CSOは、Atlassian、Adobe、IBM、SAP製品の脆弱性にも対応する必要があります。
Microsoftは10月のPatch Tuesdayで、過去最多となる1,407件のCVEを修正しました。2020年の1,261件という従来の記録を更新しています。一覧があまりに膨大だったため、公開は通常の米国東部時間午後1時より数時間遅れ、管理者を多少いらだたせました。
脆弱性にはゼロデイ3件が含まれ、うち1件は悪用が確認されています。
悪用が確認されており、直ちに対処すべきゼロデイはCVE-2026-96951です。Windows ShellにおけるMark of the Web（MotW）保護を回避するセキュリティ上の欠陥です。
Tenableのシニアスタッフ・リサーチエンジニア、Satnam Narang氏によると、Windows Shellで実際に悪用された脆弱性は、今年これで3件目です。残る2件のうちCVE-2026-21510は、高度な持続的脅威（APT）グループAPT28（Fancy Bearとしても知られる）との関連が指摘されています。もう1件のCVE-2026-32202は悪用が確認された既知の脆弱性で、CVE-2026-21510に対する不完全なパッチを修正したものです。
Narang氏は「2026年は10月までにWindows Shellの脆弱性が26件修正されました。2025年は3件、2024年と2022年はわずか1件ずつだったことを考えると、驚異的な数字です」と述べています。
もう1件のゼロデイはSharePointの脆弱性（CVE-2026-102866）です。認証されていない攻撃者が暗号トークン検証の欠陥を突き、標的ユーザーのアカウントを乗っ取れる可能性があります。
3件目のゼロデイはCVE-2026-108398です。Windowsの.NET frameworkにおける信頼されない検索パスの問題で、認証されていない攻撃者がWindows Defender Application Controlの適用を回避できます。その結果、標的システム上で未承認のアプリケーションを実行される恐れがあります。
そのほかの重要なパッチとして、GitLabのセルフマネージド・インスタンスを運用する開発者は、速やかにサーバーを更新してください。CI/CD設定内の巧妙に細工された正規表現を通じて、認証されていないユーザーが任意のコードを実行できる脆弱性が修正されています。GitLabはホスト型インスタンスでは対処済みです。
Action1のフィールドCTO、Gene Moody氏は「CVE-2026-97229は、ソフトウェアサプライチェーンの重要な部分を危険にさらします」とコメントしています。同氏は、この脆弱性を緊急事態として扱い、セルフマネージド・インスタンスに直ちにパッチを適用するよう促しています。
IBMの重大な脆弱性
IBMは、Power Systemsハードウェア向けのオペレーティングシステム「IBM i」のバージョン7.3、7.4、7.5、7.6で重大な脆弱性が見つかったと警告しています。CVE-2026-96119（CVSSスコア9.9）は、HTTP Server Administration Graphical User Interface（GUI）におけるデータのサニタイズ不備により、認証済みのリモート攻撃者が任意のコードを実行できるものです。IBMは、この脆弱性に直ちにパッチを適用するよう強く推奨しています。サポート対象外のバージョンを使用しているユーザーは、サポート対象の修正済みバージョンへアップグレードする必要があります。
Atlassianのセルフホスト製品への攻撃
Nightwingの研究者によると、Atlassianが報告した悪用の試みも、直ちにパッチを適用しログを確認すべき内容です。CVE-2026-21589は、Jira、Confluence、Bitbucketを含む8つのセルフホスト製品に影響します。正確なファイル名とパスを知っている認証されていない攻撃者が、アプリケーションのWebルート内の特定ファイルを読み取れます。機密性の高い設定ファイルが漏えいすれば、さらなる侵入に役立つ情報が流出しかねません。
悪用の試みは10月6日に始まったとの報告があります。ただし、試行があったことは、顧客環境への侵害が成功したことを意味するものではありません。Nightwingは、該当するクラスターノードやミラーも含め、影響を受けるすべての環境にパッチを適用するよう助言しています。適用が遅れる場合は、外部からのアクセスを制限し、Atlassianが示す暫定的な緩和策を実施してください。通常のログインではこの欠陥を防げません。アクセスログを確認し、情報漏えいの疑いがある場合は機密情報（シークレット）をローテーションする必要があります。
Atlassian Cloudはパッチ適用済みで、ユーザー側の対応は不要です。
Microsoftのパッチ
