パッチの奔流はいまだに収まる気配がありません。パッチの公開件数は過去最多水準を更新し続けており、報告されるCVEの数も増加の一途をたどっています。2026年8月のPatch Tuesdayは、398件のCVEを解消するという史上2番目の規模となりました。内訳は緊急(Critical)が42件、重要(Important)が355件、警告(Moderate)が1件です。しかし、これだけの件数がありながら、実際に悪用が確認された脆弱性はまたしても1件のみで、パッチ公開前に一般に情報が公開されていたものが2件ありました。AIは脆弱性の発見において力を発揮していますが、AIを悪用した脅威が押し寄せてくるという事態は、今のところそれほど急速には表面化していないようです。
先月、AIによる脆弱性発見が引き起こす「パッチの黙示録」への対処法について、詳細な解説と段階的なパッチ管理アプローチをご紹介しました。要点をまとめると、圧倒的な数のパッチを優先順位付けし、全体としてのリスク低減効果を最大化する手法に焦点を当てたものでした。あの時は明確には触れませんでしたが、パッチのテストと展開において私たちが直面している最大の課題は「時間」です。
MicrosoftのAzureネットワーキング担当コーポレートバイスプレジデントであるIgor Sahknov氏が、パッチ適用の猶予期間が縮小している問題と、ネットワーク制御によって脅威を緩和しリスクを低減する方法について論じた記事を公開しました。Igor氏によれば、「目的はパッチ適用を回避することではありません。目的は、パッチ適用がまだ完了していない期間中に、意味のある防御層を構築することにあります」とのことです。同氏は、パッチ適用作業が進行している間に時間を稼ぐための制御プレーンとしてネットワークを活用することを提案しており、これは重要な局面で露出を抑え込むリスク主導型の修復システムとうまく噛み合う考え方です。
どのCVEが脅威アクターの標的になるかは事前には分からないため、Patch Tuesdayのアップデートだけでなく、月間を通じて公開されるすべてのアップデートを計画的に展開していくことが重要です。8月には悪用が指摘されたCVEが数多くあり、その中からいくつかご紹介したいと思います。まず、SharePointに関するCVE-2026-55040とCVE-2026-63520がニュースになりました。この2つの脆弱性は、認証バイパスからリモートコード実行へとつなげる連鎖攻撃(チェーン)に悪用され、SharePointサーバーへの実際の攻撃に使われています。修正パッチはそれぞれ7月と8月のPatch Tuesdayで公開済みですが、パッチ適用サイクルに遅れがある場合、これらの連鎖型エクスプロイトを使う脅威アクターに対して脆弱な状態のままである可能性があります。
次に、CVE-2026-62911は、Exchange Serverの権限昇格の脆弱性であり、悪用が懸念される状態にあります。こちらも8月のPatch Tuesdayで公開されたもので、CVSSスコアは8.0です。これは、緊急(Critical)評価でありながら悪用が確認されていない、比較的珍しいCVEの一つでもあります。Microsoftによれば、「攻撃者はすべてのExchangeユーザーのメールボックスを乗っ取ることが可能になり、メールの送信、閲覧、添付ファイルのダウンロードができるようになります」とのことです。そして最後に、Microsoftがクラウド側の運用で対応を済ませてくれたCVEもいくつかありました。Azure ArcのCVE-2026-65816とCVE-2026-69555、そしてExchange Server OnlineのCVE-2026-65801は、いずれも緊急(Critical)評価でCVSSスコアは10.0でした。最も狙われやすい脆弱性を把握しておきたい場合は、CISAの既知の悪用された脆弱性(KEV)リストが役立ちますが、これらはいずれもこの2か月の間に追加されたものです。
来月にはいくつかの製品がサポート終了を迎えるため、計画的に準備を進めておく必要があります。10月のPatch Tuesdayでは、Windows 11 Version 24H2のHomeおよびProfessionalエディション向けの最終アップデート、Server 2012および2012 R2のESUサポート、さらにExchange Server 2016/2019のESUサポートが終了します。これらの製品のアップグレードについてはMicrosoftの推奨事項に従うか、システムを削除・置き換え・アップグレードできるまでの間、保護のための緩和策を実施してください。
Microsoftは、CVE-2026-69414の修正に取り組んでいると発表しました。これはシステム権限の取得を許してしまう権限昇格の脆弱性です。この脆弱性は「ShieldBreak」と呼ばれ、Microsoft Defenderの悪意のあるソフトウェア検出エンジン内に存在します。すでに情報が一般公開されており、PoC(概念実証)のエクスプロイトコードも出回っています。この修正パッチは、来週注目しておくべきものの一つです。
2026年9月のPatch Tuesday予測
- 大量のCVEというトレンドは今後も継続する見込み。報告されるCVEの数に鈍化の兆しが見られない以上、最も古いOSから最新のOfficeアプリに至るまで、製品ポートフォリオ全体が再びアップデートされたとしても驚きではない
- Adobeは8月25日に7件のアップデートを公開したばかり。今月はPatch Tuesdayの時期が非常に早いため、Creative Cloud関連の新規リリースは少数にとどまり、一息つける可能性がある
- AppleがPatch TuesdayのタイミングでOSアップデート一式を公開しても驚きではない。前回のアップデートは8月中旬だったが、月次のリズムで動いているように見える
- 来週もChromeブラウザの週次アップデートは実施される見込み。今週のアップデート(152.0.7977.82/.83)では12件のCVEが修正され、Googleは CVE-2026-85046 が実際に悪用されていると報告している点に留意
- Mozillaに関しては来週は一息つけそう。同社は9月1日に全製品向けの主要なセキュリティアップデートを公開済み。詳細は完全なリストを参照
パッチとCVEの増加ペースを踏まえると、私たちは「パッチの黙示録」の3か月目に突入しようとしています。このトレンドは今後も続き、やがて「通常業務」として定着するのでしょうか。それは時間が明らかにしてくれるでしょう。
翻訳元: https://www.helpnetsecurity.com/2026/09/04/september-2026-patch-tuesday-forecast/
