Microsoftはワーム化の可能性があるとアナリストが指摘するバグも修正、AdobeとCiscoは重大な更新をリリース、SAPはNetWeaverとS/4HANAの重大な脆弱性にパッチを適用
ワーム化の恐れがあるバグとゼロデイ2件が、Microsoftが本日の9月のPatch Tuesdayリリースで公開した約1,000件の修正の目玉となりました。
964件に上る脆弱性は、Microsoftが年半ばからAIを使って脆弱性の発見を始めて以降、また新たな記録となり、いずれも顧客側での対応が必要です。これには、サードパーティ/オープンソース関連のCVE 174件とChromium/Edge関連のCVE 23件は含まれておらず、また顧客側の対応が不要なAzure、Entra、Copilot Studioなどのアプリケーションにおける、Microsoftが緩和済みの脆弱性9件も除外されています。
これとは別に、SAPのABAP(Advanced Business Application Programming)を利用する開発者やSAP管理者は、Extended Passport Processing(EPP)コンポーネントに存在するCVSSスコア10.0の重大な脆弱性を解消するための対応を取る必要があります。Onapsysの研究者によれば、この脆弱性を悪用された場合、アプリケーションの機密性・完全性・可用性に深刻な影響が及ぶ可能性があるといいます。EPPは、SAP S/4HanaやNetWeaverといったエンタープライズスイートで、文書作成のログ記録やエンドツーエンドのトランザクション追跡に使用されています。
Microsoftの脆弱性
本日明らかになった2件のゼロデイは以下の通りです。
- CVE-2026-85880は、Windows ALPC(Advanced Local Procedure Call)におけるヒープベースのバッファオーバーフローで、すでに悪用が確認されています。ALPCはプログラム同士を通信させるWindowsの内部メッセージングシステムです。低権限のAppContainer内でコードを実行できる攻撃者は、この脆弱性をローカルから悪用してサンドボックスを脱出し、対象システム上で権限を昇格させる可能性があります。追加のユーザー操作は必要ないと、Action1は述べています。
Microsoftによれば、影響を受ける製品にはWindows Server 2012、Windows Server 2016、Windows 10 Desktopの一部バージョンが含まれるとのことです。
Ivantiの製品管理担当バイスプレジデントであるChris Goettl氏は、この脆弱性が「Windowsの全製品群に影響を及ぼす」と述べています。
- CVE-2026-81963は、Windows Update Stackにおけるファイルアクセス前のリンク解決不備(リンクフォローイングとも呼ばれる)に起因する権限昇格の脆弱性です。攻撃者がこの脆弱性の悪用に成功すると、System権限を取得される可能性があります。Microsoftによれば、影響を受けるバージョンにはWindows 11 DesktopとWindows Server 2025が含まれるとのことです。ただしAction1の研究者によると、現時点で公開されている情報からは、具体的にどのWindowsバージョンが影響を受けるのか確認できないとしています。
修正プログラムの適用以外に回避策はありません。Action1が指摘するように、深刻度やCVSSスコアが確認できないにもかかわらず、悪用がすでに検知されているため、対応の優先度は高くなります。
TenableのシニアスタッフリサーチエンジニアであるSatnam Narang氏が付け加えたところによると、これは2022年以降Windows Update Stackで発見された7件の権限昇格の欠陥のうち初のゼロデイであり、かつ悪用が確認された初めての事例でもあるとのことです。
今月のMicrosoftのパッチ件数の多さに、専門家の一部は驚きを隠せませんでした。Zero Day Initiativeの脅威認識責任者であるDustin Childs氏は、映画『2001年宇宙の旅』になぞらえて、「単月で1,000件近い脆弱性を目の当たりにすると、頭に浮かぶのは『なんてことだ、星で埋め尽くされている』という言葉だけだ」と語っています。
