Microsoft 2026-07 月例アップデート：Critical 3 件を含む 570 件の脆弱性に対応

Microsoft July 2026 Patch Tuesday fixes massive 570 flaws, 3 zero-days

2026/07/14 BleepingComputer — 今日は Microsoft の July 2026 Patch Tuesday の日であり、攻撃で悪用された 2 件のゼロデイ脆弱性と、公開済みの 1 件を含む、570 件の欠陥に対するセキュリティ更新が提供された。今月の Patch Tuesday は、59 件の Critical 脆弱性に対処している。その内訳は、48 件がリモート・コード実行／9 件が権限昇格／1 件がセキュリティ・バイパス／1 件がスプーフィングとなっている。

各脆弱性カテゴリにおける、バグ数は以下のとおりである。

  • 254 件：権限昇格の脆弱性
  • 17 件：セキュリティ・バイパスの脆弱性
  • 145 件：リモート・コード実行の脆弱性
  • 102 件：情報漏えいの脆弱性
  • 35 件：サービス拒否の脆弱性
  • 16 件：スプーフィングの脆弱性

BleepingComputer が Patch Tuesday のセキュリティ更新について報じる際には、その日に Microsoft からリリースされたものだけをカウントしている。

したがって、この欠陥数には、今月初めに Microsoft が修正した Mariner／Azure OpenAI／Azure Synapse／M365 Copilot／Microsoft Exchange Online／Microsoft Edge for Android／Microsoft Entra Provisioning Service の欠陥は含まれていない。

また、2026年7月に Google が修正した、Microsoft Edge／Chromium の大規模な 468 件の欠陥があるが、今回の Patch Tuesday から除外されている。また、6 月に Google は Chromium の360 件の欠陥を修正し、その後に Microsoft Edge へ移植されている。

先週に Microsoft は、Windows コードベース全体において、攻撃者に悪用される前のセキュリティ欠陥を特定するために、AI を活用する脆弱性発見システムの使用を開始した。それにより、Patch Tuesday のセキュリティ更新が増加すると警告していた。

今回のリリースにおけるセキュリティ以外の更新については、Windows 11 KB5101650 および KB5099414 累積更新に関する専用記事を確認できる。

Microsoft が 3 件のゼロデイを修正

今月の Patch Tuesday では、3 件のゼロデイ脆弱性が修正されているが、そのうち 2 件は攻撃で悪用され、1 件は公開済みのものだ。

Microsoft のゼロデイ定義は、公式の修正が提供されていない時点で情報が公開された脆弱性、または、アクティブに悪用されている脆弱性を指す。

今月の Patch Tuesday で対処された、アクティブに悪用された 2 件のゼロデイは以下のとおりである。

CVE-2026-56155：Active Directory Federation Services の権限昇格脆弱性

Microsoft は、Active Directory Federation Services でアクティブに悪用され、管理者権限を付与してしまう脆弱性を修正した。Microsoft は、「Active Directory Federation Services (AD FS) におけるアクセス制御の粒度不足により、認可された攻撃者がローカルで権限を昇格できる」と警告している。

Microsoft は、この欠陥について、Microsoft のインシデント対応部門である Microsoft Detection and Response Team (DART) の Jeremy Kingston と Scott Clark の功績を認めている。それが示すのは、アクティブな攻撃の調査中に、この脆弱性が発見された可能性が高いことだ。

なお Microsoft は、実環境での脆弱性の悪用方法については、詳細を開示していない。

CVE-2026-56164：Microsoft SharePoint Server の権限昇格脆弱性

Microsoft は、SharePoint Server でアクティブに悪用されている欠陥を修正した。この脆弱性は、リモート攻撃者に対して権限昇格を許すものである。 Microsoft は、「Office SharePoint における重要機能の認証欠如により、認可されていない攻撃者に対して、ネットワーク経由での権限昇格が許されてしまう」と説明している。

Microsoft によると、サーバ上で Antimalware Scan Interface (AMSI) を有効化し、Request Body Scan モードを Full に設定することで、この脆弱性を緩和できる可能性があるという。Microsoft は、この欠陥について、Mandiant Incident Response の Jayson Frost、Google Cloud の Genwei Jiang、FLARE OTF、および匿名の研究者の功績を認めている。

