ゼロデイ脆弱性が潜む、肥大化したMicrosoft 10月のパッチチューズデー

AI主導の「脆弱性黙示録（vulnpocalypse）の時代」が深まるなか、Microsoftの2026年10月のパッチチューズデー・セキュリティ更新プログラムは、修正した脆弱性の数で先月の過去最多記録を大きく更新しました。公開されたMicrosoftのCVEは1,413件に上ります。

このうち80件が重大（Critical）な脆弱性で、ゼロデイ脆弱性は2件です。1件はすでに悪用が確認されています。比較として、9月の更新プログラムには974件のCVEが含まれており、それでも驚くべき数でした。

それでもセキュリティ専門家は、更新の規模にとらわれず、悪用可能なリスクに注力するよう呼びかけています。そのうえで、そのリスクを低減できるよう、プロセス、ツール、人材を整えることが重要だと指摘しています。

Fortraのセキュリティ研究開発担当アソシエイトディレクター、タイラー・レグリー（Tyler Reguly）氏は、メールで寄せた公開コメントで次のように述べています。「最近私は、数字には意味がないと主張してきました。今月の1,413件という数字も例外ではありません。ただし、意味を持つ数字はあります。たとえば26という数字は、2026年のMicrosoft CVEのうち、CISAの既知の悪用された脆弱性（KEV）カタログに掲載されたものの件数です。昨年は30件、一昨年は32件でした。つまり、Microsoftが今年修正した脆弱性のうち、悪用が確認されているものは1%未満ということになります」

10月のパッチチューズデー、その中身

今月の大量の脆弱性の内訳を見ると、Windowsが大半を占め、正確には1,102件です。続いてOfficeが134件、開発者ツール（Dev Div）が61件、SharePoint Serverが36件、SQL Serverが22件、Exchange Serverが7件、Azureが15件、Defenderが4件となっています。32件は「その他」の各種カテゴリーに含まれます。

Microsoftは、Cisco Talosが報告した脆弱性「CVE-2026-21413」も再公開しました。この脆弱性は、RAW画像拡張機能におけるリモートコード実行（RCE）の脆弱性として掲載されています。

2件のゼロデイ脆弱性はいずれも、深刻な影響を及ぼしかねないセキュリティ機能のバイパスです。CVE-2026-96951（CVSS 8.8）は、Windows Shellに存在し、悪用が確認されているものです。もう1件は、.NET Framework Securityに存在するCVE-2026-108398です。

悪用されている脆弱性はAnthropicのAI「Claude」が発見したもので、インターネットからダウンロードしたファイルにWindowsが付与するMark of the Web（MOTW）タグを標的とします。MOTWは、そのファイルがどの程度危険かを分類するものです。Automoxの研究者の説明によると、攻撃者はこの脆弱性を利用して、MOTWを回避するようにファイルを細工し、ユーザーに送り付けることができます。その結果、MOTWに依存する下流のセキュリティチェックも回避されます。対象にはSmartScreen、Officeの保護ビュー、Officeのマクロブロック、Windows 11のSmart App Control、添付ファイルマネージャーの警告表示が含まれます。

研究者らは10月の更新プログラムに関するブログ記事で、次のように説明しています。「MOTWは荷物に貼られたステッカーのようなものです。建物内の警備員は全員、荷物そのものではなくステッカーを確認します。このバグは、ステッカーなしで荷物を届けてしまいます。その結果、ユーザーがローカルで作成したかのようにファイルが開きます。警告ダイアログも、読み取り専用ビューも、マクロのブロックもありません。1つのバグで複数の防御が一度に無効になります」

一方、CVE-2026-108398（CVSS 8.8）は、ローカルアクセスと低権限アカウントが必要で、Microsoftも「悪用の可能性は低い」と評価しており、懸念度はそれほど高くありません。

Automoxは次のように説明しています。「この欠陥は、.NET Frameworkにおける信頼できない検索パスの問題です。攻撃者は細工した.NETアセンブリをエンドポイントに配置し、保護されたプロセスにロードされるよう登録します。これにより、Windows Defender Application Control（WDAC）に検知されることなく、そのプロセス内でコードを実行できます」

Action1の社長兼共同創業者であるマイク・ウォルターズ（Mike Walters）氏は、この脆弱性は侵害後の攻撃手法として特に危険だと述べています。

同氏はAction1の更新プログラムに関するブログで、次のように説明しています。「悪用に成功すれば、システムの完全性が損なわれ、機密性の高い業務情報が漏洩し、エンドポイントの防御が弱体化し、重要な業務が妨害される恐れがあります。悪用はまだ確認されておらず、エクスプロイトコードの成熟度も未確認ですが、情報が公開されたことで緊急性は高まっています。公式の回避策がないため、影響を受けるWindowsエンドポイントとサーバー、とりわけWDACで保護された環境には、Microsoftの該当するセキュリティ更新プログラムを優先して適用してください。未適用のシステムについては、不審なアセンブリのロードや不正な実行を監視することをお勧めします」

