マイクロソフトの今月のパッチチューズデーは、脆弱性件数が初めて900件を超え、またしても記録を更新しました。
米連邦サイバー防衛機関のCISAは、このうちCVE-2026-81963とCVE-2026-85880の2件が、すでにハッカーに悪用されていると確認しました。連邦政府機関には9月22日までにこれらの脆弱性を修正するよう求められています。
Tenableのサットナム・ナラン氏によると、CVE-2026-81963はWindows Updateのインストールに使われるコンポーネントに関するもので、CVE-2026-85880はWindowsのメッセージングシステムに影響を及ぼします。Nightwingのサイバーセキュリティ専門家、ニック・キャロル氏によれば、武器化されたエクスプロイトコードに対して2万2,000台を超える企業のExchangeサーバーが未修正のままだといいます。
別の専門家は、CVE-2026-81963のような脆弱性は、まず1人のユーザーをフィッシングで狙い、その権限を足がかりに権限昇格を図るというランサムウェア攻撃チェーンの最初のステップになると説明しています。
「このコンポーネントが事態を悪化させています。アップデートの仕組みそのものを掌握した攻撃者は、本来それを使って自分たちを排除すべき手段まで握ってしまうことになります」とAutomoxのエンジニア、セリーナ・ディペンティ氏は述べています。「アップデートの仕組みが最後にいつ実行されたかを把握できなければ、パッチが適用済みかどうかも判断できません」
この2件は、マイクロソフトがパッチチューズデーで公開した973件の脆弱性に含まれています。同社は7月に600件を超えるセキュリティ脆弱性を修正し、それまでの記録を更新していました。この7月の件数自体も、その前月に記録されたそれまでの最多件数の3倍に達していました。
サイバーセキュリティ研究者や防御担当者たちは、人工知能によるコードレビューツールの利用が、危険な攻撃へと連結し得る軽微な脆弱性の急増を招くと、数か月にわたって警告してきました。
ナラン氏は、今回のパッチチューズデーによって、年間の脆弱性公開件数の累計が2,600件を超えたと指摘しています。これはすでに、それまでの最多記録だった2020年の2倍以上に相当します。Qualysのサイバーセキュリティ専門家、ディクシャ・オジャ氏はさらに、アドビが今月発表した脆弱性の1つが、Adobe Commerceにおける深刻度が「緊急」の脆弱性だったと付け加えています。
翻訳元: https://therecord.media/microsoft-patch-tuesday-september-2026
