マイクロソフトの10月セキュリティ更新、最大1413件の脆弱性に対応 Windows Shellの悪用も確認
2026年10月16日 11:59
Microsoftは2026年10月13日、WindowsやOfficeなどの月例セキュリティ更新を公開した。Rapid7は対象を1413件、Tenableは1407件のCVEと集計しており、いずれも過去最大規模としている。すでに攻撃で使われているWindows Shellの脆弱性と、Outlookのメール閲覧時に悪用され得る脆弱性が、更新の優先順位を考えるうえで重要だ。
今月は複数のMicrosoft製品がサポート期限も迎えた。管理者は更新プログラムの適用と併せ、利用中の製品やバージョンを確認したい。
■悪用が確認されたWindows Shellの脆弱性
CVE-2026-96951は、Windows Shellのセキュリティ機能を回避する脆弱性で、CVSS基本値は8.8だ。Microsoftは実際の攻撃での悪用を確認している。Rapid7によると、細工されたファイルを利用者が開くか、攻撃者が管理するサイトにアクセスすることが悪用の条件となる。
この問題は、インターネット由来のファイルを識別するMark of the Web（MOTW）の回避に関わる。MOTWは通常、NTFS上のZone.Identifierという情報として記録され、Officeの保護ビューやSmartScreenなどが警告や制限を適用する際の手掛かりになる。Automoxによると、この脆弱性を突くファイルでは、その識別情報に基づく複数の防御が働かなくなる。
Rapid7によると、同じ脆弱性はOutlook.comにも影響し、クラウド側には月例更新より前に修正が適用された。一方、Windows Server 2012 R2には修正が提供されたが、Windows Server 2012には提供されていない。米CISAはCVE-2026-96951を悪用が確認された脆弱性の一覧に加え、対象となる米連邦政府機関の対処期限を10月16日とした。
■Outlookは閲覧ウィンドウ経由の脆弱性に対応
Outlookでは、CVE-2026-70242、CVE-2026-97749、CVE-2026-97016、CVE-2026-88156、CVE-2026-70291の5件のリモートコード実行脆弱性が修正された。CrowdStrikeによると、5件はいずれも深刻度が「Critical」で、CVSS基本値は9.8だ。
Rapid7は、これらの脆弱性で閲覧ウィンドウが攻撃経路になると説明している。細工されたメールがプレビューされることで悪用され得るため、利用者がリンクや添付ファイルをクリックする場合とは異なる対応が求められる。Microsoft 365 Appsなど、対象となるOutlookの更新状況を確認する必要がある。
Rapid7は、過去にもOutlookのメール処理を起点とする脆弱性が攻撃に使われた例として、CVE-2023-23397を挙げている。管理者は端末のWindows更新状況だけでなく、Officeの更新状況も確認したい。
■AIによる発見の拡大と、更新の優先順位
月例更新の件数は2026年に増えている。Tenableの集計では、9月の964件が従来の最多で、10月の1407件がこれを上回った。集計対象や方法によって件数が異なるため、組織が対応を決める際は総数に加え、使っている製品と各脆弱性の悪用状況を確認することが重要だ。
Microsoftは、AIを使ってWindowsのコードをより広く調べ、脆弱性の候補を検証する取り組みを公表している。MicrosoftのTom Gallagher氏も、AIによって発見と対応の速度や規模が変わりつつあると説明した。発見件数の増加を踏まえ、更新を評価する体制にも対応が求められる。
Microsoftは10月、脆弱性を利用環境に応じて検討するための暫定的な「リスクコホート」を示した。例として、Windowsのファイルシステム・ストレージ・バックアップに関する136件、Officeの文書・メールクライアントに関する135件、Windowsの画像・メディア処理に関する131件を挙げている。この分類は、個々のCVEの悪用状況や影響を確認する際の手掛かりとなる。
■Exchange、AD DS、QUIC、.NETにも修正
Exchange Serverでは、CVE-2026-70571とCVE-2026-70279に対応する更新が公開された。前者は細工されたメールを処理する際のリモートコード実行脆弱性で、CVSS基本値は8.1。後者はWebページの処理に関わるなりすましの脆弱性で、CVSS基本値は9.3だ。外部から到達できるExchange環境では、対象バージョンと更新状況を優先して確認したい。
Active DirectoryドメインサービスのCVE-2026-70229は、ドメインコントローラーへのリモートコード実行につながる脆弱性で、CVSS基本値は8.1だ。CrowdStrikeによると、認証されていない攻撃者が細工した通信を送る攻撃経路がある一方、悪用には特定のネットワーク構成などの条件が関わる。
