2026年9月のPatch Tuesdayがやってきました。Microsoftは今回も過去最多となるパッチ件数を提供し、その中にはゼロデイとして悪用された2件の脆弱性への対応も含まれています。
もう一つの「新たな常態」と言えるのが、匿名のセキュリティ研究者Nightmare Eclipseによる動きです。Microsoftが月例パッチをリリースしてからわずか数時間後に、同社製ソフトウェアを狙うゼロデイの概念実証(PoC)エクスプロイトを公開しています。
今回登場したのはShieldCrashで、Microsoft Defender(すなわちMicrosoft Malware Protection Engine)における権限昇格の脆弱性CVE-2026-69414(通称ShieldBreak)向けのパッチを回避するとされています。
ゼロデイ攻撃で悪用された脆弱性
CVE-2026-81963は、Windows Updateのインストールに使われるコンポーネントであるWindows Update Stackに存在する脆弱性で、複数のWindows 11バージョンおよびWindows Server 2025に影響します。ファイルアクセス前のリンク解決処理の不備とアクセス制御の不備が原因で、低い権限を持つ認証済み攻撃者がシステム上でSYSTEM権限を取得できてしまいます。
Tenableのシニアスタッフリサーチエンジニアを務めるSatnam Narang氏は、Windows Update Stackにおける権限昇格の脆弱性は2022年以降で7件目だが、ゼロデイとして悪用されたのは今回が初めてだと指摘しています。
この脆弱性はMicrosoft Threat Intelligence Centre(MSTIC)によって報告されましたが、実際にどのような攻撃で悪用されたのかという詳細はまだ公表されていません。
TrendAIのZero Day Initiativeで脅威認知(Threat Awareness)部門を率いるDustin Childs氏は、自動更新プロセス自体が侵害されているとは考えにくいとした上で、CVE-2026-81963はマルウェアやランサムウェアを拡散させるためのコード実行の脆弱性と組み合わせて悪用されている可能性が高いと述べています。
CVE-2026-85880も同じくSYSTEM権限への昇格を可能にする脆弱性で、Windows Advanced Local Procedure Callに存在します。これはWindows 10および旧バージョンのWindows Server(2012、2016、2019、2022)に影響します。
この脆弱性はProofpointの脅威リサーチチームによって報告されましたが、こちらもどの程度広範に悪用されているかは分かっていません。とはいえ、いずれの脆弱性も攻撃者に実際に利用されている以上、これらの修正パッチの適用はすべての組織にとって最優先事項とすべきです。
CrowdStrikeは「この種の脆弱性は、コモディティ化したマルウェアと標的型侵入を行う攻撃者の双方が使う侵害後のツールにおいて、ユーザーモードからカーネルモードへの制御権を確実に手に入れる最終手段として、これまでも繰り返し登場してきました」と指摘しています。
その他の注目すべき脆弱性
Childs氏によれば、組織はサポート対象のほとんどのWindowsバージョンに影響し、ワーム化しうると分類できる20件の脆弱性群のパッチ適用も優先すべきだといいます。
「いずれのケースでも、リモートの未認証攻撃者がユーザーの操作を一切必要とせずに、影響を受けるシステム上で任意のコードを実行できてしまいます」と同氏は指摘しています。
「ここ数年、世界規模のワームは見られていませんが、SigRedの精神的後継とも言えるDNSの脆弱性[CVE-2026-69730]の存在によって、その状況は急速に変わりかねません」
リモートコード実行につながる可能性のあるKerberosの認証バイパスの脆弱性CVE-2026-69676は、「悪用の可能性が高い(Exploitation More Likely)」に分類されています。
Childs氏は「低レベルのアクセス権を持つ認証済み攻撃者が細工したリクエストを送信するだけで、ユーザーの操作を一切介さずにサーバー上でコードを実行できてしまいます」と説明しています。
