セキュリティ · 2026年10月17日
マイクロソフト、過去最多の1413件の脆弱性を修正、実在の攻撃対象も
マイクロソフトは2026年10月14日、1413件の脆弱性に対する修正プログラムを公開し、同社の月例パッチリリースにおける過去最高記録を更新した。この中には、すでに実在の攻撃で悪用されているとされる脆弱性も含まれている。
修正された脆弱性の内訳は、Windowsが1102件、Officeが134件、開発者向けツールが61件、SharePoint Serverが36件、SQL Serverが22件となっている。種類別では、権限昇格に関連する脆弱性が670件以上、リモートコード実行が300件以上、情報漏洩が250件以上を占める。深刻度がクリティカルと評価された脆弱性は70件を超えた。
特に注目されるCVE-2026-96951は、マルウェアのWebからのマーク防御を回避できる可能性がある。攻撃者は、ユーザーがリンクをクリックしたり悪意のある添付ファイルをダウンロードしたりするよう誘導することで、この脆弱性を悪用できる。米国のサイバーセキュリティ・インフラセキュリティ局は、この脆弱性を既知の悪用脆弱性カタログに追加し、連邦機関には2026年10月16日までに修正を適用するよう求めている。
また、CVE-2026-108398は、Windows Defenderアプリケーション制御の強制を回避し、無許可のアプリケーションを実行できる可能性がある。認証済み攻撃者が特別に作成された.NETアセンブリを配置することで、保護プロセス内でコードを実行できる。ユーザーの操作は不要とされている。
さらに、CVE-2026-92707は、公開されていることが確認された2番目の脆弱性である。マイクロソフトは、関連する脆弱性をグループ化して優先順位付けを支援する新しい手法も導入した。この手法は、顧客が評価を必要とするCVEのグループをリスクコホートと呼ぶ。