マイクロソフト、過去最多622件の脆弱性を修正する月例更新プログラム公開――悪用中のゼロデイ2件含む

要点

• 米マイクロソフトは2026年7月14日、過去最多となる622件の脆弱性を修正するセキュリティ更新プログラムを公開した。

• すでに実際の攻撃で悪用されている「SharePoint Server」と「AD FS」のゼロデイ脆弱性2件が修正対象に含まれている。

• 物理的アクセスを必要とする「BitLocker」回避や、「SharePoint」の認証バイパスなどの脆弱性も修正された。

• ネットワーク認証で用いられる古い暗号化方式「RC4」の段階的廃止が完了し、未対策の環境では認証エラーが発生する可能性がある。

• 米マイクロソフトは2026年7月14日（世界協調時）、7月の月例セキュリティ更新プログラムを公開した。今回の更新では、同社自身のセキュリティ更新ガイドがカウントしたCVE（共通脆弱性識別子）ベースで過去最多となる622件の脆弱性が修正されたという。これは過去最多だった2026年6月の約200件の3倍を超える規模であり、すでに実際の攻撃で悪用されている2件のゼロデイ脆弱性（修正プログラム公開前に悪用が確認された脆弱性）が含まれている。

悪用が確認されている2つのゼロデイ脆弱性

今回最優先で対処すべきとされる2つのゼロデイ脆弱性は、いずれもインシデント対応者によって発見された、認証基盤や情報共有インフラにおける権限昇格（低い権限のユーザーが上位権限を取得すること）に関するものだ。

1つ目の「CVE-2026-56164」は、オンプレミス（自社でサーバーを構築し運用する形態）の「SharePoint Server」に存在する。認証されていない攻撃者がネットワーク経由で権限を昇格させることが可能で、ユーザーによる操作も不要だという。Mandiantのインシデント対応者やGoogleのFLAREチームが発見した。また、同日には「SharePoint Server 2016」および「2019」の延長サポートが終了した。これらのバージョンには、サポート終了後も有償でセキュリティ更新を受けられるプログラム「ESU（拡張セキュリティ更新プログラム）」が提供されないため、移行や早急な対策が必要とされる。なお、サーバー上で「AMSI（アプリケーションが導入済みのウイルス対策ソフトと連携してスキャンを行う仕組み）」のフルモードを有効にすることで、攻撃の影響を軽減できると説明されている。

2つ目の「CVE-2026-56155」は、マイクロソフトのインシデント対応部門「DART」が発見した、「Active Directory Federation Services（AD FS）」の脆弱性である。AD FSとは、異なるシステム間でユーザー認証情報を共有・連携するための仕組みだ。この脆弱性は、認証済みの攻撃者が弱いアクセス制御を突くことで、ローカルから特権を昇格できるというもの。AD FSはシステム全体のログインに必要なトークンの署名処理を行う重要な役割を担っているため、ローカル経由の脆弱性であっても警戒が必要となる。

いずれも現時点でアメリカのサイバーセキュリティ・インフラセキュリティ庁（CISA）の悪用脆弱性カタログ「KEV」には登録されていないが、マイクロソフト自身がすでに悪用中と評価しており、登録を待たずに対策を講じる必要がある。

その他の脆弱性と攻撃チェーンの遮断

その他、公開済みだが攻撃は未確認のBitLocker回避の脆弱性「CVE-2026-50661」が修正された。物理的なアクセスが必要なためリモートからの緊急性は低いとされている。

また、情報セキュリティ企業Rapid7 Labsが開発した、SharePointのJWT認証バイパスの脆弱性「CVE-2026-55040」も修正された。JWT（JSON Web Token）とは、情報を安全にやり取りするための暗号化されたデータ形式だ。深刻度の評価は分かれており、マイクロソフトらは「中（5.3）」としている一方、ZDIは「緊急（9.1）」と評価している。この脆弱性は、別の未修正のリモートコード実行（RCE：遠隔から任意のプログラムを実行させること）の脆弱性と組み合わせることで攻撃が可能だった。RCE側は8月に修正される予定で、今回の修正でその攻撃チェーンが遮断されることになる。

「RC4暗号化」廃止の完了による影響

今回の更新プログラムは、数年にわたり進められてきた認証プロトコル「Kerberos」における古い暗号化方式「RC4」の廃止プロセスを完了させるものでもある。

今回のアップデートの適用により、回避策であったロールバックスイッチ（設定を元に戻す機能）が削除された。今後は、明示的に許可されたアカウントを除きRC4が利用不可となる。RC4チケットを要求するアカウントは認証に失敗する恐れがあるため、管理者は事前に監査を行い、対象アカウントのパスワードを変更（AESキーを生成）するなどの対応が必要とされている。