2026年9月のパッチチューズデーでは、Microsoft製品全体で973件のCVEが修正され、過去最多を更新しました。「パッチ・アポカリプス」が始まってまだ4カ月ですが、あまりに膨大なCVEの数に、誰もが感覚を麻痺させているようです。これほどの数にもかかわらず、悪用が確認されたものはCVE-2026-85880とCVE-2026-81963の2件のみで、公開済みの脆弱性はありませんでした。多くの組織にとっては、リスクの最も高いシステムから優先してパッチを適用するという、これまでどおりの対応で問題ありません。ただし、修正された脆弱性の数を示す大規模なレポートが出てくることには備えておくべきです。
Officeの更新リスクとサポート終了後の移行をめぐる混乱
Microsoftは1年近く前に、Office 2016とOffice 2019のサポート終了（EOS）を正式に発表しました。ただし「Microsoftの裁量により、2025年10月14日以降もOffice 2016向けに1件以上の更新プログラムを提供する場合がある」という但し書きが付いていました。その言葉どおり、同社はEOS以降も、両製品に対してほぼ毎月セキュリティ更新プログラムを配信し続けています。問題は、これらの製品が通常のサポート対象ではないため、他の目的で配信された最新の更新プログラムとの組み合わせでは、おそらく十分にテストされていない点です。
その一例が、古くなったMicrosoft 365アプリケーションを更新するために設計されたKB5002907です。このKBが配信されるとすぐに、Office 2016やOffice 2019が削除される、あるいは無効化されるという報告が相次ぎました。問題は広範囲に及び、Microsoftは更新の一時停止に追い込まれました。これらの製品のサポートを完全に終了し、顧客が新しいバージョンへ移行できるよう支援すべき時期だという主張には、明らかに一理あります。
そこで問題になるのが、自社がどの製品に移行すべきかという点です。難しいのは、Microsoftが新しいメジャーバージョン（Microsoft 365やOffice 2024など）を出し続けていることに加え、変わり続けるサポート戦略に合わせて新しいチャネルを導入したり、既存のチャネル名を変更したりしていることです。次の名称に見覚えはないでしょうか。
- Beta：旧称Insider（またはInsider Fast）
- Current Channel (Preview)：旧称Monthly Channel (Targeted)（またはInsider Slow）
- Current Channel：旧称Monthly Channel
- Monthly Enterprise Channel：2020年5月／6月に新チャネルとして導入
- Semi-Annual Enterprise Channel (Preview)：旧称Semi-Annual Channel (Targeted)
- Semi-Annual Enterprise Channel：旧称Semi-Annual Channel
あえてこの点を指摘するのは、Officeには維持管理が難しい面があり、用語やサポートの整理が必要だという見方もあるからです。7月以降、MicrosoftはSemi-Annual Enterprise ChannelとMonthly Enterprise Channelを、単一の統合されたエンタープライズ向け更新チャネルにまとめました。これは正しい方向への第一歩です。
AppleがGolden Gateを公開、ゼロデイも修正
Appleは今月14日、macOS 27 Golden Gateをリリースしました。3バージョンをサポートする方針に沿って、今後はSonomaのサポートを打ち切り、Sequoia、Tahoe、Golden Gateを維持します。同社はまた、CVE-2026-86950のゼロデイ攻撃を報告し、9月29日にすべてのOS向けの更新プログラムを提供しました。
Windows 11 26H2が登場、重要な修正とサポート終了も目前に
Microsoftは9月29日にWindows 11 26H2をリリースしました。この新OSはWindows 11 24H2、Windows 11 25H2とカーネルを共有しています。そのため、これらのバージョンは有効化パッケージ（Enablement Package）により、ほとんど中断なくWindows 11 26H2へ直接更新できます。
Microsoftは先月14日、Windows 10、Windows 11、Server 2025向けに、いくつかの定例外パッチを配信しました。対象は、リモートデスクトップサービスが停止する問題、Hyper-Vのホストフォルダー共有がLinux仮想マシン内で消える問題、USBオーディオデバイスの音が出なくなる問題です。Windows 11向けの更新はCVE-2026-62721に対応しているため、セキュリティ更新に分類されています。Windows 11 26H1ではCVE-2026-85921も修正されます。一方、Windows Server向けの更新は非セキュリティ更新とされています。
来週のパッチチューズデーでは、Windows 11 バージョン24H2のHomeおよびProエディション向けの最終更新、Server 2012および2012 R2向けのESUサポートの更新が提供されます。また、Exchange Server 2016/2019のESUサポートが終了します。Microsoftはさらに、9月のセキュリティ更新以降、多くのユーザーを悩ませてきたExcelの切り取り・貼り付け不具合の修正を含めると報告しています。同じく9月のセキュリティ更新で発生したファイル履歴／Windowsバックアップの問題についても、修正が期待されます。
2026年10月のパッチチューズデー予測
- MicrosoftのCVE修正数は、今月も過去最多を更新するのでしょうか。筆者は多少落ち着くと見ていますが、それでも高い水準になり、ほとんどの製品が更新されると予想します。
- Adobeは製品の更新を隔週で配信する体制になっています。直近の回では、9月21日にPremiere、Content Credentials、Substance 3D Modeler、Bridge、Connect、InDesignが更新されました。次回分もまもなく予定されており、来週に更新が出る見込みです。なお、同社は更新情報のサイトをAdobe Trust Centerへ移したため、注意が必要です。
- Appleは9月29日に全OS向けの最新更新を提供したため、近く追加の更新が出るとは考えにくい状況です。
- Googleは例年どおり、来週にChrome for Desktop 156の次期更新をリリースする見込みです。
- FirefoxとThunderbirdの直近の大規模なセキュリティ更新は、9月29日でした。来週、少なくともどちらかには更新が配信されると見られます。
パッチ・アポカリプスから少し解放されたなら、ぜひ自社のMicrosoft Office環境を見直し、その運用にどれだけの時間を費やしているかを考えてみてください。サポート窓口や担当者に、Officeに関する問い合わせや問題がどれだけ寄せられているかも合わせて検討しましょう。古いバージョンが数多く稼働しているなら、アプリケーションを刷新し、統合する時期に来ているのかもしれません。
翻訳元: https://www.helpnetsecurity.com/2026/10/09/october-2026-patch-tuesday-forecast/