優先して適用すべきその他の10月のセキュリティパッチ

Automoxの研究者が注意を促した脆弱性がもう1件あります。Outlookのリーディングウィンドウにおける重大なRCE脆弱性で、CVE-2026-70242（CVSS 9.8）として追跡されています。

攻撃者は、Outlookのリーディングウィンドウに表示されるだけでヒープベースのバッファオーバーフローを引き起こすメールを作成できます。悪用にあたって、メッセージを開く必要も、認証も、その他の操作も必要ありません。

研究者らは次のように警告しています。「プレビューウィンドウのバグは数年おきに表面化し、注目を集めます。メールは侵入の玄関口だからです。メールアドレスは漏洩データや企業のWebサイトで簡単に見つかるため、攻撃者にとって標的にするコストはほぼゼロです」

TrendAIのZero Day Initiative（ZDI）で脅威認知部門の責任者を務めるダスティン・チャイルズ（Dustin Childs）氏は、セキュリティチームに対し、Microsoft Office SharePointの権限昇格の脆弱性であるCVE-2026-102866（CVSS 8.1）に注意するよう呼びかけました。

チャイルズ氏は月例パッチレビューで次のように述べています。「これは暗号署名の検証が不適切なために生じるバグです。標的ユーザーの有効なプルーフトークンを入手した攻撃者は、それを改ざんしてサーバーに送信し、そのユーザーとして認証を受けられます。唯一の注意点は、攻撃者が先にそのトークンを入手する必要があることですが、その方法は複数考えられます」

同氏はまた、Microsoft SQL ServerのRCEの脆弱性であるCVE-2026-65674（CVSS 8.8）についても、「今月のSQL Serverのバグのなかで最も悪用されやすいという評価です。信頼できないデータのデシリアライズに起因します。認証された攻撃者が、影響を受けるSQL Serverに接続し、細工したリクエストを送信すると、サーバー上でコードを実行できます。ユーザーの操作は必要ありません。インターネットに直接接続されたSQL Serverは、必ず確認してください」と指摘しています。

優先対応の対象として、もう1件注目すべきなのが、Microsoft QUICにおけるヒープベースのバッファオーバーフローによるRCEの脆弱性で、CVE-2026-105016（CVSSスコア9.8）として追跡されています。認証されていない攻撃者が、ネットワーク経由で影響を受けるシステム上に悪意あるコードを実行できる恐れがあります。Windows 11、Windows Server、.NET、Visual Studioなど、複数のMicrosoft製品が影響を受けます。

Action1の脆弱性研究ディレクター、ジャック・ビサー（Jack Bicer）氏は、同社のブログで次のように述べています。「攻撃者は、影響を受けるサービスに細工したネットワークパケットを送信することでこの弱点を悪用し、認証やユーザー操作なしに標的システムを制御できる可能性があります。悪用に成功すれば、攻撃者は悪意あるコードを実行して該当サービスを乗っ取り、機密性の高い業務データや顧客データを漏洩・改ざんし、業務を妨害できます。企業は復旧コストと顧客の信頼低下という損害を被ることになります」

こうした個別の脆弱性に加え、Nightwingの専門家は、巨大化したMicrosoftの10月のパッチチューズデー更新プログラムに対処するための一般的な指針も示しました。

パッチチューズデーに恐怖を上乗せし続けるAI

Microsoftのパッチチューズデーで件数が膨らみ続けているのは、月次のCVE公開数が急増しているという、より広範な現実の表れです。Echoの分析によると、公開数は2年間で145%増加し、2024年6月の3,173件から2026年6月には7,765件に達しました。

その理由はいくつかあります。Echoの分析では、CVEプログラム全般の拡大も一因ですが、もちろんAIを活用した脆弱性の発見の影響が増していることも大きな要因です。年間のCVE公開数は、2023年の30,949件から2025年には49,979件に急増しました。これまでの数字を見る限り、2026年はそれをも上回るペースにあります。問題は、セキュリティチームが増え続ける作業負荷にどう対処するかです。

ZDIのチャイルズ氏は次のように語っています。「AIのせいか。部分的にはそうです。AIは攻撃側と防御側の双方でバグ探しを加速させています。そのため、ベンダーはより多くの欠陥を見つけて修正し、研究者もより速く発見しています。しかしAIが何もないところからバグを生み出しているわけではありません。脆弱性が存在してから、誰かがそれに気づくまでの時間を縮めているだけです」

Fortraのレグリー氏が示唆したように、チャイルズ氏もセキュリティチームは適応するしかないと述べています。「重要なのは、発見のペースが悪用のペースより速く拡大していることです。そのため、悪用可能性ではなくCVEの件数だけで優先順位を付けているチームは、見当違いのバグに労力を費やしています。実証済みで、優先度が高く、公開されているものにパッチを適用し、それ以外は今月の新たな日常として受け止めてください」