Server 2016〜2025のVFPに、ネットワーク経由でコードを実行される脆弱性があり、2026年11月10日に修正版が出ました。対象の版を使う組織は、ビルド番号を確認して更新を適用してください。
急ぎ度: 早めに
CVSS v3は9.0の重大な脆弱性ですが、Microsoftは公表時点で悪用も詳細の公開も確認しておらず、修正版が出ているため、至急ではなく早めの適用が妥当です。
関係があるか
Windows 10 Version 1809以降のクライアントと、Windows Server 2016・2019・2022・2025（Server Coreを含む）が対象です。社内にこれらのWindowsがあれば、役割を問わず確認が要ります。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| Windows 10 Version 1809 | 10.0.17763.0以上10.0.17763.9487未満 | 10.0.17763.9487 |
| Windows 10 Version 21H2 | 10.0.19044.0以上10.0.19044.7846未満 | 10.0.19044.7846 |
| Windows 10 Version 22H2 | 10.0.19045.0以上10.0.19045.7846未満 | 10.0.19045.7846 |
| Windows 11 Version 23H2 | 10.0.22631.0以上10.0.22631.7711未満 | 10.0.22631.7711 |
| Windows 11 Version 24H2 | 10.0.26100.0以上10.0.26100.9974未満 | 10.0.26100.9974 |
| Windows 11 Version 25H2 | 10.0.26200.0以上10.0.26200.9974未満 | 10.0.26200.9974 |
| Windows 11 version 26H1 | 10.0.28000.0以上10.0.28000.3501未満 | 10.0.28000.3501 |
| Windows 11 Version 26H2 | 10.0.26300.0以上10.0.26300.9974未満 | 10.0.26300.9974 |
| Windows Server 2016（Server Core installationを含む） | 10.0.14393.0以上10.0.14393.9688未満 | 10.0.14393.9688 |
| Windows Server 2019（Server Core installationを含む） | 10.0.17763.0以上10.0.17763.9487未満 | 10.0.17763.9487 |
| Windows Server 2022 | 10.0.20348.0以上10.0.20348.5870未満 | 10.0.20348.5870 |
| Windows Server 2025（Server Core installationを含む） | 10.0.26100.0以上10.0.26100.33822未満 | 10.0.26100.33822 |
確かめ方
- 1各端末とサーバーでOSのビルド番号を調べ、上の表の修正版より小さければ対象です。コマンドプロンプトで
verを実行すると、10.0.26100.9974のような番号が表示されます。 - 2台数が多い環境では、WSUS・Intune・資産管理ツールなどのレポートで、OSビルドが修正版未満の機器を一覧にします。
- 3Windows 11 24H2とWindows Server 2025は、どちらも10.0.26100で始まりますが、修正版の番号が違います（24H2は9974、Server 2025は33822）。クライアントとサーバーを取り違えないでください。
何が起きたか
WindowsのVirtual Filtering Platform（VFP）に脆弱性があり、悪用されると、対象のWindows上で攻撃者が任意のコードを実行できる恐れがあります。Microsoftは2026年11月10日に修正版とともに公表しました。
不具合の種類はCWE-416のUse After Freeです。使い終わって解放したメモリを、あとからもう一度使ってしまう誤りで、プログラムの動作を乗っ取られる原因になります。
Microsoftは、公表時点で悪用は確認されておらず、脆弱性の詳細も公開されていないとしています。ただ、修正版が出ると、その差分から手口の解析が進むことは珍しくありません。筆者は、悪用が確認されていない今のうちに適用を終えておきたい脆弱性だと見ています。
攻撃の流れ
-
1
通信の到達
攻撃者が、対象のWindowsとネットワーク経由で通信できる位置に立ちます。
-
2
細工した送信
特別に細工したパケットを、影響を受けるサービスに送ります。
-
3
競合状態を突く
処理のタイミングの競合に勝つと、解放済みのメモリが再び使われます。
-
4
コード実行
対象のシステム上で、攻撃者のコードが実行されます。
どう悪用されるか
Microsoftの説明では、認証のない攻撃者が、細工したパケットをネットワーク経由で影響を受けるサービスに送ることで悪用します。ログインは要らず、利用者に何かを開かせるなどの操作も要りません。
ただし、成功するには競合状態に勝つ必要があります。CVSSの攻撃条件が高（AC:H）とされているのはこのためで、評価が9.8ではなく9.0にとどまる理由でもあります。筆者は、狙った機器に確実に通る攻撃にはなりにくい反面、繰り返し試せる環境では成立する余地が残ると見ています。
悪用されると、対象のシステム上でコードを実行されます。CVSSのベクターでは機密性・完全性・可用性の影響がいずれも高で、影響範囲が脆弱な部品の外へ広がる（S:C）とされています。情報の読み取り、改ざん、サービス停止まで想定してください。
今すぐやること
-
1
対象の機器とビルド番号を洗い出す
Windows 10・11とWindows Serverのうち、修正版より小さいビルドの機器を一覧にします。Server Coreも対象です。
ver -
2
修正版を適用する
