Trusted DesignCVE-2026-21519 の詳細
CVEの情報
説明:
Access of resource using incompatible type ('type confusion') in Desktop Window Manager allows an authorized attacker to elevate privileges locally.
CVE更新日: 2026-02-10 18:16:34.417000
CVSSバージョン: 3.1
CVSSスコア: 7.8
KEVの情報
KEV更新日: 2026-02-10
EPSSの情報
EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。
EPSSスコア: 0.024380000
EPSS更新日: 2026-03-01 00:00:00
SSVCの情報
SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。
Exploitation: active
Technical Impact: high
Automatable: False
CVE-2026-21519 は Windows の Desktop Window Manager（DWM）に存在する特権昇格脆弱性。型の不一致（type confusion）により不適切なリソースアクセスが発生し、ローカル環境でコードを実行できる攻撃者が権限昇格を行うことが可能。Microsoft および IPA は、本脆弱性が実際に悪用されているゼロデイであると公表している。 【1. 脆弱性の概要】 ■ 影響 - DWM における型の不一致（type confusion）により、リソースへ不適切な型でアクセスできてしまう。 - ローカルでコード実行が可能な攻撃者が、この欠陥を悪用して権限昇格（通常ユーザー → 高権限）を行うことが可能。 - Microsoft および各種公的機関は、本脆弱性が「実際に悪用されている」と公表している。 ■ 深刻度 - CVSS v3.1：7.8（High） - ベクタ：AV:L / AC:L / PR:L / UI:N / S:U / C:H / I:H / A:H - CVSS v4.0：NVD による評価は未提供（N/A）。 【2. 対象となる環境】 ■ 影響を受ける OS バージョン - Windows の Desktop Window Manager（DWM）コンポーネントが影響対象。 - 公開要約情報では「ほぼすべてのサポート中 Windows が攻撃対象になり得る」とされているが、詳細なバージョン一覧は Microsoft Security Update Guide 上の CVE-2026-21519 エントリに記載。 ■ 影響を受ける設定 - 通常の Windows クライアント／サーバー利用環境（ローカルでコード実行が可能な状況）。 - 特定のレジストリ設定や DWM のカスタム設定など、特定設定依存の記述はなし。 【3. 影響を受けた時の兆候】 - 公開情報に具体的な IOC（侵害指標）は提示されていない。 - 性質上、ローカル権限昇格であり、侵入済み端末上で権限が通常ユーザーから SYSTEM などへ引き上げられる形で悪用される。 - ログやイベントとして明確に「CVE-2026-21519 の悪用」と判別できる指標は公開情報からは不明。 【4. 推奨対策】 ■ 本対策 - 2026 年 2 月の Microsoft セキュリティ更新プログラム（月例パッチ）を適用することが公式な恒久対策。 - Microsoft は、CVE-2026-21519 を含む 6 件のゼロデイについて「更新プログラム公開前から悪用を確認しているため、早急な適用が必要」と明記している。 ■ 暫定回避策（緩和策） - Microsoft から公式なワークアラウンドは提示されていない。 - 一般的な多層防御として、初期侵入を防ぐためのパッチ適用、メール・ブラウザ経由の攻撃対策、EDR による不審なプロセス挙動の監視、管理者権限の最小化などが解説記事で推奨されているが、CVE-2026-21519 固有の公式緩和策としては明示されていない。