Visual Studio の証明書検証の不備でネットワーク越しのなりすまし（CVE-2026-118147）: 17.14.44・18.11.3 などが修正版の下限、CVSS 7.4（Microsoft）

NVD は 2026-10-31（19:16 UTC）に、Microsoft の開発環境 Visual Studio の CVE-2026-118147 を登録しました。説明は一文で、**証明書の検証が不適切（CWE-295）なため、権限のない攻撃者がネットワーク越しになりすまし（spoofing）**を行えるというものです。登録元（CNA）は Microsoft で、NVD の状態は「Awaiting Analysis」です。

何が起きるか

• 公開されている情報は短く、どの機能（拡張機能の取得、パッケージの復元、サインインなど）で証明書検証が不十分になるのかは確認できていません。
• CVSS の攻撃条件は「ネットワーク経由・認証不要・利用者の操作不要・攻撃条件の複雑さは高い」で、機密性と完全性への影響が High、可用性への影響はなしです。通信経路上の位置を得た攻撃者が、正規の相手になりすまして通信内容を読み取り・改ざんできる状況が想定されます（本記事の推定。Microsoft の説明文は上の一文のみ）。

数値と出典（2026-11-01 時点）

項目	内容
CVE	CVE-2026-118147（CWE-295 証明書検証の不備）
影響製品と修正	NVD の影響版情報（Microsoft 提供）では、Visual Studio 2017 15.9 は 15.9.84 未満、2019 16.11 は 16.11.62 未満、2022 17.14 は 17.14.44 未満、2026 18.11 は 18.11.3 未満が影響。上記の版が修正版の下限と読める（推定。Microsoft の更新プログラム案内の本文は取得できていない）
CVSS v3.1	7.4（High、CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N）。Microsoft（CNA）の値で、NVD 自身の評価はなし
状態	NVD の状態は「Awaiting Analysis」
EPSS	公開直後のため未算出（FIRST の API で該当なし、2026-11-01 確認）
KEV	掲載なし（CISA の JSON で確認）

severity を medium とした理由

CVSS は 7.4 ですが、攻撃条件の複雑さが High で、通信経路への介在など攻撃者側の前提が重い値です。可用性への影響はなく、悪用の報告・KEV 掲載・EPSS の算出もありません。開発端末が信頼できないネットワークを通る場合には注意が要りますが、現時点の情報では high ではなく medium としました。

対応として考えられること

1. 開発端末の Visual Studio の版（Visual Studio Installer の「更新プログラム」画面）を確認し、上の修正版の下限以上に更新します。
2. 複数の系統（2017・2019・2022・2026）を使っている場合は、系統ごとに版を確認します。サポート終了後の系統が混じっていないかも見ます。
3. ビルドサーバーや共有の開発用イメージ（仮想マシン・コンテナ）にも Visual Studio が入っていないかを確認し、同様に更新します。
4. 更新までの間は、信頼できないネットワーク（公衆無線 LAN など）での開発作業を避け、社内ネットワークや VPN を使います（本記事の推定。公式な回避策は未確認）。

未確認の点

• 影響を受ける機能と、なりすましが成立する具体的な条件は確認できていません。
• 修正版の下限は NVD の影響版情報からの推定で、Microsoft の更新プログラム案内の本文は取得できていません。
• 実際の悪用、PoC の公開は確認していません。
• CVSS は Microsoft（CNA）の値のみで、NVD 自身の評価は確認できていません。
• EPSS は公開直後のため未算出です。
• 日付は NVD の登録（2026-10-31 19:16 UTC）に基づきます。