マイクロソフト、過去最多974件の脆弱性を修正——悪用確認済みのゼロデイ2件を含む9月度セキュリティ更新を公開

要点

• 米マイクロソフトが2026年9月の月例セキュリティ更新を公開し、過去最多となる974件の脆弱性に対処した。

• 修正対象には、修正前に実際のサイバー攻撃で悪用された2件の「ゼロデイ脆弱性」が含まれている。

• 深刻度「緊急」の脆弱性が110件を超え、特権昇格、リモートコード実行、情報開示の3種類が全体の約90%を占めた。

• 米CISAは悪用が確認された2件の脆弱性をカタログに追加し、連邦機関に対して9月22日までの修正適用を義務付けた。

• 米マイクロソフトは2026年9月9日、同社ソフトウェア群を対象とした9月度の月例セキュリティ更新プログラムを公開した。今回の更新では同社史上最多となる974件の脆弱性が修正されており、その中にはすでに悪用が確認されている2件のゼロデイ脆弱性が含まれていることが明らかになった。他社製ソフトウェアに関連する25件のCVE（共通脆弱性識別子）修正を合わせると、今月の対応総数は999件に達している。

過去最多の修正規模と脆弱性の内訳

今回の月例セキュリティ更新（通称「パッチチューズデー」）は、単月の修正件数として過去最多の記録を更新した。同社の月例パッチにおける修正件数は、2026年5月の161件、6月の220件、7月の663件、8月の457件と推移していたが、9月はこれらを大きく上回る規模となった。

対象となった974件の製品別内訳をみると、Windows関連が723件と全体の大部分を占めており、OfficeおよびOffice 2016が111件、データベース管理システムのSQL関連が62件、開発者向けツール（Developer Tools）が22件と続いている。このうち、深刻度評価で最も高い「緊急（Critical）」に分類された脆弱性は110件以上にのぼる。

セキュリティ企業CrowdStrikeの分析によると、今月修正された脆弱性のうち、不正に高い権限を奪う「特権昇格」、遠隔から任意の命令を実行させる「リモートコード実行」、機密データを読み取られる「情報開示」の3つのカテゴリが全体の約90%を占めているという。

脆弱性管理プラットフォームを手がけるAction1の脆弱性調査ディレクターであるジャック・バイザー氏は、「この規模になると、単にパッチ一覧に目を通すだけでなく、何に最初に対処すべきかを把握することが課題になる。数百件ものアップデートが一度に届く中、ITおよびセキュリティチームは、即時対応が必要な脆弱性と、通常の配布サイクルで適用できる脆弱性を迅速に見分ける必要がある」と述べている。

悪用が確認されている2件のゼロデイ脆弱性

今回の更新で最も警戒されているのが、修正前に実際の攻撃で悪用されたことが確認されている2件のゼロデイ脆弱性（修正プログラム提供前に攻撃に利用された欠陥）である。いずれも共通脆弱性評価システム（CVSS）の深刻度スコアは7.8と評価されている。

1件目の「CVE-2026-85880」は、Windowsの内部プロセス間通信機能である「ALPC（Advanced Local Procedure Call）」に存在する、ヒープベースのバッファオーバーフローの脆弱性だ。認証済みの攻撃者がローカル環境で悪用することで、システム上で最上位の権限である「SYSTEM権限」を取得できる。マイクロソフトのアドバイザリによると、権限の低いアプリ実行環境（AppContainer）でコードを実行可能な攻撃者が、この脆弱性を利用してサンドボックスを脱出し、追加のユーザー操作を必要とせずに特権を昇格できるという。この脆弱性は、セキュリティ企業のVolexityおよびProofpointによって報告された。脆弱性管理プラットフォームを提供するTenableによると、ALPC関連の脆弱性がゼロデイ攻撃に悪用されたのは、2023年1月に修正された「CVE-2023-21674」以来2例目となる。

2件目の「CVE-2026-81963」は、Windowsのアップデート処理を制御する「Windows Update Stack」における不適切なリンク解決の脆弱性である。こちらも認証済みの攻撃者がローカルで特権を昇格させ、SYSTEM権限を取得できる危険性がある。Rapid7のリードソフトウェアエンジニアであるアダム・バーネット氏は、サポート対象の全Windowsバージョンに修正パッチが提供されているとし、「Windows Update Stackが悪意のあるリンクを辿り、攻撃者が制御する偽のファイルでシステムコンポーネントを上書きすることを防ぐため、制御が強化されたとみられる」と説明している。この問題はAirbus Helicoptersのオフェンシブセキュリティリサーチャーであるロマン・デペルヌ氏と、マイクロソフトの脅威インテリジェンスセンター（MSTIC）によって報告された。Tenableによれば、Windows Update Stackにおける特権昇格の脆弱性は2022年以降7件あったが、実際にゼロデイ攻撃として悪用されたのは今回が初めてだという。

攻撃検知と米政府機関による緊急対応

マイクロソフトは、これら2件の脆弱性を標的としたゼロデイ悪用の試みを検知したとしているが、攻撃の背後にいる攻撃者組織、攻撃の規模、実際に侵入や被害を受けた対象が存在するかどうかなどの具体的な情報は開示していない。

この発表を受け、米国土安全保障省サイバーセキュリティ・インフラセキュリティ庁（CISA）は、両脆弱性を「悪用が確認された脆弱性（KEV）」カタログに追加した。米連邦文民行政府（FCEB）の各機関に対し、2026年9月22日までに修正プログラムを適用するよう義務付けている。

その他の主要な高深刻度脆弱性

ゼロデイ脆弱性のほかにも、各主要製品において高い深刻度を持つ脆弱性が複数修正されている。

メールサーバーソフトウェアのMicrosoft Exchange Serverでは、メモリ解放後の不正処理に起因する二重解放の脆弱性「CVE-2026-55007」（CVSSスコア: 8.1）が修正された。認証されていない攻撃者がネットワーク経由で任意のコードを実行できる恐れがある。また、多要素認証アプリのMicrosoft Authenticatorでは、不適切な認証処理により未認証の攻撃者がローカルで特権昇格を行える「CVE-2026-80097」（CVSSスコア: 8.6）に対処した。

さらに、コラボレーション基盤のMicrosoft Office SharePointにおいて、認証済み攻撃者がネットワーク経由でコードを実行できる認可欠落の脆弱性「CVE-2026-69465」（CVSSスコア: 8.8）や、データベースのSQL Serverにおいて未認証の攻撃者がネットワーク経由で特権昇格を行えるインジェクションの脆弱性「CVE-2026-65669」（CVSSスコア: 9.6）など、企業インフラに関わる重要コンポーネントの修正も含まれている。