Windows Shell になりすまし（スプーフィング）を許す脆弱性（CVE-2026-32202）— 保護機構の不全、CISA KEV 掲載
Microsoft の Windows Shell に「保護機構の不全」（本来働くべき保護の仕組みが正しく機能しない不具合）の脆弱性があり、ネットワーク経由でのなりすまし（スプーフィング）に悪用されうる。CISA はこれを実際に悪用が確認された脆弱性のカタログ（KEV）に掲載した。
脆弱性の基本情報
- CVE番号CVE-2026-32202
- CVSS基本値4.3 MEDIUM
- CVSSベクタCVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N
- 対象（ベンダー／製品）Microsoft Windows
- CWECWE-693
- 悪用状況CISA KEV 掲載（実際の悪用を確認）
- 是正期限2026-05-12（米連邦民生機関・BOD 22-01）
要点
Windows Shell は、デスクトップやエクスプローラーなど、利用者がパソコンを操作する際の土台となる中核的な部分である。今回の「保護機構の不全」（Protection Mechanism Failure）とは、本来であれば不正な操作や偽装を防ぐために備わっている保護の仕組みが、想定どおりに機能しないことを指す。この不具合により、攻撃者はネットワーク経由でスプーフィング、すなわち正規のものになりすました偽の表示や情報を見せることが可能になりうる。
NVD 公式の深刻度は CVSS で 4.3（中）であり、攻撃の成立には利用者側の操作（UI:R）が必要とされている。スコア自体は中程度だが、この脆弱性は CISA の KEV に掲載されている点が重要である。KEV は「理論上の危険」ではなく「実際に攻撃に使われていることが確認された」脆弱性だけを集めたカタログであり、掲載は対応の優先度が高いことを示す。
スプーフィングは単独で大きな被害を生むとは限らないが、偽の表示で利用者の判断を誤らせ、フィッシング（正規サイト等を装って情報をだまし取る手口）などと組み合わさることで実害につながりやすい。米国の各省庁向けには拘束的運用指令 BOD 22-01 に基づき、ベンダーの指示に従った緩和の適用が求められ、緩和できない場合は当該製品の使用中止が選択肢として示されている。スコアが中程度であっても、悪用が確認された以上は速やかな対応が必要というのが KEV の基本的な考え方である。
なぜ重要か
Windows Shell は多くの環境で日常的に利用される基盤部分のため、影響範囲は広くなりうる。スプーフィングは偽の表示で利用者の判断を誤らせ、フィッシング等と組み合わさって情報窃取などの実害につながる可能性がある。KEV 掲載は実際の悪用が確認されたことを意味するため、組織はベンダーの指示に沿った緩和の適用を優先度高く検討することが望ましい。
よくある質問（FAQ）
スプーフィング（なりすまし）とは何ですか。
CVSS が中（4.3）なのに、なぜ重要なのですか。
求められている対応は何ですか。
出典（一次情報）
本記事は下記の米国公式データに基づく独自整理です。正確・最新の内容、適用可否は必ず公式・ベンダーでご確認ください。
- CISA KEV Catalog（悪用確認済み一覧）
- NVD（CVE詳細・CVSS）
- ベンダー／参考アドバイザリ
- This product uses data from the NVD API but is not endorsed or certified by the NVD. KEV データは CC0（パブリックドメイン）です。