Microsoftの10月のパッチチューズデーでは、すでに悪用されているWindowsの脆弱性を含む1,400件超の脆弱性が対処された。
10月13日に公開されたセキュリティ更新プログラムは、Windows、Office、.NETなどのMicrosoft製品を対象とする。セキュリティチームにとって当面の課題は、運用上の問題がないか更新プログラムをテストしながら、影響を受けるシステムのうち緊急対応が必要なものを特定することだ。
このリリースは、 9月に記録された、修正済みバグ約1,000件というこれまでの最多件数を上回る。 Zero Day Initiativeの10月の分析によると、今回対処された脆弱性の数は、Microsoftが過去に1年間で修正した件数をも上回っている。
Microsoftは、マルチモデルのエージェント型スキャンハーネス（コードネームMDASH）などのツールを通じて、AIを活用した脆弱性研究を拡大している。しかし、 Microsoftの調査アップデートでは、検証と修正が制約になることも指摘されている。潜在的な脆弱性をより多く発見しても、展開可能な修正プログラムが自動的に増えるわけではない。
「かつては、1回のリリースに数百件のCVEが含まれるのは例外だった。今や、それが基準になっている。AIのせいなのか？一部はそうだ。AIによって、攻撃側と防御側の双方でバグ探しが加速しているため、ベンダーはより多くの脆弱性を発見して修正し、研究者もより速く脆弱性を見つけている」と、Zero Day Initiativeで脅威認識部門の責任者を務めるDustin Childs氏は、eSecurity Planetへのコメントで述べた。「もはや本当の問題は件数ではない。重要なのは、脆弱性の発見が悪用よりも速いペースで拡大していることだ。悪用可能性ではなくCVEの単純な件数でトリアージするチームは、間違ったバグに時間を費やしている」
直ちにトリアージが必要なゼロデイ
セキュリティチームは、まず現在悪用されているWindows Shellの脆弱性を優先し、次に今回のリリースに含まれる、一般公開済みの2件の脆弱性を評価すべきだ。一般公開されると攻撃者の目に触れやすくなるが、追加の2件はいずれも、リリース時点で実際に悪用されているとは報告されていない。
CVE-2026-96951として追跡され、CVSSスコアが8.8のこのバグを悪用すると、攻撃者はWindowsのMark of the Web（MotW）保護を回避できる。
「攻撃者は、特別に細工したファイルをフィッシングメール、インスタントメッセージ、または悪意のあるWebサイトを通じて配布でき、悪用を開始するために必要なのはユーザーの操作だけだ」と、Action1で脆弱性研究部門のディレクターを務めるJack Bicer氏は説明した。「この脆弱性は、想定されるセキュリティ警告を抑制し、悪意のある可能性のあるコンテンツが保護チェックを回避できるようにすることで、より広範な攻撃の初期侵入経路になり得る」
米サイバーセキュリティ・インフラセキュリティ庁（CISA）はすでに、この脆弱性をKnown Exploited Vulnerabilitiesカタログに追加している。
今回のリリースに含まれる追加の2件の脆弱性は、10月13日より前に一般公開されていた。
- CVE-2026-108398：.NET Frameworkのバイパス脆弱性（CVSS 8.8）。低権限の攻撃者がWindows Defender Application Control（WDAC）を回避できる。Action1の社長Mike Walters氏は、この脆弱性について「侵害後の攻撃手法として特に危険だ。すでにローカルアクセス権を持つ攻撃者が、ユーザーの操作なしにセキュリティ制限を回避できる」と警告した。
- CVE-2026-92707：一般公開された MessagePack-CSharpのサービス拒否脆弱性。アプリケーションが特別に細工された信頼できないデータをデシリアライズすると、メモリを枯渇させる可能性がある。リモートからの攻撃が可能かどうかや認証要件は、アプリケーションの設定によって異なる。サードパーティーのアドバイザリーは9月17日に公開され、バージョン2.5.303および3.1.9で修正が提供されている。
Outlookとネットワーク実行に伴う重大なリスク
修正された多数の重大な脆弱性のうち、メールクライアントの脆弱性は運用に過大な危険をもたらす。CVE-2026-70242とCVE-2026-97016はいずれもCVSSスコアが9.8だ。Action1の分析によると、特別に細工されたメールがOutlookの閲覧ウィンドウで処理されると、認証されていない攻撃者がコードを実行できる。受信者が添付ファイルを開いたり、リンクをクリックしたりする必要もない。
「リスクは単純だ。この脆弱性を悪用するために、従業員がミスを犯す必要はない。悪意のあるメールだけで十分な可能性がある」と、Walters氏はCVE-2026-97016について指摘した。
「Microsoft OutlookとWordは、依然として一般的な攻撃経路だ。特別に細工されたメールや文書によって、ユーザーが何も操作しなくても、攻撃者は被害者のマシンを完全に制御できる」と、Cohesityでセキュリティ研究およびREDLabの責任者を務めるAmol Sarwate氏は付け加えた。
ネットワークサービスも深刻なリモート攻撃の脅威にさらされている。たとえばCVE-2026-105016は、Microsoft QUICに存在するCVSS 9.8のヒープオーバーフロー脆弱性で、Windows 11、Windows Server、.NET全体で認証不要のリモートコード実行を可能にする。
セキュリティチームが更新プログラムの優先順位を決める方法
脆弱性の件数は、組織が展開すべき更新プログラムの数に直接つながるわけではない。複数のCVEが同じ累積更新プログラムで対処される場合があり、影響の範囲はインストール済みの製品、バージョン、有効化されているサービスによって異なる。セキュリティチームは、展開の優先順位を決める前に、リリース内容を自組織のシステムと照合すべきだ。
まず、悪用がすでに確認されているCVE-2026-96951にさらされている、影響を受けるWindowsシステムから着手する。次に、Outlookとネットワークサービスの重大な脆弱性を実際の攻撃経路に照らして評価する。信頼できないメッセージを処理するメールクライアントはどれか、到達可能なサービスはどれか、機密データや重要な業務を支えるシステムはどれかを確認する。
一般公開された.NET Frameworkのバイパス脆弱性にも注意が必要だ。特に、Windows Defender Application Controlによってソフトウェアの実行を制限している環境では重要になる。MessagePack-CSharpについては、アプリケーションの所有者が依存関係とデシリアライズ経路を確認すべきだ。Windowsの更新だけで、影響を受けるアプリケーションが修正されると考えてはならない。
Microsoftは、展開と露出について同様の評価が必要なCVEをまとめる、試行的な リスク群も提案している。これらの暫定的なグループ分けによって、繰り返し行う分析を減らせる可能性はあるが、個々の脆弱性評価やMicrosoftの更新ガイダンスに取って代わるものではない。
企業の 防御担当者にとっては、展開にあたって対象を絞ったテスト、復旧計画、影響を受けるシステムに修正プログラムが適用されたことの確認を含めるべきだ。インストール済みのバージョンを確認し、インストールに失敗したものを調べ、必要に応じて再スキャンする。延期した更新プログラムには、担当者、文書化された理由、修正期限を設定しなければならない。
実務上の目標は、重要なサービスを稼働させたまま、悪用可能な露出を減らすことだ。記録的な件数のリリースでは、優先順位付けの価値がいっそう高まるが、リスク評価は修正の完了と検証につながらなければならない。
関連記事：Microsoft以外にもパッチレビューを広げるなら、 Ciscoの重大なSmart Software Manager On-Premの修正と、アップグレード前に管理者が確認すべきリリースチェック。