WindowsのHTTP.sysに権限昇格の脆弱性 — CVE-2026-62735、PoC公開でSYSTEM奪取のおそれ、8月更新で修正済み

Microsoftは2026年8月のセキュリティ更新で、Windowsカーネルのネットワーク基盤「HTTP.sys」に存在する権限昇格の脆弱性「CVE-2026-62735」を修正した。同社はヒープベースのバッファオーバーフローにより、低い権限を持つローカルユーザーがSYSTEM権限へ昇格できると説明している。2026年9月に研究者が技術的詳細と実証コード（PoC）を公開し、再現性が高まった。利用者は8月更新を速やかに適用する必要がある。

CVE-2026-62735の概要 — 低権限ユーザーがSYSTEMへ昇格

項目	内容
CVE番号	CVE-2026-62735
対象	Windows / Windows Server の HTTP.sys
種別	ヒープベースのバッファオーバーフローによる権限昇格
CVSS v3.1	7.8（High） CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
攻撃条件	ローカルでの低権限が必要、ユーザー操作は不要
公開日	2026年8月11日（NVD）
修正	2026年8月セキュリティ更新
悪用状況	現時点で確認された悪用はない（CISAのSSVCはexploitation:none）

NVDの記述によると、脆弱性は「HTTP.sysのヒープベースのバッファオーバーフローにより、認証された攻撃者がローカルで権限を昇格できる」というものだ。Microsoftは情報源を[email protected]として登録し、ベンダーアドバイザリとしてMSRCの更新ガイドを参照元に示している。

HTTP.sysはWindowsがHTTP通信をカーネルモードで処理する中核ドライバーだ。カーネルで動作するため、欠陥の悪用が成功すると攻撃コードは最上位のSYSTEM権限で実行される。SYSTEMは端末全体を制御できる権限であり、任意のファイル操作や設定変更、持続化が可能になる。

原因はヘッダー長の整数オーバーフロー — 7万件のヘッダーでヒープ溢れを誘発

脆弱性の根本原因は、関数「UlpCreateInternalResponseOld」におけるヘッダー長の合計計算で整数オーバーフロー（桁あふれ）の対策が不足していたことだ。HTTP応答のヘッダー長を合計する際に桁あふれが起き、実際に必要なヘッダー量より小さいサイズのノンページプール（カーネルが確保する固定メモリ領域）しか確保されない。続くヘッダー複製処理で確保領域を超える書き込みが発生し、ヒープオーバーフローが起きる。

公開されたPoCの処理は次の流れだ。

1. 攻撃者は約7万件の独自HTTPヘッダーを含む巨大なHTTP応答をユーザー空間で生成する
2. その応答を特定のIOCTL要求でHTTP.sysドライバーへ送信する
3. ドライバーが小さいバッファにヘッダーを複製する際にヒープ領域をはみ出す
4. メモリ破壊を足がかりにSYSTEM権限でのコード実行に至る

この脆弱性は研究者のSiyeon Wi氏が「Pwn2Own Berlin 2026」で実証し、9月に詳細とPoCを公開した。攻撃にはローカルでの低権限が必要だが、ユーザー操作は不要だ。

修正は8月更新のみ — 回避策なし、再起動を伴う適用が必要

Microsoftは2026年8月の月例セキュリティ更新で本脆弱性を修正した。MSRCの更新ガイドによると、同社は本件にワークアラウンド（回避策）を示しておらず、更新の適用が唯一の対策だ。更新はカーネルドライバーを置き換えるため、適用には再起動が必要になる。

CISAの運用評価（SSVC）は本脆弱性を「exploitation:none（悪用なし）、automatable:no（自動化不可）、technicalImpact:total（技術的影響は全体）」と評価している。インターネットから直接悪用できるリモートの欠陥ではないが、PoCが公開されたことで、初期侵入後に権限を奪う第二段階の攻撃で悪用される危険が高まった。

Microsoftは「該当するビルド向けのKBをMSRCの更新ガイドで確認し、速やかに適用してほしい」と呼びかけている。共有端末やサーバーなど多数のユーザーがログオンできる環境では、更新までの間、ローカルログオン権限を最小限に絞ることが被害の拡大抑止につながる。

出典

• Microsoft Security Response Center — CVE-2026-62735
• NVD — CVE-2026-62735