--- title: "Visual Studio の証明書検証の不備でネットワーク越しのなりすまし（CVE-2026-118147）: 17.14.44・18.11.3 などが修正版の下限、CVSS 7.4（Microsoft）" url: https://n-t-p.io/worldsecurity/articles/microsoft-visual-studio-improper-certificate-validation-spoofing-cwe-295-cve-2026-118147 lang: ja kind: 速報 category: 脆弱性・CVE author: World Security 編集部 published: 2026年11月1日 updated: 2026年11月1日 severity: 中 cve: CVE-2026-118147 --- # Visual Studio の証明書検証の不備でネットワーク越しのなりすまし（CVE-2026-118147）: 17.14.44・18.11.3 などが修正版の下限、CVSS 7.4（Microsoft） > **TL;DR:** Microsoft の Visual Studio（2017・2019・2022・2026）で、証明書の検証が不適切なためネットワーク越しになりすましができる（CVE-2026-118147、CWE-295）。NVD の影響版情報では 15.9.84・16.11.62・17.14.44・18.11.3 未満が影響で、これらが修正版の下限と読める（推定）。CVSS v3.1 は 7.4（Microsoft が付与、NVD 自身の評価はなし）。EPSS は公開直後のため未算出、KEV なし。 **要点** - Visual Studio の証明書検証の不備（CWE-295）により、権限のない攻撃者がネットワーク越しになりすませる。機密性・完全性への影響が High、可用性への影響はなし - NVD の影響版情報では 2017 15.9.84、2019 16.11.62、2022 17.14.44、2026 18.11.3 のそれぞれ未満が影響。修正版の下限は推定 - CVSS v3.1 は 7.4（Microsoft の値、攻撃条件の複雑さ High）。NVD の状態は Awaiting Analysis。EPSS は公開直後のため未算出、KEV なし - 開発端末・ビルドサーバー・共有イメージの Visual Studio の版を確認して更新する。更新までは信頼できないネットワークでの作業を避ける（推定） - 影響を受ける機能、具体的な成立条件、悪用の有無は未確認 NVD は 2026-10-31（19:16 UTC）に、Microsoft の開発環境 Visual Studio の CVE-2026-118147 を登録しました。説明は一文で、**証明書の検証が不適切（CWE-295）**なため、権限のない攻撃者がネットワーク越しに**なりすまし（spoofing）**を行えるというものです。登録元（CNA）は Microsoft で、NVD の状態は「Awaiting Analysis」です。 ## 何が起きるか - 公開されている情報は短く、どの機能（拡張機能の取得、パッケージの復元、サインインなど）で証明書検証が不十分になるのかは確認できていません。 - CVSS の攻撃条件は「ネットワーク経由・認証不要・利用者の操作不要・攻撃条件の複雑さは高い」で、機密性と完全性への影響が High、可用性への影響はなしです。通信経路上の位置を得た攻撃者が、正規の相手になりすまして通信内容を読み取り・改ざんできる状況が想定されます（本記事の推定。Microsoft の説明文は上の一文のみ）。 ## 数値と出典（2026-11-01 時点） | 項目 | 内容 | |---|---| | CVE | CVE-2026-118147（CWE-295 証明書検証の不備） | | 影響製品と修正 | NVD の影響版情報（Microsoft 提供）では、Visual Studio 2017 15.9 は 15.9.84 未満、2019 16.11 は 16.11.62 未満、2022 17.14 は 17.14.44 未満、2026 18.11 は 18.11.3 未満が影響。上記の版が修正版の下限と読める（推定。Microsoft の更新プログラム案内の本文は取得できていない） | | CVSS v3.1 | 7.4（High、CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N）。Microsoft（CNA）の値で、NVD 自身の評価はなし | | 状態 | NVD の状態は「Awaiting Analysis」 | | EPSS | 公開直後のため未算出（FIRST の API で該当なし、2026-11-01 確認） | | KEV | 掲載なし（CISA の JSON で確認） | ## severity を medium とした理由 CVSS は 7.4 ですが、攻撃条件の複雑さが High で、通信経路への介在など攻撃者側の前提が重い値です。可用性への影響はなく、悪用の報告・KEV 掲載・EPSS の算出もありません。開発端末が信頼できないネットワークを通る場合には注意が要りますが、現時点の情報では high ではなく medium としました。 ## 対応として考えられること 1. 開発端末の Visual Studio の版（Visual Studio Installer の「更新プログラム」画面）を確認し、上の修正版の下限以上に更新します。 2. 複数の系統（2017・2019・2022・2026）を使っている場合は、系統ごとに版を確認します。サポート終了後の系統が混じっていないかも見ます。 3. ビルドサーバーや共有の開発用イメージ（仮想マシン・コンテナ）にも Visual Studio が入っていないかを確認し、同様に更新します。 4. 更新までの間は、信頼できないネットワーク（公衆無線 LAN など）での開発作業を避け、社内ネットワークや VPN を使います（本記事の推定。公式な回避策は未確認）。 ## 未確認の点 - 影響を受ける機能と、なりすましが成立する具体的な条件は確認できていません。 - 修正版の下限は NVD の影響版情報からの推定で、Microsoft の更新プログラム案内の本文は取得できていません。 - 実際の悪用、PoC の公開は確認していません。 - CVSS は Microsoft（CNA）の値のみで、NVD 自身の評価は確認できていません。 - EPSS は公開直後のため未算出です。 - 日付は NVD の登録（2026-10-31 19:16 UTC）に基づきます。 ## 出典 - [NVD CVE-2026-118147](https://nvd.nist.gov/vuln/detail/CVE-2026-118147) — NIST NVD - [Microsoft MSRC CVE-2026-118147](https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-118147) — Microsoft - [FIRST EPSS CVE-2026-118147](https://api.first.org/data/v1/epss?cve=CVE-2026-118147) — FIRST - [CISA KEV カタログ](https://www.cisa.gov/known-exploited-vulnerabilities-catalog) — CISA --- 出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/microsoft-visual-studio-improper-certificate-validation-spoofing-cwe-295-cve-2026-118147