Microsoft月例パッチ751件、実質420件の見極め方

【更新 2026-08-12】本記事を見直し、修正しました。主な修正点：①CVE-2026-68820はCISAのKEV（悪用が確認された脆弱性カタログ）に2026年8月11日付で追加済みだったため「未収載」の記述を修正、②MSRCの機械可読版（CVRF）を8月12日午前に再取得して数え直し、深刻度別内訳（Important 396件・Moderate 207件・深刻度の記載なし8件）とAzure Linux専用CVE（331件）を修正、③公開後にChromium由来のCVE 38件が追加され、Edge分を含む総数が790件になったことを追記、④CVE-2026-62832がLegacyHiveの修正であるとの報道と、サポート終了後のSharePoint Server 2016/2019にも8月の更新が提供されている点を追記しました。

マイクロソフトは2026年8月11日（米国時間）、月例セキュリティ更新プログラムを公開しました。日本時間では8月12日（水）未明に届いています。修正対象として公開ドキュメントに載っているCVEは751件。7月に続いて再び記録的な規模です。

ただし、この751件をそのまま自社の対応対象と考える必要はありません。本記事で実データを数え直したところ、331件はAzure Linux（旧CBL-Mariner）専用のLinuxカーネル・OSSパッケージ由来のCVEで、一般的な企業のWindows環境とは無関係でした。実質的に見るべきは約420件です。

そして、その420件のうち今すぐ手を動かすべきものは1件——すでに悪用が確認されているゼロデイCVE-2026-68820です。盆休み直前で稼働日がほとんど残っていない今、ここから絞り込んでください。

この記事でわかること

• 2026年8月月例更新の内訳（深刻度別・影響種別）
• 報道によって件数が食い違う理由と、751件のうち329件が「水増し」に見える構造
• 悪用中ゼロデイ1件・公開済み2件の性格の違いと優先順位
• CVSS 10.0が3件あるのに、その3件とも「対応不要」である理由
• オンプレミス環境で優先的に見るべきCritical（DNS・AD CS・Exchange・SharePoint）

何が起きたのか：751件の内訳

マイクロソフトの公開ドキュメント（Security Update Guide／CVRF）を日本時間8月12日未明時点で取得し、集計した結果は次のとおりです。

※【更新 2026-08-12】見直しにあたり同じCVRFを8月12日午前に再取得して数え直し、Important・Moderateをそれぞれ1件修正し、深刻度が記載されていない8件（いずれもAzure Linuxのパッケージ更新）の行を追加しました。上の751件はMicrosoft Edge（Chromium）分を除いた数です。

影響の種類別に見ると、マイクロソフト自身が種類を分類している420件の内訳は次のようになります。

7月に続き、今月も権限昇格が最多です。権限昇格は単体では「ローカルの攻撃者が必要」なため軽視されがちですが、フィッシングや初期侵入と組み合わせて侵入後にSYSTEM権限を取るための部品として使われます。実際、今月唯一の悪用確認済みゼロデイもこの権限昇格です。権限昇格そのものの位置づけは権限昇格とは？攻撃の仕組みと情シスの対策を解説で整理しています。

なぜ件数が媒体によって食い違うのか

数え方と数えた時点が違うからです。月例更新の件数は「唯一の正解」がある数字ではありません。ここは毎月ニュースを読むうえで押さえておく価値があります。

食い違いの主な要因は3つです。

• サードパーティ製CVEを含めるか：マイクロソフトの月例ドキュメントには、Azure Linux（旧CBL-Mariner）に取り込まれたLinuxカーネルやOSSのCVEが大量に含まれます。今月は331件がこれに該当し、Windows製品には一切影響しません。これを除くか含めるかで件数が倍近く変わります。
• ChromiumベースのEdgeを含めるか：Edge向けに取り込まれたChromiumのCVEを別枠にする媒体としない媒体があります。
• いつ数えたか：月例ドキュメントは公開後も改訂され、月内に追加・再公開されたCVEが積み増されていきます。公開当日の数字と月末の数字は一致しません。

この記事の「751件」も公開直後のスナップショットであり、今後増える可能性があります。【更新 2026-08-12】実際、同じCVRFを8月12日午前に再取得したところ、Chromium由来のCVEが38件追加されており、Edge分（計39件）を含めた総数は790件になっていました。本記事の751件はEdge分を除いた数です。件数そのものは経営層への報告では使いどころがありますが、現場の作業量とは相関しません。数字に振り回されないでください。

なお、件数がここ数か月で急増している背景（マイクロソフトのAIによる脆弱性発見）については、Microsoft月例パッチ569件、AIが変える脆弱性対応で詳しく扱っています。本記事は「増えた件数を実際にどう削って絞り込むか」に焦点を当てています。

