Microsoft月例パッチ569件、AIが変える脆弱性対応

脆弱性・脅威情報
2026.07.30

【更新 2026-07-31】本記事を見直し、修正しました。主な修正点：総件数の報じ方について「569〜571件」としていた幅を、同日公開のCVEを広く数えて622件とする報道もある点を含む記述に改めました。

マイクロソフトは2026年7月14日、月例セキュリティ更新プログラムを公開しました。修正された脆弱性は約570件で、これまでで最も多い規模です。うち2件はパッチ公開前から実際に悪用されていたゼロデイで、Active Directory フェデレーション サービス（AD FS）とSharePoint Serverが対象です。認証基盤を持つ組織は、件数の多さに気を取られず、まずこの2件の適用状況を確認してください。

そしてこの件数は一時的な異常値ではありません。マイクロソフト自身が、AIによる脆弱性発見の本格運用で今後も更新件数は増え続けると明言しています。

この記事でわかること

  • 2026年7月の月例更新の規模と内訳（過去との比較つき）
  • 件数が急増した理由＝AIによる脆弱性発見「MDASH」
  • ゼロデイ3件の性格の違いと、自社での優先順位の付け方
  • AD FSの権限昇格を最優先すべき理由
  • 件数インフレ時代に情シスが取るべきトリアージの方針

何が起きたのか：過去最多の約570件

今回の更新で修正された脆弱性の内訳は次のとおりです。影響の種類別に見ると、権限昇格が254件と最多で、全体の4割以上を占めます。

影響の種類 件数
権限昇格（EoP） 254件
リモートコード実行（RCE） 145件
情報漏えい 102件
サービス拒否（DoS） 35件
セキュリティ機能の回避 17件
なりすまし（スプーフィング） 16件
合計 569件

このうち深刻度「緊急（Critical）」と評価されたものは59件です。対象製品はWindows、Office、SharePoint Server、Exchange Server、SQL Server、Azure、Dynamics 365、.NET、Visual Studio、Defenderなど広範に及びます。

なお報道により総数の表記には幅があり、569件・570件とするもののほか、マイクロソフトが同日に公開したCVEを広く数えて622件とするものもあります。これはEdge（Chromium由来）やクラウドサービス側・Windows以外の製品の採番を集計に含めるかどうかの違いです。上表の内訳の合計は569件になります。

どのくらい異常な件数なのか

過去と比べると規模の変化は明らかです。2025年7月は137件、2026年6月は約200件でした。当時も「過去最多」と報じられた水準ですが、今回はその2.8倍にあたります。

なぜ急増したのか：AIによる脆弱性発見「MDASH」

背景にあるのが、マイクロソフトが開発したMDASH（Multi-Model Agentic Scanning Harness）です。これは複数のAIモデルを組み合わせ、Windowsのバイナリを継続的に走査して脆弱性の候補を洗い出し、別のAIモデル群が検証して誤検知を落としてから人間のエンジニアに渡す仕組みです。2026年7月までにWindowsコードベース全体に対して本番運用されているとされます。

重要なのは、マイクロソフトが次のように述べている点です。「AIが防御側の問題発見を助けるようになるにつれ、お客様は各セキュリティリリースに含まれる更新プログラムの量が増えるのを目にすることになる」。件数の増加は一過性ではなく、新しい常態になるという予告です。

なおマイクロソフトは、569件すべてをMDASHが発見したとは述べていません。また、提案された修正コードはすべて人間のエンジニアがレビューし検証するとしています。

ゼロデイ3件は性格がまったく違う

今回は3件のゼロデイが含まれますが、「ゼロデイ3件」と一括りにすると判断を誤ります。悪用の有無も、攻撃に必要な条件も異なるためです。

CVE番号 対象 種類 悪用状況 攻撃の前提
CVE-2026-56155 Active Directory フェデレーション サービス（AD FS） 権限昇格（CVSS 7.8） 悪用確認済み ローカル・認証済みユーザー
CVE-2026-56164 SharePoint Server 権限昇格 悪用確認済み —
CVE-2026-50661 Windows BitLocker セキュリティ機能の回避（CVSS 4.6〜6.1） 悪用は未確認 物理アクセス

BitLockerの件（CVE-2026-50661）は攻撃に物理的なアクセスが必要（CVSSベクタの AV:P）で、悪用も確認されていません。ただし裏を返せば、紛失・盗難時にディスク暗号化が突破されうるということです。社外に持ち出すノートPCが多い組織では優先度が上がります。

