Windows の WinSock 補助機能ドライバに解放済みメモリ参照（CVE-2026-68820）— ローカルからの権限昇格

1WinSock の補助機能ドライバという位置

Windows でネットワーク通信を扱うアプリケーションは、WinSock（Windows Sockets）という仕組みを通じて通信します。その下支えをしているのが「Ancillary Function Driver（AFD）」で、カーネル（OSの中核）側で動作するドライバです。

カーネルで動く部品の欠陥は、利用者の権限の枠を越えてOS全体に影響しうるため、同じ深刻度でもアプリケーションの欠陥とは意味が異なります。

2解放済みメモリ参照（use-after-free）とは

プログラムは、使い終わったメモリ領域を解放して他の用途へ回します。解放済みメモリ参照は、その解放後の領域を誤って使い続けてしまう欠陥です。解放された領域には別のデータが割り当てられうるため、攻撃者がその中身を仕込めれば、プログラムの動作を乗っ取ることにつながります。カーネルで起きれば、その先はシステム権限です。

3「ローカル」で「認可された攻撃者」という条件

CISAの説明は、攻撃者が「認可された（authorized）」状態で、かつ「ローカルに」権限を昇格できる、としています。つまり、いきなり外部から侵入できる種類の脆弱性ではありません。ただし実際の攻撃では、まず別の手段（フィッシングや別の脆弱性）で一般利用者の権限を取り、そこからこの種の欠陥で管理者権限へ上がる、という組み合わせが常道です。

是正期限が14日と、同日追加の他案件（3日）より長く設定されているのも、この条件差を反映していると読めます。

4カーネルで起きる欠陥の意味

同じ解放済みメモリ参照でも、それがアプリケーションで起きるのか、OSの中核で動くドライバで起きるのかで、到達する範囲が変わります。

WinSock でネットワーク通信を扱うアプリケーションを下支えしているのが Ancillary Function Driver（AFD）で、カーネル側で動作するドライバです。攻撃者が認可された状態でローカルに権限を昇格できるという条件のため、いきなり外部から侵入できる種類ではありません。

ただし実際の攻撃では、まず別の手段で一般利用者の権限を取り、そこからこの種の欠陥で管理者権限へ上がる組み合わせが常道です。