Microsoftのパッチチューズデイ、8月も大量更新が継続

Microsoftは以前、今後しばらくは大規模なセキュリティ更新が新たな標準になり得ると警告していましたが、その言葉通り、同社は今週421件のユニークなCVEに対する修正プログラムを公開しました。このうち2件はゼロデイ脆弱性です。

内訳を見ると、Windowsに影響する脆弱性が236件、OfficeとOffice 2016にそれぞれ影響する脆弱性が98件ずつとなっています。SharePoint Serverが30件、Developer Toolsが26件、Azureが17件、Exchange Serverが7件と続きます。Microsoftはこのうち44件を「緊急」レベルと評価しており、それ以外の大半は「重要」または「警告」に分類されています。2026年8月のMicrosoft更新プログラムに含まれる脆弱性のうち、実に180件が権限昇格（EoP）の問題であり、攻撃者に対象デバイス上でSYSTEMレベルの完全な権限を与えてしまう可能性があります。

大規模なMicrosoft更新が新たな常態に

今回で2カ月連続、Microsoftのパッチチューズデイは通常時よりも大幅に規模が拡大しています。7月のリリースはさらに大きく、622件ものユニークなCVEに対処していました。Microsoftは、他のソフトウェアベンダー同様、自社製品の脆弱性発見にAIツールの活用を強めていることを背景に、当面はパッチの件数が高水準で推移すると見込まれると各組織に警告しています。

セキュリティ専門家によれば、セキュリティチームにとって重要なのは、この件数の多さに圧倒されるのではなく、最も重要な脆弱性への対応を優先することだといいます。Fortraのセキュリティ研究開発担当associate directorであるTyler Reguly氏は声明の中で次のように指摘しました。「今日はあらためて確認しておく必要があるかもしれません。確かにMicrosoftのCVEは421件あり、これは対応すべき量として決して少なくありません。しかし、そのうち236件はWindowsに影響するもので、累積更新プログラムでカバーされます。さらに98件はOfficeのCVEで、Office 2016をまだ使い続けている場合を除けば、こちらも累積更新プログラムで対応されます」。

Microsoftの8月更新プログラムで最も優先度の高い脆弱性は、Windows Ancillary Function Driver for WinSockにおける権限昇格（EoP）の脆弱性であるCVE-2026-68820（CVSS: 7.0）で、攻撃者による実際の悪用が確認されています。このゼロデイ脆弱性により、ローカルで認証された攻撃者は権限を昇格させ、対象システム上でSYSTEMレベルのアクセス権を取得できます。悪用にユーザー操作は一切必要ありません。Cohesityのセキュリティ研究およびREDLab責任者であるAmol Sarwate氏は声明で、「このドライバーはほとんどのWindowsシステムに存在するため、攻撃者にとって攻撃対象が広く、限定的なアクセスから完全な制御権奪取に至る潜在的な経路を提供してしまいます」と警告しています。

CVE-2026-62832（CVSS: 7.8）も直ちに注意すべき脆弱性の一つです。これは今月の更新以前から公に知られていた脆弱性であり、Microsoftは近い将来、攻撃者による悪用の可能性が高いと見ています。Sarwate氏によれば、この脆弱性が実際に悪用が確認されているCVE-2026-68820と組み合わされた場合、攻撃者は初期の足がかりをシステム全体の侵害へと発展させる恐れがあるといいます。同氏は「この2つの組み合わせこそ、今月防御側が最優先で対処すべき課題です」と述べています。

Microsoftユーザーが優先対応すべき問題

今月公開された他の多数の緊急脆弱性の中でも、Zero Day Initiativeの脅威認識責任者であるDustin Childs氏が特に注目すべきだと指摘するのがCVE-2026-62878（CVSS: 9.8）です。これはWindows DNS Serverにおけるリモートコード実行（RCE）の脆弱性で、悪用にユーザー操作を必要としません。Childs氏はブログ記事の中で、このほぼ最高深刻度の脆弱性を「昔ながらのスタックベースのバッファオーバーフロー」であり、ワーム化が可能なものだと評しています。

Childs氏は「Microsoftは悪用の可能性は低いとしていますが、その言葉を鵜呑みにするべきではありません。特にインターネットに公開しているDNSサーバーについては、速やかにテストと展開を行うことを勧めます」と記しています。

Action1のpresident兼共同創業者であるMike Walters氏は、CVE-2026-62815（CVSS: 9.8）にも注目しています。これはMicrosoftによるネットワーク転送プロトコルQUICの実装における、これもほぼ最高深刻度のRCE脆弱性です。Walters氏は声明で「認証もユーザー操作も不要であるため、外部に公開された脆弱なサービスは組織にとって重大なリスクとなり得ます」と警告しています。

Microsoftはこのほかにも複数の脆弱性にCVSSスコア9.0以上の深刻度を割り当てています。その中には、Microsoft Planetary Computer Proに影響する最高深刻度のEoP脆弱性であるCVE-2026-63508、Microsoft Office SharePointのなりすまし脆弱性であるCVE-2026-70332（CVSS: 9.6）、Microsoft Entra Provisioning Serviceの権限昇格脆弱性であるCVE-2026-59115（CVSS: 9.9）、そしてMicrosoft 365 Admin CenterにおけるEoP脆弱性であるCVE-2026-62873（CVSS: 9.8）が含まれます。深刻度は高いものの、Microsoftはこれら緊急脆弱性の一部について、攻撃の複雑さや悪用にユーザー操作が必要であることなど、さまざまな理由から攻撃者による悪用の可能性は比較的低いとしています。