Microsoft、10月の月例更新で脆弱性1413件に対応 悪用確認済みの脆弱性は：セキュリティニュースアラート

Microsoftは2026年10月の月例セキュリティ更新プログラムで、1413件の脆弱性に対応した。その中には、既に攻撃への悪用が確認された脆弱性が含まれる。同社は、大量の脆弱性に優先順位を付けるための考え方も紹介した。

[ITmedia]

　Microsoftは2026年10月13日（現地時間）、月例のセキュリティ更新プログラムを公開した。同社のリリースノートによると、今回の更新は1413件の脆弱（ぜいじゃく）性（CVE）に対応する。製品ファミリー別では「Windows」が1102件と大半を占める。「Microsoft Office」が134件、開発者ツールが61件、「Microsoft SharePoint Server」が36件と続く。「Microsoft Exchange Server」や「Microsoft Azure」「Microsoft Defender」も修正の対象だ。

　Microsoftは、多くの顧客にとって更新プログラムの早期適用が優先事項だとする。一方で同社は、更新プログラムが扱う脆弱性が増えるほど、どれに直ちに対応すべきかの判断が、複雑な環境を持つ顧客の課題になると説明する。

　今回の更新には、既に攻撃への悪用が確認された脆弱性が含まれる。どの製品の、どのような脆弱性なのか。

悪用が確認された脆弱性とは

　Microsoftが悪用を確認したのは、「Windows Shellのセキュリティ機能のバイパスの脆弱性」（CVE-2026-96951）だ。CVSS（共通脆弱性評価システム）の基本値は8.8で、同社は深刻度を「重要」としている。

　この脆弱性はWindows Shellにおけるコマンドインジェクションに起因する。悪用されると、攻撃者は「Mark of the Web」（MotW）による保護を回避できる。MotWは、インターネットから入手したファイルに付与される印だ。Windowsの警告表示やOfficeの「保護ビュー」といった仕組みは、この印を参照して動作する。保護が回避されると、不正なファイルが警告の表示されないまま開かれるおそれがある。

　Microsoftは、攻撃者が細工したファイルを電子メールやインスタントメッセージで標的に送る攻撃シナリオを想定している。ただし、攻撃者がユーザーにファイルを開くよう強制する手段はなく、ユーザーが操作するよう仕向ける必要があるという。同社が挙げたこの脆弱性の報告者には、富士通の研究者が含まれる。

　「.NET Frameworkのセキュリティ機能のバイパスの脆弱性」（CVE-2026-108398）は、更新プログラムの公開前に情報が公表されていた。

　Microsoftは今回の更新に合わせて、大量の脆弱性を評価する際の優先順位付けの考え方「リスクコホート」を公式ブログで紹介した。リスクコホートでは、評価のために答えるべき問いが共通する脆弱性同士を、一つのグループにまとめる。問いは、導入状況や外部からアクセスできるかどうかなど、自社環境に関するものだ。その問いに一度答えてから個々の脆弱性を確認するという手法だ。同社はこれを探索的な取り組みと位置付けており、悪用の有無や深刻度に基づく個別の評価は引き続き必要だとしている。