台湾のPegatron（ペガトロン）社が配布するWindowsカーネルドライバー「tdeio64.sys」に、権限のない一般ユーザーがSYSTEM権限を奪取できる脆弱性2件（CVE-2026-14960 / CVE-2026-14961）が公表されました。米CERT/CCが2026年7月15日に公開したもので、ベンダーからの修正版は執筆時点で提供されていません。JPCERT/CCもJVNで速報版（JVNVU#90340653）を出しています。
ここで押さえておきたいのは、「自社はPegatron製のPCを使っていないから無関係」とは言い切れない点です。この種の正規に署名された脆弱ドライバーは、攻撃者が自分で持ち込んで読み込ませるBYOVD（Bring Your Own Vulnerable Driver）攻撃に転用されるためです。そのため情シスが今日打てる最も効果の高い手は、ドライバーの棚卸しではなく、Windows側のブロックリスト（メモリ整合性／HVCI）が有効になっているかの確認になります。
この記事でわかること
- CVE-2026-14960 / CVE-2026-14961 の中身と、修正版が無いという状況
- CVSSスコアを見て優先度を決めると判断を誤る理由
- 自社製PCの機種に関わらず対処が必要になるBYOVDの構造
- 該当有無の確認方法と、情シスが取るべき現実的な打ち手
何が起きたのか：署名済みドライバーのIOCTLにアクセス制御不備
tdeio64.sysは、Pegatron社が配布するWDM（Windows Driver Model）形式のカーネルドライバーで、システムのI/Oポートやハードウェアへの低レベルアクセスを提供します。Pegatron社はマザーボードやOEM部品を手がける受託製造メーカーで、このドライバーは各社のPCに保守・診断ユーティリティの一部として同梱される形で配布されます。
問題は、このドライバーが公開する \\.\TdeIo というデバイスインターフェースが、要求元の権限を検証せずに特権的なIOCTL（デバイス制御要求）を処理してしまう点にあります。管理者権限を持たない一般ユーザーでも、細工した DeviceIoControl 要求を送るだけで、本来カーネルにしか許されない操作を実行できてしまいます。
| CVE番号 | 内容 | 成立時に何ができるか |
|---|---|---|
| CVE-2026-14961 | IOCTLディスパッチャ経由での任意のカーネルメモリ読み書き | 自プロセスのトークンをSYSTEMプロセスのトークンで上書きし、NT AUTHORITY\SYSTEM へ昇格 |
| CVE-2026-14960 | TDE_IOCTL_INDEXIO_READ / TDE_IOCTL_INDEXIO_WRITE などのハンドラが、認可チェックなしにハードウェアI/Oポートの読み書きを許可 |
ハードウェアレジスタの操作、ファームウェア関連インターフェースの改ざん、システム不安定化、低レベルでの永続化 |
CERT/CCによれば、悪用に成功した攻撃者はSYSTEM権限の取得だけでなく、セキュリティ機構のバイパス、資格情報の窃取、ルートキットの導入まで到達しうるとされています。カーネルの任意読み書きが取れる時点で、そのOS上の防御はほぼ前提が崩れると考えるべきです。
修正版は出ているのか？
いいえ。CERT/CCはPegatron社へ2026年6月10日に通知しましたが、ベンダーからの回答は得られておらず（Vendor Status: Unknown）、公開時点でベンダー提供の修正版はありません。したがって「アップデートを待つ」という選択肢が存在せず、緩和策で凌ぐしかない類の脆弱性です。
CVSSスコアで優先度を決めると判断を誤る
この2件は、スコア駆動の脆弱性トリアージ（例:「CVSS 7.0以上を対応対象にする」）を運用している組織にとって、格好の反面教師になります。
| 項目 | CVE-2026-14960 | CVE-2026-14961 |
|---|---|---|
| NVDによる評価状況 | Not Scheduled（NVDは評価予定なし） | Not Scheduled（同左） |
| CVSS v3.1（CISA-ADP付与） | 9.8 CRITICALAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
6.2 MEDIUMAV:L/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N |
| CWE | CWE-269 / CWE-284 / CWE-668 | CWE-20 / CWE-269 |
同じ1本のドライバーの2つの欠陥に、9.8と6.2という3ポイント以上離れたスコアが付いています。しかも両方とも、実態との整合性に疑問が残ります。
- CVE-2026-14960の9.8：攻撃元区分が
AV:N（ネットワーク）になっていますが、CERT/CCの記述は一貫して「ローカルの非特権ユーザーによる悪用」です。AV:Lが実態に近いはずで、9.8は過大に見えます。 - CVE-2026-14961の6.2：カーネルの任意書き込みでトークンを差し替えてSYSTEMを取る話にもかかわらず、完全性・可用性が
I:N/A:N（影響なし）になっています。SYSTEM奪取が「機密性のみ影響」で収まるはずがなく、こちらは過小です。