「ここで言う『サーバー』とはドメインコントローラーを指し、『認証済みの攻撃者』とは任意のドメインユーザーを意味します。つまり現実的に読み解けば、フィッシングで乗っ取られたワークステーションのアカウント一つと、細工したリクエスト一つがあれば、ドメインコントローラー上でコードが実行されてしまうということです。これはドメイン侵害の足がかりとなり得るものであり、Microsoftも実際に悪用されると見込んでいます」
最後に、悪用の可能性が高い脆弱性としてもう一つ挙げられるのが、Windows Cloud Files Mini Filter Driverにおける権限昇格の脆弱性CVE-2026-80093です。この脆弱性の悪用にはレースコンディションを制する必要がありますが、技術的な詳細はすでに公開されています。
朗報としては、これらすべての脆弱性、そして前述の実際に悪用されている脆弱性に対するパッチは、各Windowsバージョン向けの累積セキュリティ更新プログラムおよび月例ロールアップにすべてまとめて含まれているため、これらを適用すれば一度にすべて解消できるという点です。
Windowsの更新についてはひとまず脇に置くとして、Childs氏は以下の更新も優先するようアドバイスしています。
- Microsoft Exchange Server:悪意のあるVisio添付ファイルを含むメールをExchange Serverが処理する際にトリガーされ得るRCE(リモートコード実行)の脆弱性(CVE-2026-55007)を修正するため
- Microsoft SharePoint Server:さまざまな脆弱性を修正するため
パッチ件数よりも優先順位付けが重要な理由
Narang氏はHelp Net Securityに対し、「Patch Tuesdayのリリースが近年増加傾向にある中で認識しておくべき最も重要な点の一つは、修正される脆弱性の件数は増えている一方で、ほとんどの組織に実際に影響し得る脆弱性の件数はかなり少ない水準にとどまっているということです」と語りました。
「2026年におけるAI支援型の脆弱性発見は、より大きな『干し草の山』を作り出してはいるものの、見つかる『針』の数を増やしているわけではありません。組織にとって重要なのは、どの脆弱性が実際に自分たちに関係するのか、それが到達可能かつ悪用可能であることで脅威となり得るのかを理解し、そのリスクの文脈に基づいて修正対応の優先順位を付けることです」
FortraのセキュリティR&D担当アソシエイトディレクターであるTyler Reguly氏は、Microsoftが膨大な数の脆弱性にパッチを当てているという事実は、同社が先手を打って対応していることの表れに過ぎないと述べています。
同氏は「こうした大量のCVE件数は、攻撃者がそれらの脆弱性を見つけて悪用する機会を得る前に、私たちが攻撃対象領域を減らせているということであり、良いことだと捉えるべきです。いずれ、こうした長年放置されてきた発見しにくい脆弱性もすべて修正され、Patch Tuesdayも通常のペースに戻るでしょう。それまでの間は優先順位付けが鍵となりますし、管理者の皆さんには、余分にコーヒーでも飲めるようギフトカードを贈ってあげると喜ばれるかもしれません」とコメントしています。
とはいえ、単発のパッチの件数も増加しており、同氏は組織に対し、自分たちのプロセスが大きな変化やパッチ適用時のボトルネックの発生に対応できる設計になっているかどうかを見直すよう勧めています。
「もしあなたがパッチ管理チームを率いる立場にあるなら、今まさにどう対応すべきか頭を悩ませていることでしょう。チームを支え、彼らが直面している困難を理解し、どうすれば状況を改善できるか尋ねてあげてください」と同氏はコメントしています。
「もし今もCVSSだけを基準に優先順位を付けているなら、それは自組織や従業員に不利益をもたらしています。また、ガイダンスが変わるたびに方針をころころ変えているなら、それは組織をリスクにさらし、従業員の満足度も損なうことになります。荒波の中で船を操縦するようなものですから、それを乗り切るには安定した舵取りが必要です。船を正しい針路に保ち続けさえすれば、あとはチームがやり遂げてくれるはずです」
翻訳元: https://www.helpnetsecurity.com/2026/09/09/september-2026-patch-tuesday-zero-days-sigred-successor/