なお Microsoft は、実環境での脆弱性の悪用方法については、詳細を開示していない。

修正された公開済みゼロデイは以下のとおりである。

CVE-2026-50661：Windows BitLocker のセキュリティ・バイパス脆弱性

Microsoft は、暗号化されたデータへのアクセスを、脅威アクターに許す可能性のある、公開済みの Windows BitLocker バイパスの欠陥を修正した。

Microsoft は、「攻撃に成功した脅威アクターは、システム・ストレージ・デバイス上の BitLocker Device Encryption 機能をバイパスできる可能性がある。標的に物理アクセスできる攻撃者は、この脆弱性を悪用して、暗号化されたデータへアクセスできる」と説明している。

Microsoft は、この欠陥を匿名の研究者に帰属させた。

他社からの最近の更新

2026 年 5 月にアップデート／アドバイザリをリリースした他のベンダーには、以下のとおりである。

  • Adobe：ColdFusion と Campaign における 7 件の深刻な脆弱性を修正した。その中には、攻撃で悪用された ColdFusion の欠陥 CVE-2026-48282 が含まれる。
  • BeyondTrust：Remote Support (RS) および Privileged Remote Access (PRA) ソフトウェアに存在する、2 件の深刻な認証バイパスの欠陥を修正した。
  • Cisco：Identity Services Engine／Catalyst Center／ClamAV などの製品に対するセキュリティ更新をリリースした。さらに同社は、2026年6 月に修正された CVE-2026-20230 が、攻撃でアクティブに悪用されていたことも確認した。
  • Fortinet：FortiOS／FortiSandbox／FortiPam／FortiSandbox／FortiSASE／FortiProxy に存在する、多数の欠陥に対するセキュリティ更新をリリースした。
  • Gitea：Gitea Docker イメージに存在する、重大な認証バイパスの脆弱性に対するセキュリティ更新をリリースした。
  • Ivanti：Ivanti Xtraction に存在する、2 件の脆弱性に対するセキュリティ更新をリリースした。
  • Linux：Januscape 脆弱性に対するパッチがリリースされた。この欠陥を悪用する攻撃者は、仮想マシンから脱出し、ホスト上で任意のコードを実行できる。
  • NVIDIA：NVIDIA Triton Inference Server および NVIDIA TensorRT-LLM に対するセキュリティ更新をリリースした。
  • Progress Software：高深刻度のパストラバーサル・ゼロデイ脆弱性に対するセキュリティ更新をリリースした。この脆弱性により、ShareFile Storage Zone Controllers が緊急停止された。
  • Ubiquiti：UniFi OS の脆弱性に対するセキュリティ更新をリリースした。その中には、コマンド・インジェクション攻撃で悪用可能な高深刻度の欠陥が含まれる。
  • U-Boot：ステルス性の高いファームウェア攻撃を可能にする、新たな欠陥を修正するパッチを導入した。
  • SAP：7 月のセキュリティ更新として、NetWeaver／Commerce Cloud／AppRouter に存在する、4 件の重大な欠陥に対する修正をリリースした。
  • VMware：VMware Avi Load Balancer に対するセキュリティ更新をリリースした。この更新には、認証バイパスとリモート・コード実行の欠陥が含まれる。
  • Zimbra：Zimbra Collaboration スイートの Classic Web Client に影響する、深刻な XSS 脆弱性に対するセキュリティ更新をリリースした。

2026年7月 Patch Tuesday セキュリティ更新における、脆弱性の一覧も参照してほしい。

訳者後書：Microsoft の Windows や Office などの製品群を対象に、今月も大規模な修正プログラムが提供されました。開発段階で AI を活用した高度な脆弱性検出システムが本格導入された背景があり、発見されるセキュリティ上の問題が急増しています。個別の脆弱性としては、Active Directory Federation Services に存在する管理者権限を奪われる CVE-2026-56155 や、Microsoft SharePoint Server における遠隔からの特権奪取を招く CVE-2026-56164 など、実環境で悪用済みの重大な問題が発生しています。対応策として、システムへの影響を事前にテストした上で、提供された累積更新プログラムを速やかに適用することが推奨されます。