加えて、NVD本体は両方とも「Not Scheduled」＝正式な評価を行う予定がないと明示しています。つまり上記の数値はCISAのADP（Authorized Data Publisher）が付けた暫定値であり、今後NVDが精査して直してくれる保証もありません。
実務上の教訓はシンプルです。スコアではなく「成立時に取られる権限の高さ」と「影響を受ける資産の重要度」で判断する。今回は前者が「SYSTEM＋カーネル任意読み書き」で最上位、後者は「全社の業務端末」になりうるので、6.2という数字だけを見て後回しにするのは危険です。関連して、脆弱性の実際の悪用可能性を検証する手段についてはペネトレーションテストとは？脆弱性診断との違いを解説も参考にしてください。
「うちはPegatron製PCじゃない」で済まない理由
ここが本件の肝です。脆弱な署名済みドライバーは、そのPCに最初から入っていなくても脅威になります。
Windowsはカーネルドライバーに有効な署名を要求しますが、tdeio64.sysはPegatron社の正規証明書で署名された正当なドライバーです。したがって攻撃者は、すでに侵入した端末にこのドライバーファイルを自分で持ち込んで読み込ませることで、署名チェックを正面から通過させながらカーネル特権を取得できます。これがBYOVD（Bring Your Own Vulnerable Driver）攻撃で、EDRの無効化やランサムウェアの前段としてすでに定着した手口です。手口の全体像はBYOVD攻撃とは？正規ドライバ悪用と最新脆弱性対策で解説しています。
つまり本件の対処は、次の2層に分けて考える必要があります。
- 資産側の問題：自社の端末にtdeio64.sysが実際に入っているか（＝ローカル権限昇格の踏み台が既にあるか）
- OS設定側の問題：既知の脆弱ドライバーの読み込みそのものをブロックできているか（＝BYOVDに対する耐性があるか）
1だけを潰しても2が無防備なら、攻撃者は別の脆弱ドライバーを持ち込むだけです。逆に2を固めておけば、今回のCVEに限らず今後出てくる同種のドライバーにもまとめて効きます。投資対効果が高いのは明らかに2です。
実は2023年から知られていたドライバーだった
調べていて意外だったのが、このドライバーは今回が初出ではないという点です。脆弱ドライバーのデータベースであるLOLDriversには、2023年11月2日付でtdeio64.sysが「Vulnerable」として登録済みでした。Carbon Black脅威分析ユニット（TAU）の研究者Takahiro Haruyama氏が2023年10月に公表した、ファームウェアアクセスを許す脆弱ドライバー群（34種）の調査で見つかったものです。
つまり、研究コミュニティでは約3年前から「危ない署名済みドライバー」として名指しされていたのに、CVE番号が採番されたのは2026年7月だったということになります。
これは脆弱性管理の運用に対する、なかなか痛い指摘を含んでいます。CVEとCVSSだけを入力にして脆弱性管理を回している組織では、この3年間、tdeio64.sysは一度も検知対象に上がらなかったはずです。一方でLOLDriversやMicrosoftのブロックリストを情報源に組み込んでいた組織は、CVE採番を待たずに対処できていました。「CVEが出てから動く」という運用の限界がはっきり出た例です。
自社が該当するかを確認する
端末にドライバーが存在するか
資産管理ツールやEDRのファイル検索機能で全社スキャンするのが最も確実です。単体端末ならPowerShellで探せます。
Get-ChildItem -Path C:\Windows\System32\drivers -Filter "tde*.sys" -ErrorAction SilentlyContinueファイル名の表記には注意が必要です。JVNやCERT/CCのタイトル、NVDの説明文では「Tdelo64.sys」と表記されていますが、CERT/CCのアドバイザリ本文とデバイス名 \\.\TdeIo、後述するLOLDriversの登録内容から、実際のファイル名は tdeio64.sys（TdeIo＋64）と読むのが自然です。大文字のI（アイ）と小文字のl（エル）の取り違えとみられます。1文字違いで「該当なし」と判定しないよう、上記のように tde*.sys のワイルドカードで探すのが安全です。
読み込み済みドライバーの一覧は driverquery /FO LIST /V でも確認できます。ただしドライバーは「インストール済みソフトウェア一覧」には出てきません。多くの資産管理ツールが拾うのはアプリケーションのアンインストール情報なので、OEMユーティリティに同梱されたドライバーは棚卸しの網から漏れます。ファイル名ベースで探す必要があるのはこのためです。
脆弱ドライバーブロックリストが有効か（本命）
Microsoftは「脆弱なドライバー ブロックリスト」を提供しており、Microsoft LearnによればWindows 11 2022 Update以降はすべてのデバイスで既定で有効です。またWindows Server 2016を除き、メモリ整合性（HVCI）、スマート アプリ コントロール、Sモードのいずれかが有効な場合にも適用されます。ブロックリストは四半期ごとに更新され、加えて毎月のWindows Updateでも配信されます。
注意したいのは、Windows 10や、古い環境からアップグレードを重ねてきた端末ではHVCIが無効のまま運用されているケースが珍しくない点です。まず確認すべきはここです。
