CVE-2026-21513（Microsoft Windows）とは
CVE-2026-21513 は、Microsoft Windows に見つかった脆弱性です。種類は「保護の仕組みの不備」（CWE-693）に当たります。
CVE-2026-21513 とは
「保護の仕組みの不備」は、製品に備わる保護の仕組みが、意図どおりに働かない種類の弱点です。
NVD の CVSS の評価は、まだ公表されていません。
米国の CISA は、この脆弱性が実際の攻撃に悪用されたことを確認し、2026年2月10日にKEV カタログ（悪用が確認された脆弱性の一覧）に載せました。ランサムウェアの攻撃での悪用は、CISA の一覧では「不明（Unknown）」とされています。
- 製品
- Microsoft Windows
- 開発元
- Microsoft
- 種類（CWE）
- 保護の仕組みの不備（CWE-693）
- KEV の掲載日
- 2026年2月10日
- ランサムウェアでの悪用
- 不明（Unknown）
- CVE の公開日・更新日
- —
- KEV の脆弱性名（原文）
- Microsoft MSHTML Framework Protection Mechanism Failure Vulnerability
NVD の概要（英語の原文）
Microsoft MSHTML Framework contains a protection mechanism failure vulnerability that could allow an unauthorized attacker to bypass a security feature over a network.
出典：NVD（CVE の記述。This product uses data from the NVD API but is not endorsed or certified by the NVD.）
影響と対応
- 対応期限
- 2026年3月3日
CISA が米国の連邦政府機関に求めている期限です。日本の企業に向けた期限ではありませんが、対応の順番を決める目安になります。 - 修正版・回避策
- 修正版のバージョンや回避策は、開発元の公表で確かめてください。この表では、修正版の有無や番号を判断していません。
原典
確かめることの観点
Microsoft Windows について、社内と委託先で次の 4 点を確かめると、対応の要否と順番を決めやすくなります。
- 自社で使っているか社内の機器・サーバー・クラウドの一覧で、Microsoft Windows を使っているか、使っている場合はバージョンを確かめます。
- 委託先が使っているかシステムの保守・運用・開発を任せている委託先や、データを預けているサービスで、Microsoft Windows を使っているかを尋ねます。
- 修正の状況開発元が公表している修正版の適用や回避策の実施が済んだか、済んだ日はいつかを確かめます。CISA の対応期限（2026年3月3日）も順番の目安になります。
- 痕跡の確認開発元や公的機関が痕跡（不正な操作の跡）の確かめ方を公表していれば、それに沿って確認したか、結果はどうだったかを確かめます。
委託先への照会の文面（下書き）
御社のメールに写して、宛先・期日を直してお使いください。当社は照会を送らず、送った内容や回答も預かりません。
件名：Microsoft Windows の脆弱性（CVE-2026-21513）への対応状況のご確認
〇〇株式会社 ご担当者様 いつもお世話になっております。 Microsoft Windows の脆弱性（CVE-2026-21513）について、米国 CISA が悪用を確認したと公表しています。 弊社の業務に関わる範囲で、次の点を教えていただけますでしょうか。 1. 弊社の業務で Microsoft Windows をお使いかどうか（お使いの場合は、バージョン） 2. 開発元が公表している修正版の適用、または回避策の実施の状況と、その日付 3. 開発元や公的機関が公表している痕跡の確認を行ったかどうかと、その結果 4. 弊社のデータへの影響の有無（確認中の場合は、その旨と次のご連絡の目安） 恐れ入りますが、〇月〇日までにご回答いただけますと幸いです。 どうぞよろしくお願いいたします。
関係するレポート
- 2026年2月の Windows／Office ゼロデイ（CVE-2026-21510 ほか 6 件）（要点・ヒアリング質問票・お知らせ文の下書き）