Microsoftは2026年10月13日にセキュリティ更新プログラムを公開し、同社のソフトウェア製品群にわたる1,413件の脆弱性に対処しました。この中には、すでに悪用が確認されているWindows Shellのゼロデイ脆弱性が含まれています。
今回の更新はWindows、Office、SharePoint Server、SQL Server、開発者向けツール、クラウドサービスに及び、企業のセキュリティチームにとって大きなパッチ適用負荷となります。
最も緊急性が高いのは、Windows Shellのセキュリティ機能バイパスの脆弱性「CVE-2026-96951」です。深刻度は「重要（Important）」、CVSSスコアは8.8で、Microsoftは実環境での悪用を確認しています。
この脆弱性を悪用すると、攻撃者はMark of the Web（MotW）による保護を回避でき、信頼できない場所から入手したファイルに対する警告やセキュリティチェックが弱まります。その結果、悪意あるコンテンツが重要な防御境界をすり抜け、後続の攻撃段階へ進みやすくなります。
Windows Shellは、エクスプローラーや関連ライブラリ、アプリケーションプログラミングインターフェース（API）に関わるグラフィカルな操作ロジックを提供しています。
悪用された脆弱性が狙うのは、単独の企業向けアプリケーションではなく、広く使われているこのOSレイヤーです。
Rapid7の分析によると、CVE-2026-96951は今年公開された、悪用が確認されたWindows Shellのゼロデイとしては2件目です。悪意あるファイルの実行を防ぐうえで、ダウンロード元に基づく保護が引き続き重要であることを示しています。
Microsoftの今回の更新では、すでに公開されている.NET Frameworkのセキュリティ機能バイパスの脆弱性「CVE-2026-108398」にも対処しています。Microsoftの説明によると、悪用された場合、Windows Defender Application Controlによる制御を回避され、許可されていないアプリケーションが実行される可能性があります。
脆弱性が公開されていることと、実際に悪用が確認されていることは別の状態です。入手可能な報告では、Windows Shellの問題は悪用中と位置づけられている一方、.NET Frameworkの脆弱性はパッチ提供時点で公に知られていたものと説明されています。
提供されたMSRCの抜粋には、Windowsカーネル、Common Log File System Driver、Background Intelligent Transfer Service、Clipboard User Service、複数のグラフィックスコンポーネントにまたがる権限昇格の脆弱性が記載されています。
また、DNS Server、DHCP Server、SQL Server、SharePoint、Internet Connection Sharing、Message Queuing Queue Managerに影響するリモートコード実行の脆弱性も確認されています。
これらの項目からは影響を受けるコンポーネントと影響の分類は分かるものの、悪用の前提条件、影響を受けるビルド、個別のCVSSスコアは示されていません。
情報漏えいの問題も抜粋全体に見られ、CVE-2026-97835からCVE-2026-97844までの10件のDNS Serverの脆弱性が含まれます。
そのほかの情報漏えいの脆弱性は、Azure Active Directory、Azure HDInsight、Windows Installer、Biometric Service、イベントビューアー、Windows Management Instrumentation（WMI）に影響します。提供されたすべての項目で深刻度は「重要（Important）」とされ、顧客側の対応が必要と明記されています。
対応の優先順位としては、まず悪用が確認されたWindows Shellの脆弱性を最優先とし、次に、影響の大きいコード実行や権限昇格の脆弱性を抱える公開サービスやシステムを扱うべきです。
管理者は、脆弱性のタイトルだけから悪用可能性を推測せず、Microsoftのアドバイザリで該当する製品バージョンと展開手順を確認する必要があります。今回の更新全体には、670件を超える権限昇格の脆弱性と、300件を超えるリモートコード実行の脆弱性が含まれています。
1万6,000以上のSOCチームがANY.RUNを活用し、脅威調査を効率化して手作業を削減しています。チームで試してみる
翻訳元: https://cyberpress.org/microsoft-patches-1413-security-vulnerabilities/
