マイクロソフト、2026年9月のパッチチューズデーで974件のCVEを修正し過去最多を更新

マイクロソフトは、2026年9月のパッチチューズデーで過去最多となる974件のCVEを修正したと発表しました。

今月の更新に含まれる脆弱性の数は、2026年7月に記録した570件のCVEというこれまでのパッチチューズデー最多記録を大きく上回るものです。

9月のCVEリストはマイクロソフトの製品ポートフォリオ全体に及んでおり、最も多く影響を受けたのはWindowsで723件、次いでOfficeが111件となっています。

過去3か月間で、同社が修正するCVEの数は大幅に増加しています。7月は570件、8月は400件、そして9月は974件です。それ以前を見ると、6月のパッチチューズデーには200件のCVEが含まれ、5月は120件、4月は164件でした。

今回のCVE件数の急増は、マイクロソフトがエージェント型AIツールをゼロデイ脆弱性の発見に活用することで、Windows製品向けに適用が必要なセキュリティ更新プログラムの数が今後急増すると、7月に顧客に対して警告していたことを裏付けるものです。

こうした新たな状況を踏まえると、セキュリティチームにとって、自社のビジネスに最も大きなリスクをもたらす脆弱性を優先的に対処する、リスクベースの脆弱性管理アプローチを導入することがこれまで以上に重要になっています。

今回のパッチチューズデーの発表を受け、Action1の脆弱性研究ディレクターであるJack Bicer氏は次のように述べています。「この規模になると、課題は単にパッチのリストを消化することではありません。何から手を付けるべきかを見極めることこそが重要です。数百件もの更新プログラムが一斉に公開される中、IT・セキュリティチームは、即座に対応が必要な脆弱性と、通常の展開サイクルに乗せてよい脆弱性とを、迅速に切り分ける必要があります」

マイクロソフト、実際に悪用されている2件の脆弱性について警告

マイクロソフトは9月8日の更新プログラムの一環として、脅威アクターによって実際に悪用されている2件のゼロデイ脆弱性について強調しました。

1つ目はCVE-2026-85880で、深刻度は「高」(7.8)と評価されています。これはWindowsのAdvanced Local Procedure Call(ALPC)におけるヒープベースのバッファオーバーフローで、低権限のAppContainer内でコードを実行できる攻撃者が、ローカルで権限を昇格させることを可能にするものです。

もう1つの脆弱性であるCVE-2026-81963は、Windows Update Stackにおけるファイルアクセス前のリンク解決不備であり、権限を持つ攻撃者がローカルで権限を昇格させることを可能にします。

今回の更新プログラムには119件の緊急(Critical)脆弱性が含まれています。Action1のBicer氏はブログの中で、セキュリティチームが優先的に対応すべき脆弱性として以下を挙げています。

• CVE-2026-62878。Windows DNS Serverにおけるスタックベースのバッファオーバーフローに起因するリモートコード実行の脆弱性で、深刻度は緊急(9.8)
• CVE-2026-62823。Windows DHCP Serverにおけるヒープベースのバッファオーバーフローに起因するリモートコード実行の脆弱性で、深刻度は高(8.8)
• CVE-2026-62893。Windows Deployment Servicesにおけるuse-after-free状態に起因するリモートコード実行の脆弱性で、深刻度は緊急(9.8)
• CVE-2026-65789。Windows DNSにおけるuse-after-free状態に起因するリモートコード実行の脆弱性で、深刻度は高(8.1)
• CVE-2026-58231。Commerce Cloud、Manufacturing Integration and Intelligence、およびNetWeaver and ABAP Platformにまたがる3件の緊急脆弱性

画像提供: tomeqs / Shutterstock.com