- Windows セキュリティ アプリ →「デバイス セキュリティ」→「コア分離」→ メモリ整合性のオン／オフ
- 同アプリ内の脆弱なドライバー ブロックリストのオン／オフ
- 常に最新のブロックリストを適用したい場合は、Microsoftが配布する脆弱なドライバー ブロックリスト バイナリをApp Control for Business（旧WDAC）で適用する
- ポリシー適用の確認は、イベントビューアーの「Microsoft – Windows – CodeIntegrity – Operational」でイベントID 3099 を確認する
なお、tdeio64.sysがMicrosoftのブロックリストに現時点で含まれているかどうかは、公開情報からは確認できませんでした。含まれていない可能性を前提に、後述のApp Controlによる明示的なブロックも検討する価値があります。
導入時の注意：Microsoft自身が警告しているとおり、ドライバーをブロックするとデバイスやソフトウェアが誤動作し、まれにブルースクリーンに至ることがあります。App Controlでポリシーを適用する場合は、必ず監査モードで先に検証し、監査ブロックイベントを確認してから適用モードへ移す手順を踏んでください。また、すでに読み込まれているドライバーはポリシー適用だけでは止まらず、再起動が必要です。
情シスはどうすべきか
本件について自前の長大なチェックリストを作るより、公的・一次のガイドに沿って動くほうが確実です。
- Microsoft が推奨するドライバー ブロックの規則：ブロックリストの適用手順、App Controlポリシーの配布、監査モードでの検証まで一次情報がまとまっています。まずはこちらを。
- Defenderの攻撃面削減（ASR）ルール：「悪用された脆弱性のある署名済みドライバーの悪用をブロックする」を有効にすると、脆弱ドライバーのディスクへの書き込みを防げます。ただし既存ドライバーの読み込みは止まらないため、ブロックリストとの併用が前提です。
- IPA「中小企業の情報セキュリティ対策ガイドライン」：端末の標準構成管理、管理者権限の付与ルールといった土台の整理に有効です。
- 利用者側の啓発：BYOVDの多くは、フィッシング等で一般ユーザー権限の足場を作られたあとの「2手目」です。初手を防げれば権限昇格の出番はありません。IPAの対策のしおりを使った地道なユーザー教育は、遠回りに見えて確実に効きます。
現場目線の所感
正直なところ、この手の通知が来ると気が重くなります。CVEが1本のアプリケーションに紐づいているなら「バージョンを上げてください」で終わりますが、OEMが出荷イメージに入れた素性のよく分からないドライバーとなると、自社に入っているかの把握からして怪しい。しかも今回は修正版がありません。特にやりきれないのは、資産管理ツールの画面をいくら眺めてもこの種のドライバーは出てこないことです。ソフトウェア一覧は綺麗に整っているのに、その下のカーネル層には誰も棚卸ししていないものが眠っている。「見えているものは管理できているが、見えていないものが管理できていない」という当たり前の事実を、こういう通知のたびに突きつけられます。
ただ、今回は考え方を切り替えると気が楽になります。個別のドライバーを追いかけるゲームは、そもそも情シスの人員では勝てません。3年前から研究者が名指ししていたドライバーに今ようやくCVEが付いた、という事実がそれを物語っています。追いかける代わりに「既知の脆弱ドライバーは一律で読み込ませない」という面の設定を1回入れておけば、今回のCVEも、来月出てくる別のドライバーも同時に片付きます。棚卸しに時間を溶かすより、HVCIの有効化状況を全社で確認するほうが、同じ工数でずっと遠くまで守れます。
まとめ
- Pegatron製ドライバー tdeio64.sys に権限昇格の脆弱性2件（CVE-2026-14960 / CVE-2026-14961）。カーネルの任意読み書きからSYSTEM奪取に至り、ベンダー修正版は未提供。
- CVSSは 9.8と6.2 に割れているうえ、NVD本体は両方「評価予定なし」。スコアではなく「取られる権限」と「資産の重要度」で優先度を判断する。
- 署名済み脆弱ドライバーは持ち込まれる（BYOVD）ため、自社PCの機種に関わらず対処が必要。最優先はメモリ整合性（HVCI）／脆弱なドライバー ブロックリストの有効化確認。
同じく「カーネル・管理層の権限を取られる」型の事例としてServerView Agentsに権限昇格の脆弱性 対応の要点、機器が内部侵入の踏み台になる構造としてリコー複合機のSSHに脆弱性、内部への踏み台の恐れも併せてご覧ください。
出典
- CERT/CC VU#529388: Privilege escalation vulnerability via unprotected IOCTL interface in Pegatron Tdelo64.sys（2026年7月15日公開）
- JVNVU#90340653 Pegatron製Windows Driver Model (WDM) ドライバー「Tdelo64.sys」における複数の脆弱性
- NVD – CVE-2026-14960 / NVD – CVE-2026-14961
- Microsoft Learn: Microsoft が推奨するドライバー ブロックの規則
- LOLDrivers: tdeio64.sys（2023年11月2日登録）
- IPA: 中小企業の情報セキュリティ対策ガイドライン
