北朝鮮LazarusがWindowsゼロデイを悪用、Microsoftが緊急修正

Microsoftは2026年8月の月例セキュリティ更新プログラムにおいて、北朝鮮系の攻撃グループ「Lazarus Group」が防衛・航空宇宙分野への攻撃で悪用していたWindowsカーネルのゼロデイ脆弱性（CVE-2026-68820）を修正した。この脆弱性は、過去にも攻撃で悪用されてきたWindowsのネットワークドライバーに存在する。ITおよびセキュリティ担当者は、すでに悪用が確認されている本脆弱性に加え、公開済みの別のゼロデイ脆弱性や重大なサーバー脆弱性への対応を急ぐ必要がある。

■北朝鮮系Lazarusが悪用、CVE-2026-68820の脅威

Microsoftが2026年8月11日（米国時間、日本時間では8月12日）にリリースした月例セキュリティ更新プログラム（パッチチューズデー）は、北朝鮮系の攻撃グループ「Lazarus Group」が少なくとも7月上旬から防衛・航空宇宙分野への攻撃で悪用していたWindowsカーネルの脆弱性を修正した。この脆弱性「CVE-2026-68820」は、「Windows Ancillary Function Driver for WinSock（afd.sys）」に存在する。本脆弱性をMicrosoftに報告したCheck Point Researchは、パッチの公開と同時に詳細な調査レポートを公表している。

Tenableの分析によると、2022年以降、afd.sysのゼロデイ脆弱性が実際の攻撃で悪用された事例は、本件を含めて少なくとも4件確認されている。ただし、そのすべてがLazarusによるものと確認されているわけではない。過去の事例にはCVE-2024-38193、CVE-2025-21418、CVE-2025-32709があり、このうちCVE-2024-38193はLazarusによる悪用が報告されている。

afd.sysが繰り返し標的となる理由は、このWindows標準のネットワークドライバーが一般ユーザー権限のプロセスから利用でき、カーネルモードで動作するためだ。攻撃者が解放後使用（use-after-free）などの欠陥を悪用できれば、権限をSYSTEMレベルまで引き上げられる可能性がある。

■CVSSスコア7.0でも優先度が高い理由

CVE-2026-68820は、Windows Sockets APIの基盤となるカーネルモードドライバーafd.sysにおける、解放後使用の脆弱性である。Microsoftによると、ローカルで認証済みの攻撃者が細工したアプリケーションを実行して競合状態を引き起こすことで、SYSTEM権限を取得する可能性がある。ユーザーによる追加操作は必要ない。

この脆弱性は単独で外部からシステムに侵入するためのものではなく、攻撃者がすでに対象端末上でコードを実行できることを前提としたローカル権限昇格の脆弱性である。それでも、SYSTEM権限を取得してセキュリティ機能を妨害できるため、攻撃チェーンの中では重大な役割を果たす。

Microsoftは本脆弱性の重要度を「重要（Important）」、CVSS v3.1の基本値を7.0と評価している。一方、すでに実際の攻撃で悪用されていることから、セキュリティ関係者は数値上のスコアだけで優先度を判断すべきではないと指摘している。

CISA（米サイバーセキュリティ・インフラストラクチャセキュリティ庁）は8月11日、CVE-2026-68820を「悪用が確認済みの脆弱性（KEV）」カタログに追加した。米連邦政府機関にはBOD 26-04に基づくリスクベースの対応が求められ、CISAは民間組織に対してもKEV掲載脆弱性の修正を優先するよう促している。

Check Point Researchは7月28日に本脆弱性をMicrosoftへ報告し、Microsoftは8月11日の月例更新で修正を公開した。報告から修正公開までの期間は約2週間だった。

■偽の求人で防衛産業を狙う「Operation Dream Job」

Check Point Researchのレポートによると、CVE-2026-68820は、北朝鮮系の長期的なサイバースパイ活動「Operation Dream Job」の新たな攻撃で悪用された。このキャンペーンは偽の求人情報を利用して標的との信頼関係を築き、防衛、航空宇宙、航空分野などの関係者に悪意のあるファイルを開かせる。

攻撃者は採用担当者を装い、LinkedInやダイレクトメッセージなどを通じて標的に接触した可能性がある。今回確認された攻撃では、Lockheed Martinやプライバシー技術企業Enveilの名称やブランドを装った求人資料やウェブサイトが使われた。

標的は、暗号化されたアーカイブか、「SecurityPDF」と呼ばれる改変されたPDFビューアのダウンロードへ誘導された。Check Point Researchは、並行して使われた2つの感染チェーンを特定している。