SharePoint Serverの件（CVE-2026-56164）については、CISAが緊急対策を要請した経緯をSharePoint Server脆弱性、悪用でCISAが緊急対策要請で詳しく扱っています。

なぜAD FSの権限昇格を最優先すべきなのか

CVE-2026-56155は、CVSS基本値7.8、ベクタは AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H。「ローカルから、認証済みの一般ユーザーが」権限昇格できるという内容で、種別はCWE-1220（アクセス制御の粒度不足）です。米CISAは公開当日の2026年7月14日にKEV（悪用が確認された脆弱性カタログ）へ追加し、対応期限を7月28日としています。

数字だけ見ると「ネットワーク越しではないし7.8か」と流されがちですが、影響を受ける資産がAD FSサーバーである点が重要です。AD FSは社内ADと外部クラウドサービスをつなぐフェデレーション認証の要で、トークン署名証明書を保持しています。この種のサーバーで管理者権限を奪われた場合、一般論として、署名鍵の窃取によって任意のユーザーになりすます認証トークンを偽造される攻撃（いわゆるGolden SAML型）に発展しうることが知られています。多要素認証を回避されうるため、影響は1台の侵害にとどまりません。

CVSS基本値は「その機器単体への影響」を測る指標なので、こうした資産の重要度は点数に表れません。スコアではなく「取られる権限の高さ」と「対象資産の役割」で判断してください。

あわせて確認したいのが、AD FSが「忘れられた認証基盤」になっていないかです。Microsoft Entra ID への移行を進めた組織では、移行途中で残ったAD FSサーバーが台帳から漏れたまま稼働し続けているケースが少なくありません。移行済みのつもりでも、認証経路として生きているなら対象です。

現場目線：570件のリストは、もう人手で見られない

正直なところ、月例パッチを1件ずつ確認して影響を判断する運用は、この件数ではもう成立しません。100件台なら「気になるものを目視でピックアップ」で回せましたが、570件のCVEリストを毎月精読できる体制を持つ組織は、日本の情シスの実態からすればごく一部でしょう。

怖いのは、確認しきれないこと自体よりも月例パッチのレビューが形骸化することです。「多すぎるのでとりあえず全部当てる」に倒すのは実務として悪くない判断ですが、それは検証環境と切り戻し手順が整っている組織だけが選べる道でもあります。基幹システムが載ったサーバーで無検証の一括適用に踏み切れないのが、多くの現場の本音ではないでしょうか。件数増加が予告された以上、「今月どう乗り切るか」ではなく「毎月570件が来る前提で運用をどう組み直すか」に問いを切り替える時期に来ています。

情シスはどうすべきか

件数が多い月ほど、自前で長大なチェックリストを作るより、優先度の判断軸を絞るほうが機能します。今回であれば次の順序が現実的です。

  1. 悪用確認済みの2件を最優先（AD FS・SharePoint Server）。該当サーバーの有無を先に確定させる
  2. 認証基盤・管理サーバーから先に当てる。侵害されたときの被害が最も大きい資産を優先する
  3. 持ち出しPCはBitLockerの件も含めて適用する
  4. 残りはクライアントの自動更新に委ね、件数を追わない

手順や体制づくりについては、自前で作り込む前に公的機関の指針を土台にすることをおすすめします。

加えて地道ですが、利用者への啓発も引き続き効きます。今回のように権限昇格が大半を占める月は、裏を返せば「最初の侵入」を防げれば連鎖を止められるということです。不審なメールやファイルを開かせない、私物端末を業務に持ち込ませない、といった基本の徹底が、570件のうち大半の前提条件を潰します。

まとめ

  • 2026年7月の月例更新は約570件（内訳合計569件）と過去最多。うち緊急59件、権限昇格が254件で最多を占める
  • ゼロデイは3件だが性格が異なる。悪用確認済みのAD FS（CVE-2026-56155）とSharePoint Server（CVE-2026-56164）が最優先。とくにAD FSは認証基盤という資産の性質上、CVSS 7.8という数字以上に重い
  • 件数増加はAIによる脆弱性発見（MDASH）が背景にあり、マイクロソフトは今後も増えると明言している。件数を追う運用から、資産の重要度で優先順位を決める運用へ切り替える必要がある

関連記事

出典

タイトルとURLをコピーしました