同氏は、「AIによるバグ発見支援が、パッチ件数をまったく新しい銀河系レベルにまで膨れ上がらせている。防御側としては、この苦境をただ受け入れるしかない」と続けました。
脆弱性のうち約20件はワーム化しうるバグである可能性があると、同氏は警告しています。「ここ数年、世界規模のワームは確認されていないが、SigRedの精神的後継とも言えるDNSの欠陥が存在する以上、その状況は急速に変わる可能性がある」。
その新たな脆弱性とは、Windows DNSのリモートコード実行に関する脆弱性であるCVE-2026-69730です。Microsoftによれば、火曜日の時点ではまだ悪用は確認されていないものの、同社は今後悪用されると見込んでいます。認証されていない攻撃者は、細工したパケットを影響を受けるサービスへネットワーク経由で送信することで、この脆弱性を悪用できる可能性があります。悪用に成功すると、認証やユーザー操作を一切必要とせずに、対象システム上でコードを実行される恐れがあります。
ワーム化しうる脆弱性について尋ねられた、Action1の脆弱性研究ディレクターであるJack Bicer氏は、8月に初めてパッチが適用されたWindows Deployment Services TFTP Serverのリモートコード実行の問題であるCVE-2026-62893と、Windows Routing and Remote Access Serviceのリモートコード実行の問題であるCVE-2026-69590を取り上げました。いずれも認証もユーザー操作も必要としません。そのため同氏は、影響を受けるシステムにパッチが適用されていない場合、この種の脆弱性はネットワーク全体に急速に拡散する可能性があると述べています。
Fortraのセキュリティ研究開発担当アソシエイトディレクターであるTyler Reguly氏は、Microsoftが脆弱性のパッチ適用に追われ続ける限り、件数自体はもはや意味を持たなくなっていると指摘しています。
同氏は次のように述べています。「これはMicrosoft特有の問題ではない。積極的に対応を進めているOracleなど、他の大手ベンダーでも同様の問題が見られる。こうした膨大なCVE件数は、むしろ良い兆候だと捉えるべきだ。なぜなら、攻撃者がその脆弱性を発見して悪用する機会を得る前に、攻撃対象領域を減らせているということだからだ。いずれ、長年放置されてきた発見困難な脆弱性もすべて解消され、Patch Tuesdayも通常のペースに戻るだろう。それまでの間は優先順位付けが鍵となる。管理者にはコーヒー代のギフトカードでも贈ってあげれば喜ばれるはずだ」。
Bicer氏はさらに、今月のMicrosoftのリリース規模を踏まえると、セキュリティ責任者はCVSSスコアだけに頼ったパッチ適用から脱却し、悪用可能性、ネットワーク露出度、必要となる権限、事業上の重要度、侵害された場合の影響といった観点でシステムの優先順位を付ける必要があると付け加えました。同氏によれば、最も重大なリスクは、リモートから到達可能なインフラ、ID・認証サービス、データベースプラットフォーム、仮想化環境、そして悪用に成功するとコード実行や権限昇格につながりうるWindowsコンポーネントに集中しているとのことです。
Bicer氏は、「近年のPatch Tuesdayリリースの増加傾向において特に認識しておくべき点の一つは、パッチが適用される脆弱性の件数自体は増えている一方で、大半の組織に実際に影響を及ぼしうる脆弱性の数は依然としてかなり少ないということだ」と強調しました。「2026年におけるAI支援型の脆弱性発見は、より大きな干し草の山を作り出しているにすぎず、その中に隠れた針の数を増やしているわけではない。組織にとって重要なのは、実際に自社に該当する脆弱性はどれか、それが到達可能かつ悪用可能であることで脅威となりうるかを見極め、そのリスクの文脈に基づいて修復の優先順位を付けることだ」。
他ベンダーからのパッチ
Nightwingの研究者も、今週Adobeが「StyleSmuggler」と名付けられたAdobe CommerceおよびMagentoにおける積極的に悪用中のゼロデイ(CVE-2026-75650、CVSS 10.0)にパッチを適用したと指摘しています。この脆弱性はLinuxバックドアやWebシェルを送り込むもので、Adobeは「緊急の対応」が必要だとしています。
