2026年11月のPatch Tuesday予測：古いソフトウェアが再び牙をむく

2026年10月のPatch Tuesdayはいかがでしたか。年末まで対応に追われるほど多くのCVEが報告されましたが、それとも対応を終えて来週の次回に備えている段階でしょうか。Microsoftは定例アップデートを予定より2時間半近く遅れてリリースしましたが、過去最多となる1,407件の固有のCVEを修正しました。

これまでの月と同様、直ちに対処が必要なCVEは限られていました。10月は、ゼロデイ脆弱性のCVE-2026-96951で悪用が確認されています。これはWindows Shellのセキュリティ機能バイパスの脆弱性で、Windows 10、Windows 11、Windows Serverに影響します。また、.NET Frameworkのセキュリティバイパスの脆弱性CVE-2026-10839は、公に開示されました。深刻度が「重大（Critical）」の脆弱性は78件で、報告されたCVE全体のごく一部でした。

PHP2Shell

今月最大の話題は、脆弱性CVE-2026-109618とCVE-2026-109619をめぐるものでした。研究者らはこれらをPHP2Shellとも呼んでいます。PHPは汎用のスクリプト言語で、1994年にWeb開発を支援するために公開されました。サーバー上で動作し、Webサーバーと情報を要求するブラウザーの間でミドルウェアの役割を果たします。

PHPは10月21日、これらの脆弱性と修正済みのPHPバージョンに関するセキュリティアドバイザリーを公開しました。実環境での悪用は、パッチ公開の数日前に確認されており、今も拡大を続けています。脆弱性の修正はOSによって手順が異なる複数段階の作業ですが、基本的にはPHPランタイムを置き換え、Webサーバーを停止し、再起動する必要があります。再起動しなければ、古いコードがメモリ上に残り続けます。

この脆弱性を悪用されると、攻撃者はPHPシェルから見えるあらゆるものにアクセスできるようになります。システムが侵害されていないかを評価し、更新の優先順位を決める際は、この点に留意してください。

緊急修正

Microsoftは先月末にかけて、いくつかの定例外リリースと恒例のプレビューパッチを公開しました。いずれもセキュリティに関わる内容です。10月25日には、CVE-2026-111497の緊急修正をリリースしました。この脆弱性は、Broccoli2Shell、Node2Shell、HTTP2Shellとも呼ばれています。名称は、Brotli圧縮データの処理に使われるBrotliのバイナリやライブラリの欠陥に由来します。今回の修正は.NET 8、9、10のライブラリに加え、.NET 11のRelease Candidate 3も対象としており、できるだけ早く更新すべきです。概念実証（PoC）コードは公開されていますが、現時点で実環境での悪用は確認されていません。

10月26日には、Windowsの信頼リストから7つの証明書を削除する更新プログラムを公開しました。対象は、eMudhraのG3ルート証明書6つと、AAA Certificate Servicesのクロス署名1つです。これらの証明書の鍵は漏えいしていました。さらにMicrosoftは、プレビューパッチに2つの修正が含まれていることを確認しました。1つは、9月のPatch Tuesday更新で発生したAlways On VPN接続の障害の修正です。もう1つは、10月のWindows更新で動作しなくなったSmart App Controlの修正です。

10月の更新を適用すると、Windows 11 24H2以降を実行している影響を受けたデバイスで、Smart App Controlのオプションがグレーアウトし、オンに切り替えられなくなっていました。これらのセキュリティ修正はすべて、11月のPatch Tuesdayの累積リリースに含まれる予定です。

時代遅れのソフトウェア

みなさんは、自社環境にあるサポート終了（EOL）の、あるいは時代遅れのソフトウェアを探して削除する時間を取っているでしょうか。厳密にはパッチ適用の問題ではありませんが、最終パッチを適用した後も、あとで削除するつもりでソフトウェアをそのまま残してしまうことはよくあります。しかし、そのことを常に覚えていて、削除する時間を確保できているでしょうか。ある記事では、2014年に放棄されたアプリケーションが、Windowsデバイス250万台とMac30万台で動作し続け、自己更新を試みていたと伝えています。更新のために接続するドメインの一部は新規登録が可能な状態でした。そのため、気づいた者なら誰でも悪意ある更新パッケージを作成し、数百万台のマシンを即座に侵害できたはずです。幸い、そうなる前に問題が検知されてソフトウェアは削除されましたが、このソフトウェアは長期間にわたって動き続けていました。

ここで疑問が生じます。私たちは、自社のマシンで動作しているすべてのサービス、とりわけネットワークに接続するサービスが何をしているのか、本当に把握しているでしょうか。これもまた、AIがシステムの運用上の脆弱性についてより多くの洞察をもたらせる分野です。そしてもちろん、システムから時代遅れのソフトウェアを常に探し出して削除しなければ、その代償を払うことになります。

Appleのアップデート

Appleは10月26日、サポート対象のすべてのOS向けに大規模なセキュリティアップデートをリリースしました。たとえば、最新バージョンのmacOS Golden Gate 27向けのアップデートでは、183件の固有のCVEに対処しています。このページには、iOS 18.7.11とiPadOS 18.7.11向けのアップデートも掲載されている点に注意してください。Appleは、悪用が確認されているCVE-2026-86950の修正を、これらのOSにバックポートしました。Appleは次のように述べています。「Appleは、この問題がiOS 27より前のバージョンのiOSで、特定の標的とされた個人に対する極めて高度な攻撃で悪用された可能性があるとの報告を把握しています」。このCoreGraphicsの脆弱性を悪用されると、任意のコードを実行される恐れがあります。これらの古いOSバージョンを使用している場合は、Appleとしては珍しいこのパッチを適用してください。