Microsoft September 2026 Patch Tuesday fixes 966 flaws, 2 zero-days
2026/09/08 BleepingComputer — Microsoft が公表したのは、2026年9月の Patch Tuesday で修正された過去最多の 966 件の脆弱性であり、実環境で積極的に悪用されている 2 件のゼロデイ脆弱性も含まれている。今回の Patch Tuesday では、「Critical」と評価された 105 件の脆弱性に対処しており、その内訳は、リモート・コード実行 (RCE) の脆弱性が 81 件、権限昇格が 21 件、情報漏えいが 2 件、セキュリティ機能のバイパスが 1 件である。
脆弱性カテゴリ別のおおよその件数は以下のとおりである。
- 438 件：権限昇格の脆弱性
- 19 件：セキュリティ機能のバイパスの脆弱性
- 258 件：リモート・コード実行 (RCE) の脆弱性
- 173 件：情報漏えいの脆弱性
- 56 件：サービス拒否 (DoS) の脆弱性
- 16 件：スプーフィングの脆弱性
BleepingComputer は、Patch Tuesday のセキュリティ・アップデートについて報告する際、Microsoft が Patch Tuesday 当日に公開した脆弱性のみを集計している。そのため、今回の合計件数には 2026年9月前半に修正された 204 件の脆弱性は含まれていない。これらには、Azure AI Language／Azure Cosmos DB／Copilot Studio／Entra ID／Mariner／Microsoft Azure Active Directory B2C／Microsoft Discovery Studio／Microsoft Edge (Chromium-based)／Microsoft Fabric／Power Automate の脆弱性が含まれる。
今回の Patch Tuesday は Microsoft 史上最大規模のセキュリティ・アップデートであり、7月に修正された 570 件のセキュリティ脆弱性／8月に修正された 400 件など、最近の大規模なリリースと比較しても大幅な増加を示している。この増加の背景には、Microsoft が AI を活用した脆弱性発見システムの使用を開始し、ソフトウェア製品全体から多くのセキュリティ上の欠陥を特定していることがある。
Microsoft が 2 件のゼロデイ脆弱性を修正
今月の Patch Tuesday では、実環境で積極的に悪用されている 2 件のゼロデイ脆弱性が修正された。Microsoft のゼロデイの定義では、公式な修正プログラムが提供されていない状態で公に情報が開示されている脆弱性と、実環境で積極的に悪用されている脆弱性が対象とされており、2026年9月の Patch Tuesday で対処された対象は以下の 2 件である。
CVE-2026-81963 – Windows Update Stack の権限昇格の脆弱性
Windows Update Stack の権限昇格の脆弱性 CVE-2026-81963 は、実環境で積極的に悪用されており、攻撃者はこの脆弱性を悪用して SYSTEM 権限を取得する可能性がある。
Microsoft は、「Windows Update Stack では、ファイルへアクセスする前のリンク解決 (link following) が不適切であるため、権限を持つ攻撃者がローカルで権限を昇格できる」と警告している。この脆弱性を発見したのは Romain Deperne と Microsoft Threat Intelligence Centre (MSTIC) である。なお、この脆弱性が攻撃でどのように悪用されたのか、詳細は公開されていない。
CVE-2026-85880 – Windows ALPC の権限昇格の脆弱性
Windows Advanced Local Procedure Call (ALPC) の権限昇格の脆弱性 CVE-2026-85880 は、SYSTEM 権限を取得する攻撃で悪用されていると Microsoft が指摘しており、「Windows ALPC におけるヒープバッファ・オーバーフローにより、権限を持つ攻撃者がローカルで権限を昇格できる」と説明している。
この脆弱性が攻撃でどのように悪用されたのか、Microsoft は詳細を公開していない。発見者は Volexity の Mark Kelly、Proofpoint の David Galazin と Jeremy Hedges である。
他社による最近のアップデート
2026年9月にセキュリティ・アップデート／アドバイザリを公開した他のベンダーは以下のとおりである。
- Adobe：StyleSmuggler と呼ばれる高深刻度の Adobe Commerce のゼロデイ脆弱性に対するセキュリティ・アップデートをリリースした。この脆弱性は、Web サイトにバックドアを設置する攻撃で悪用されていた。
- Cisco：Cisco IOS XR／Cisco Nexus 9000 Series Switches／Cisco Phones など多数の製品に対するセキュリティ・アップデートをリリースした。
- ConnectWise：今週後半に修正する予定の ScreenConnect Remote Access の脆弱性について緩和策を公開した。
- CrowdStrike：匿名の研究者が同社ソフトウェアのゼロデイ脆弱性を公開したことを受け、Microsoft Office File Suspicious Macro Removal の Windows ポリシー設定を無効化するよう、顧客に警告した。
- Google：V8 Engine に存在し、実環境で積極的に悪用されている「High」と評価されたゼロデイ脆弱性を含む、11 件の脆弱性に対するChrome のセキュリティ・アップデートをリリースした。
- Hewlett Packard Enterprise (HPE)：ArubaOS-CX Network Operating System に存在する「Critical」と評価されたリモート・コード実行 (RCE) の脆弱性を修正した。
- MikroTik：SSH 経由でデバイスを乗っ取る攻撃で積極的に悪用されている 2 件の脆弱性に対するセキュリティ・アップデートをリリースした。
- N-able：N-central Remote Monitoring and Management (RMM) Platform に影響を及ぼす、深刻度の高いリモート・コード実行 (RCE) の脆弱性に対する緊急 Hotfix をリリースした。この脆弱性は、攻撃で悪用されている可能性があるとみられている。
- Plex：今週、複数の脆弱性に対するセキュリティ・アップデートをリリースし、詳細を明らかにしないまま、セキュリティ・アップデートを可能な限り早くインストールするよう顧客に促している。
- SAP：SAP Kernel Code に存在する高深刻度の OVERPASS 脆弱性を含む、多数の製品に対する9月のセキュリティ・アップデートをリリースした。
- SonicWall：RCE 攻撃で連鎖的に悪用されている 2 件の SMA1000 のゼロデイ脆弱性に対するセキュリティ・アップデートをリリースした。
2026年9月の Patch Tuesday におけるセキュリティ更新については、脆弱性の一覧も参照してほしい。
Microsoft の全般的なソフトウェア製品群において、大規模な脆弱性の修正が行われました。今回の更新では、実環境における攻撃の発生／SYSTEM 権限の奪取／リモートからのコード実行など、深刻な侵害の恐れがある問題に対応しています。特に Windows Update Stack に存在する CVE-2026-81963 や Windows ALPC に存在する CVE-2026-85880 を含む多数の欠陥が確認されており、システムの完全な乗っ取りや機密情報の漏えいに繋がるリスクが存在します。安全な運用状態を維持するために、最新のセキュリティ更新プログラムを迅速に適用することが強く求められます。
IoT OT Security News 
You must be logged in to post a comment.