概要
Microsoftは、MSHTMLフレームワークにおける新たなゼロデイ脆弱性を発表しました。この脆弱性により、攻撃者はセキュリティ機能をバイパスし、組織に重大なリスクをもたらします。
詳細情報
CVE-2026-21513と呼ばれるこの脆弱性は、2月10日、2026年に公開され、既に実世界で悪用されています。MSHTMLフレームワークはWindowsのコアコンポーネントであり、ウェブコンテンツをレンダリングするために使用されます。
危険度
この脆弱性はCVSSスコア8.8（最大10点）で、「重要」と評価されています。攻撃者は特別な権限を持たなくても、ユーザーを悪意のあるコンテンツに誘導することでこの脆弱性を利用できます。
技術的な詳細
この脆弱性はCWE-693と分類され、フレームワークの保護メカニズムの欠陥が原因です。CVSSベクターストリング（CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H）は以下の特徴を示しています：
- 攻撃の複雑さが低い
- 特別な権限が必要ない
- ユーザーとの相互作用が必要（通常はソーシャルエンジニアリングを通じて）
この脆弱性により、機密性、完全性、可用性のすべてが高リスクにさらされます。
対策
Microsoftは公式な修正プログラムをリリースしており、「公式修正」と評価されています。組織は以下の措置を講じるべきです：
- Microsoftのセキュリティ更新プログラムをすぐに適用する。
- ネットワークトラフィックでMSHTML関連の異常な活動を探る。
- ユーザーに対してこの脆弱性を利用したフィッシング攻撃について教育する。
- 一時的な措置として追加のネットワークセキュリティコントロールを実装する。
結論
この重要なセキュリティフラウが既に悪用されているため、組織は遅滞なく対策を講じるべきです。