Microsoft QUICのCVE-2026-105016は、CVSS基本値9.8のリモートコード実行脆弱性だ。Microsoftのセキュリティ情報によると、Windows上で対象のQUIC実装を利用する.NETアプリケーションでは、細工されたIPv6のQUICパケットが攻撃経路となる。QUICを使うサービスの管理者は、対象となる実装と公開範囲を確認する必要がある。
.NET FrameworkのCVE-2026-108398は、アプリケーション制御機能を回避する脆弱性として修正された。Rapid7によると、悪用には攻撃者がすでに端末上で操作できる状態が必要で、悪意ある.NETアセンブリを保護対象のプロセスに読み込ませる経路がある。公開済みの情報があるため、該当環境では更新対象として確認したい。
■Windows 10とWindows 11の利用者が確認すること
Windows 10の一般向けサポートは2025年10月14日に終了した。個人向けの拡張セキュリティ更新プログラム（ESU）は、対象となるWindows 10バージョン22H2の端末で、2027年10月12日まで利用できる。Microsoftの日本語案内によると、すでに登録済みの端末では、その日までの継続に追加の手続きは不要だ。
ESUには、PCの設定を同期して追加費用なしで登録する方法、Microsoft Rewardsの1000ポイントを使う方法、一度限りの購入という選択肢がある。購入額の米ドル表示は30ドル（約4740円、1ドル＝158円換算）で、日本では購入時に示される現地通貨の金額と税額を確認する。1つのライセンスで最大10台を登録できる。
対象端末では、［設定］から［更新とセキュリティ］、［Windows Update］へ進むと登録用の案内が表示される。ESUは重要なセキュリティ更新を受け取るための制度で、新機能や一般的な品質改善は含まれない。登録には対象エディション、最新の更新プログラム、管理者権限のあるMicrosoftアカウントなどの条件がある。
Windows 11バージョン24H2のHomeとProは、10月13日に月次更新の提供を終えた。Microsoftは、IT部門が管理していない対象端末にはバージョン25H2への更新を自動配信すると案内している。利用者はWindows Updateで更新の状態を確認できる。EnterpriseとEducationの24H2は、2027年10月12日まで更新が提供される。
■サーバーと業務用製品の期限
Windows 10 Enterprise LTSB 2016も10月13日に通常の更新提供を終えた。Microsoftは、移行に時間が必要な組織向けのESUを案内している。運用中の端末がある場合は、ESUの利用状況と後継環境への移行計画を確認したい。
Windows Server 2012と2012 R2のESUは、10月13日のセキュリティ更新が最後となった。Microsoftによると、3年間のESU期間は同日で終了し、Azure Arc経由のESUライセンスも14日午前0時（UTC）に更新対象としての効力を失った。両製品を運用する組織には、サポート対象のWindows Serverへの移行が必要となる。
Windows Server 2022は10月13日にメインストリームサポートから延長サポートへ移った。Microsoftのライフサイクル情報では、延長サポートの終了日は2031年10月14日で、この期間はセキュリティ更新が続く。
Office 2021、Office LTSC 2021、Skype for Business LTSC 2021は10月13日にサポートを終えた。Office LTSC 2021を利用する組織に対し、MicrosoftはMicrosoft 365 AppsまたはOffice LTSC 2024への移行を案内している。
Exchange Server 2016と2019は、すでに通常のサポートを終えている。Microsoftが設けた第2期ESUは2026年10月末まで有効で、登録組織には10月のセキュリティ更新も提供された。以後の運用を見据え、MicrosoftはExchange Server Subscription Editionへの移行を案内している。
■更新を進める際の優先順位
IT管理者は、まず実際の攻撃で使われているCVE-2026-96951について、対象端末への更新適用を確認したい。次に、Outlookの閲覧ウィンドウに関わる5件と、外部に公開したExchangeやQUICサービス、ドメインコントローラーに関わる更新を、それぞれの利用状況に応じて評価する。
Windows 10の個人利用者はESUへの登録状況を、Windows 11 24H2のHomeとProの利用者は新しいバージョンへの更新状況を確認する。組織ではサポート期限を迎えた製品を棚卸しし、利用可能な更新の適用と移行を進めることが、今月の月例更新への対応となる。
元記事: Microsoft Patch Tuesday October 2026: Record 1,413 CVEs, One Already Under Attack