最優先の1件：悪用中のゼロデイ CVE-2026-68820

今月、パッチ公開前から実際に悪用が確認されている脆弱性は1件だけです。ここだけは休暇前に片付けてください。

マイクロソフトの説明によれば、ローカルで認証された攻撃者が細工したアプリケーションを実行し競合状態（レースコンディション）を成立させることでSYSTEM権限を取得します。利用者の操作は不要です。

CVSSは7.0とやや低めですが、これは「ローカル攻撃かつ競合状態に勝つ必要がある（AC:H）」ためです。スコアの低さを理由に後回しにしないでください。悪用が実際に観測されている以上、机上の難易度評価より実績が優先します。

影響範囲はWindows 10 Version 1607からWindows 11、Windows Serverまで30製品と広く、事実上すべてのWindows環境が対象です。afd.sysはここ数年、権限昇格の標的として繰り返し悪用されているコンポーネントでもあります。

なお、CISAのKEV（悪用が確認された脆弱性カタログ）には2026年8月11日付で追加されました（カタログ版2026.08.11、米政府機関に課される是正期限は2026年8月25日）。【更新 2026-08-12】執筆時点（8月12日未明）では未収載でしたが、その後の確認で収載を確認しています。なお同じafd.sysの権限昇格は2024年8月（CVE-2024-38193）、2025年2月（CVE-2025-21418）、2025年5月（CVE-2025-32709）にもKEVへ登録されています。

公開済みの2件：LegacyHiveはついに修正されたのか

悪用は未確認ながら、パッチより先に情報が公開されていた脆弱性が2件あります。

CVE-2026-62832（Windows User Profile Service）

CVSS 7.8の権限昇格で、悪用可能性の評価は「悪用される可能性が高い（Exploitation More Likely）」。成功するとAdministrator権限を取得されます。

マイクロソフトの説明は「別のローカルアカウントの資格情報を持つ認証済み攻撃者が、細工したアプリケーションを実行して別のユーザーのレジストリハイブを読み込ませることができる」「シンボリックリンクの解決に不備がある」というものです。

これは7月15日に研究者が一方的に公開し、CVE未採番のまま放置されていた「LegacyHive」と呼ばれる脆弱性の説明と一致します。LegacyHiveは、User Profile Service（ProfSvc）がレジストリハイブを解決・読み込みする処理のTOCTOU競合とシンボリックリンクを組み合わせるもので、報告内容がそのまま当てはまります。ただしマイクロソフトが「これがLegacyHiveの修正である」と明言しているわけではないため、同一のものと断定はできません（本記事の判断です）。【更新 2026-08-12】その後、BleepingComputerなど複数の専門メディアがCVE-2026-62832をLegacyHiveの修正として報じています（報道ベースの対応付けであり、マイクロソフトの公式見解ではありません）。LegacyHiveの影響を追っていた組織は、この修正の適用状況を確認しておくとよいでしょう。

パッチ公開前に情報が世に出てしまった場合に情シスが何をすべきかは、ゼロデイの無断公開、パッチ待ちの空白に情シスは何をすべきかで整理しています。

CVE-2026-72971（Windows Container Isolation FS Filter Driver）

CVSS 5.5の改ざん（Tampering）。影響はWindows 11 Version 26H1のみと限定的で、悪用可能性も「低い」評価です。優先度は下げて構いません。

CVSS 10.0が3件。最優先すべきか？

いいえ、3件とも情シス側の作業は不要です。今月はCVSS 10.0が3件ありますが、いずれもマイクロソフトのクラウド側で既に修正済みで、利用者側の対応は求められていません。

今月751件のうち「利用者の対応が必要」とされているのは731件、「不要」が20件です。そして不要な20件の中に、CVSS 9.0以上の高スコアが14件も含まれています（Azure Active Directory、Entra Provisioning Service、Azure Service Bus、Microsoft 365管理センターなど）。

クラウドサービスの脆弱性は、透明性向上のためにCVEが採番・公開されるようになった一方、スコアだけを見て社内に警報を出すと空振りになります。同じ構図はSurface脆弱性CVE-2026-54120、CVSS9.9でも対応不要でも起きました。CVSSの前に「Customer Action Required」の欄を見る——これだけで無駄な作業がかなり減ります。

オンプレミスで見るべきCritical

Azure Linux分を除いたCriticalは62件です。このうち、オンプレミスのサーバ運用で影響が大きいものを挙げます。

特筆すべきはWindows DNS ServerのRCEがCriticalだけで4件（CVE-2026-62878、CVE-2026-62817、CVE-2026-62820、CVE-2026-65789）まとまって修正されている点です（このほかImportantのDNS Server RCEが2件あります）。DNSサーバはドメインコントローラと同居している構成が多く、ここを取られると影響が全社に及びます。AD CSのRCEも同様に認証基盤の根幹です。ドメインコントローラ系を1台でも動かしている組織は、悪用中の1件と並べてここを優先枠に入れてください。

