マイクロソフトが9月のパッチチューズデーで約1,000件の脆弱性を修正、悪用済みゼロデイ2件も含む

マイクロソフトが、セキュリティ研究者らが「過去最大規模」と評する今回のパッチチューズデーをリリースしました。

同社の2026年9月のセキュリティアップデートは、Windows、Office、Exchange Server、SharePointをはじめとする数多くの製品にまたがっています。SecurityWeekは今回のリリース全体で974件のCVEをカウントし、BleepingComputerはパッチチューズデー当日にリリースされた脆弱性を966件と数えています。このリリースには、パッチが公開される前から悪用されていたことをマイクロソフトが確認したWindowsの権限昇格の脆弱性2件も含まれています。

防御側にとっては、リリースの規模の大きさゆえに優先順位付けが極めて重要になります。実際に悪用されている2件のWindows脆弱性は対応キューの先頭付近に置くべきですが、企業インフラに影響を及ぼす重大なリモートコード実行の脆弱性にも注意が必要です。

すでに攻撃を受けているWindowsのゼロデイ2件

今月修正された脆弱性の中でも、CVE-2026-81963とCVE-2026-85880という2件の権限昇格の脆弱性は、すでに実際の攻撃で悪用されています。

CVE-2026-81963はWindows Update Stackに影響します。この脆弱性はファイルアクセス前のリンク解決が不適切であることに起因し、認証済みのローカル攻撃者がSYSTEM権限まで昇格できる可能性があります。マイクロソフトは攻撃の詳細や、この脆弱性がどの程度広範囲に悪用されているかについては明らかにしていません。

2つ目の悪用済み脆弱性であるCVE-2026-85880は、Windows Advanced Local Procedure Call(ALPC)におけるヒープベースのバッファオーバーフローです。悪用に成功すると、ローカルでコードを実行できる攻撃者がSYSTEM権限まで昇格できる可能性があります。

いずれの脆弱性も、それ単独では攻撃者に未認証のリモート侵入口を与えるものではありません。むしろ、すでにWindowsシステムへのアクセスを得ている攻撃者が、より深い制御権を奪う際に悪用される可能性があります。

ZDIの9月レビューによれば、両脆弱性ともCVSSスコアは7.8で、深刻度は「重要」に分類されています。しかし、実際に悪用されているという事実がある以上、深刻度スコアはリスク評価の一要素にすぎません。

今回の新たな修正は、マイクロソフトの8月のパッチチューズデーで数百件の脆弱性と、悪用済みのWindows権限昇格ゼロデイ1件が修正されてから、わずか数週間後のリリースとなりました。

重大なRCE脆弱性が優先対応リストを拡大

ゼロデイだけが、セキュリティチームが目を向けるべき脆弱性ではありません。

BleepingComputerの集計によると、パッチチューズデー当日にリリースされた脆弱性のうち105件が「緊急」に分類され、うち81件がリモートコード実行の不具合です。全体の集計では、権限昇格の脆弱性438件、RCEの脆弱性258件、情報漏えいの脆弱性173件、サービス拒否(DoS)の不具合56件、セキュリティ機能のバイパス19件、なりすましの脆弱性16件が含まれています。

より深刻な企業向け脆弱性の一つが、CVSSスコア9.8のCVE-2026-69525で、Remote Desktop Servicesのuse-after-free(解放後使用)の脆弱性です。ZDIによれば、この脆弱性を突けばリモートの未認証攻撃者が影響を受けるシステム上で任意のコードを実行できる可能性がありますが、マイクロソフトは攻撃者が同一ネットワーク上にいる必要があるとしています。

Exchange Serverについても、CVE-2026-55007という注目すべき修正があります。ZDIによると、未認証のリモート攻撃者が、悪意のあるVisio添付ファイルを含むメールを影響を受けるExchangeサーバーに送信するだけで、コード実行を達成できる可能性があります。受信者が添付ファイルを開かなくても、サーバー側でのメッセージ処理の過程でこの脆弱性がトリガーされる可能性があります。

マイクロソフトの9月分のExchange Serverセキュリティアップデートでは、CVE-2026-55007が今回のリリースで対応された脆弱性の一つとして挙げられています。

管理者が注意深く確認すべきもう一つの領域がSharePointです。9月のリリースには、リモートコード実行の不具合を含む複数のSharePoint脆弱性が含まれており、SharePointサーバーは攻撃者から繰り返し標的にされてきた経緯があります。外部からアクセス可能なオンプレミスのSharePoint基盤を運用している組織は、マイクロソフトのアドバイザリを確認し、自社の露出度に応じてパッチの優先順位を決めるべきです。

