Windows 2026年10月の月例更新：CVE-2026-96951の修正KBとビルド確認スクリプト

2026年10月のWindows月例更新では、すでに攻撃に使われていた脆弱性CVE-2026-96951が修正されました。Windowsシェルの欠陥で、インターネットから来たファイルに付く「Webのマーク（MOTW）」の防御を回避されるおそれがあります。対象はWindows 10・11とWindows Server 2012 R2〜2025の広い範囲です。この記事では、仕組みと影響、OSごとの修正KBと修正後のビルド番号、PowerShellで適用状況を確かめるスクリプト、更新に伴う既知の問題までを順に示します。記載の基準は、2026年10月23日時点で確認できる公開情報です。

まとめ：CVE-2026-96951は10月の累積更新を当てビルド番号で確認

やることは、10月13日（日本時間14日）公開の累積更新を全台に当てることです。CVE-2026-96951だけを塞ぐ単体の修正は無く、各OSの10月のセキュリティ更新に含まれています。Windows 11 24H2・25H2・26H2ならKB5127648、Windows Server 2022ならKB5126655という対応です。

適用の確認は、KB番号の一覧よりもOSのビルド番号で行うほうが確実です。たとえばWindows 11 25H2は26200.9711以上なら修正済みになります。米国のCISAは悪用中の脆弱性の一覧（KEV）に10月13日付で追加し、連邦機関には16日までの対応を求めました。未適用の端末が残っているなら、通常の段階展開より前倒しで進めてください。

CVE-2026-96951でWebのマークが外れる仕組みと悪用の前提条件

月例更新の日程や、Microsoftがゼロデイをどう分類するかはPatch Tuesdayの日程とゼロデイへの対応順で解説しています。ここでは10月分のうち、悪用が確認された1件に絞ります。

MSRCが示すCVSS 8.8と悪用確認済み・CWE-77の分類

MSRCのCVE-2026-96951のページでは、名称は「Windows シェル セキュリティ機能のバイパスの脆弱性」、深刻度は「重要」です。CVSS 3.1の基本値は8.8、悪用は「Yes」、事前の一般公開は「No」とされています。ベクトルは AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H で、ネットワーク越しに認証なしで届く一方、利用者の操作（UI:R）が要る点が特徴です。

弱点の分類はCWE-77（コマンドの特殊要素の不適切な無害化）です。NVDの登録は10月16日に分析済み（Analyzed）となり、説明文も同じく「Windows Shellのコマンドインジェクションでセキュリティ機能を回避できる」という内容です。コマンドインジェクション一般の考え方はOSコマンドインジェクションの仕組みと防ぎ方でまとめています。

MOTWの防御を外しメールなどの細工ファイルを開かせる攻撃の流れ

MOTWは、インターネットから取得したファイルに「どこから来たか」の印を付ける仕組みです。実体はNTFSの代替データストリーム Zone.Identifier で、Unblock-Fileの公式リファレンスにあるとおり、インターネット由来を示す値は3です。この印があるファイルを開くと、Windowsは警告を表示したり、Officeのマクロを止めたりします。

MSRCのFAQによれば、攻撃者はこの脆弱性でMOTWの防御を回避できます。想定される経路は、メールやインスタントメッセージで細工したファイルを送り、相手に開かせる手口です。攻撃者がファイルを強制的に開かせることはできず、リンクのクリックや添付ファイルの操作といった利用者の行動が必要になります。逆に言えば、警告画面が出ないまま開けてしまうため、「怪しいファイルなら警告が出る」という利用者の前提が崩れます。

KEV追加と是正期限・JPCERTとIPAの注意喚起の時系列

公開からの動きを日付で並べます。日本の公的機関も公開翌日に注意喚起を出しました。

CISAのKEVカタログ（2026.10.21版）では、ランサムウェアでの使用は「Unknown」、フォレンジックの初動調査を求める項目は「Yes」です。期限の決まり方はBOD 26-04のKEV是正期限の仕組みで解説しています。国内ではJPCERT/CCの注意喚起（JPCERT-AT-2026-0031）とIPAの注意喚起が、どちらも早急な適用を呼びかけています。

