2026年9月8日（米国時間）、Microsoftは月次セキュリティ更新プログラム「パッチ火曜日」を公開しました。今月の修正件数は過去最大となる995件に上り、すでに攻撃者に悪用されているゼロデイ脆弱性が2件含まれています。Windows Update Stack（CVE-2026-81963）とWindows ALPC（CVE-2026-85880）に存在する権限昇格の欠陥が実環境で攻撃に使われており、対応を先送りすると社内システムの乗っ取りリスクが生じます。さらに、DHCPサーバーやDNSサーバーに認証不要でリモートコード実行が可能な脆弱性も複数確認されており、企業ネットワーク全体が危険にさらされかねない状況です。本記事では、今回のパッチ火曜日の全体像と、IT担当者が今すぐ取るべき優先対応手順をわかりやすく解説します。
今回のパッチ火曜日：規模と内訳を把握する
Photo by BoliviaInteligente on Unsplash
2026年9月のパッチ火曜日は、Microsoftが過去に公開した月次更新の中で最大規模となる995件の脆弱性修正を含みます。内訳は以下のとおりです。
- **クリティカル（Critical）**：121件
- **重要（Important）**：870件以上
- **実環境で悪用済みのゼロデイ**：2件
- **ワーム的拡散が懸念される脆弱性**：20件以上
対象製品はWindows OS（約723件）を筆頭に、Microsoft Office（約111件）、SQL Server（約62件）、SharePoint、Exchange、Azure、開発者向けツールと多岐にわたります。企業のIT部門にとって、これほどの規模のパッチを月次メンテナンスウィンドウ内で処理することは現実的に困難であり、優先順位付けが例月以上に重要です。また、セキュリティ専門家からは「AIを活用した脆弱性発見の普及が、修正件数の急増を招いている」との指摘も上がっており、今後もこの傾向が続く可能性があります。
悪用済みゼロデイ2件：何が起きているのか
Photo by Kevin Horvat on Unsplash
今回、特に緊急対応が必要なのが実環境で攻撃に悪用されている2件のゼロデイ脆弱性です。
**CVE-2026-81963：Windows Update Stack 権限昇格の脆弱性**
Windows Update Stackに存在するリンクフォロー（シンボリックリンクの不正解釈）の不備により、ローカルの攻撃者がSYSTEM権限を奪取できます。すでに内部ネットワークに侵入した攻撃者が特権を拡大するために使用するフェーズ2型の攻撃に適しており、ランサムウェア攻撃での悪用が懸念されます。
**CVE-2026-85880：Windows ALPC（高度ローカルプロシージャコール）権限昇格の脆弱性**
Windows ALPCのヒープバッファオーバーフローを突くことで、権限昇格が可能となります。Microsoftは重要度を「Important」と評価していますが、実環境での攻撃が確認されているため、CVSS評価スコアだけで判断せず最優先で対処が必要です。
両脆弱性ともローカル攻撃者による悪用が前提ですが、フィッシングメールやWebサイト経由で初期侵入した後に使われるケースが典型的です。エンドポイント保護との組み合わせで対策の実効性を高めてください。
認証不要のリモートコード実行：ネットワーク機器を最優先に
Photo by Taylor Vick on Unsplash
今回のリリースで特に企業ネットワーク管理者が注目すべきなのが、認証なしでリモートからコード実行が可能な「ワーマブル」脆弱性群です。CVSSスコア9.8を記録しているものが複数あり、攻撃の難易度が極めて低い点が脅威です。
**主なワーマブル脆弱性一覧（CVSS 9.8）：**
- **CVE-2026-72979 / CVE-2026-69845**：Windows DHCPサーバー RCE
- **CVE-2026-69730**：Windows DNSサーバー RCE
- **CVE-2026-73010**：Microsoft フェールオーバークラスター RCE
- **CVE-2026-69769**：Windows HTTP Print Provider RCE
- **CVE-2026-77505**：Windows DNSサーバー RCE（SYSTEM権限奪取が可能）
