北朝鮮Lazarusが AIブラウザ Perplexity Comet のゼロデイ CVE-2026-58432 を悪用 — CometJacking の追撃、プロンプトインジェクションで防衛/航空宇宙/暗号資産に侵入

北朝鮮との関連が指摘される攻撃グループLazarus Groupが、Windowsのゼロデイ脆弱性CVE-2026-68820を実際の攻撃で悪用し、侵害済み端末上でSYSTEM権限を取得していたことが明らかになりました。

Check Point Researchが2026年8月11日に公開した調査によると、CVE-2026-68820はWindowsのWinSock用補助機能ドライバー(Ancillary Function Driver:AFD.sys)に存在する解放済みメモリ使用(use-after-free)の脆弱性です。攻撃者はこの問題をローカル権限昇格(Local Privilege Escalation:LPE)に利用し、Lazarusのカーネルモードルートキット(rootkit)「FudModule」をSYSTEM権限で動作させていました。

MicrosoftはCheck Pointからの報告を受け、8月11日の月例セキュリティ更新でCVE-2026-68820を修正しました。Microsoft自身も「更新プログラム公開前に悪用が確認されていた」と公表しており、CISAも同日、既知の悪用が確認された脆弱性カタログ(Known Exploited Vulnerabilities:KEV)へ追加しています。

ただし、この脆弱性を「Windowsへ外部から直接侵入できるゼロクリックRCE」と理解するのは正確ではありません。CVE-2026-68820の攻撃元区分はローカルで、悪用には攻撃者がすでに対象端末上でコードを実行できる状態が必要です。今回のOperation Dream Jobでは、偽求人などを利用した別の初期侵入経路の後に、SYSTEM権限を得るための権限昇格手段としてゼロデイが使用されました。

CVE-2026-68820の概要
AFD.sysとは何か
Operation Dream Jobで防衛・航空宇宙企業を標的
2種類の感染チェーンを並行して使用
ゼロデイは初期侵入後のSYSTEM権限取得に利用
FudModuleでEDRの可視性を妨害
Microsoftは8月11日に修正、CISAもKEVへ追加
MicrosoftとCheck Pointで「帰属」の意味は分ける
侵害したRoundcubeやWordPressサーバーもC2中継に利用
管理者が優先して確認すべきこと
今回のニュースで誤解しやすい点
まとめ
参考情報

CVE-2026-68820の概要

項目	内容
CVE	CVE-2026-68820
対象コンポーネント	WinSock用補助機能ドライバー(Ancillary Function Driver:AFD.sys)
脆弱性の種類	解放済みメモリ使用(use-after-free)
CWE	CWE-416
影響	ローカル権限昇格、SYSTEM権限取得
CVSS	7.0(High)
利用者操作	不要
実悪用	Microsoftが確認済み
攻撃者への帰属	Check Point ResearchがLazarus GroupのOperation Dream Jobでの利用を報告
修正日	2026年8月11日
CISA KEV	2026年8月11日に追加

米国国立脆弱性データベース(National Vulnerability Database:NVD)では、Microsoftによる共通脆弱性評価システム(Common Vulnerability Scoring System:CVSS) v3.1の評価を7.0(High)として掲載しています。攻撃にはローカルアクセスと一定の競合状態を成立させる必要があるため、ネットワーク経由で認証なしに直接コード実行できる脆弱性よりCVSSは低くなっています。

一方、CVSS 7.0だから優先度が低いという意味ではありません。実際の攻撃で悪用され、SYSTEM権限取得とセキュリティ監視の妨害に使われたことが確認されています。脆弱性管理ではCVSSだけでなく、実悪用の有無を優先順位へ反映する必要があります。

AFD.sysとは何か

AFD.sysはWindowsカーネルの一部として動作するWinSock用補助機能ドライバーで、Windows上のソケット通信を支えています。Windows上のアプリケーションがネットワークソケットを扱う際の低レベル処理に関係しています。