OS別の修正KBと修正後ビルド番号を一覧で照合する際の対象範囲

MSRC日本語ブログの10月の案内は、悪用確認済みの脆弱性を今月この1件としています。影響製品はMSRCのAPIで31件あり、OSの系統ごとに修正KBとビルドをまとめると次のとおりです。

Windows 11とWindows 10の修正KBとビルドの対応表

クライアントOSは、同じKBでもバージョンごとにビルドの上2桁が違います。照合のときは自分のバージョンの行を見てください。

Windows 10 22H2はMSRC上で「ESU」の製品区分に入っています。拡張セキュリティ更新に登録していない端末には10月の更新が届かないため、台数を棚卸ししておきましょう。KB5127648のページには、Windows 11 24H2のHomeとProは10月の更新が最後になるとの記載もあります。

Windows Server 2012 R2〜2025の修正KBとビルドの対応表

サーバーはServer Coreも同じKBで修正されます。Windows 10 1809と1607の長期サービス版は、それぞれServer 2019・2016と同じKBです。

Windows 11 24H2とServer 2025は、どちらもビルドが26100で始まります。ビルド番号だけで照合すると取り違えるので、次の章のスクリプトではクライアントかサーバーかも見ています。なお影響製品にはOutlook.comも載っていますが、これはクラウドのサービスで、端末側で当てる更新はありません。

レジストリとMSRC APIで修正済みかを判定するPowerShell

適用確認の方法は3つあります。手元の1台ならwinver、まとめて確かめるならレジストリのビルド番号、修正ビルドの一覧を持たずに済ませたいならMSRCのAPIを使います。

Get-HotFixだけで判断せずUBRまで含めたビルドで照合

KB番号の確認には Get-HotFix がよく使われます。ただしGet-HotFixの公式リファレンスによれば、内部で使うWMIクラスはコンポーネントベースのサービスが入れた更新しか返さず、出力はOSによって異なります。表示されないKBがあっても未適用とは言い切れないため、判定の主軸に据えるのはビルド番号です。

# OSのビルド番号（CurrentBuild.UBR）とバージョン表記を表示する
$cv = Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Windows NT\CurrentVersion'
"{0}.{1} {2} {3}" -f $cv.CurrentBuild, $cv.UBR, $cv.DisplayVersion, $cv.InstallationType

# 参考：最近入った更新を3件表示する
Get-HotFix | Sort-Object InstalledOn -Descending | Select-Object -First 3 HotFixID, Description, InstalledOn

1行目の出力が 26200.9711 25H2 Client のように、前の章の表の修正後ビルド以上になっていれば修正済みです。UBR（更新ビルド番号）は累積更新を当てるたびに増える値で、winverの「OSビルド」に出る小数点以下と同じものです。

MSRC APIで影響KBを引き自端末のビルドと比べるスクリプト

MSRCのセキュリティ更新プログラムガイドは、認証なしで使えるAPIを公開しています。影響製品ごとの修正KBと修正後ビルドが取れるので、表を手で写す必要がありません。次のスクリプトはCVE番号を変えれば別の脆弱性にも使えます。

$cve = 'CVE-2026-96951'
$filter = [uri]::EscapeDataString("cveNumber eq '$cve'")
$api = "https://api.msrc.microsoft.com/sug/v2.0/ja-JP/affectedProduct?`$filter=$filter"
$rows = (Invoke-RestMethod -Uri $api).value

$cv = Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Windows NT\CurrentVersion'
$isServer = $cv.InstallationType -ne 'Client'
$current = [version]("10.0.{0}.{1}" -f $cv.CurrentBuild, $cv.UBR)

# 同じビルド系統でもクライアントとサーバーで修正ビルドが違うため、製品名で分ける
$fix = $rows |
  Where-Object { ($_.product -like 'Windows Server*') -eq $isServer } |
  ForEach-Object { $_.kbArticles } |
  Where-Object { $_.fixedBuildNumber -like "10.0.$($cv.CurrentBuild).*" } |
  Select-Object -First 1

if (-not $fix) {
  "NOT LISTED: $current"
} elseif ($current -ge [version]$fix.fixedBuildNumber) {
  "FIXED: $current (required $($fix.fixedBuildNumber) / KB$($fix.articleName))"
} else {
  "NOT FIXED: $current (required $($fix.fixedBuildNumber) / KB$($fix.articleName))"
}

