Microsoft、10月のPatch Tuesdayで1,400件超の脆弱性を修正

Microsoftは10月のPatch Tuesdayで、すでに悪用が確認されているWindowsの脆弱性を含む、1,400件超の脆弱性に対処しました。

10月13日に公開されたセキュリティ更新プログラムは、Windows、Office、.NETなどのMicrosoft製品を対象としています。セキュリティチームにとっては、緊急の対応が必要な影響システムを見極めつつ、更新プログラムが運用に支障を及ぼさないかを検証することが当面の課題となります。

今回の修正件数は、 9月に記録した過去最多の約1,000件を上回りました。 Zero Day Initiativeの10月分レビューによると、Microsoftが過去の通年でパッチを適用した脆弱性の数も上回っています。

Microsoftは、マルチモデル型のエージェント型スキャン基盤（コードネーム「MDASH」）をはじめとするツールを通じ、AIを活用した脆弱性調査を拡大しています。ただし、 Microsoftの調査アップデートは、検証と修正が制約になるとも指摘しています。潜在的な脆弱性をより多く発見しても、展開可能な修正が自動的に増えるわけではないということです。

「1回のリリースで数百件のCVEというのは、かつては例外でしたが、今では当たり前になっています。AIのせいかと言えば、一因ではあります。攻撃側と防御側の双方でバグ探しが加速しており、ベンダーはより多くの欠陥を見つけて修正し、研究者もより速く見つけています」。Zero Day Initiativeで脅威認知部門の責任者を務めるDustin Childs氏は、eSecurity Planetに寄せたコメントでこう述べました。「もはや問題は件数ではありません。重要なのは、発見のペースが悪用のペースより速く拡大していることです。悪用可能性ではなくCVEの件数だけで優先順位を付けているチームは、見当違いのバグに労力を費やすことになります」

セキュリティチームはまず、悪用が確認されているWindows Shellの脆弱性を最優先とし、その後、今回のリリースに含まれる公開済みの2件の脆弱性を評価すべきです。公開されると攻撃者の目に触れやすくなりますが、この2件はリリース時点で悪用の報告はありませんでした。

CVE-2026-96951として追跡されるこのバグはCVSSスコアが8.8で、攻撃者がWindowsのMark of the Web（MotW）による保護を回避できてしまいます。

「攻撃者は、細工したファイルをフィッシングメール、インスタントメッセージ、悪意のあるWebサイトを通じて配布できます。悪用の引き金になるのはユーザー操作だけです」と、Action1の脆弱性調査ディレクター、Jack Bicer氏は説明します。「この脆弱性は、本来表示されるはずのセキュリティ警告を抑止し、悪意ある可能性のあるコンテンツが保護チェックをすり抜けることを可能にするため、より広範な攻撃の初期侵入口として機能し得ます」

米サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）は、すでにこの脆弱性を「Known Exploited Vulnerabilities（既知の悪用された脆弱性）」カタログに追加しています。

今回のリリースに含まれる別の2件の脆弱性は、10月13日より前に公開されていました。

• CVE-2026-108398：.NET Frameworkのバイパスの脆弱性（CVSS 8.8）。低権限の攻撃者がWindows Defender Application Control（WDAC）を回避できます。Action1のMike Walters社長は、この脆弱性について「侵害後の攻撃手法として特に危険です。すでにローカルアクセスを得ている攻撃者が、ユーザー操作なしでセキュリティ制限を回避できてしまいます」と警告しています。
• CVE-2026-92707：公開済みの MessagePack-CSharpのサービス拒否の脆弱性。アプリケーションが、細工された信頼できないデータをデシリアライズする際にメモリを枯渇させる可能性があります。リモートからの影響範囲や認証要件は、アプリケーションの構成によって異なります。サードパーティのアドバイザリは9月17日に公開され、修正はバージョン2.5.303および3.1.9で提供されています。

Outlookとネットワーク経由の実行に関する重大なリスク

修正された数十件の重大な脆弱性のうち、メールクライアントの欠陥は運用上、とりわけ大きな脅威となります。CVE-2026-70242とCVE-2026-97016は、いずれもCVSSスコアが9.8です。Action1の分析によると、認証されていない攻撃者は、細工したメールがOutlookのプレビューウィンドウで処理されるだけでコードを実行できます。受信者が添付ファイルを開いたり、リンクをクリックしたりする必要はありません。

CVE-2026-97016について、Walters氏は次のように指摘しています。「リスクは単純です。従業員が何らかのミスを犯さなくても、この脆弱性は悪用され得ます。悪意あるメールが届くだけで十分な場合があります」

「Microsoft OutlookとWordは、依然として一般的な攻撃経路です。細工されたメールや文書によって、ユーザー操作なしに、攻撃者が被害者のマシンを完全に制御できる可能性があります」と、CohesityでセキュリティリサーチおよびREDLab責任者を務めるAmol Sarwate氏は付け加えました。

ネットワークサービスにも深刻なリモートの脅威があります。その一つがCVE-2026-105016で、Microsoft QUICにおけるCVSS 9.8のヒープオーバーフローです。Windows 11、Windows Server、.NETにまたがり、認証なしでのリモートコード実行を可能にします。

セキュリティチームはどう優先順位を付けるべきか

脆弱性の件数が、そのまま組織が展開すべき更新プログラムの数になるわけではありません。複数のCVEが同じ累積更新プログラムで修正される場合があり、影響の有無はインストールされている製品、バージョン、有効なサービスによって変わります。セキュリティチームは、展開の優先順位を決める前に、今回のリリース内容を自社のシステムに照らして整理する必要があります。

まずは、すでに悪用が確認されているCVE-2026-96951の影響を受けるWindowsシステムから着手します。次に、重大なOutlookやネットワークサービスの脆弱性を、実際の攻撃経路に照らして評価します。具体的には、どのメールクライアントが信頼できないメッセージを処理しているか、どのサービスに到達可能か、どのシステムが機密データや重要な業務を支えているかを確認します。

公開済みの.NET Frameworkのバイパスの脆弱性にも注意が必要です。特に、Windows Defender Application Controlでソフトウェアの実行を制限している環境では重要です。MessagePack-CSharpについては、アプリケーションの所有者が依存関係とデシリアライズの経路を確認する必要があります。Windows更新プログラムだけで、影響を受けるアプリケーションが修正されると考えてはいけません。

Microsoftは、試験的な リスクコホートも提案しています。展開や露出に関して同様の評価が必要なCVEをまとめるものです。この暫定的なグループ化は重複する分析を減らせますが、個々の脆弱性の評価やMicrosoftの更新ガイダンスに代わるものではありません。

企業の防御担当者は、展開時に、対象を絞ったテスト、復旧計画、影響を受けるシステムに修正が適用されたかの確認を行うべきです。インストールされているバージョンを確認し、インストールの失敗をチェックし、必要に応じて再スキャンしてください。適用を見送った更新プログラムには、担当者、文書化された理由、修正期限を設定する必要があります。

現実的な目標は、重要なサービスの稼働を維持しながら、悪用可能なリスクを減らすことです。過去最大のリリースによって優先順位付けの価値は高まりますが、リスク評価は、修正の完了と検証につなげなければなりません。

関連記事：パッチの確認はMicrosoft製品だけにとどまりません。 Cisco Smart Software Manager On-Premの重大な脆弱性の修正と、管理者がアップグレード前に行うべき確認事項もご覧ください。