マイクロソフト、セキュリティ脆弱性を一挙約1,000件修正 – Krebs on Security

Microsoft Corp.は本日、Windowsオペレーティングシステムおよびその他ソフトウェアに存在する少なくとも974件のセキュリティ脆弱性を修正するアップデートを公開しました。これは同社史上最大規模のパッチ配信となります。マイクロソフトによれば、人工知能が脆弱性発見のスピードアップに貢献しているとのことですが、セキュリティ専門家からは、多くの組織がすでに毎月これほど大量の修正をテスト・展開するという、人手を要する作業の優先順位付けに苦慮しているとの警鐘が上がっています。

今月のパッチ配信は、7月に記録された同社の過去最多記録を大きく塗り替えました。7月には少なくとも570件のセキュリティ脆弱性に対するアップデートが公開されていました。9月のパッチチューズデーにより、今年の累計件数は2,600件を超え、マイクロソフトが過去最多を記録した2020年(1,245件)の2倍以上となりましたが、今年はまだ残り3か月あります。

今月修正された「ゼロデイ」脆弱性のうち、実際に悪用が確認されているものが2件あります。CVE-2026-81963とCVE-2026-85880で、いずれも攻撃者がWindowsシステム上で権限昇格を行うことを可能にするものです。

本日対処された脆弱性のうち113件は、マイクロソフトの「緊急(critical)」評価を受けています。つまり、これらはユーザーの操作をほとんど、あるいはまったく必要とせずに、マルウェアや悪意ある攻撃者が脆弱なWindowsマシンを制御下に置くために悪用され得るものです。

今月の深刻な緊急脆弱性の中でも特に注目すべきはCVE-2026-69730です。これはWindows Server 2012以降およびWindows 10に存在するDNSの脆弱性です。マイクロソフトは、未認証の攻撃者が細工したパケットを対象システムに送信するだけでこの脆弱性を悪用できる可能性があり、実際に悪用される公算が高いと警告しています。

同様に警戒すべきなのがCVE-2026-69829で、Windows Shellに存在する緊急のリモートコード実行の脆弱性です。CVSS基本値は9.8(最大値は10)と非常に高く、攻撃の複雑さが低く、権限もユーザー操作も不要な状態で悪用可能です。

大量のパッチ配信を行っているのはマイクロソフトだけではありません。Adobe、Cisco、Google、Mozilla、Oracleなど他の大手ソフトウェア企業各社も、AI支援による研究がパッチのペースと件数の増加に寄与していると最近相次いで発言しています(Googleは本日、今後は2週間ごとにセキュリティアップデートを配信すると発表しました)。

Fortraのセキュリティ研究開発担当ディレクター補佐であるTyler Reguly氏は、Windowsアップデートを展開する上での中心的な課題の一つとして、サードパーティ製ソフトウェアの中には基盤となるOSの変更に対してすべてがシームレスに動作するわけではないため、組織全体への展開前にテストが必要になる点を挙げています。

「CISOやCSOの皆さんには、今こそ注意を促したい」とReguly氏は述べています。「あなたのチームが、こうした困難な時期を乗り切れるようどう支援していますか。業務環境への支障を避けるため、時間外や週末にパッチ展開を行わせていますか。その努力に報いていますか。月曜日にユーザーが出社する前にパッチ展開を終わらせるべく、土曜日に働いているチームに、予算を割いて食事をご馳走する時期に来ています」

TenableのシニアスタッフリサーチエンジニアであるSatnam Narang氏は、マイクロソフトが修正する脆弱性の件数は増加している一方で、実際に大半の組織に影響を及ぼし得る脆弱性の件数は依然としてかなり少ないという点を認識することが重要だと指摘しています。

「2026年のAI支援による脆弱性発見は、干し草の山を大きくしてはいますが、針の数を増やしているわけではありません」と同氏は述べています。「組織にとって重要なのは、どの脆弱性が自組織に実際に該当するのか、到達可能かつ悪用可能な形で脅威となり得るのかを把握し、そのリスクの文脈に基づいて修正の優先順位を付けることです」

もちろん、一般のWindowsユーザーはパッチを展開する前にテストを行う必要はありませんが、それでも定期的にWindows Updateを開くか、保留中のアップデートに関する通知に応じる必要があります。そして、こうしたWindowsのパッチリリースの規模が膨れ上がっているペースを考えると、月をまたいでアップデートを溜め込まないほうが賢明でしょう。

企業のWindows管理者は、問題を引き起こしていると見られるアップデートに関する情報について、askwoody.comを注視しておくとよいでしょう。いつものように、SANS Internet Storm Centerが深刻度と緊急度別に整理したパッチ単位の内訳を公開しています。