2026年9月のPatch Tuesday:966件の脆弱性、ゼロデイ2件

9月のPatch Tuesdayは、マイクロソフト史上最大規模のセキュリティ更新リリースとなりました。同社は966件の脆弱性を修正し、そのうち2件は実際の攻撃で既に悪用されていました。これまでの記録もあっという間に更新されており、7月には570件、8月にはさらに400件の脆弱性が修正されています。

記録的な内訳

9月の脆弱性のうち、105件が緊急(Critical)と評価されました。この内訳には、リモートコード実行の脆弱性81件、権限昇格の不具合20件、情報漏えい2件、セキュリティ機能バイパス1件が含まれています。

すべての深刻度レベルを合計すると、より全体像が見えてきます。合計で438件の脆弱性が権限昇格を許し、258件がリモートコード実行に関わり、173件が情報漏えいにつながります。さらに56件がサービス拒否(DoS)を引き起こし、19件が保護機能をバイパスし、16件がデータまたはID情報のなりすましを許します。

実際に悪用された2件のゼロデイ

特に注目されたのは、Windowsへの侵入に既に使われていた2件のゼロデイです。1件目のCVE-2026-81963は、Windows Updateスタックに存在します。ファイルアクセス前のリンク解決における不具合により、権限を持つ攻撃者がローカルでSYSTEM権限まで昇格できてしまいます。マイクロソフトは、この脆弱性を誰がどのような攻撃で悪用したのかについては、まだ明らかにしていません。

2件目のゼロデイであるCVE-2026-85880は、システム内でプロセス同士が通信する仕組みであるWindows Advanced Local Procedure Call(ALPC)に影響します。ヒープベースのバッファオーバーフローにより、既にローカルアクセスを得ている攻撃者が同様にSYSTEM権限に到達できます。この脆弱性は、Volexityの専門家に加え、ProofpointのMark Kelly氏、David Galazin氏、Jeremy Hedges氏によって発見されました。実際の攻撃の詳細はまだ公開されていません。マイクロソフトのアドバイザリの一覧は、公式のMicrosoft Security Update Guide脆弱性カタログに掲載されています。

ローカル権限昇格が重要な理由

いずれの問題もローカルでの権限昇格に関わるものであり、それ単体でインターネット経由でコンピュータを侵害することはできません。しかし、最初の侵入の後では、このクラスの脆弱性は攻撃者にとって特に重宝されるものとなります。通常の一般アカウントがSYSTEMレベルのアクセスへと変わり、悪意あるソフトウェアがWindows上でほぼ最大限の権限を手にしてしまうのです。

さらに大きな全体像

Patch Tuesdayとは別に、マイクロソフトが9月上旬に修正した脆弱性まで含めると、今回のリリースの規模はさらに大きく見えてきます。こうした問題は、Azure AI Language、Azure Cosmos DB、Copilot Studio、Entra ID、Edge、Microsoft Fabric、Power Automateなどの製品にまたがってさらに204件ありました。その結果、9月最初の数日間だけで、修正済みの脆弱性の数は1,100件を超えることになりました。

マイクロソフトは、この急速な修正件数の増加の一因を、自動化されたバグハンティングとAIの活用によるものとしています。5月にさかのぼると、同社は新しい分析ツールのおかげで、自社のエンジニアや外部の専門家がこれまで以上に多くの不具合を発見できるようになったと説明していました。この傾向は最近のリリースにもはっきりと表れており、7月のPatch Tuesdayでは570件、8月のリリースではさらに400件の脆弱性が修正されています。

更新の入手方法

9月の更新プログラムは、Windows Updateおよびマイクロソフトのその他の標準的な配信経路を通じて提供されます。Windows 11のバージョン24H2および25H2向けには、更新プログラムKB5124008がリリースされました。9月に関しては、一部の変更が再起動なしでは適用できないコンポーネントに関わるため、ホットパッチの仕組みを利用しているデバイスであっても再起動が必要になります。

脆弱性の全リストを見ると、今回のPatch Tuesdayがいかに異例の規模であるかがわかります。わずか2か月前には、570件の修正済み問題がマイクロソフトにとって絶対的な記録とされていました。それが今、9月のリリースでは、たった1日分の更新だけで1,000件に迫る規模に達しているのです。