1つ目はDLLサイドローディングを利用する。正規のデジタル署名付きPDFビューアと悪意のあるDLLを組み合わせ、偽の求人票を表示する一方で、「MISTPEN」と呼ばれる軽量なインメモリダウンローダーを実行する。MISTPENはMicrosoft Graph APIやOneDriveを利用して追加モジュールを取得し、正規のMicrosoftクラウド通信に紛れ込むことで検知を回避しようとする。

2つ目のチェーンでは、SecurityPDFが特定のマーカーを含むPDFを開くと、「Troy」と名付けられた新たなバックドアをメモリ上で復号して実行する。Troyはシステムやプロセスの調査、ファイルの送受信、コマンド実行、プロセス終了、メモリ上へのDLL注入など、17種類のコマンドをサポートする。

攻撃者は専用のC2（コマンド＆コントロール）サーバーだけに依存せず、侵害したRoundcubeウェブメールサーバーやWordPressサーバーなども中継ノードとして利用していた。Check Point Researchによると、一部のRoundcubeサーバーではCVE-2025-49113が悪用され、新たなPHPウェブシェル「RelayShell」が設置された。侵害済みの正規組織が、別の標的へのスピアフィッシングに利用された事例も確認されている。

■EDRを妨害するルートキット「FudModule」

MISTPENが感染端末を調査し、CVE-2026-68820を悪用してSYSTEM権限を取得すると、Lazarusのカーネルモードルートキット「FudModule」が展開される。

カーネルモードルートキットは、OSの中核部分と同じ高い権限で動作する。今回確認されたFudModuleは、EDR（Endpoint Detection and Response）製品が監視に利用するカーネル内の仕組みを操作し、セキュリティ製品による可視性を低下させる。

具体的には、Event Tracing for Windows（ETW）のコールバックを妨害し、94のETWプロバイダーに影響を与える。ETWは、プロセスの作成、ファイル操作、ネットワーク接続、レジストリ変更などをセキュリティ製品が監視するために利用するWindowsのイベント基盤である。

FudModuleはこのほか、ファイルシステム操作を監視するミニフィルタードライバーの妨害、NT Kernel Loggerの停止、Smart App Controlのポリシー状態への干渉も行う。これらの機能によってEDRの監視能力を低下させた後、攻撃者は長期的な遠隔アクセスに利用するバックドア「ForestTiger」を展開した。

Infosecurity Magazineは、今回のキャンペーンにおいて、MISTPENがFudModuleのペイロードを配信する際に、NISTが2024年に標準化したML-KEMに基づくポスト量子暗号方式と、複数の暗号化層を利用していたと報じている。

■公開済みの別のゼロデイと重大なサーバー脆弱性

今回の月例更新では、CVE-2026-68820のほかに、修正公開前から情報が公開されていた2件のゼロデイ脆弱性も修正された。

CVE-2026-62832は、Windows User Profile Serviceに存在する権限昇格の脆弱性で、CVSSスコアは7.8である。別のローカルアカウントの認証情報を持つ攻撃者が、細工したアプリケーションを実行してそのユーザーのレジストリハイブを読み込むことで、データへのアクセスや変更、管理者権限の取得につながる可能性がある。ユーザーによる追加操作は必要なく、Microsoftは悪用可能性を「高い（Exploitation More Likely）」と評価している。

この脆弱性は、2026年7月に「LegacyHive」として公開された概念実証コードと関連付けられている。ただし、8月の更新公開時点では、実際の攻撃での悪用は確認されていない。

もう1件のCVE-2026-72971は、Windows Container Isolation FS Filter Driver（unionfs.sys）に存在するリンク解決の脆弱性である。ローカルで認証済みの攻撃者によるファイル改ざんにつながる可能性があるが、Microsoftは実際の攻撃で悪用される可能性を低いと評価している。

サーバー側の重大な脆弱性には、Windows DNS ServerのスタックベースのバッファオーバーフローであるCVE-2026-62878がある。CVSSスコアは9.8で、認証されていない攻撃者が細工したネットワークパケットを送信することで、ユーザー操作なしにリモートコードを実行できる可能性がある。

Zero Day InitiativeはCVE-2026-62878について、自己伝播型攻撃に利用され得る、いわゆる「ワーム化可能」な脆弱性と評価している。一方、Microsoftは悪用可能性を「低い（Exploitation Less Likely）」としている。インターネットからアクセス可能なDNSサーバーや、DNS機能を提供するドメインコントローラーでは、影響確認とパッチ適用を優先すべきである。

Exchange ServerのCVE-2026-62911についても注意が必要だ。この脆弱性はリモートコード実行ではなく、認証情報の再利用に関係する認証回避によって、ネットワーク経由で権限昇格につながる可能性がある脆弱性である。Microsoftは重要度を「重要」、CVSSスコアを8.0としている。

