2026年7月のPatch Tuesdayは、あらゆる面で記録的な回となりました。Microsoft製品ポートフォリオのほぼ全体にわたるセキュリティパッチの数は過去最多を記録し、Security Updates Guideに登録されたCVEも600件を大きく上回りました。
興味深いことに、悪用済みゼロデイとして報告されたCVEはわずか2件、公開済み(publicly disclosed)として報告されたものも1件のみでした。この点については後ほど改めて触れます。Windows 11およびServer 2025向けには405件、Windows 10とその関連サーバーバージョン向けには337件のCVEが報告されました。Microsoft SharePointとOfficeについても過去最多のCVE件数を記録したほか、SQL Server、Exchange Server、.NET frameworkのアップデートも公開されています。
Age of EmpiresやMinecraft Serverに関するCVEが報告されていたことにお気づきでしょうか。多くの組織は、これらすべてのパッチのテストと展開に今なお苦戦しており、他の組織からは「来週さらに新たな波が来るのではないか」との懸念の声も上がっています。
AIが脆弱性の発見に与える影響により、IT管理者やセキュリティ専門家は疑問を突きつけられ、パッチ管理業界の変革を迫られています。Microsoftは「AIによって加速する脅威」の増加を見据え、2日間の猶予期間を設けたうえで3日以内にパッチを適用するという対応方針まで推奨しています。
ご想像の通り、この方針は業界の専門家の間で議論を呼びました。脅威が今後も拡大し続けるという点では意見が一致しているものの、3日以内という要件を満たすには課題があります。大企業はテスト、変更管理、互換性要件といった制約を抱えているためです。この課題に対応するには、最も重要な脆弱性については数日でパッチを展開できる一方、それ以外については規律を保って対応できるプロセスを構築する必要があります。
公開された脆弱性のうち、実際に悪用が確認されるものはごく一部にすぎません。冒頭でも触れた通り、7月のPatch Tuesdayで公開された600件超のCVEのうち、悪用が確認された、または公開済みとされたのはわずか3件でした。したがって、それ以外のすべてのパッチに直ちに注力する必要はなく、あらゆるCVEを緊急事態として扱う必要もありません。
まずはCVEとパッチのトリアージに注力し、最も危険度の高い脆弱性に対する自組織のシステムの露出状況を評価したうえで、対象システムに応じた適切なテストを実施し、評価が完了した段階でリスクの優先順位に沿って展開してください。従来のリング展開方式では、小規模なパイロットグループから始めて重要度の低い社内システムへ、そして最終的には組織全体へと、ほぼすべてのパッチを段階的に展開していました。
パッチの大波(Patch Apocalypse)に対応するには、リスクにより焦点を絞った新たなアプローチが必要です。
- 悪用が確認されている、またはインターネットに露出している脆弱性を最重要項目として特定する
- それらのパッチを、ネットワーク上の位置、処理するデータ、事業上の重要性などに基づいてリスクが最も高い自組織のシステムと突き合わせる
- 該当パッチが対象システムに支障をきたさないことを確認するための、簡易テストまたは受け入れ基準を策定する。これが完了したら、そのパッチ群を展開し、次に優先度の低いシステム群へ進む。このアプローチこそが、パッチの大波の中でリスクを低減するための鍵となる
8月のPatch Tuesdayを迎えるにあたり、この1か月で押さえておくべき重要事項がいくつかありました。7月分のアップデート展開がまだ完了していない場合は、SharePointのパッチ適用を優先すべきです。Microsoft Security Centerは、リモートコード実行の脆弱性であるCVE-2026-50522が現在悪用されていると発表しました。攻撃者はこの脆弱性を利用してマシンキーを窃取でき、システムにパッチが適用された後もアクセスを維持できます。これらのキーを使えば、リモート攻撃者はSharePointシステム上でコードを実行できてしまいます。
