Microsoftの3月パッチチューズデー、79個の脆弱性と2つのゼロデイを修正

Microsoftは慣例のパッチチューズデーに従って、3月のセキュリティアップデートを公開した。この最新リリースで、同社は多くの製品にわたる79個の異なる脆弱性を修正し、既に公開されていた2つのゼロデイ脆弱性も含まれている。

これらの修正はWindowsのコンポーネントとエンタープライズサービス全体に及んでいる。修正された脆弱性のうち3つが「クリティカル」の深刻度に指定されている。このうち2つは攻撃者がリモートコード実行を実行できるようにし、もう1つは機密情報の不正な開示につながる。

これらの脆弱性の大部分はシステム権限の昇格に関連しており、正確に46個の文書化された脆弱性が含まれている。さらに、企業はリモートコード実行を可能にする18個のベクトル、10個のデータ開示の異常、ならびにサービス拒否、データスプーフィング、および防御メカニズムの回避を引き起こす様々な脆弱性を排除している。

この2つのゼロデイ脆弱性は以前に公開されていたが、アクティブなキャンペーンでの実際の悪用に関する情報はない。最初の脆弱性はCVE-2026-21262として記録されており、Microsoft SQL Serverのアーキテクチャに影響を与える。不十分なアクセス検証プロトコルにより、認証されたユーザーがネットワーク全体で権限を昇格させ、最終的にデータベース管理者として完全な支配権を獲得することが可能になる。このリスクの高い欠陥は専門家Erland Sommarskogによって発見され、彼は以前、ストアドプロシージャの承認メカニズムを調査する論文でこの脆弱性について述べていた。

2番目の脆弱性はCVE-2026-26127として指定されており、.NETフレームワークに密接に関連している。深刻な境界外読み取りの異常により、リモート攻撃者がネットワーク全体でサービス拒否攻撃を引き起こす能力を持つようになる。この問題を明らかにした者は匿名を希望している。

同社はMicrosoft Officeスイートにも深刻な注意を払っている。公開されたパッチは2つのクリティカルなリモートコード実行脆弱性（CVE-2026-26110およびCVE-2026-26113）を確実に塞いでいる。ドキュメントプレビューペインを通じて悪用が容易であるため、開発者はOfficeの修正の即時インストールを強く推奨している。

Microsoft Excelではもう1つの注目すべき脆弱性が発見されている。CVE-2026-26144はMicrosoft Copilotアーキテクチャとの統合を通じてテレメトリの不正な開示を可能にする。悪用に成功すると、攻撃者はCopilotエージェントを強制してユーザーの追加操作なしにネットワーク全体で情報を漏らさせることができ、実質的にゼロクリック攻撃シナリオを構築することができる。

上記のコンポーネント以外にも、これらの修正アップデートはActive Directory、Azure、Hyper-V、SharePoint、基本的なWindowsドライバー、および多数のシステムサービスに対応している。特定の脆弱性はネットワークルーティングのメカニズム、基盤となるファイルシステム、およびWindows Print Spoolerに関連している。

すべての発見された脆弱性の詳細な説明、その詳細な技術仕様、および影響を受けたシステムの完全なリストは、完全なドキュメント内で利用可能である。