Nightwingの研究者は、オンプレミス版Exchange Serverの4件の更新に注目しています。いずれもCVSSスコア8.8の深刻度の高い脆弱性を修正するものです。Nightwingのサイバーインシデント対応マネージャー、Nicholas Carroll氏は次のように述べています。「各更新が対処するCVEは1件ずつですが、CVSSスコア8.8は深刻なリスクを示しており、権限昇格やリモートからの悪用の可能性が高いとみられます。Exchangeの脆弱性は過去に実際の攻撃で繰り返し狙われてきた経緯があるため、管理者はこれらのパッチのテストと展開を優先すべきです」
Nightwingはまた、ITおよびセキュリティチームが脆弱性の優先順位を判断するため、Microsoftが新たなリスクコホート分類を導入したことにも触れています。
TrendAIのZero Day Initiativeで脅威認識部門の責任者を務めるDustin Childs氏は、CSOはSharePointの脆弱性（CVE-2026-102866）に対処すべきだと述べています。認証されていない攻撃者が暗号トークン検証の欠陥を突き、標的ユーザーのアカウントを乗っ取れるためです。Microsoftによると、標的ユーザーの有効なプルーフトークンを入手した認証されていない攻撃者は、そのトークンを改ざんして、影響を受けるSharePointサーバーに送信できます。攻撃に成功すれば、そのユーザーとして認証され、侵害されたアカウントで利用できるコンテンツにアクセスしたり、改ざんしたりできる可能性があります。ユーザーの操作は不要です。
「モンスター級」のMicrosoft修正
Childs氏は、今月はワーム化が可能なCVEが55件あると警告しています。DHCP Server（6件）、Remote Desktop Gateway（3件）、Network Policy Server（4件）といった重要インフラに集中しています。同氏は、これらが「自律的かつネットワーク全体に拡散する、前例のないリスク」を生むと述べています。
Childs氏は次のようにコメントしています。「1回のリリースで数百件のCVEが出ることは、かつては例外でした。今ではそれが基準です。AIのせいかといえば、一部はそうです。攻撃側と防御側の双方でバグ探しが加速し、ベンダーはより多くの欠陥を見つけて修正し、研究者もより速く見つけています。ただ、AIがバグを無から生み出しているわけではありません。脆弱性が存在してから誰かに気づかれるまでの時間を縮めているだけです」
同氏は、もはやCVEの件数そのものが本質ではないと指摘します。「重要なのは、発見のペースが悪用のペースを上回って拡大していることです。悪用可能性ではなくCVEの件数だけで優先順位を付けるチームは、的外れなバグに労力を費やすことになります。実証済みで、優先度が高く、公開されているものにパッチを当て、それ以外は今月からの新しい常態として扱うことです」
Action1の脆弱性研究ディレクター、Jack Bicer氏は、外部からアクセス可能なシステムや企業インフラに大きなリスクをもたらす複数の重大な脆弱性に注意を促しました。Windows Message Queuing Queue Managerのリモートコード実行の脆弱性（CVE-2026-100202）、Microsoft PostScript Printer Driverのリモートコード実行の脆弱性（CVE-2026-70147およびCVE-2026-70153）、Microsoft QUICのリモートコード実行の脆弱性（CVE-2026-105016およびCVE-2026-100219）は、いずれもCVSSスコアが9.8です。攻撃者が認証やユーザー操作なしに、リモートから悪意あるコードを実行できる可能性があります。同氏は、これらの脆弱性で悪用は確認されていないものの、攻撃の複雑さが低く、システムが深刻に侵害される恐れがあるため、企業にとって重大なリスクだと述べています。
今月公開されたMicrosoftの脆弱性の件数を「モンスター級」と評する声がある一方、Fortraのセキュリティ研究開発担当アソシエイトディレクター、Tyler Reguly氏は異を唱えています。「脆弱性の件数は意味がないと、私は主張してきました。今月の1,413件という数字も変わりません」
ただし、意味を持つ数字もあると同氏は指摘します。「たとえば26という数字は、2026年にCISAのKEV（Known Exploited Vulnerabilities）カタログに登録されたMicrosoftのCVEの件数です。昨年は30件、一昨年は32件でした。つまり、今年Microsoftが修正した脆弱性のうち、悪用が確認されているものは1%未満です。これは重要な数字ですが、1,413という数字は決してそうではありません」
SAPセキュリティノート
