マイクロソフト、974件の脆弱性を公表 うち2件は既に悪用済みのゼロデイ

マイクロソフトは月例のPatch Tuesdayセキュリティプログラムにおいて、既に悪用が確認されている2件のゼロデイ脆弱性を含む、製品群全体974件の欠陥に対処しました。 

今回の大量のパッチ群はマイクロソフト史上最大規模であり、同社が人工知能を活用してより高速に多くの脆弱性を発見する傾向が続いていることを反映しています。しかし、脆弱性の公表件数が記録的な水準で続く一方で、実際に悪用されるゼロデイの急増にはつながっていません。

「AIを活用した脆弱性発見の勢いは衰える兆しを見せていません」と、トレンドマイクロのZero Day Initiativeで脅威認知の責任者を務めるダスティン・チャイルズ氏は火曜日のブログ投稿で述べています。「しかし、それに呼応する形での実際の悪用の急増は、今のところ見られていません」

公表前から既に悪用されていた脆弱性は、Windows Update Stackに影響するCVE-2026-81963と、Windows Advanced Local Procedure Callに影響するCVE-2026-85880の2件です。いずれもCVSS評価は7.8で、攻撃者による権限昇格を許してしまいます。 

今月のセキュリティアップデートでマイクロソフトが公表した欠陥のうち、10件に1件以上が「緊急」レベルに分類されています。今回のアップデートには、Windowsで723件、Officeで111件、Office 2016で111件、SQLで62件、各種開発者向けツールで22件の脆弱性が含まれています。

研究者たちは、セキュリティチームや顧客に対し、脆弱性の総数に圧倒されるのではなく、自組織のリスクとエクスポージャーが該当する領域に焦点を絞るよう呼びかけています。 

「パッチ対象となる脆弱性の件数は増加していますが、大半の組織に実際に影響を及ぼしうる脆弱性の数は依然として非常に少ない状態です。2026年におけるAI支援の脆弱性発見は、干し草の山を大きくしているだけであり、その中の針を増やしているわけではありません」と、Tenableのシニアスタッフリサーチエンジニア、サトナム・ナーラン氏はメールで述べています。 

「組織にとって重要なのは、どの脆弱性が実際に自社に該当するのか、それが到達可能かつ悪用可能であることで脅威となるのかを見極め、こうしたリスクの文脈に基づいて修正の優先順位を付けることです」と同氏は付け加えました。 

Action1の脆弱性研究ディレクター、ジャック・バイサー氏も、この記録的な規模のPatch Tuesdayについて同様の見解を示しています。 

「これほどの規模になると、課題は単にパッチのリストを消化することではなく、何を最優先すべきかを見極めることにあります」と同氏は述べています。「数百件のアップデートが一斉に降ってくる中で、ITおよびセキュリティチームは、即座に対応が必要な脆弱性と、通常の展開サイクルに乗せてよい脆弱性とを迅速に切り分ける必要があります」

今月対処された脆弱性の全リストは、マイクロソフトのセキュリティレスポンスセンターで公開されています。