CVE-2026-68820では、複数の処理が同じ内部状態へ同時にアクセスする特定条件で競合状態が発生し、すでに解放されたメモリへアクセスするuse-after-freeにつながる問題が存在していました。共通脆弱性タイプ一覧(Common Weakness Enumeration:CWE)ではCWE-416に分類されています。

Check Point Researchは、完全に更新されたWindows 11環境で調査した結果、過去に修正された別のAFD.sys脆弱性ではなく、それまで未公開だった別の問題であることを確認しました。

AFD.sysがLazarusの攻撃に利用されたのは今回が初めてではありません。Check Point Researchによると、2024年にもFudModuleが同じAFD.sysに存在した別のゼロデイCVE-2024-38193を悪用していました。CVE-2024-38193も解放済みメモリ使用(use-after-free)による権限昇格の脆弱性で、Microsoftは2024年8月に修正しています。

今回のCVE-2026-68820はCVE-2024-38193とは別の脆弱性ですが、同じAFD.sysを対象にFudModuleのSYSTEM権限取得へ利用された点は共通しています。この事実だけから今後も同じドライバーのゼロデイが必ず使われるとは断定できませんが、LazarusがAFD.sysを権限昇格の攻撃面として複数回利用してきたことは、防御側がWindowsの月例更新と実悪用情報を継続的に追う必要性を示しています。

研究者が解析した攻撃モジュールには、Windows 11 24H2のビルド26100を最低条件として確認する処理と、25H2のビルド26200への対応が含まれていました。ただし、これはLazarusが使用した特定の攻撃コードが確認していた環境を示すものであり、「CVE-2026-68820の影響製品がWindows 11 24H2と25H2だけ」という意味ではありません。

実際の影響製品と更新プログラムはMicrosoftセキュリティ対応センター(Microsoft Security Response Center:MSRC)のCVEページで確認する必要があります。WindowsクライアントだけでなくWindows Server系も対象に含まれるため、組織では資産ごとに更新状況を確認してください。

Operation Dream Jobで防衛・航空宇宙企業を標的

今回CVE-2026-68820が確認されたのは、Lazarusと関連付けられている長期的なサイバー諜報活動「Operation Dream Job」の最新キャンペーンです。

MITRE ATT&CKでもOperation Dream JobはLazarus Groupが実行した可能性が高いサイバー諜報活動として整理されており、防衛、航空宇宙、政府などの組織を狙い、魅力的な求人情報を利用して標的へ接触する手口が知られています。

Check Point Researchによると、2026年初頭から確認された今回の波でも防衛分野が中心で、特に航空宇宙・航空関連企業が狙われました。最新の活動では欧州やインドが重点地域となり、フランスやドイツで侵害成功を確認したほか、ブラジルを含む南米にも活動が及んでいます。

キャンペーンは著名な防衛・航空宇宙企業などの求人を装う標的型フィッシング(spear phishing)から始まります。ただし、Check Pointは今回観測した個々の被害者へ最初にどのチャネルで接触したかを直接確認できていません。過去のOperation Dream Jobを踏まえ、LinkedInなどの職業向けSNSやメッセージングサービスを利用した可能性が高いと評価しています。

したがって、「今回の攻撃はすべてLinkedIn経由だった」と断定するのは避ける必要があります。確認されているのは、求人をテーマとした誘導と、それに続く複数の感染チェーンです。

2種類の感染チェーンを並行して使用

Check Point Researchは、今回の活動で2種類の感染チェーンが並行して使われていたことを確認しています。

1つ目では、正規にデジタル署名されたPDFビューアと悪意あるダイナミックリンクライブラリ(Dynamic Link Library:DLL)などを含むファイル群を被害者に実行させ、DLLサイドローディングによってマルウェアを起動します。その後、MISTPENと呼ばれるメモリ上で動作するダウンローダーが追加モジュールを取得します。