Windows 11 26H1の端末で実行すると、FIXED: 10.0.28000.3231 (required 10.0.28000.3231 / KB5127646) のように返ります。[version] 型に変えて比べているのは、文字列のままだと「9711」と「33650」の大小を正しく比べられないためです。Windows Server 2012 R2はビルドが 6.3.9600 系なので、このスクリプトでは「NOT LISTED」になります。2012 R2は表の値と手で照合してください。

Windows PowerShell 5.1でファイルに保存して実行する場合は、日本語のコメントが化けないよう、文字コードをBOM付きUTF-8にしておきます。出力の文言を英語にしているのも同じ理由です。

Invoke-Commandで複数台のビルドを集めCSVに残す

台数が多い環境では、ビルド番号だけを全台から集めて表で比べるほうが速く済みます。WinRMが有効なドメイン環境を前提にした例です。

$targets = Get-Content .\servers.txt
Invoke-Command -ComputerName $targets -ScriptBlock {
  $cv = Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Windows NT\CurrentVersion'
  [pscustomobject]@{
    Build = "{0}.{1}" -f $cv.CurrentBuild, $cv.UBR
    Type  = $cv.InstallationType
  }
} -ErrorAction SilentlyContinue |
  Select-Object PSComputerName, Build, Type |
  Export-Csv .\build_2026-10.csv -NoTypeInformation -Encoding UTF8

接続できなかった端末はCSVに出てきません。対象一覧と突き合わせ、漏れた端末は個別に確かめてください。Intuneなどの管理ツールを入れているなら、そちらの更新レポートで同じ照合ができます。

KB5127648を当てる前に確かめたい既知の問題と配布経路の注意

10月の累積更新には、CVE-2026-96951以外の変更も入っています。展開前に、業務への影響が出やすい項目を確かめておきます。

NTLMv1ブロックの変更とリモートデスクトップ接続失敗の既知の問題

KB5127648のページでは、BlockNtlmv1SSO が未設定の端末で既定の動作が監査から強制に変わると説明されています。Credential Guardが無効の端末が対象で、MS-CHAPv2を使うWi-Fi・有線LAN・VPNの認証に影響する可能性があります。古い認証方式で社内ネットワークにつないでいる環境は、先に少数の端末で試してください。

既知の問題としては、管理者保護が有効な端末へ管理者以外がリモートデスクトップで入るとエラー0xC000000Dで失敗する件、スマートアプリコントロールを有効にできない件、USBオーディオ機器が動かない件が載っています。いずれも回避策の有無が違うため、該当しそうな部署を先に洗い出しておくと展開が止まりません。

Microsoft Updateカタログから手動で当てるときの前提更新

閉じたネットワークのサーバーなどは、Microsoft UpdateカタログからMSUを入手して当てます。Windows 11 24H2以降は、前提となるチェックポイント更新KB5043080を先に入れる必要があり、x64とARM64では必要なファイルの組み合わせが別です。WSUSでは、製品「Windows 11」・分類「セキュリティ更新プログラム」で自動同期されます。

Windows Server 2022のKB5126655、Windows 10のKB5126657も、それぞれのページに既知の問題が別に書かれています。OSごとに目を通してから展開してください。

更新までの暫定対策とWindows端末の点検を外部に任せる判断基準

全台への適用には日数がかかります。その間に打てる手と、自社で点検しきれないときの判断の線を決めておきます。

全台の適用を待つ間にメール添付とダウンロードの入口で絞る暫定対策

MSRCは回避策や緩和策を示していません。攻撃の入口がメールやメッセージで届くファイルなので、更新が済むまでは入口を狭めるのが現実的な手になります。具体的には、メールゲートウェイで実行形式やショートカット、ISOなどのディスクイメージの添付を止める、チャットツールでの外部ファイル受信を一時的に制限する、といった設定です。