DHCPサーバーやDNSサーバーはほとんどの企業ネットワークに存在し、インターネットに直接さらされていなくても内部ネットワーク経由で攻撃されうる点に注意が必要です。フェールオーバークラスターが侵害された場合、可用性への影響も甚大となります。これらのサービスを運用している環境では、エンドポイントより先にサーバー側のパッチ適用を検討してください。
IT担当者が今週中に実施すべき優先対応手順
Photo by Zulfugar Karimov on Unsplash
995件という膨大な修正件数に対して、すべてを同時に対処しようとするのは現実的ではありません。以下の手順で優先順位を整理してください。
**ステップ1：ゼロデイ2件を最優先でパッチ適用**
CVE-2026-81963とCVE-2026-85880は今週中の適用を目標に設定します。Windows Updateを通じて配布されているため、通常の更新管理ツール（WSUS、Microsoft Intuneなど）から展開可能です。
**ステップ2：ネットワーク境界に近いサーバーを次に対処**
DHCP・DNS・フェールオーバークラスターなど、CVSSスコア9.8のRCE脆弱性を持つサーバーは通常の展開サイクルを前倒しして適用してください。
**ステップ3：エクスポージャーを確認してから残りを整理**
SQL Server、SharePoint、Exchangeなど業務システムについては、インターネットへの露出状況やシステム重要度に応じてリスクを評価し、2〜4週間以内に展開計画を立てます。
**ステップ4：適用後に動作確認とロールバック手順を準備**
過去には大規模なパッチ後に業務アプリへの影響が出た事例もあります。テスト環境での事前検証と、問題発生時のロールバック手順を必ず用意しておきましょう。
「月次パッチ」の限界：自動化と優先順位付けへの転換を
今回のパッチ火曜日が示す最大の教訓は、「月1回のメンテナンスウィンドウで対処する」という従来モデルがもはや機能しなくなりつつあるという点です。AI技術の進化により脆弱性の発見ペースが加速し、月次更新件数は右肩上がりに増加しています。人手だけで対応を続けることは限界に近づいており、以下のような体制整備が求められます。
- **パッチ管理の自動化ツール導入**：エージェントベースのエンドポイント管理ツール（Microsoft Intune、サードパーティのパッチ管理ソリューションなど）を活用し、優先度付きの自動展開を実現する
- **CVSSスコアだけに頼らない脅威評価**：実際の悪用実績や自社ネットワーク上の露出状況を加味した独自のリスク評価基準を設ける
- **CISOレベルの意思決定プロセスの整備**：大規模パッチリリース時には経営層への迅速なエスカレーションと優先順位の合意形成フローを事前に定めておく
今後もこの規模のリリースが続く可能性を前提に、パッチ管理の仕組みそのものを見直す機会として今回の事態を捉えることが重要です。
よくある質問
ゼロデイ2件は一般ユーザーのPCにも影響しますか？
はい、CVE-2026-81963とCVE-2026-85880はいずれもWindows全般に影響します。ただし悪用にはまず攻撃者が何らかの方法でシステムに侵入している必要があります。フィッシング対策やエンドポイント保護との組み合わせが重要です。Windows Updateを有効にしていれば自動で修正プログラムが適用されます。
DHCPやDNSサーバーを社内で運用していない場合も対応は必要ですか？
クラウド型のDNS・DHCPサービスを利用している場合、該当するオンプレミスのリスクは低減されます。ただし、Windows Serverをオンプレで運用しているなら関連するRCE脆弱性がないかMicrosoftの更新情報を確認し、対象製品のアップデートを確実に適用することをお勧めします。
995件すべてをすぐに適用しないといけませんか？
すべてを即座に適用する必要はありません。まずゼロデイ2件とCVSSスコア9.8のRCE脆弱性を持つサーバーを優先し、残りはリスク評価に基づいて段階的に展開することが現実的です。重要なのは優先順位の明確化とスケジュールの策定です。
パッチ適用後にシステム障害が発生した場合はどうすればよいですか？
Windowsの場合、コントロールパネルの「インストールされた更新プログラム」からパッチをアンインストールすることが可能です。事前にシステムの復元ポイント作成やバックアップ取得を行い、テスト環境で動作確認してから本番展開するフローを標準化しておくことを推奨します。