ハッカーといえば、研究者Nightmare Eclipse氏が「LegacyHive」と呼ばれる脆弱性を公表し、再び話題になっています。ACROS Securityによれば、「この脆弱性により、管理者権限を持たない一般ユーザーが他のユーザーのレジストリハイブを完全アクセスモードでマウントできてしまう。その結果、そのユーザーが保存している機密情報にアクセスしたり、次回ログイン時に実行される内容に影響を与えるようレジストリの値を改ざんしたりできる」とのことです。この脆弱性はWindows User Profile Serviceに存在し、Microsoftはすでにこれを認め、修正に取り組んでいます。現時点ではCVE番号は割り当てられていませんが、8月のリリースで対応される可能性がある項目として注目しておくべきでしょう。
最後に、セキュアブート証明書が古いままのエッジシステムをお使いの場合、Microsoftは最新のWindows 11 24H2および25H2プレビューパッチにおいて、対象範囲の改善を導入しています。この改善により、新しいSecure Boot証明書を受け取れる対象デバイスの「カバレッジが拡大」され、来週の累積アップデートにも役立つはずです。
Microsoftの最新ポリシー(Modern Policy)に基づき、複数の製品がサービス終了(End of Servicing)を迎えます。これは継続的なアップデートが停止し、延長サポートも提供されないことを意味します。Windows 11 Version 24H2は、2か月後の2026年10月13日にサービス終了を迎えます。11月10日には、Windows 11 Version 23H2のEnterprise EditionおよびEducation Edition、さらにWindows 11 IoT Enterprise 23H2がサービス終了となります。またMicrosoftは、Exchange Server 2016/2019について、この10月にESUサポートを終了すると発表しました。ESUサポートはこれまで6か月間延長されてきましたが、今後の再延長はありません。発表内容の推奨事項に従い、計画的に対応してください。
2026年8月のPatch Tuesday予測
- Microsoftはすでに、AIによる脆弱性発見の増加に伴い、大量のCVEというトレンドが今後も続くと述べています。この発表を踏まえると、今回も新規CVEが多数報告される大規模なアップデート群が予想されます。ただし、Microsoftは先月「取りやすい果実」の多くをすでに修正したとみられるため、件数はこれまで見られてきた通常の高水準に戻る可能性もあります。ポートフォリオ全体が更新されるとは限りませんが、大半の製品は再びアップデートを受けるでしょう。
- Adobeは7月28日に、Format Plugins、Bridge、オンプレミス版のCampaign Classic向けに小規模なリリースを行いました。AIが何を発見し、Adobeが何を修正するかを予測するのは困難ですが、先月アップデートがなかったPhotoshop、InCopy、InDesign、Acrobat Readerは、対象となる可能性が高い製品として挙げられます。
- Appleが来週何らかのアップデートをリリースする可能性は低いとみられます。直近の大型リリースは7月27日で、macOS Tahoe 26.6、macOS Sequoia 15.7.8、macOS Sonoma 14.8.9が対象でした。これらのリリースでは多数のCVEが報告されており、一例を挙げるとTahoeでは128件の固有CVEが確認されています。8月6日には、いずれの製品にも共通する画面共有の脆弱性であるCVE-2026-65400のみを対象とした小規模なリリースがありました。最新パッチを適用すれば累積的に大型リリース分もカバーされます。
- Googleは8月6日、Windows向けChrome Desktop 151.0.7922.108をリリースし、41件のCVEに対応しました。同社は引き続き毎週セキュリティアップデートをリリースしていますが、来週は小規模な更新となり、CVE件数も少なくなると見込まれます。
- Mozillaも来週、ThunderbirdとFirefoxの小規模なアップデートをリリースする可能性が高いとみられます。直近の大型リリースは7月21日で、FirefoxおよびThunderbird 153、Firefox ESR 115.38、Firefox ESR 140.13、Thunderbird 140.13が対象でした。
ようこそ、パッチの大波(Patch Apocalypse)へ。ベンダーの深刻度評価や単純なCVSS値のみに基づく従来型のパッチ適用は、急速に時代遅れになりつつあります。そして、その変化を引き起こしているのはAIにほかなりません。
翻訳元: https://www.helpnetsecurity.com/2026/08/07/august-2026-patch-tuesday-forecast/