あわせて、利用者には「警告が出なくても、心当たりのない添付ファイルは開かない」と周知します。今回の脆弱性は警告そのものを消すものなので、普段の「警告が出たら止まる」という教え方は通用しません。KEVでフォレンジックの初動調査が求められている点も踏まえ、10月14日より前に不審な添付ファイルを開いた報告がないかも確かめておきましょう。

端末の棚卸しと診断を自社で行うか外部に任せるかを管理状況で分ける境界

自社で完結できるのは、全端末のOSバージョンを管理ツールで把握でき、前の章のスクリプトや更新レポートで未適用の台数を出せる場合です。サポートが切れたOSや、ESUに入っていないWindows 10が残っていないことまで確認できていれば、この記事の手順で足ります。VPN機器など、Windows以外の悪用中の脆弱性も同じ型で確かめたいときは、機器の版確認とKEV照合スクリプトが参考になります。

外部の目を入れたほうがよいのは、工場や店舗の端末のように管理ツールが届かない機器が多い場合や、更新できないサーバーを抱えたまま運用している場合です。どこまでを診断対象にするかの決め方は脆弱性診断の種類と進め方で整理しています。端末とサーバーの洗い出しから当社に任せたい場合は、脆弱性診断・セキュリティ診断でご相談いただけます。

よくある質問

CVE-2026-96951と10月の月例更新について、情報システム部門からよく出る疑問をまとめました。

CVE-2026-96951だけを修正する個別の更新プログラムはありますか？

ありません。修正は各OSの10月の累積セキュリティ更新に含まれていて、Windows 11 24H2〜26H2ならKB5127648を当てることになります。累積更新なので、11月以降の更新を当てた端末も修正済みの状態になります。

Microsoft Defenderなどのウイルス対策が動いていれば更新を待てますか？

待つべきではありません。ウイルス対策は既知の不正ファイルを止める仕組みで、MOTWの回避そのものを塞ぐものではないからです。悪用が確認されており、KEVの期限もすでに過ぎています。ウイルス対策は更新までの補助として扱ってください。

Windows 10でもこの脆弱性の修正は受け取れますか？

Windows 10 22H2と21H2向けにはKB5126657が出ています。ただし22H2はMSRC上でESUの製品区分に入っており、拡張セキュリティ更新を受け取れるのは、登録した端末だけです。登録していない端末は、Windows 11への移行か、ESUへの登録を急ぐ必要があります。

Get-HotFixにKB5127648が表示されなければ未適用ですか？

未適用とは限りません。Get-HotFixが返すのは一部の仕組みで入った更新に限られ、表示はOSによって異なります。判断は、レジストリのビルド番号とUBRが修正後ビルド以上かどうかで行ってください。winverの「OSビルド」でも同じ値を確かめられます。

11月の月例更新はいつ公開される予定ですか？

MSRCの10月の案内では、次回は米国時間2026年11月10日、日本時間では11日の予定です。累積更新なので、11月分を当てればCVE-2026-96951の修正も含まれます。ただし悪用中の脆弱性を11月まで放置する理由にはならないため、10月分を先に当ててください。

関連記事

• Patch Tuesday（パッチチューズデー）とは？日本時間と2026年の日程、Microsoftゼロデイへの対応順：月例更新の日程と、ゼロデイの優先順位の付け方をまとめた解説です。
• BOD 26-04とは？KEVの是正期限を4変数で決める仕組みと自社運用への移し方：KEVの期限の決まり方を自社の運用ルールに移す方法です。
• VPN 脆弱性：機器の版確認コマンドとKEV照合スクリプト・パッチと移行の判断【2026年10月】：Windows以外の機器で同じ照合を行う手順です。
• CVE-2025-14174とは｜EdgeとChromeのゼロデイの影響範囲・修正版と2026年10月時点の更新先：月例とは別スケジュールで出るブラウザの修正の例です。
• 脆弱性診断とは？種類・費用相場・進め方と外注時の判断基準を解説：端末やサーバーの点検範囲を決めるときの進め方です。