SharePoint Serverは7月から悪用が続いている領域です。加えて2016/2019はサポート終了を迎えており、修正が届かない環境が残っていないかもあわせて確認が必要です。【更新 2026-08-12】ただし今回のCVRFには、サポート終了後であるSharePoint Server 2016（KB5002905／KB5002906）と2019（KB5002894／KB5002896）向けの更新も含まれています。該当環境がある組織は「もう更新は来ない」と決めつけず、提供の有無を確認してください。

現場目線：稼働日は実質1日しかない

今月の本当の難所は、件数ではなくカレンダーです。パッチチューズデーが8月11日（山の日）に当たり、日本時間で更新が届くのは12日（水）未明。そこから多くの組織が盆休みに入ります。実質的な稼働日は12日の1日だけという組織が少なくないはずです。詳しい日程の噛み合わせは夏季休暇のセキュリティ対策 盆休みと重なるパッチ火曜にまとめています。

751件という数字を見た瞬間に「これは無理だ」と手が止まる気持ちは、正直よく分かります。ただ、実際に数え直してみれば329件は自社に無関係、20件はクラウド側で対応済み、そして即日対応が要るのは1件です。この絞り込みを最初にやるかどうかで、休暇前の1日の使い方がまったく変わります。

一方で、絞り込んだ先に残る作業は決して軽くありません。管理下にある端末はWSUSやIntuneで一括配布できても、持ち出しノートや長期休暇に入った担当者の端末は、休み明けまで一切パッチが当たらないのが実情です。台数の把握と、配布したつもりが届いていない端末の炙り出しは、休暇明けにまとめて向き合うことになります。ここは自動化しきれず、毎年もどかしさが残るところです。

情シスはどうすべきか

まず、休暇前の限られた時間では次の順に絞ってください。

1. CVE-2026-68820（悪用中）を全Windows端末・サーバへ適用。ここだけは例外を作らない。
2. ドメインコントローラ／DNS／AD CS／Exchange／SharePointのCritical。認証基盤と公開サーバを優先。
3. クライアント端末のOffice系RCE（Word・Excel・グラフィックスコンポーネント）。休暇明けの通常配布で可。
4. Azure Linux専用CVEとクラウド側修正分は、Azure Linuxを使っていなければ対応不要。

そのうえで、長期休暇をはさむ時期の体制づくりは自前で考え込むより公的な指針に乗るのが早道です。IPAは休暇前後の点検項目を整理した注意喚起を毎年公開しており、重要なセキュリティ情報一覧から確認できます。日常的な体制の底上げには中小企業の情報セキュリティ対策ガイドラインが実務的です。

また、休暇中に不審なメールや警告画面に遭遇するのは情シスではなく現場の従業員です。休暇前に一斉配信する注意喚起の材料としては、IPAの対策のしおりがそのまま使えます。「怪しいと思ったら操作せず、休み明けに情シスへ」という一行を添えて配るだけでも、初動の遅れはかなり防げます。地道ですが、この啓発が効きます。

まとめ

• 751件のうち331件はAzure Linux専用で一般的なWindows環境には無関係。実質は約420件で、さらに20件はクラウド側で修正済み・対応不要。件数に振り回されない。
• 即日対応が必要なのは悪用中のCVE-2026-68820（afd.sys、SYSTEM権限昇格）1件。CVSS 7.0と低めだが悪用実績が優先。次点はDNS・AD CSなど認証基盤のCritical。
• CVSS 10.0の3件はいずれも対応不要。スコアより先に「Customer Action Required」を見る習慣が、無駄な作業と空振りの警報を減らす。

関連記事

• 夏季休暇のセキュリティ対策 盆休みと重なるパッチ火曜（今月の日程の噛み合わせと休暇前後の運用）
• Microsoft月例パッチ569件、AIが変える脆弱性対応（件数急増の背景とトリアージの考え方）
• Surface脆弱性CVE-2026-54120、CVSS9.9でも対応不要（高スコアでも対応不要になる仕組み）
• 権限昇格とは？攻撃の仕組みと情シスの対策を解説（今月最多の脆弱性タイプ）

出典

• Microsoft Security Response Center「Security Update Guide」https://msrc.microsoft.com/update-guide/（本記事の件数・深刻度・悪用状況は、同ガイドの機械可読版CVRFドキュメント「August 2026 Security Updates」を2026年8月12日未明に取得して集計）
• Microsoft「CVE-2026-68820」https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-68820
• Microsoft「CVE-2026-62832」https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-62832
• IPA「重要なセキュリティ情報一覧」https://www.ipa.go.jp/security/security-alert/index.html
• JPCERT/CC「注意喚起」https://www.jpcert.or.jp/at/
• IPA「中小企業の情報セキュリティ対策ガイドライン」https://www.ipa.go.jp/security/guide/sme/index.html
• IPA「対策のしおり」https://www.ipa.go.jp/security/guide/shiori.html

※IPA・JPCERT/CCによる本更新に関する注意喚起は、執筆時点（2026年8月12日未明）では未公開です。公開され次第、各機関のページもあわせて確認してください。