マイクロソフト 2026年10月のパッチタブリューで1411件の脆弱性を修正、3件のゼロデイを対象にした

2026年10月13日、マイクロソフトはパッチタブリューを実施し、1411件の脆弱性を修正したと発表した。そのうち1件は積極的に悪用され、2件は公開されたゼロデイとして知られている。

このアップデートでは70件の「Critical」脆弱性が対象となり、57件がリモートコード実行、11件が権限昇格、2件が偽装に該当する。

マイクロソフトは、AIプラットフォームを活用して脆弱性の検出と修復を支援していると説明した。

Windows 11 バージョン24H2 Home および Pro、Windows 10 Enterprise LTSB 2016はサポート終了に達した。

同社は、来月からこれらのエディションに対するセキュリティアップデートが提供されなくなると明らかにした。

さらに、Windows 11 23H2 Enterprise、Education、IoT Enterprise エディションのユーザーは、来月にアップグレードを推奨している。

今回のパッチタブリューでは、1件の積極的に悪用されたゼロデイと2件の公開されたゼロデイが対象となった。

CVE-2026-96951はWindowsシェルのセキュリティ機能バイパス脆弱性で、マークオブザウェブ機能を迂回できる。

Microsoftは、不適切な特殊要素の正規化が原因で、ネットワーク経由でセキュリティ機能を迂回できると警告した。

もう1件のゼロデイ、CVE-2026-108398は.NETフレームワークのセキュリティ機能バイパス脆弱性で、認証済み攻撃者が不正なアプリケーションを実行できる。

Microsoftは、この脆弱性がWindows Defender Application Control（WDAC）の制限を迂回し、保護されたプロセス内でコードを実行できると説明した。

もう1件の公開されたゼロデイ、CVE-2026-92707はMessagePack-CSharpのサービス拒否脆弱性で、不適切な順次メモリ割り当てが原因である。

Microsoftは、この脆弱性がネットワーク経由でサービス拒否を引き起こす可能性があると説明した。

新たなリスクコホート機能が導入され、関連する脆弱性をグループ化して優先順位付けを支援する。

15のリスクコホートが発表され、Windowsファイルシステム、ストレージ、バックアップに関わる脆弱性が136件、Officeドキュメントとメールクライアントに関わる脆弱性が135件など、カテゴリ別の数が示されている。

Microsoftは、これらのグループが必ずしも最も危険な脆弱性を示すわけではないと強調し、実際のリスクは悪用されているか、深刻度、組織の利用状況に依ると説明した。

同社は、PDFで脆弱性とリスクコホートの対応表を公開している。

全体として、今回のパッチタブリューは過去最多の脆弱性を修正した記録的なイベントとなっている。