Microsoftは2026年10月のパッチチューズデーで、過去最多となる数の脆弱性を修正しました。この中には、実際に悪用が確認されたWindowsのゼロデイ脆弱性も含まれています。
Microsoftによると、今回の更新プログラムで修正されたCVEは1,413件です。内訳はWindowsが1,102件、Officeが134件、開発者向けツールが61件、SharePoint Serverが36件となっています。このほか、Exchange Server、Azure、Defenderなどの製品にもセキュリティパッチが提供されました。
Microsoftは今月だけで、2025年1年間に修正した件数を上回る脆弱性にパッチを適用しました。この急増は主にAIの活用によるもので、2026年に入ってからの修正件数は累計4,000件を超えました。
悪用されたゼロデイ脆弱性はCVE-2026-96951（CVSSスコア8.8/10）として追跡されています。Microsoftはこれを、Windowsシェルのセキュリティ機能バイパスの脆弱性と説明しています。攻撃者はこの欠陥を悪用して、Mark of the Web（MotW）による防御を回避できます。
MotWは、インターネットからダウンロードしたファイルに付与されるタグです。Defender SmartScreenやOffice保護ビューといったセキュリティ機構は、このタグをもとに自動実行を制限します。MotWを回避されると、悪意のあるファイルが警告なしに実行される恐れがあります。
Microsoftはセキュリティ情報で次のように説明しています。「電子メールやインスタントメッセージを使った攻撃シナリオでは、攻撃者は脆弱性を悪用するよう細工したファイルを標的のユーザーに送り付ける可能性があります。いずれの場合も、攻撃者がユーザーに攻撃者の管理するコンテンツを強制的に閲覧させる手段はありません。攻撃者は、ユーザーを説得して操作を実行させる必要があります」
この問題は、富士通とAnthropicの研究者、および独立した専門家がそれぞれ別個にMicrosoftへ報告しました。ゼロデイ攻撃の詳細は公表されていません。ただ、攻撃者はこの種のMotWバイパスの脆弱性を、攻撃キャンペーンで頻繁に悪用しています。
CISAは火曜日、CVE-2026-96951をKEVカタログに追加しました。連邦政府機関に対しては、10月16日までに対処するよう指示しています。
今回パッチが適用された脆弱性のうち2件は、Microsoftが修正プログラムを提供する前に一般公開されていました。1件はCVE-2026-108398で、攻撃者がWindows Defender Application Control（WDAC）の適用をバイパスできるものです。Microsoftは、この欠陥が悪用される可能性は低いとみています。
もう1件はCVE-2026-92707です。Visual Studioと.NETのMessagePack-CSharpコンポーネントに影響するDoS脆弱性で、Microsoftは悪用可能性を評価していません。
Microsoftは火曜日、ユーザーがセキュリティ更新プログラムの優先順位を判断しやすくするため、「リスクコホート」の導入も発表しました。
Microsoftはブログ記事で次のように説明しています。「リスクコホートとは、顧客が同様の評価を行う必要があるCVEをまとめたグループです。これらのCVEは、根本原因やCVSSスコアが共通しているとは限りません。共通しているのは、優先順位付けの判断材料となる、顧客環境に関する問いです」
さらに、次のように付け加えています。「リスクコホートは出発点であり、最終的な判断材料ではありません。お客様は引き続き、各CVEについて、悪用の有無、深刻度、攻撃ベクトル、ユーザー操作の要否、製品固有のガイダンスを確認する必要があります」