MISTPENはMicrosoft Graphのアプリケーションプログラミングインターフェース(Application Programming Interface:API)を利用し、攻撃者が管理するOneDrive上のファイルを経由して追加モジュールを受け取ります。一般的なクラウドサービスへの通信に見せることで、攻撃通信を通常の業務トラフィックへ紛れ込ませやすくする狙いがあります。

MISTPENは端末情報の収集、永続化、CVE-2026-68820を利用する権限昇格モジュールなどを段階的に展開し、最終的には既知のバックドア「ForestTiger」を配信します。Check PointはForestTigerをLazarusへ広く帰属されているマルウェアファミリーと説明しており、感染後の端末へ長期的な遠隔アクセスを提供します。

つまり、FudModuleによるSYSTEM権限取得が攻撃の最終目的ではありません。権限昇格と監視妨害によって攻撃者が活動しやすい状態を作り、その後ForestTigerなどを通じて侵害端末への継続的なアクセスを維持する構成になっています。

2つ目は2026年7月に観測された新しい感染チェーンで、「SecurityPDF」と呼ばれる改変PDFビューアを利用します。攻撃者はプライバシー技術企業Enveilを装った偽サイトも用意し、検索エンジン最適化(Search Engine Optimization:SEO)によって検索結果の上位へ表示されるケースが確認されました。

ここで重要なのは、Enveil自体が侵害された証拠はないことです。Check Pointは、攻撃者が同社を偽装しただけで、Enveilが攻撃を受けたり配布基盤を侵害されたりした兆候は確認されていないと明記しています。

SecurityPDFは細工されたファイルを開いた際に新しいバックドア「Troy」を実行するよう改変されていました。本記事では安全上の理由から、攻撃に利用されたファイルの識別情報、暗号化方式、実行ファイル名、具体的な読み込み方法など、再現へ直接利用できる低レベルの手順は掲載しません。

ゼロデイは初期侵入後のSYSTEM権限取得に利用

CVE-2026-68820が使われるのは、攻撃チェーンの最初ではありません。

Check Pointの分析では、MISTPENがまず端末情報や実行中プロセスなどを確認し、攻撃者が対象として適切だと判断した後に永続化を確立します。その後、CVE-2026-68820を利用するLPEモジュールが読み込まれ、SYSTEM権限でFudModuleを動作させます。

つまり、CVE-2026-68820は「メールを受信しただけでSYSTEMになる」「ネットワークから直接Windowsを乗っ取る」といった脆弱性ではありません。攻撃者がすでに侵害した端末で、一般ユーザーなどの低い権限からWindows最高レベルのSYSTEM権限へ昇格するために使用されました。

これは防御上も重要です。外部からの侵入を完全に防げなかった場合でも、最小権限、アプリケーション制御、振る舞い監視、迅速なOS更新によって攻撃者が次の段階へ進むことを難しくできます。

FudModuleでEDRの可視性を妨害

権限昇格後に展開されたFudModuleは、Lazarusが以前から利用してきたカーネルモードのルートキットです。

Check Pointが今回確認した新しいFudModule v3.1は、SYSTEM権限を利用してWindowsのセキュリティ監視機構や複数のセキュリティ製品に関係する監視処理へ干渉し、エンドポイント検知・対応(Endpoint Detection and Response:EDR)の可視性を低下させる機能を備えていました。

これは「すべてのEDR製品を完全に無効化できる」という意味ではありません。製品や構成によって影響は異なります。ただし、カーネルレベルの高い権限を取得した攻撃者が、セキュリティ製品の監視対象となる処理やログ機構へ干渉することで、その後の活動を見えにくくすることが今回の目的でした。

したがって、対策はEDRだけに依存せず、Windowsの更新、初期侵入対策、ネットワーク監視、クラウド監査ログなどを組み合わせた多層防御が必要です。

Microsoftは8月11日に修正、CISAもKEVへ追加

Check Point Researchによる開示の時系列は明確です。

日付	出来事
2026年7月28日	Check PointがMSRCへ脆弱性を報告
2026年7月31日	Microsoftが脆弱性を確認
2026年8月5日	CVE-2026-68820を割り当て
2026年8月11日	Microsoftが月例更新で修正
2026年8月11日	CISAがKEVへ追加