また、今回の更新には、SharePoint Serverに関する複数のリモートコード実行脆弱性の修正も含まれている。オンプレミスのSharePoint Serverを運用する組織は、7月以前の更新を含め、使用しているバージョンに必要な累積更新がすべて適用されているか確認する必要がある。

■IT・セキュリティチームが今すぐすべきこと

CVE-2026-68820は、すでに実際の攻撃で悪用され、CISAのKEVカタログにも追加されているため、優先的に修正すべき脆弱性である。特に防衛、航空宇宙、航空、ドローン、ロボティクスなどに関係する組織は、不審な求人接触やPDFビューアのインストール、ローカル権限昇格、SYSTEM権限のプロセスへのコード注入などがなかったか調査する必要がある。

Microsoft Graph APIやOneDriveへの通信は、多くの正規アプリケーションでも発生する。このため、これらのサービスへの接続自体を不正と判断するのではなく、通常利用されているアプリケーションやユーザーの挙動と一致しているかを確認することが重要だ。

CVE-2026-62832についても、脆弱性の情報と概念実証コードが公開されているため、迅速な対応が望ましい。マルチユーザーシステム、ターミナルサーバー、共有ワークステーションなどでは、特に影響を確認する必要がある。

サーバーインフラでは、認証不要でリモートコード実行につながるCVE-2026-62878などの修正を優先すべきである。Exchange ServerやオンプレミスのSharePoint Serverについても、各製品のセキュリティ更新プログラムと適用条件を確認し、必要な更新を展開する必要がある。

運用面では、対象となるWindows 11 Enterprise 24H2および25H2デバイス向けに、再起動を伴わずにセキュリティ更新を適用できるホットパッチが提供されている。対象デバイスには、対応エディション、ライセンス、管理ポリシー、事前のベースライン更新などの条件があるため、管理者はMicrosoftの公式ドキュメントで適格性を確認する必要がある。

通常の累積更新を利用するWindows 11 24H2および25H2向けには、KB5121003が提供されている。Microsoftの公式サポート情報によると、この更新は2026年8月11日に公開された。

また、Windows 11 24H2のHomeおよびProエディションは2026年10月13日にサポートを終了する。該当するデバイスの管理者は、サポートされるWindowsバージョンへの移行計画を進める必要がある。

■注目ポイントQ&A

●Lazarus Groupが同じWindowsドライバーを標的にし続けるのはなぜですか？

afd.sys（Windows Ancillary Function Driver for WinSock）は、Windowsの基盤となるネットワーク操作を処理するカーネルモードドライバーです。一般的なアプリケーションからのソケット呼び出しを処理するため、低い権限のプロセスからも利用されます。このドライバーの脆弱性を悪用してカーネルメモリを操作できれば、攻撃者がSYSTEM権限を取得できる可能性があります。2022年以降、afd.sysのゼロデイ脆弱性が実際の攻撃で悪用された事例は、本件を含めて少なくとも4件確認されていますが、すべてがLazarusによるものと確認されているわけではありません。

●FudModuleはエンドポイントセキュリティツールに対して具体的に何を行いますか？

FudModuleは、Windowsカーネルと同じ高い特権レベルで動作するルートキットです。SYSTEM権限で展開されると、セキュリティ製品が監視に利用するEvent Tracing for Windows（ETW）のコールバックを妨害し、多数のETWプロバイダーから得られる可視性を低下させます。さらに、ミニフィルタードライバーやNT Kernel Loggerの妨害、Smart App Controlのポリシー状態への干渉も行います。

●KB5121003をインストールすればWindows 11デバイスは保護されますか？

Windows 11 24H2および25H2向けのKB5121003には、2026年8月のセキュリティ修正が含まれています。対象デバイスに適切にインストールすれば、CVE-2026-68820を含む、この更新で修正された脆弱性への対策になります。ただし、Windowsのバージョンや更新チャネルによって適用される更新プログラムが異なる場合があるため、Microsoftのセキュリティ更新プログラムガイドで対象製品と必要なKBを確認してください。

●Operation Dream Jobとは何ですか？防衛産業の従業員は警戒すべきですか？

Operation Dream Jobは、Lazarus Groupに関連付けられているサイバースパイ活動です。攻撃者は採用担当者を装い、防衛、航空宇宙、航空、テクノロジー分野の関係者に偽の求人を持ちかけ、悪意のあるファイルや改変されたPDFビューアを開かせようとします。未承諾の求人連絡、特にファイルのダウンロードや専用ビューアのインストールを求めるものについては、送信者と求人企業を別の経路で確認する必要があります。

元記事: North Korea Hacked Defense Firms Four Times via Same Windows Driver; Patch Now