Microsoft 2026-10 月例アップデート：3 件のゼロデイを含む 1,411 件の脆弱性に対応（SecNews 10/16配信済み）

Microsoft October 2026 Patch Tuesday fixes 1,411 flaws, 3 zero-days

2026/10/13 BleepingComputer — Microsoft は 2026年10月13日に、月例セキュリティ更新プログラム Patch Tuesday を公開し、過去最多となる 1,411 件の脆弱性に対処した。この中には、実環境で悪用されているゼロデイ脆弱性 1 件と、一般公開済みのゼロデイ脆弱性 2 件が含まれている。今回の Patch Tuesday では、深刻度 Critical に分類される脆弱性 70 件が修正された。その内訳は、リモート・コード実行が 57 件、権限昇格が 11 件、なりすましが 2 件となっている。

脆弱性の種類ごとのおおよその件数は以下のとおりである。

  • 677件：権限昇格
  • 40件：セキュリティ機能のバイパス
  • 317件：リモート・コード実行
  • 254件：情報漏えい
  • 73件：サービス拒否 (DoS)
  • 28件：なりすまし

BleepingComputer は、Patch Tuesday のセキュリティ更新プログラムを報じる際に、Patch Tuesday 当日に Microsoft が公開した脆弱性のみを集計対象としている。

そのため、今回の 1,411 件には、10月初旬に修正された 348 件の脆弱性は含まれていない。具体的には、Azure API Center／Azure App Service／Azure Event Grid／Azure SRE Agent／Mariner／Microsoft Bookings／Microsoft Dataverse／Microsoft Exchange Server／Microsoft Partner Center などの脆弱性が対象となる。

今回の Patch Tuesday は、Microsoft にとって過去最多の脆弱性の修正件数を記録するものだ。

Microsoft は、製品に存在するセキュリティ上の脆弱性を発見し、修正するために、人工知能 (AI) を活用するプラットフォームの利用を継続している。

また Microsoft は、Windows 11 バージョン 24H2 の Home／Pro エディション、および Windows 10 Enterprise LTSB 2016 のサポートが終了したことも発表した。

Microsoft は、「本日、2026年10月13日をもって、Windows 11 バージョン 24H2 の Home／Pro と Windows 10 Enterprise LTSB 2016 の更新プログラムの提供が終了した。2026年10月の月例セキュリティ更新プログラムが、これらのエディションに提供される最後の更新プログラムとなる」と説明している。

10月初旬に Microsoft は、Windows 11 23H2 の Enterprise／Education／IoT Enterprise エディションを利用している組織に対して、新しいバージョンへのアップグレードを呼びかけていた。これらのエディションに対して、翌月からセキュリティ更新プログラムが提供されなくなるためである。

今回公開されたセキュリティ以外の更新内容については、Windows 11 の累積更新プログラム KB5127648／KB5126653 および Windows 10 の拡張セキュリティ更新プログラム KB5126657に関する記事で確認できる。

Microsoft が 2件のゼロデイ脆弱性を修正

2026年10月の Patch Tuesday では、実環境で悪用されているゼロデイ脆弱性 1 件と、一般公開済みのゼロデイ脆弱性 2 件が修正された。

Microsoft のゼロデイ脆弱性に関する定義では、公式の修正プログラムが提供されていない段階で、一般公開されている欠陥および、実環境で悪用されている欠陥が対象となる。今回修正された、実環境で悪用されているゼロデイ脆弱性は以下のとおりである。

CVE-2026-96951：Windows Shell のセキュリティ機能バイパス

Microsoft は、攻撃者が Mark of the Web (MotW) セキュリティ機能を回避できる、実環境で悪用されているゼロデイ脆弱性を修正した。

Microsoft は、「Windows Shell において、コマンドで使用される特殊な要素が適切に無害化されない問題 (コマンド・インジェクション)により、権限のない攻撃者がネットワーク経由でセキュリティ機能を回避できる」と説明している。

ただし、この脆弱性に対する悪用の手法や、脆弱性の報告者については、詳細が明らかにされていない。

その一方で、一般公開済みのゼロデイ脆弱性は以下の 2 件である。

CVE-2026-108398：.NET Framework のセキュリティ機能バイパス

Microsoft は、未許可のアプリケーションの実行に悪用される可能性がある、.NET Framework のセキュリティ機能バイパスの脆弱性を修正した。

Microsoft は、「.NET Framework における信頼できない検索パスの問題により、認証された攻撃者がローカル環境でセキュリティ機能を回避できる」と説明している。

この脆弱性を悪用する攻撃者は、Windows Defender Application Control (WDAC) による制御を回避し、許可されていないアプリケーションを実行する可能性がある。

Microsoft は攻撃手法について、「認証済みの攻撃者は、特別に細工された .NET アセンブリを影響を受けるシステムに配置し、保護されたプロセスによる読み込みを想定する、登録を行う可能性がある。悪用に成功した場合、Windows Defender Application Control の制限が回避され、保護されたプロセス内でのコード実行に至るが、ユーザー操作は不要である」と説明している。

この脆弱性は、Google Project Zero の James Forshaw により発見された。

CVE-2026-92707：MessagePack-CSharp のサービス拒否

Microsoft は、MessagePack-CSharp に存在するサービス拒否 (DoS) の脆弱性を修正した。

Microsoft は、「.NET の連続的なメモリ割り当てに対する、不適切な制御を突く権限のない攻撃者が、ネットワーク経由でサービス拒否を引き起こす可能性がある」と説明している。

Microsoft は、この脆弱性の報告者について、明らかにしていない。

他の企業が公開した最近のセキュリティ・アップデート

2026年10月に、セキュリティ・アップデートやアドバイザリを公開しているベンダーは以下のとおりである。

新たな “リスクコホート” でセキュリティ更新の優先順位付けを支援

今月の Patch Tuesday では、過去最多となる脆弱性が修正された。

これを受けて Microsoft は、関連する脆弱性を “リスクコホート (risk cohorts)” と呼ばれるグループに分類し、セキュリティ更新プログラムの適用優先順位における、ユーザー組織による判断を支援する新たな手法を導入した。

2026年10月の Patch Tuesday におけるセキュリティ更新については、脆弱性の一覧も参照してほしい。

Microsoft の月例セキュリティ更新 Patch Tuesday における大量の欠陥修復について解説する記事です。製品内の検証不足や開発プロセスの問題に伴い、システム非正規操作／アクセス制限迂回／稼働停止といった不具合が生じる危険性があります。対象となる CVE は CVE-2026-96951／CVE-2026-108398／CVE-2026-92707 です。対象となる製品は Windows 11／.NET Framework／MessagePack-CSharp です。対応策として更新プログラムの早急な適用／優先度に応じた段階的展開／古い動作環境のアップグレードが求められます。