Check Pointが解析したFudModuleのサンプルには2026年7月7日のコンパイラータイムスタンプがあり、同社は少なくとも7月上旬からOperation Dream JobでCVE-2026-68820が実悪用されていたことを確認しています。

Microsoftも8月の月例セキュリティ更新で、CVE-2026-68820について更新プログラム公開前に悪用が行われていたことを確認していると明記し、早急な更新を呼び掛けました。

日本でも情報処理推進機構(Information-technology Promotion Agency, Japan:IPA)が8月12日に注意喚起を公開し、Microsoftが悪用を確認済みで今後被害が拡大する恐れがあるとして、セキュリティ更新プログラムを至急適用するよう案内しています。

MicrosoftとCheck Pointで「帰属」の意味は分ける

今回の記事で注意したいのが、攻撃者への帰属です。

Microsoftの公式情報から確認できるのは、CVE-2026-68820が実際に悪用されていたという事実です。Microsoftの月例セキュリティ更新ページは、公開前の悪用を確認したと説明していますが、そのページで攻撃者をLazarusへ帰属しているわけではありません。

一方、Check Point Researchはマルウェア、攻撃インフラ、過去のOperation Dream Jobとの関連などを分析し、今回の活動を北朝鮮と関連するLazarus Groupへ結び付けています。

したがって、「MicrosoftがLazarusによる攻撃を確認した」ではなく、「MicrosoftはCVEの実悪用を確認し、Check Point Researchがその実悪用をLazarusのOperation Dream Jobで観測した」と整理するのが正確です。

MITRE ATT&CKも、Lazarus Groupという名称は複数の北朝鮮系サイバー活動を包括して呼ぶ場合があると注意しています。脅威グループの帰属は、技術的な指標だけでなく複数の情報源を基に評価されるため、単一のマルウェア名だけで国家主体を断定するべきではありません。

侵害したRoundcubeやWordPressサーバーもC2中継に利用

今回のキャンペーンではWindows端末だけでなく、攻撃者の指令・制御(Command and Control:C2)インフラにも特徴があります。

Check Pointによると、LazarusはRoundcubeの既知脆弱性CVE-2025-49113を悪用してWebメールサーバーを侵害し、新しいPHP Webシェル「RelayShell」を設置しました。侵害したRoundcubeやWordPressサーバーを、被害端末と攻撃者の間を中継するノードとして利用しています。

Check Pointは少なくとも17個の異なる識別子を確認しており、少なくとも17台の侵害済みサーバーが中継ノードとして利用された可能性があると分析しています。ただし、影響を受けたサーバーをすべて特定できたわけではありません。

正規のWebサイトとして動作していたサーバーを中継地点として利用することで、防衛企業など通信監視の厳しい環境でも、単純な既知の攻撃者インフラへの通信より検知を難しくできます。

管理者が優先して確認すべきこと

1.8月のWindowsセキュリティ更新を適用する

最優先はMicrosoftが2026年8月11日に公開したセキュリティ更新プログラムの適用です。CVE-2026-68820はすでに実悪用が確認されています。Microsoftの月例情報、MSRCのCVEページ、Windows Updateや組織のパッチ管理システムを確認し、利用しているWindowsクライアントとWindows Serverへ該当更新を展開してください。

更新の適用可否をCVSS 7.0だけで後回しにすることは推奨できません。CISA KEVへの登録やMicrosoftの実悪用確認を優先度判断へ反映するべきです。

2.偽求人・採用関連ファイルへの対策を見直す

防衛、航空宇宙、研究開発、先端技術企業では、採用担当者や同業他社を装う連絡を特に警戒する必要があります。

求人票やPDF自体だけを見るのではなく、「文書を表示するために専用ビューアをインストールしてほしい」「別サイトからソフトウェアを取得してほしい」といった誘導を高リスクとして扱うべきです。