Fortinetは、FortiOSにおける2件の旧来の認証バイパスの脆弱性(CVE-2024-55591およびCVE-2025-24472)について、現在も継続的に積極的な悪用が行われていることを確認しました。これにより、認証されていないリモート攻撃者がエッジファイアウォールの管理権限を奪取できる可能性があります。
Cisco Systemsは、IOS XRシステム全体にわたる重大な脆弱性8件に対処する一方で、先月説明されたSecure Firewall ASAデバイスにおける認証不要のサービス拒否(DoS)の欠陥(CVE-2026-20349)を狙った積極的な悪用について警告しています。
Red Hatは、Advanced Cluster Management for Kubernetes 2における重大な権限昇格の脆弱性(CVE-2026-10090、CVSS 9.0、先月説明済み)を修正しました。この脆弱性は攻撃者がマルチテナントのコンテナ境界を突破することを可能にするものです。また、Tenableは、組織がセキュリティ監査のために依存する中核パイプラインを保護するSensor Proxyにおける重大な欠陥(CVE-2026-18667、CVSS 9.6)を解消しました。この欠陥は、昇格した権限でのコード実行を許してしまうものでした。
SAPの脆弱性
Pathlockのサイバーセキュリティ・R&Iシニアプロダクトマネージャーである Jonathan Stross氏は、今月のセキュリティノートのうち3件が、有効な認証情報を一切必要とせずに完全な侵害に至る領域に達していると指摘しています。同氏は解説記事の中で、「これは、単一のPatch Dayとしては異例なほど集中した、認証不要かつネットワーク到達可能で、影響が最大級となる問題群だ」と述べています。
SAPセキュリティノート#3747649によって塞がれた重大な脆弱性は、ABABベースのシステムにおけるExtended Passport Processing(EPP)コンポーネントのメモリ破損の脆弱性です。この脆弱性を発見したOnapsis Research Labsの研究者は、これを「OVERPASS」と名付けています。
EPPデータのデシリアライズ処理において境界検証が欠如しており、外部から与えられた長さフィールドを処理する際にメモリ安全性の違反が発生します。これにより、認証されていない攻撃者は、不正な形式のEPPヘッダーを含む細工したネットワークリクエストを送信することで、未定義動作やプログラムの異常終了を引き起こすことが可能です。SAPセキュリティノートでは、ABAPおよびJavaカーネル向け、ならびにバージョン9.16のSAP Web Dispatcher向けのパッチが提供されています。それ以外のWeb Dispatcherバージョンや、SAP S/4HANA Extended Application Servicesに含まれるWeb Dispatcherは影響を受けません。
Onapsysは、この脆弱性が幅広いSAPコンポーネントにデフォルトで存在し、リモートかつ認証不要で悪用可能であること、リモート攻撃者がSAP管理者権限でSAPホスト上の任意のOSコマンドを実行できてしまうこと、そしてそれが基盤となるSAPの業務データやプロセスの完全な侵害につながることから、直ちにパッチを適用するよう強く呼びかけています。この脆弱性は複数のSAPコンポーネントおよび複数の通信プロトコルを通じて到達可能であり、Onapsysが指摘するように、そのいずれも認証情報を必要としないため、単一のネットワーク制御だけではリスクを完全には緩和できません。
Onapsysはまた、CVSSスコア9.8の、NetWeaver Message Serverに関するSAPセキュリティノート#3759472にも注意を促しています。このバグは、登録時に内部アプリケーションサーバーコンポーネントの真正性の検証が不十分であることに起因しています。その結果、ネットワークアクセス権を持つ認証されていない攻撃者が、権限のないコンポーネントを登録し、アプリケーション環境内で不正な操作を行える可能性があります。
SAPによれば、悪用に成功した場合、影響を受けたシステムの機密性・完全性・可用性に深刻な影響が及ぶ可能性があるとのことです。Onapsis Research Labsが「S4GET」と名付けたこの脆弱性は、SAPの最新カーネル群全体(9.16、9.18、9.19、9.20)に存在しており、これはすべてのS/4HANA 2025システム、およびこれらのいずれかのカーネルにすでに移行済みの過去のリリースすべてが影響を受けることを意味します。
