米マイクロソフトは米国時間2026年10月13日、毎月第2火曜日に配信している月例のセキュリティ更新(通称「パッチチューズデー」)を公開した。今回修正された脆弱性は1400件を超え、1回の月例更新としては過去最多となった。このうち1件は、すでに攻撃に悪用されていることが確認されている。
単月で1400件超、前月から大きく増加
国内のIT専門メディア「窓の杜」(10月14日付)によると、リリースノートに記載されたマイクロソフト製品の脆弱性識別番号(CVE)は1,413件で、前月(974件)を大きく上回り、初めて4桁に達した。米サイバーセキュリティ専門メディアのCyberScoop(10月14日付)も1,413件と報じ、同社の年間件数の最多記録とされる2020年の1,261件を、今回の1回分だけで上回ったと伝えている。
ただし、件数は集計方法によって媒体ごとに差がある。米BleepingComputer(10月13日付)は、月の初めに先行して修正された348件を除いた数として1,411件と報じている。深刻度が最も高い「緊急(Critical)」の件数も、窓の杜は76件、BleepingComputerは70件としており、一致していない。
製品別では、窓の杜とCyberScoopの両メディアによると、Windows関連が1,102件と全体の約8割を占めた。窓の杜によれば、ほかにOffice関連が134件(うち25件が緊急)、SharePoint関連が36件などとなっている。
悪用済みの脆弱性は「Mark of the Web」の回避
すでに悪用が確認されているのは、Windowsシェルのセキュリティ機能バイパスの脆弱性(CVE-2026-96951)。インターネットから入手したファイルに付く「Mark of the Web」と呼ばれる目印による保護を、攻撃者が回避できるおそれがある。この目印は、ダウンロードしたファイルを開く際の警告表示などに使われている。深刻度は「重要(Important)」と評価されている。BleepingComputerによると、どのように悪用されたか、誰が報告したかは明らかにされていない。
このほか、BleepingComputerなどによると、悪用は確認されていないものの修正前に内容が公開されていた脆弱性として、.NET Frameworkのセキュリティ機能バイパス(CVE-2026-108398)などがある。
件数急増の背景にAIとの見方
CyberScoopによると、脆弱性情報の調査で知られるZero Day Initiative(ZDI)のダスティン・チャイルズ氏は、AIが一因だとの見方を示した。AIが新たな欠陥を生んでいるのではなく、脆弱性が存在してから発見されるまでの時間を縮めている、という趣旨だ。BleepingComputerも、マイクロソフトが自社製品の脆弱性の発見と修正にAIを使い続けていることに触れているが、増加分がどの程度AIによるものかは示していない。
同氏は一方で、ゼロデイ脆弱性の数は全体の件数ほど増えていないとも指摘している。ZDIの集計では、2026年1〜10月にマイクロソフト製品で確認されたゼロデイは15件で、2023年の同じ期間の17件を下回るという。
利用者が確認したいこと
Windows 11の各バージョンやWindows Serverでは、今回の更新プログラムがWindows Updateから配信されている。窓の杜によれば、Windows 11 24H2のHome/Proエディションは今回の更新でサポートが終了した。また、一般向けのサポートが終了しているWindows 10 22H2は、拡張セキュリティ更新(ESU)に登録しないとセキュリティ更新を受け取れない(個人向けは2027年10月まで無償で延長できる)。
悪用が確認された脆弱性が含まれているため、個人・組織とも、更新プログラムが適用されているかを早めに確認することが望ましい。
訂正(2026年10月15日) 初出時、『BleepingComputerによると、マイクロソフトは件数が急増した理由を明示していない』と記載していましたが、BleepingComputerの記事にそのような記述はありませんでした。該当の一文を削除しました。