マイクロソフトの月例パッチが依然として大規模化、AIがバグ発見のあり方を変える

マイクロソフトは火曜日、419件のセキュリティ脆弱性に対する修正プログラムを公開しました。これは過去最大級の月間件数であり、人工知能によってセキュリティチームが対処すべきソフトウェアの欠陥数が劇的に増加していることを示す最新の兆候です。

マイクロソフトが137件の脆弱性に対するパッチを提供した5月の時点で、同社は業界が「AIによる脆弱性発見がもはや憶測の域を出て、エンジニアリング上の課題になった」段階に到達したと述べていました。

それ以降、6月には206件、続いて7月には622件と、記録更新が相次いでいます。これにより同社は、年間の脆弱性件数の過去最多記録である約1,250件をすでに大幅に上回っています。

同社の8月のリリースノートによると、今回の更新では緊急(critical)62件、重要(important)357件の問題に対処しています。先月と同様、マイクロソフトは個別のCVEを列挙する形式をやめ、これまでの項目別リストに代えて、製品ファミリー別のバグ件数を示す集計テーブルと「注目のCVE」セクションを掲載しています。

今月の更新は、AI支援による脆弱性発見が定着する前の通常月と比較して、およそ5倍の量のパッチを含んでいます。この急増が始まる直前、英国の国家サイバーセキュリティセンター(NCSC)は、組織が脆弱性対応において新たなペースに備える必要があると警告していました。

今月の欠陥のうち3件はゼロデイです。うち2件はパッチ公開前に一般に開示されており、そのうちの1件——ネットワーク接続を処理するWindowsコンポーネントに影響するCVE-2026-68820——は実際の攻撃で悪用が確認されています。

同社はこの攻撃をLazarus Groupによるキャンペーンと関連付けています。同グループは、防衛・航空宇宙・航空業界の有名企業における「魅力的な求人機会」への応募者を標的にしており、PDFとトロイの木馬化されたリーダーを組み合わせることで、応募者のマシンを密かに乗っ取るという複雑な攻撃手法を用いています。

公表済みの欠陥の1つであるCVE-2026-62832は、マイクロソフトによって匿名の研究者によるものとされています。この脆弱性の詳細は、匿名の研究者Nightmare Eclipseが先月のPatch Tuesdayの数時間後に公開した「LegacyHive」という概念実証(PoC)と一致するように見えます。これは、同社の情報開示・報奨金制度をめぐる数か月に及ぶ対立の最新の局面です。

急増した脆弱性の広範な悪用は、今のところ確認されていません。しかし、ファイブアイズ(Five Eyes)情報機関連合は6月、フロンティアAIモデルが近く「攻撃・防御両方のサイバー能力を根本的に変革する」ことになると警告し、「そのタイムラインは年単位ではなく、月単位だ」と付け加えていました。

今回のリリース日は、サイバーセキュリティ防御担当者にとって定例サイクルの始まりを意味します。パッチが公開されると、攻撃者はそれを解析して塞がれた穴をリバースエンジニアリングし、まだ更新されていないマシンへの侵入を急ぐ、いわゆる「Exploit Wednesday(エクスプロイト・ウェンズデー)」と呼ばれる現象が起こります。

バグの件数の多さゆえに、マイクロソフトが詳細なアドバイザリを提供することはより困難になっているとみられますが、Security Updatesページの新しいクラスター形式は、トリアージ(優先順位付け)をさらに複雑にする恐れがあります。防御担当者やサードパーティの追跡サービスは今後、基となるアドバイザリのフィードから全体像を自ら組み立て、何を最優先で修正すべきかを見極めなければなりません。