- 9月の月例更新で約972件を修正。うち112件が重大、過去最多規模
- 今年の累計は2760件に達し、2023〜2025年の合計を超える可能性
- ZDIはAI支援による発見を「新常態」と指摘。悪用の急増はまだ見えない
記録的更新の概要
マイクロソフトは2026年9月8日に公開した月例セキュリティ更新で、約972件の脆弱性を修正した。うち112件は重大度が「Critical」に分類される。月次更新としては過去最多の件数であり、ゼロデイ2件も含まれている。
修正件数の増加は突然始まったものではない。2カ月前の約570件が当時の記録となり、前月の約620件がそれを更新、今回の約972件はさらに記録を伸ばした。今年に入ってからの累計は2760件で、このペースが続けば2023年から2025年までの3年間分の合計を上回る見通しだ。
注目すべき脆弱性
今回の更新で修正された脆弱性のうち、特に注意が必要なものとして、2件のゼロデイが挙げられる。CVE-2026-81963はWindows Updateサービス、CVE-2026-85880はWindows Advanced Local Procedureに関連する。どちらも悪用の報告はあるが、攻撃者の詳細や影響範囲は明らかにされていない。
この他の注目例として、Exchange ServerのCVE-2026-55007は、悪意のあるVisioファイルを添付したメールを送るだけで、認証なしにリモートコード実行に至る。Microsoft AuthenticatorのCVE-2026-80097は特権昇格の脆弱性で、認証システム自体のバグを利用する。SharePointではCVE-2026-69465を含む約17件、SQL ServerではCVE-2026-65669を含む60件の特権昇格が修正された。Remote Desktop ServicesではCVE-2026-69525がCVSS 9.8のリモートコード実行として報告されている。
AI支援の議論
今回の記録的な修正件数は、AIを活用した脆弱性発見の成果が背景にあると考えられる。Microsoftなど大手企業はAI開発に多額の投資をしており、その技術を自社製品の脆弱性探しにも使っている。米OpenAIやGoogleなど100社以上は、AIが攻撃に悪用される時代が近づいており、パッチを当てる時間的猶予が狭まっているとする警告文を公表している。
ただし、AI支援による発見の有効性には議論もある。批判派は、LLMを使った解析のコストと誤検知の多さを指摘する。一方で、Mozillaは5月に自社のAIツール「Mythos」を使って過去最多の271件を発見し、誤検知はほとんどなかったと発表した。ZDIのDustin Childs氏は、AIによる発見は続く一方で、アクティブな悪用の増加はまだ確認されていないと述べている。
長期的な有効性を判断するには1年以上の時間が必要だろう。現時点では、脆弱性発見が新しい段階に入った可能性を踏まえつつ、悪用の兆候に注意を払うことが重要だ。
悪用とワーム化のリスク
Childs氏は、今回の更新に含まれる脆弱性のうち、ワーム化可能なものが異常に多いと指摘した。ユーザーの操作なしに悪用でき、マシン間を自律的に広がる可能性がある脆弱性を数え始めたが、20件に達した時点で数えるのをやめたという。こうした脆弱性が悪用されれば、連鎖的な感染を引き起こす恐れがある。
一方、現時点で悪用の急増は観測されていない。修正件数が増えても、攻撃に使われる件数はまだ連動していないとみられる。今後、AIを使った自動攻撃が現実になれば、この関係は変わる可能性があり、対策のスピードが一段と重要になりそうだ。
| 月例更新 | 修正件数 |
|---|---|
| 2カ月前 | 約570件 |
| 前月 | 約620件 |
| 今月(9月) | 約972件 |
On the one hand, congrats to the security gnomes at Microsoft for being able to patch bugs at this rate. On the other hand, AI-assisted vulnerability discovery shows no signs of slowing down.
一方で、マイクロソフトのセキュリティ担当者がこれほどのペースでバグを修正できることに拍手を送りたい。他方で、AIを活用した脆弱性発見は減速する兆しを見せていない。
今後の見通し
今回の記録的な修正件数が、AIによる自動攻撃の前触れなのかどうかは、まだ判断できない。ゼロデイの悪用状況や、今後数ヶ月間の攻撃レポートの動向が重要な手がかりになるだろう。また、Microsoftが年末までに公表する年間集計が、2023〜2025年の合計を上回るかどうかも一つの目安になる。パッチ適用の運用負荷が増える中で、企業は優先度付けと自動化の仕組みを早急に整える必要があると考えられる。
日本の開発者・IT企業にとっての意味
日本のIT企業にとって、マイクロソフト製品の修正件数増加は、そのままパッチ適用コストの増大につながる。月次更新ごとに数百件の脆弱性を手作業で仕分けするのは現実的ではなく、CVSSスコアや悪用可能性に基づく優先順位付けと、自動化された更新管理の仕組みが欠かせない。また、AIによる脆弱性発見の進展は、自社開発ソフトウェアのセキュリティテストにも同様の技術を導入するきっかけになり得る。特に、攻撃者がAIを使う前に自社製品の脆弱性を減らすため、開発プロセスへのセキュリティ統合を急ぐべきだ。今回のような記録的なパッチが続く間は、ゼロデイやワーム化可能な脆弱性の情報に常に目を配る運用が重要になる。
気になる点
- 今回の更新で特に注意すべき脆弱性は？
- Exchange ServerのCVE-2026-55007は、悪意のあるVisio添付ファイルを送るだけでリモートコード実行に至ります。ワーム化可能な脆弱性も多数含まれており、20件以上確認されています。ゼロデイの2件も悪用済みのため、早急なパッチ適用が推奨されます。
- ゼロデイの詳細はどこまで公表されているか？
- CVE-2026-81963（Windows Updateサービス）とCVE-2026-85880（Windows Advanced Local Procedure）の2件が報告されています。いずれも悪用が確認されていますが、攻撃者や悪用の範囲についての公式な情報は明らかにされておらず、不明な点が残っています。
- AI支援による脆弱性発見は本当に有効なのか？
- Mozillaが5月にAIツールMythosで271件を発見し、誤検知がほぼなかったと報告している一方、費用や誤検知の多さを指摘する批判もあります。有効性の評価は分かれており、長期的な結果を待つ必要があります。
用語解説
- ZDI
- ゼロデイ脆弱性の公表と研究を支援するプログラム。脆弱性情報の買い取りや詳細分析を行う。
- ゼロデイ
- 開発者側がまだ修正プログラムを用意していない瞬間に悪用される脆弱性。
- ワーム化可能
- ユーザーの操作なしに悪用され、ネットワーク経由でほかのマシンに自動的に広がる性質を持つ脆弱性。
- LLM
- 大規模言語モデル。AI支援の脆弱性解析ではコードを読み取り、バグの疑いを指摘するために使われる。
- CVSS
- 共通脆弱性評価システム。脆弱性の深刻度を0〜10の数値で表し、9.8は非常に重大な水準。
出典
Why this month's Microsoft patch release is a doozy
AI導入も顧問も、お任せください
何から手をつけるか、どこまでAIに任せるか。自社の業務に合わせて整理し、導入から運用まで伴走します。相談だけでも構いません。
AI導入について相談する