Microsoftは本日、Windowsオペレーティングシステム（OS）などのソフトウェアに存在する1,400件を超えるセキュリティ脆弱性を修正する更新プログラムを公開しました。今回の膨大なパッチは、9月に記録した過去最多の約1,000件をさらに上回ります。9月の件数でさえ、Redmondの通常の月間パッチ量の約10倍に相当していました。
今週修正された脆弱性のうち、「ゼロデイ」、つまりすでに悪用が確認されているものは1件のみです。CVE-2026-96951はWindows Shellにおけるセキュリティ機能のバイパスの脆弱性で、Windows 10および11のシステムのほか、一部のServerバージョンに影響します。
Windows 10のユーザーは、今月以降もセキュリティ更新プログラムが提供されるのか気になっているかもしれません。Microsoftは当初、2025年10月にWindows 10向けの更新プログラムの提供を終了する予定でした。しかし、強い反発を受けて無償の更新をさらに1年間追加しました。数か月前には、Microsoftがこのサポートをさらに1年間（2027年10月まで）ひっそりと延長しました。
今月修正された脆弱性のうち、少なくとも78件は「緊急（Critical）」に分類されています。これらは、ユーザーがほとんど、あるいはまったく操作しなくても悪用される可能性があるもので、緊急の脆弱性の大半は、攻撃者が脆弱なシステム上で任意のコードを実行できるものです。
Microsoftは、まだ誰かが悪用している兆候はないとしていますが、.NET Frameworkのセキュリティ機能のバイパスの脆弱性（CVE-2026-108398）は、本日より前に公開されていました。攻撃者がこの脆弱性の悪用方法を検討する時間的猶予を得た可能性があります。
TenableのSatnam Narang氏は、今月の修正件数はこれまでの最多だった2020年（MicrosoftはCVEを1,261件修正）を大きく上回ると指摘します。
「残り2か月を残して、CVEの件数はすでに4,000件を超えました」と同氏は述べています。
Microsoftは、大量の脆弱性が発見されている要因として大規模言語モデル（LLM）を挙げています。おそらく、これらの脆弱性を修正するパッチの多くにもAIが寄与しているとみられます。一方、セキュリティ専門家は、Microsoftによるこうした異例の大量パッチの連続が、企業のセキュリティチームに余計な負担をかけていると警告しています。企業のチームは多くの場合、ネットワーク全体に展開する前に個々の更新プログラムを検証し、他のソフトウェアに問題が生じないかを確認する必要があるためです。
Fortraのセキュリティ調査開発担当アソシエイトディレクター、Tyler Reguly氏は、米サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）が管理する「既知の悪用された脆弱性（KEV）」カタログに今年掲載されたMicrosoftの脆弱性は、これまでのところ26件にとどまると指摘しています。同氏は、セキュリティチームはまずこの26件を優先してパッチ適用するのが賢明だとしています。
「セキュリティ責任者は、悪用可能なリスクに注力し、自社のチームに対応するだけの明確な判断材料、余力、支援があるかを問うべきです」とReguly氏は述べています。
自社で最も精査すべき脆弱性はどれでしょうか。Cisco Talosは、Microsoftが本日修正した脆弱性のうち、特に注目すべきものをわかりやすくまとめています。もちろん、SANS Internet Storm Centerも、深刻度、CVE番号、影響を受けるソフトウェアごとに脆弱性を整理した信頼できるまとめを公開しています。
翻訳元: https://krebsonsecurity.com/2026/10/microsoft-patches-more-than-1400-security-flaws/
