- マイクロソフトが最新のパッチ火曜日リリースで974件もの脆弱性を修正
- うち2件はすでに悪用が確認されており、114件が「緊急」に分類
- CVE発見数の増加も攻撃の激化も、背景にはAIの存在
マイクロソフトの2026年9月のパッチ火曜日は、同社史上最大規模のセキュリティリリースとなりました。スタック全体にわたり、実に974件もの脆弱性に対する修正が発表されています。
同社のリリースノートによると、対応した脆弱性の圧倒的多数(723件)はWindowsに関連するもので、次いでOfficeが111件の脆弱性修正で2位となっています。
脆弱性の件数が年々増加していることは明らかですが、これはAIを活用した発見ツールのおかげで、これまでなら見逃されていたであろう脆弱性を単純により多く見つけられるようになったことも一因だと考えられます。
史上最大となったマイクロソフトのパッチ火曜日
2026年9月のパッチ火曜日について、Dustin Childs氏はブログ記事で、これが「新たな常態」の始まりとなる可能性があると指摘しています。同氏はさらに、マイクロソフトが今年これまでに2,760件ものCVEを修正しており、これは過去のどの年と比べても2倍以上に上ると明かしています。
Childs氏が示したデータによれば、同社は2025年通年では1,139件のCVEを修正しており、10年前の2016年にはさらに少ない492件でした。同ブログ記事によると、今回の最新アップデートで修正された脆弱性のうち114件が「緊急」に分類されており、これは10件に1件を超える割合になります。
マイクロソフトは自社のリリースノートの中で、CVE-2026-85880とCVE-2026-81963の2件について、いずれもすでに悪用が確認されているとして特に注意を呼びかけています。このため、修正を急ぐとともに、顧客に対してアップデートの適用を強く促しています。
業界全体を見渡すと、脆弱性の対応件数が増えているのはマイクロソフトだけではありません。Childs氏はAdobeの活動も活発だったと指摘しているほか、Google、Mozilla、Brave、そしてマイクロソフト自身を含む複数のブラウザ開発各社は、修正をより迅速に顧客へ届けるため、リリース間隔を2週間へと倍速化しています。
マイクロソフトは、悪用可能な脆弱性の修正に加え、この機会を利用して既知の問題への対処も行いました。Arm64搭載PCにおけるTeamsとOutlookのクラッシュ修正や、Copilot+のAIコンポーネントのアップグレードなどが含まれています。