SAPは、新規のセキュリティノート16件、GitHubセキュリティアドバイザリ4件、既存セキュリティノートの更新2件を公開しました。このうちSAP Cloud SDK for PythonのOAuth2におけるサーバーサイドリクエストフォージェリの脆弱性は、深刻度が最高の10と評価されています。マルチテナントのSAP BTP（Business Technology Platform）アプリケーションが影響を受けます。SAPによると、tenantsubdomainパラメータを制御できる攻撃者は、OAuth2トークンのリクエストを攻撃者が管理するサーバーへリダイレクトでき、クライアント認証情報を窃取される恐れがあります。
ただし、環境にSAP製品を抱えるCSOは、ほかの重大な脆弱性3件についても管理者が対応済みかどうかを確認する必要があります。
セキュリティノート3805589（CVE-2026-89107、CVSSスコア9.9）は、SAP S/4HANA Manage Substitution/Validationにおけるコードインジェクションの脆弱性に対処します。このアプリは、特定の業務コンテキストやイベントに対する置換ルールと検証ルールの表示、変更、作成を可能にするものです。これらのルールは業務プロセスで、該当項目の入力時に値の検証、導出、置換を行うために使われます。
Pathlockのサイバーセキュリティ研究・イノベーション担当シニアプロダクトマネージャー、Jonathan Stross氏は、仕訳ルールにこれらの機能を使っている組織では、そのルールを処理するシステムが完全に侵害される恐れがあると指摘しています。また、暫定的な緩和策にも業務上のコストがあります。関連するSAP Fioriアプリケーションを通じたルールの追加、変更、削除ができなくなるためです。Fioriは、従来のSAPインターフェースに代わる最新のユーザーインターフェースです。
Stross氏によると、攻撃者は必要な業務ロールのアクセス権を持った上で、悪意あるルール定義を送信する必要があります。脆弱な処理ロジックは、その入力を意図したルール言語に限定せず、実行可能なコードとして扱ってしまいます。その結果、リスクは個々の置換ルールや検証ルールの不正な変更にとどまりません。ユーザーの操作は不要です。
SAPセキュリティノート379711（CVE-2026-89110、CVSSスコア9.9）は、SAP NetWeaver Visual Composerにおけるアクセス制御の不備に対処します。Onapsis Research Labs（ORL）が発見したもので、Visual Composerの特定のポータル機能により、低権限の攻撃者が、事前設定されたリモートシステム上の内部操作を呼び出せる点が問題です。呼び出しを許可するデータサービスの許可リストを定義できるセキュリティ設定は用意されていますが、この設定は既定では有効になっていません。
今回のパッチは、セキュアな設定を有効にして既定の構成を変更します。ノートには追加のFAQドキュメントが付属し、恒久パッチを適用する前に、セキュアな設定を手動で有効にする方法も説明されています。この脆弱性を悪用されると、リモートシステムが完全に侵害される恐れがあります。
SAPセキュリティノート3788788（CVE-2026-89108、CVSSスコア9.1）は、SAP Manufacturing Integration and Intelligence（Configuration Service）における認可チェック欠落の脆弱性に対処します。Onapsisによると、特定のエンドポイントにネットワークアクセスできるSAP XMII Adminユーザーとして認証された攻撃者が、巧妙に細工したリクエストを送信すると、基盤となるJavaアプリケーションサーバー上に管理者権限を持つアカウントを作成できます。このアカウントを使ってシステムを完全に侵害される恐れがあります。
Adobeのセキュリティ情報
Ivantiの製品管理担当VP、Chris Goettl氏によると、Adobeは141件のCVEを対象とする10件のセキュリティ情報を公開しました。このうち15件は「Critical（重大）」ですが、Adobeはいずれについても悪用を確認していません。同氏は、管理者は重大度の評価が最も高い2製品から着手すべきだと述べています。
ColdFusion（APSB26-144）：Criticalの欠陥が10件あります。うち3件は、認証不要でネットワーク経由で到達可能なバグで、評価は9.8以上です（CVE-2026-105899、CVE-2026-106622、CVE-2026-106624）。いずれも、現時点ではNISTの脆弱性データベースに登録されていません。ユーザーはColdFusion 2025.0.14または2023.0.26に更新する必要があります。
Commerce（APSB26-153）：Criticalの欠陥が5件あります。CVE-2026-103849とCVE-2026-92909は、悪用に認証が不要です。顧客は、9月7日のAPSB26-146更新に含まれるCVE-2026-75650向けのホットフィックスも適用する必要があります。