ZDIは9月分の脆弱性の中から、ユーザー操作なしにリモートの未認証コード実行を許す可能性のある不具合を含め、多数の脆弱性を「ワーム化の可能性あり」として警告しています。

過去最大規模のリリースで問われる優先順位付け

9月分の脆弱性件数は、研究者ごとの集計方法によって数字が異なります。

SecurityWeekはマイクロソフトの9月のリリース全体で974件のCVEをカウントしました。一方、BleepingComputerのパッチチューズデー集計では966件となっていますが、これはマイクロソフトがパッチチューズデー当日に限定してリリースした脆弱性のみを数える手法によるものです。BleepingComputerによれば、この集計には、Azure、Copilot Studio、Entra ID、Edge、Microsoft Fabricなどの製品に影響する脆弱性を含め、マイクロソフトが9月の早い時期に修正した204件の脆弱性は含まれていないとのことです。

BleepingComputerは、966件の脆弱性を含む今回のリリースを、7月に集計した570件の脆弱性を上回る、マイクロソフト史上最大のセキュリティアップデートと評しています。

他の研究者は異なる集計方法を用いており、これがパッチチューズデーの件数がレポートによって異なる理由をさらに裏付けています。しかし、数字の違いがあっても大きな構図は変わりません。9月は、セキュリティチームに異例なほど大量の修正作業をもたらしたということです。

この大量の脆弱性は、特に大規模なWindowsエンドポイントおよびサーバー環境を運用する企業にとって、パッチ管理とリスクベースの優先順位付けの重要性をあらためて浮き彫りにしています。

自動化された資産インベントリと修正状況の追跡を、既存のセキュリティ対策の有効性評価と組み合わせることで、組織は実際の露出度や、補完的な対策がリスクを軽減できているかどうかに基づいてアップデートの優先順位を決められるようになります。

マイクロソフトも、この作業負担を軽減しようと取り組んでいます。同社は9月のリリースから、マイクロソフトが割り当てたすべてのCVEについて機械可読形式のVEXステートメントを公開すると発表しました。

VEX(Vulnerability Exploitability eXchange)は、セキュリティツールが自動的に処理できる、標準化された機械可読の脆弱性情報を提供する仕組みです。マイクロソフトは、この取り組みの拡大により、組織が脆弱性分析の一部を自動化し、セキュリティアドバイザリの解釈にかかる手作業の負担を軽減できるようにすることを狙いとしていると説明しています。

セキュリティチームが今取るべき対応

セキュリティチームは、マイクロソフトがパッチ公開前からの悪用を確認しているCVE-2026-81963とCVE-2026-85880への対応から着手すべきです。

組織は影響を受けるWindowsシステムを特定し、攻撃者がこれらの権限昇格の脆弱性を別の脆弱性や既存の侵入拠点と組み合わせてSYSTEM権限レベルのアクセスを得る可能性がある箇所を優先してアップデートすべきです。

そこから先は、実際の露出度に基づいて修正を進めるべきです。インターネットに公開されたシステムや、リモートコード実行の脆弱性の影響を受ける事業上重要なシステムは、一般的に、認証やローカルアクセス、ユーザー操作などの前提条件を必要とする脆弱性よりも優先されるべきです。

管理者は特に、Remote Desktop Services、Exchange Server、SharePointをはじめ、攻撃者に企業環境の奥深くへ至る経路を与えかねないシステムに注意を払う必要があります。それぞれの脆弱性への対応の緊急度は、該当するサービスが外部に露出しているか、到達可能か、そして実際に組織内で導入されているかによって決まります。

運用上の要件が許す範囲では、広範囲への展開前に重要なワークロードに対してアップデートを検証すべきですが、悪用が確認されている2件のWindowsゼロデイについては、検証にかける時間を短縮すべきです。

セキュリティチームは、悪用済み脆弱性がどのように利用されているかについての詳細情報を得るため、マイクロソフトのアドバイザリや脅威インテリジェンスの監視も継続すべきです。マイクロソフトは悪用の事実を確認しているものの、攻撃そのものに関する公開情報はほとんど出していません。

結局のところ、9月のリリースはパッチ適用の問題であると同時に、優先順位付けの問題でもあります。約1,000件もの脆弱性が対応を待つ中、防御側はまず既知の悪用事例とリモートから到達可能な攻撃経路に焦点を当て、その後、露出度・悪用可能性・対象システムの重要度に応じて残りの修正に取り組んでいくべきです。

Windowsセキュリティに関する追加情報として、マイクロソフトは最近、 ShieldBreak Windows Defenderの脆弱性にも対処しています。これは、Windowsシステムに対して実証された、もう一つの権限昇格の問題です。