Microsoftは、脆弱性の公開件数で記録更新が続いており、今回の月例セキュリティ更新プログラム（Patch Tuesday）では、同社のさまざまな企業向け製品やサービスに影響する1,413件の欠陥を明らかにしました。
この月次パッチの件数は、2020年に記録した年間最多の1,261件（共通脆弱性識別子CVEベース）を、1回の公開で上回りました。
TrendAIのZero Day Initiativeで脅威認識責任者を務めるDustin Childs氏は、メールで次のように述べています。「1回のリリースで数百件のCVEが出るのは、かつては例外でした。今では、それが基準になっています」。同氏は、AIにも一因があると指摘する一方で、AIは「脆弱性を何もないところから生み出しているわけではありません。脆弱性が存在してから誰かに発見されるまでの時間を短縮しているだけです」と説明しました。
しかし、Microsoft製品で見つかる欠陥の急増に圧倒されている防御側にとっては当然のことながら、実際に悪用されているゼロデイ脆弱性は、同じようには増えていません。
「救いがあるとすれば、積極的に攻撃を受けているバグが1件にとどまっていることです」とChilds氏はブログ記事に書いています。「ゼロデイが相次いだ2023年の夏を振り返ると、1月から10月までの間にMicrosoftのゼロデイは17件ありました。今年の同じ期間は15件です」。
Microsoftは、Windows Shellに影響し、悪用が確認されているゼロデイ脆弱性CVE-2026-96951を1件公開しました。この脆弱性により、認証されていない攻撃者がセキュリティ機能を回避できます。Tenableのシニアスタッフリサーチエンジニア、Satnam Narang氏によると、深刻度が高いこの欠陥は、今年悪用されたWindows Shellの脆弱性として3件目です。
同氏は次のように付け加えています。「2026年は10月までに26件のWindows Shell脆弱性が修正されました。これは過去と比べて驚くべき数字です。Windows ShellのCVEは、2025年が3件だけで、2024年と2022年はそれぞれ1件にすぎませんでした」。
今月のセキュリティ更新プログラムでMicrosoftが公開した欠陥の大半は、同社の広く普及したオペレーティングシステムであるWindowsに影響するもので、合計1,102件に上ります。更新にはこのほか、Officeの脆弱性134件、各種開発者ツールの脆弱性61件、SharePoint Serverの脆弱性36件が含まれています。
Microsoftは、毎月押し寄せる脆弱性の洪水が顧客に与える負担に対処するため、「リスクコホート」を導入しました。同社によると、このグループに分類される脆弱性は、必ずしも根本原因や深刻度評価が共通しているわけではありません。ただ、顧客がおおむね同様の評価を行う必要があるため、対応の優先順位づけに役立つとしています。
Childs氏は続けます。「もはや、件数の多さは本質的な問題ではありません。重要なのは、脆弱性の発見が悪用の拡大を上回る速さで進んでいることです。CVEの件数だけでトリアージするチームは、悪用可能性を見ていないため、的外れなバグに労力を費やすことになります。実証済みで、優先度が高く、公開されているものからパッチを適用し、それ以外は今月からの新たな日常として受け止めるべきです」。
今月対処された脆弱性の全一覧は、Microsoft Security Response Centerで確認できます。
翻訳元: https://cyberscoop.com/microsoft-patch-tuesday-october-2026/
