Microsoftは10月13日、今月のパッチチューズデーで2025年通年を上回る数のセキュリティ更新プログラムを公開し、またも記録を塗り替えました。
同社が10月に修正したCVEは1411件に上り、過去最多となりました。今年7月と9月に打ち立てた記録を更新した形です。これに対し、2025年に公開された更新プログラムは1100件強にとどまっていました。
件数が急増した背景には、Microsoftが自社製品の脆弱性の発見と修正にAIを活用していることがあります。
同社は7月、マルチモデルのエージェント型スキャン基盤（MDASH）技術の活用などを理由に、大量のパッチが公開されると顧客に警告していました。
セキュリティチームの負担増は、すでに影響を及ぼしています。今週発表されたSocuraの調査によると、英国のCISOの5人に1人（22%）が、パッチチューズデーを避けるために病欠や休暇を取っていました。
MicrosoftのAIに関する警告の詳細はこちら：Microsoft: AI Cuts Post-Compromise Attack Time to Minutes.
2026年10月分には、悪用が確認されたゼロデイ脆弱性1件と、公開済みのゼロデイ脆弱性2件が含まれています。
悪用が確認されたのは「CVE-2026-96951」で、Windowsシェルのセキュリティ機能のバイパスの脆弱性です。マルウェアへの感染、データの侵害、システムの完全性の損壊、業務の中断につながるおそれがあります。
CVSSスコアは8.8で、攻撃の複雑さは低く、悪用に認証や既存の権限は必要ありません。
Action1の脆弱性調査部門ディレクターであるJack Bicer氏は、次のように説明しています。「攻撃者は、巧妙に細工したファイルをフィッシングメールやインスタントメッセージ、悪意あるWebサイトを通じて配布できます。悪用の引き金となるのは、ユーザーの操作だけです」
「この脆弱性は、本来表示されるはずのセキュリティ警告を抑止し、悪意のある可能性があるコンテンツが保護機能のチェックをすり抜けることを許すため、より大規模な攻撃の初期侵入口となり得ます」
新たに2件のゼロデイ脆弱性を確認
Microsoftは、公開済みでまだ悪用が確認されていない脆弱性にも「ゼロデイ」のラベルを付けています。
今月該当する脆弱性の一つが「CVE-2026-108398」です。.NET Frameworkのセキュリティ機能のバイパスの脆弱性で、CVSSスコアは8.8です。Action1のプレジデントであるMike Walters氏によると、認証済みで低権限の攻撃者が、信頼できないアセンブリの検索パスを悪用して、Windows Defender Application Control（WDAC）を回避できます。
同氏は次のように説明しています。「この脆弱性は侵害後の攻撃手法として特に危険です。ローカルアクセスを持つ攻撃者が、ユーザーの操作なしにセキュリティ上の制限を回避できてしまいます」
「悪用に成功すれば、システムの完全性が損なわれ、機密性の高い業務情報が漏えいし、エンドポイントの防御が弱体化して、重要な業務が妨げられるおそれがあります」
この脆弱性には回避策がなく、Microsoftも「悪用される可能性が高い」と評価しています。Walters氏は、システム管理者は直ちにパッチを適用すべきだと助言しています。
今月公開された2件目のゼロデイ脆弱性は「CVE-2026-92707」で、MessagePack-CSharpのサービス拒否（DoS）の脆弱性です。
Microsoftは、「.NETにおける連続したメモリ割り当ての不適切な制御により、権限のない攻撃者がネットワーク経由でサービス拒否を引き起こすことができる」と説明しています。
今月公開された深刻度「緊急」の脆弱性は70件で、その大半（57件）がリモートコード実行（RCE）の脆弱性です。なかでも注目されるのが、CVSSスコア9.8の「CVE-2026-70242」です。Outlookのプレビューウィンドウに関するRCEのバグです。
Automoxは次のように警告しています。「細工されたメールをOutlookがプレビューウィンドウに表示すると、ヒープベースのバッファオーバーフローが引き起こされます。受信者がメッセージを開いたり、何かをクリックしたりする必要はありません。認証もユーザーの操作も不要です」
「プレビューウィンドウのバグは数年おきに表面化し、メールが入口となるため注目を集めます。メールアドレスは、漏えいしたデータの一覧や企業のWebサイトで容易に見つかるため、攻撃者にとって標的に定めるコストはほとんどかかりません」
画像クレジット：wutianzeri / Shutterstock.com
翻訳元: https://www.infosecurity-magazine.com/news/microsoft-patch-tuesday-record-1/
