Microsoft、7月のパッチチューズデーで過去最大規模の修正を実施

歴史的な修正シーズンに

一般的に夏はソフトウェアアップデートの閑散期とされています。しかし、Microsoftが7月にリリースしたパッチは驚くべき規模となりました。同社は今回、実に570件もの脆弱性を一挙に修正したのです。この大規模アップデートには、すでに悪意ある攻撃者によって悪用されていたゼロデイ脆弱性2件が含まれています。さらに、パッチ提供前に情報が公になっていた脆弱性も1件含まれていました。これにより、今回のパッチチューズデーはMicrosoftの月例アップデートの歴史上、最大規模のものとなりました。修正された問題のうち、59件は「緊急」(Critical)の深刻度に分類されています。

脅威の内訳

今回の脆弱性の大半は権限昇格に関するもので、254件に上ります。また、リモートコード実行につながる可能性がある脆弱性も145件確認されました。さらに、機密情報が漏えいする恐れのある欠陥が102件見つかっています。一方、サービス拒否(DoS)状態を引き起こす脆弱性が35件、既存のセキュリティ機構を回避できてしまう弱点が17件ありました。そして、危険なデータ偽装の糸口となる脆弱性も16件確認されています。なお、これらの統計には、7月に別途公開されたMicrosoftのクラウドサービスおよびEdgeブラウザ向けの先行パッチは含まれていません。

悪用が確認されたゼロデイ脆弱性

実際に悪用が確認された2件の脆弱性のうち1つが、深刻度スコア7.8(高)のCVE-2026-56155です。この欠陥はActive Directory Federation Services(AD FS)内に存在していました。アクセス権限の管理が不十分だったため、認証済みユーザーであればローカル管理者権限を奪取できる状態にありました。Microsoft Detection and Response Team(DART)が実際のサイバー攻撃を調査する過程でこの問題を発見しています。ただし、現時点では具体的な悪用の手口は公表されていません。

SharePoint Serverの緊急脆弱性

実際に悪用が確認されたもう1つの脆弱性、CVE-2026-56164は深刻度スコア9.8(緊急)を記録しています。この重大な欠陥は、Microsoft SharePoint Serverに直接影響を及ぼします。重要な機能に適切な認証チェックが実装されていなかったため、攻撃者は事前の認可なしにネットワーク全体で権限を昇格させることが可能でした。当面の対策として、Microsoftはマルウェア対策インターフェースAMSIの有効化を強く推奨しています。管理者はまた、リクエストボディの検査をフルモードに切り替える必要があります。セキュリティチームは、Microsoft Security Update Guide内で公式の導入手順を確認できます。この脆弱性についても、具体的な攻撃の詳細は同様に公表されていません。

BitLocker暗号化のバイパス

3件目のゼロデイ脆弱性、CVE-2026-50661は深刻度スコア6.1(中)となっています。この脆弱性については、パッチ提供前にすでに情報が公になっていました。この問題はBitLockerのドライブ暗号化機能に影響を及ぼすもので、デバイスに物理的にアクセスできる侵入者が暗号化を完全に回避できてしまいます。その結果、攻撃者は厳重に保護されたデータを読み取ることが可能になります。

AIを活用したバグ発見

今回のかつてない規模の修正件数は、新たなAIベースのバグ発見システムの導入も一因となっています。Microsoftは最近、このAIツールを用いてWindowsのソースコードを精査するようになりました。これにより、悪意あるハッカーがそれらを発見するよりも早く脆弱性を洗い出すことを狙いとしています。同社は管理者に対し、7月分のアップデートを直ちに適用するよう強く呼びかけています。特に、SharePointサーバーおよびActive Directoryのインフラについては、優先的にパッチを適用する必要があります。