検索結果の上位に表示されたサイトでも正規とは限りません。今回のキャンペーンではSEOを悪用した偽装サイトも確認されているため、公式ドメインを別経路で確認する運用が有効です。

3.EDRが正常に動いていること自体を監視する

FudModuleは侵害後にセキュリティ監視の可視性を低下させることを狙っています。

EDRコンソールへイベントが届いているかだけでなく、端末からのテレメトリー停止、センサー状態の変化、想定外のサービス停止、監視対象端末が突然オフラインになる現象などもアラート対象にしてください。

セキュリティ製品側のログだけでなく、Windowsイベント、ネットワーク、認証、DNS、プロキシ、クラウドサービスなど別系統のログを保持することで、端末側の可視性を妨害された場合でも調査材料を残せます。

4.すでに侵害の疑いがある端末はパッチ適用だけで終わらせない

更新プログラムは今後のCVE-2026-68820悪用を防ぐために重要ですが、更新前にすでに攻撃者がSYSTEM権限を取得していた端末から既存のマルウェアを自動的に除去するものではありません。

不審な求人ファイルを実行した、未知のPDFビューアを導入した、EDRの監視が途切れたなどの兆候がある場合は、単なるパッチ適用ではなくインシデント対応として調査してください。

必要に応じて端末隔離、認証情報の変更、永続化の調査、周辺端末・サーバーへの横展開確認まで範囲を広げます。

今回のニュースで誤解しやすい点

第一に、CVE-2026-68820は外部から直接Windowsへ侵入するRCEではありません。攻撃者が対象端末でコードを実行できる状態からSYSTEMへ昇格するローカル権限昇格です。

第二に、「CVSS 7.0だから危険度は中程度」という判断は適切ではありません。Microsoftによる実悪用確認、CISA KEV登録、Lazarusの攻撃でSYSTEM権限取得へ利用されたという現実の脅威情報を考慮する必要があります。

第三に、MicrosoftがLazarusへの帰属を発表したわけではありません。実悪用の確認はMicrosoft、LazarusのOperation Dream Jobとの関連付けはCheck Point Researchによる分析です。

第四に、求人メールを受信しただけでCVE-2026-68820が発動するわけではありません。別の初期侵入を経て攻撃コードが端末上で動作した後、権限昇格として使われます。

第五に、偽サイトで名前を使われた企業が侵害されたとは限りません。今回のSecurityPDF配布ではEnveilを装ったサイトが使われましたが、Check PointはEnveil自体が侵害された兆候はないとしています。

まとめ

Microsoftが2026年8月11日に修正したCVE-2026-68820は、WindowsのAFD.sysに存在するuse-after-freeによるローカル権限昇格の脆弱性です。Microsoftは更新公開前からの実悪用を確認し、CISAもKEVへ追加しました。

Check Point Researchは、このゼロデイがLazarus GroupのOperation Dream Jobで少なくとも2026年7月上旬から利用され、防衛・航空宇宙関連組織への攻撃でSYSTEM権限取得とFudModuleの展開に使われたことを明らかにしています。

今回の事例で重要なのは、ゼロデイだけを切り離して考えないことです。偽求人による初期侵入、正規クラウドサービスを利用するMISTPEN、CVE-2026-68820による権限昇格、FudModuleによる監視妨害、ForestTigerによる長期的な遠隔アクセス、侵害済みWebサーバーを利用したC2中継という複数段階の攻撃になっています。

Windowsを利用する組織は8月のセキュリティ更新を速やかに適用してください。特に防衛、航空宇宙、研究開発などOperation Dream Jobの標的となりやすい組織では、求人を装うソーシャルエンジニアリング、検索結果経由の偽ソフトウェア、EDRテレメトリーの停止まで含めて監視することが重要です。