2026年11月10日に公開された更新プログラムを適用します。ネットワークから到達しやすいサーバーや、外部と接する環境の機器を先に進めると、リスクを早く下げられます。適用の前に、業務への影響が大きいサーバーは検証環境で動作を確認してください。
-
3
適用後にビルド番号を再確認する
再起動まで済ませ、ビルド番号が修正版以上になったことを確認します。更新の履歴に成功と出ていても、再起動待ちで古いままの機器が残りがちです。
ver -
4
Microsoftの告知で更新プログラムの詳細を確認する
MSRCのこの脆弱性のページで、更新プログラムの番号と、回避策の有無を確認します。社内の更新計画には、その番号を使います。
背景
VFPは、Hyper-Vの仮想スイッチの中で、仮想マシンの通信にフィルタリングやアドレス変換などの規則を適用する部品として知られています。ネットワークから届く通信を直接処理する層にあるため、ここでメモリ管理の誤りが起きると、ログインの手前の段階で影響が出ます。今回、Windows 10・11のクライアント版も対象に入っている点は、サーバーだけの話と受け取らないほうがよい部分です。
Use After Freeは、解放したメモリを再び参照してしまう誤りで、C・C++のようにメモリを開発者が管理する言語で起きる代表的な不具合です。通信を受けて処理するOSの部品でこの型の誤りが見つかると、リモートコード実行につながり得ることは、WindowsのネットワークまわりのCVEでたびたび示されてきました。
よくある質問
Q.Windows Updateの自動更新が有効なら、何もしなくてよいですか。
まだ分かっていないこと
- Microsoftは「影響を受けるサービス」とだけ書いており、具体的にどの機能や役割の構成が攻撃を受けやすいかは公表されていません。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
影響パッケージ
| パッケージ | 影響を受ける版 → 修正版 | |
|---|---|---|
| MicrosoftWindows 10 Version 1809 |
10.0.17763.0 以上 10.0.17763.9487 未満→ 10.0.17763.9487 |
10.0.17763.9487 |
| MicrosoftWindows 10 Version 21H2 |
10.0.19044.0 以上 10.0.19044.7846 未満→ 10.0.19044.7846 |
10.0.19044.7846 |
| MicrosoftWindows 10 Version 22H2 |
10.0.19045.0 以上 10.0.19045.7846 未満→ 10.0.19045.7846 |
10.0.19045.7846 |
| MicrosoftWindows 11 Version 23H2 |
10.0.22631.0 以上 10.0.22631.7711 未満→ 10.0.22631.7711 |
10.0.22631.7711 |
| MicrosoftWindows 11 Version 24H2 |
10.0.26100.0 以上 10.0.26100.9974 未満→ 10.0.26100.9974 |
10.0.26100.9974 |
| MicrosoftWindows 11 Version 25H2 |
10.0.26200.0 以上 10.0.26200.9974 未満→ 10.0.26200.9974 |
10.0.26200.9974 |
| MicrosoftWindows 11 version 26H1 |
10.0.28000.0 以上 10.0.28000.3501 未満→ 10.0.28000.3501 |
10.0.28000.3501 |
| MicrosoftWindows 11 Version 26H2 |
10.0.26300.0 以上 10.0.26300.9974 未満→ 10.0.26300.9974 |
10.0.26300.9974 |
| MicrosoftWindows Server 2016 |
10.0.14393.0 以上 10.0.14393.9688 未満→ 10.0.14393.9688 |
10.0.14393.9688 |
| MicrosoftWindows Server 2016 (Server Core installation) |
10.0.14393.0 以上 10.0.14393.9688 未満→ 10.0.14393.9688 |
10.0.14393.9688 |
| MicrosoftWindows Server 2019 |
10.0.17763.0 以上 10.0.17763.9487 未満→ 10.0.17763.9487 |
10.0.17763.9487 |
| MicrosoftWindows Server 2019 (Server Core installation) |
10.0.17763.0 以上 10.0.17763.9487 未満→ 10.0.17763.9487 |
10.0.17763.9487 |
| MicrosoftWindows Server 2022 |
10.0.20348.0 以上 10.0.20348.5870 未満→ 10.0.20348.5870 |
10.0.20348.5870 |
| MicrosoftWindows Server 2025 |
10.0.26100.0 以上 10.0.26100.33822 未満→ 10.0.26100.33822 |
10.0.26100.33822 |
| MicrosoftWindows Server 2025 (Server Core installation) |
10.0.26100.0 以上 10.0.26100.33822 未満→ 10.0.26100.33822 |
10.0.26100.33822 |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Use after free in Windows Virtual Filtering Platform (VFP) allows an unauthorized attacker to execute code over a network.
出典: Microsoft Security Response Center Blog NVD