マイクロソフト、約400件のセキュリティ脆弱性を修正

マイクロソフトは本日、Windowsオペレーティングシステムおよび対応ソフトウェアにおける少なくとも398件のセキュリティ脆弱性を修正するアップデートをリリースしました。このうち1件はすでに実際に悪用されており、さらに2件は本日以前に詳細が公表されていたものです。

8月のマイクロソフトによる大盤振る舞いのパッチ群は、先月の570件超という記録的なセキュリティアップデート数には及ばなかったものの、それでも当時記録的だった6月の約200件の修正の倍にあたる規模でした。マイクロソフトは、こうした最近のパッチ量の急増について、人工知能を活用した脆弱性発見によるものだと説明しています。専門家の間でも、Windowsユーザーは毎月のパッチチューズデー(毎月第2火曜日)ごとに数百件規模の新たに発見されたセキュリティ脆弱性が公表されるという状況に慣れる必要がある、という見方で一致しています。

本日マイクロソフトが修正した398件の脆弱性のうち、実に42件がマイクロソフトの深刻度評価で最も危険な「緊急(critical)」に分類されました。これは、マルウェアや悪意ある攻撃者がユーザーの操作をほとんど、あるいはまったく必要とせずにWindowsコンピューターを遠隔操作できてしまうほど深刻であることを意味します。

今月修正された唯一の既知の「ゼロデイ」脆弱性はCVE-2026-68820です。これはWindowsの中核コンポーネントであるafd.sysにおける権限昇格の脆弱性で、セキュリティ企業のAutomoxはこれを「事実上すべてのエンドポイントにおけるWindowsソケット接続の裏側にあるドライバー」だと説明しています。

「これは正面玄関から入り込むタイプのバグではありません」と、AutomoxのLandon Miles氏はパッチチューズデーに関するブログ記事で述べています。「攻撃の連鎖における第2段階に位置するものです。攻撃者はまずフィッシングによって低権限の足がかりを得て、その後このドライバーの脆弱性を利用してマシンを乗っ取ります。7.0というスコアは攻撃の複雑さの高さを反映したものです。競合状態(レースコンディション)を突く攻撃は非常に扱いにくく、タイミングがうまく合うまで何度も試行を繰り返す必要があります。それでも、実際にこれを成功させている者がいるのは明らかです」

CVE-2026-62832も、マイクロソフトが悪用の可能性が高いとしているもう一つの権限昇格の脆弱性です。Windows User Profile Serviceに存在するこの脆弱性は、多作なバグハンターとして知られるNightmare Eclipse氏による最近の「LegacyHive」の公開情報と関連している可能性があります。もう一件の公表済み脆弱性はCVE-2026-72971で、こちらは影響の小さいローカル改ざんの脆弱性であり、マイクロソフトは悪用される可能性は低いと見ています。

マイクロソフト以外の主要ソフトウェアベンダーも、AIの活用によってパッチの量とペースを同様に増やしています。Adobeは先月、毎月第2・第4火曜日に公開する月2回体制のセキュリティ情報公開に移行しました。Cisco、Google、Mozilla、Oracle各社も、これまでよりはるかに頻繁かつ大量にアップデートを提供するようになっています。

あらゆる報告から見て、AIはソフトウェアのセキュリティ脆弱性を発見することに非常に長けているようです。しかし、少なくとも現時点では、その結果生じる「バグの大洪水」にパッチを当てる作業は依然として人間中心の営みのままです。そして、脆弱性を発見するのと同じくらいAI技術が修正にも長けているのかどうかについては、まだ結論が出ていません。これらのAI技術が発見した脆弱性そのものに対する修正案まで提案している現状を考えると、これは重要な問いだと言えるでしょう。

1Passwordの研究者たちは最近、新たに公表された複雑な脆弱性に対して、さまざまな大規模言語モデル(LLM)にパッチを生成させた場合に何が起こるかを調査しました。その結果、LLMが生成したパッチは半分以上のケースで、脆弱性の修正に失敗するか、その過程で新たな脆弱性を作り込んでしまうか、あるいはその両方に該当することが分かりました。

SANS Technology Instituteの学長を務めるEd Skoudis氏によると、同氏のチームはAIを使ったパッチ生成で優れた成果を上げているものの、それには人間が提案された修正をテストし、繰り返し改善を働きかけるという「人間参加型」の体制が前提になっているといいます。

「AIは驚くほどの速さで脆弱性発見に長けるようになってきていますが、今回の調査は、修正することがまったく別の問題であることを示しています」と、Skoudis氏は本日付のSANSニュースレターに記しています。「AIによる一発勝負のパッチ適用が確実にうまくいくとは期待しないでください。その代わりに、繰り返し試し、テストし、疑問を投げかけ、改善し、検証するというプロセスを踏むべきです。AIは非常に優れたパッチ作成のパートナーになり得ますが、現時点ではまだ、熟練した人間がキーボードの前にいる必要があります」

FortraのTyler Reguly氏は、マイクロソフトが一度に数百件もの脆弱性を修正したという報道を受けて、より速いパッチ適用を迫られ苦慮している組織もあるとしつつも、本日修正された約400件の脆弱性のうち実際に悪用が確認されているのはわずか1件にすぎない点を念頭に置くことが重要だと指摘しています。Reguly氏は、セキュリティ部門の責任者に対し、自分のチームが増え続ける作業負荷──本番環境への展開前に修正のテストを行う作業などを含む──にどう対応しているか、状況を確認するよう勧めています。

「もしあなたが最高セキュリティ責任者(CSO)であれば、私たちが目にしているこのパッチ適用の変化により良く対応するために、チームがどのようにワークフローを転換・修正しているかについて話し合ってください。そして、各部門が望む変更を実現できるよう後押しすることで、組織全体を横断して支援してあげてください」とReguly氏は述べています。「各ベンダーや各組織が何を言おうとも、これらのアップデートを急いで適用する必要はありません。システムに悪影響を及ぼさない安全なアップデートを確実に展開することが重要です」

キーボードの向こう側にいる人間の話に戻ると、今月の大量のパッチを適用する前には、システムやデータのバックアップを取ることを忘れないでください。毎月のパッチチューズデーの翌日は、皮肉を込めて「リブート・ウェンズデー」と呼ばれることがありますが、こうした大規模なアップデート群の適用は数日待ってから行っても、通常は特に問題ありません。というのも、たまに不具合を起こすパッチがマイクロソフトによってきちんと修正されるまでに、数日かかることがあるためです。

深刻度・緊急度別にクリックして確認できるパッチごとの内訳については、SANS Internet Storm Centerによるこちらのまとめを参照してください。