今月のパッチチューズデー、974件のCVEで過去最多を更新

Microsoftは9月分の定例セキュリティアップデートで、974件の固有脆弱性に対する修正を公開しました。この数は、少し前までなら1年分のCVE件数に相当する規模です。

このうち優先度が最も高いのは、すでに悪用が確認されている2件の脆弱性です。さらにMicrosoftは13件の脆弱性を「緊急（Critical）」と評価したほか、攻撃の複雑さが低く影響度が高いといった理由から、攻撃者に悪用されやすいと判断した脆弱性を58件挙げています。

脆弱性の内訳を見ると、Windowsが723件と大半を占め、次いでOfficeとOffice 2016がそれぞれ111件となっています。残りの脆弱性はMicrosoftのその他の技術に分散しており、SQLが62件、開発者向けツールが22件、SharePoint Serverが16件、Azureが12件となりました。今回のリリースは、MicrosoftのパッチチューズデーにおけるCVE件数の記録更新が続いている最近の傾向を裏付けるものとなりました。

権限昇格の脆弱性が異常な多さに

ここ数カ月の傾向どおり、今回も最も多くを占めたのは権限昇格（EoP）の脆弱性で、全体の約45%にあたる438件でした。これらの多くは、攻撃者が侵害したシステムで管理者権限やシステム権限を獲得することを可能にするものです。次いで多かったのがリモートコード実行（RCE）の脆弱性で、25%にあたる260件、情報漏えいに関わるものが約18%の175件と続きます。

攻撃者による実際の悪用が確認されており、優先的な対応が必要な2件のゼロデイ脆弱性は、Windows Advanced Local Procedure Call（ALPC）における権限昇格の脆弱性であるCVE-2026-85880（CVSS: 7.8）と、Windows Update Stackにおける別のEoP脆弱性であるCVE-2026-81963（CVSS 7.8）です。いずれの脆弱性も、すでに脆弱なシステムへのアクセス権を得ている攻撃者が、SYSTEM権限を獲得することを可能にします。

Trend MicroのZero Day Initiativeで脅威認識責任者を務めるDustin Childs氏は、組織が直ちにパッチを適用すべきもう一つの脆弱性として、Microsoft ExchangeサーバーのEoP脆弱性であるCVE-2026-69380（CVSS:8.1）を挙げています。同氏によれば、この脆弱性は「権限の低い攻撃者が任意のユーザーになりすまし、組織内のすべてのメールボックスを乗っ取ることを可能にする」ためです。

ワーム化可能なCVEの集中

Childs氏はメールでの声明の中で、Microsoftの9月のパッチチューズデーには、ワーム化可能な20件のCVE群も含まれており、これも高い優先度で対応すべきだと警告しています。これらの脆弱性は、認証を受けていないリモート攻撃者が、脆弱なシステム上で任意のコードを実行することを可能にするものです。同氏は「これらのゼロクリックRCE脆弱性は、SigRedの精神的後継とも言えるWindows DNSサーバーの脆弱性（CVE-2026-69730 CVSS:9.8）を筆頭に、企業ネットワーク全体に自己拡散する深刻な感染リスクをもたらします」と記しています。

SigRed（CVE-2020-1350）は、2020年に発見されたDNSサーバーの最大深刻度のRCE脆弱性で、認証を受けていない攻撃者がローカルシステムまたはドメイン管理者レベルの制御権を獲得し、ユーザーの操作を介さずにネットワーク全体へ拡散する可能性があるものでした。

「月間CVE件数が1,000件近くに達したことは、AIを活用した脆弱性発見が業界の新たな標準になりつつあり、人間によるパッチ適用能力を完全に上回っていることを裏付けています」とChilds氏は指摘します。「ワーム化可能な20件という異例のCVE群も加わり、防御側はここ数年で最も高い、自動化されたネットワーク感染のリスクに直面しています」。

緊急度の高いRCE脆弱性

Action1の研究者は、今回の大量の脆弱性群の中でも組織が優先的に対処すべきものとして、深刻度がほぼ最大（CVSS: 9.8）のRCE脆弱性を3件挙げています。Windows ShellのRCEであるCVE-2026-69829、Windows Services for NFS ONCRPC XDRドライバーのRCEであるCVE-2026-69595、そしてMicrosoft WordのRCEであるCVE-2026-78510です。Action1の研究者はメールでの声明の中で、これらの脆弱性は機密性・完全性・可用性への潜在的な影響から、高リスクと位置づけられると説明しています。

Cohesityでセキュリティリサーチおよび REDLabを統括するAmol Sarwate氏は、今月についてはWindowsのアイデンティティおよびインフラ基盤層の脆弱性を優先すべきだと助言しています。同氏は声明の中で、攻撃者はドメインコントローラーやMicrosoft Exchange上のDNS、DHCP、RDS、Netlogonの各リスナーに対して未認証のパケットを送信することで、これらの脆弱性を悪用できる可能性があると述べています。

同氏は「エンドポイントの観点では、セキュリティチームはOffice関連製品を優先すべきです。攻撃者はSMBクライアントの特定の条件を悪用し、悪意あるWordのRTFファイルや、Outlookのプレビューウィンドウに表示される悪意あるメッセージを利用することで、コード実行につなげることができます」と注意を促しています。「共有フォルダやフィッシングメール1件だけで、ユーザーが何かを開くという操作をしなくても、端末を乗っ取られる可能性があります」。

大規模アップデートは当面「新たな日常」に

Microsoftが通常より大幅に規模の大きいパッチチューズデーの更新をリリースするのは、これで4カ月連続となります。これは、同社が自社の技術ポートフォリオ全体にわたる脆弱性の洗い出しにおいて、AIの活用を強めていることを反映しています。件数の規模だけを見ると圧倒されるかもしれませんが、ここ数カ月、多くのセキュリティ専門家が強調しているとおり、これはまったく予想外の事態というわけではなく、必ずしも組織にとってのリスクの増加に直結するものでもありません。重要なのは、実際に悪用されている脆弱性と、攻撃者に悪用されやすい比較的小規模な重大脆弱性の一群を優先することです。

Tenableのシニアスタッフリサーチエンジニアを務めるSatnam Narang氏は声明の中で、「最近のパッチチューズデーのリリース規模の拡大において最も重要な点の一つは、修正される脆弱性の件数は増えている一方で、実際に大半の組織に影響を及ぼしうる脆弱性の件数はきわめて少ないままだということです」と指摘しています。「2026年におけるAIを活用した脆弱性発見は、干し草の山を大きくしているだけであり、その中の針を増やしているわけではありません」。

Narang氏によれば、セキュリティチームは自組織に実際に関係する脆弱性を正確に把握したうえで、それらの脆弱性が自社固有の環境において到達可能かつ悪用可能かどうかを見極め、リスクの文脈に基づいて優先順位をつけるべきだといいます。

Fortraでセキュリティ研究開発の副ディレクターを務めるTyler Reguly氏は声明の中で、脆弱性の発見・開示件数における今回の急増はおそらく一時的なものであると留意すべきだと指摘しています。「これほど多くのCVE件数は、実は良いことだという点を忘れてはなりません。攻撃者がこれらの脆弱性を発見して悪用する機会を得る前に、私たちが攻撃対象領域を減らせているということだからです。いずれ、こうした長年見過ごされてきた発見困難な脆弱性はすべて修正され、パッチチューズデーは通常のペースに戻るでしょう」とReguly氏は予測しています。