米マイクロソフト、過去最多1,413件の脆弱性を修正　悪用確認のWindows Shell欠陥などに対処

要点

• 米マイクロソフトは2026年10月の月例更新で、過去最多となる合計1,413件の脆弱性に対する修正パッチを公開した。

• 修正対象のうちWindows Shellの欠陥「CVE-2026-96951」は実際の悪用が確認されており、米CISAも連邦機関へ迅速な適用を命じた。

• 公開時点で公知だった.NET Frameworkの欠陥や、RAW画像拡張機能の深刻な不具合なども合わせて修正された。

• 脆弱性急増の背景にはAIによるバグ探索の加速があり、専門家は総件数ではなく悪用可能性に応じた優先対応を求めている。

• 米マイクロソフトは2026年10月13日（現地時間）、同社として過去最多となる合計1,413件の脆弱性に対する修正パッチを公開した。修正対象にはすでに実際の攻撃で悪用が確認されているWindows Shellの欠陥や、公開時点で公知となっていた.NET Frameworkの不具合が含まれている。米サイバーセキュリティ・インフラセキュリティ庁（CISA）は悪用された脆弱性を警戒リストに加え、連邦機関に対して早期の修正適用を義務付けた。

過去最多となった脆弱性の規模と内訳

今回の月例セキュリティ更新プログラムでは、過去の記録を大幅に更新する1,413件の脆弱性が対象となった。製品別の内訳はWindows関連が1,102件と大半を占め、Officeが134件、開発ツール（Developer Tools）が61件、SharePoint Serverが36件、SQL Serverが22件となっている。

攻撃の種類別では、管理者権限などを不正に取得する特権昇格の欠陥が670件以上と最多を占めた。次いで、外部から不正なプログラムを動かすリモートコード実行が300件以上、情報開示が250件と続く。また、同社の深刻度評価において最も危険度が高い「緊急（Critical）」に分類された脆弱性は70件以上にのぼる。

悪用が確認されたWindows Shellの脆弱性

今回の更新で特に警戒されているのが、Windowsの基本操作やファイル管理を担うWindows Shellの欠陥「CVE-2026-96951」（CVSSスコア8.8）である。CVSSスコアは脆弱性の深刻度を0から10の数値で示す共通指標だ。

未認証の攻撃者がネットワーク経由でセキュリティ機能を回避できるコマンドインジェクションの脆弱性で、悪用されるとダウンロードファイルへの警告機能「Mark of the Web（MOTW）」をすり抜ける恐れがある。攻撃には細工したファイルを送り、リンクを開かせるなどの誘導が必要とされる。

攻撃の主体や標的などの詳細は不明だが、すでに実際の悪用が確認されている。米CISAは本件を既知の悪用された脆弱性カタログに追加し、連邦機関へ2026年10月16日までの修正適用を命じた。報告者には富士通のRiku Bamba氏やYuya Chudo氏、AnthropicのBenoit Sevens氏らが名を連ねている。

公知の欠陥とサードパーティ拡張の修正

パッチ公開時点で情報が公知だった.NET Frameworkの欠陥「CVE-2026-108398」（CVSSスコア8.8）も修正された。認証済みの攻撃者が細工したアセンブリを配置することで、安全なアプリのみ動作させる機能「Windows Defender Application Control（WDAC）」を回避し、ユーザー操作なしにコードを実行できる。Action1のMike Walters氏は、侵入後の攻撃手法として極めて危険であり、システムの完全性侵害や機密漏洩を招くと警告している。報告者はGoogle Project ZeroのJames Forshaw氏である。

また、ライブラリMessagePack-CSharpのサービス拒否（DoS）脆弱性「CVE-2026-92707」（CVSSスコア5.3）も公知の欠陥として修正された。さらにサードパーティ関連では、Raw Image Extensionの欠陥「CVE-2026-21413」（CVSSスコア9.8）が対処され、RAW画像のサムネイル生成時に遠隔コード実行が生じる危険が指摘されている。

AIによるバグ検出の加速と優先順位の課題

記録的な修正件数の背景について、Zero Day Initiative（ZDI）のDustin Childs氏はAIの普及を要因に挙げる。数百件規模の修正は以前は異例だったが今や日常の基準になりつつあり、双方がAIを活用することで修正と発見の双方が加速しているという。

ただしChilds氏は、AIがバグを生み出しているわけではなく、発見までの時間が短縮されたにすぎないと強調した。その上で、発見ペースが悪用を上回る現状では、単なる総件数ではなく実際の悪用可能性や公知情報に基づき優先順位をつけて対処することが重要だと指摘している。

補足

マイクロソフトは毎月第2火曜日に定例セキュリティ更新を実施しており、管理者には悪用リスクの高いパッチから順次適用することが推奨されている。