Microsoft月例パッチ973件 悪用中2件は新旧で分断

2026年9月9日（日本時間）、Microsoftが月例セキュリティ更新プログラムを公開しました。対応した脆弱性は973件（媒体により964〜974件）。うち2件はすでに悪用が確認されています。

今回の特徴は件数よりも、その悪用中2件の当たり方にあります。CVE-2026-81963はWindows 11とWindows Server 2025だけ、CVE-2026-85880はWindows 10とWindows Server 2022以前だけに影響し、対象が一切重なりません。新しい環境も古い環境も、それぞれ別の悪用中ゼロデイを1件ずつ抱えている形です。「うちはWindows 11に移行済みだから安心」も「まだWindows 10だが枯れているから安心」も、今月は両方とも成立しません。

この記事でわかること

  • 悪用が確認された2件の内容と、自社環境のどちらが該当するか
  • Windows 10側の1件が、ESU未契約だと修正を受け取れない理由
  • 悪用はまだ無いが今月最優先で見るべきDNS・Kerberosの2件
  • 件数が媒体によって964〜1,185件と食い違う理由

何が起きたのか：973件のうち、悪用中は2件

Microsoft Security Response Center（MSRC）が公開する機械可読版のセキュリティ更新情報（CVRF）を2026年9月9日に取得し、集計した結果が次のとおりです。

項目 件数
CVRF収録の脆弱性総数 1,185件
悪用が確認済み（Exploited:Yes） 2件
公開済み（Publicly Disclosed:Yes） 0件
「悪用される可能性が高い」（Exploitation More Likely） 58件
CVSS 9.0以上 50件
深刻度「緊急（Critical）」 104〜113件

注目したいのは公開済みゼロデイが0件という点です。先月（2026年8月）は悪用中1件・公開済み2件でしたが、今月は「まだ公開されていないが、すでに攻撃に使われている」2件だけ。PoC（実証コード）が広く出回る前の段階で修正が来た形なので、適用が早いほど得られる猶予が大きい月だと言えます。

悪用中の2件は、対象環境が完全に分かれている

MSRCの製品リストを突き合わせると、2件の影響範囲はきれいに二分されていました。

CVE-2026-81963 CVE-2026-85880
コンポーネント Windows Update スタック Windows ALPC
種別 権限昇格（リンク解決の不備） 権限昇格（ヒープバッファオーバーフロー）
CVSS v3.1 7.8（AV:L/PR:L） 7.8（AV:L/PR:L）
結果 SYSTEM権限の奪取 SYSTEM権限の奪取
影響する製品 Windows 11（23H2/24H2/25H2/26H1）、Windows Server 2025 Windows 10（1607/1809/21H2/22H2）、Windows Server 2012／2012 R2／2016／2019／2022
報告者 Microsoft MSTIC Proofpoint
CISA KEV登録 2026年9月8日（米政府機関の対応期限9月22日） 2026年9月8日（同左）

両方ともCVSSは7.8で、数字だけ見れば「緊急未満の権限昇格」です。しかしCVSSは攻撃元区分がローカル（AV:L）だとスコアが伸びにくく、悪用中の権限昇格は実態としてスコア以上に危険です。攻撃者はフィッシングや別の脆弱性で一般ユーザー権限を取ったあと、この種の欠陥でSYSTEMに昇格し、セキュリティ製品の停止・認証情報の窃取・横展開へ進みます。単体では侵入の入口になりませんが、侵入されたあとの被害の大きさを決めるのはこの部分です（権限昇格そのものの仕組みは権限昇格とは？で解説しています）。

なぜ「Windows Updateの権限昇格」が気になるのか

CVE-2026-81963は、Windows Update スタック——つまり更新プログラムを検出・ダウンロード・適用する仕組みそのものの脆弱性です。原因はMicrosoftの分類で「ファイルアクセス前のリンク解決の不備（link following）」。更新処理がSYSTEM権限でファイルを扱う際に、攻撃者が仕込んだリンクを追ってしまい、本来書き換えられないファイルに手が届いてしまう類の欠陥です。

報告者がMicrosoft自身の脅威インテリジェンス部門（MSTIC）である点も示唆的です。MSTICは実際の攻撃活動の観測から脆弱性を見つけることが多く、研究者による発見ではなく、攻撃の現場から出てきた1件である可能性が高いと考えられます。パッチを配る仕組みが狙われるのは皮肉ですが、更新機構は全端末に必ず存在し、必ずSYSTEM権限で動くため、攻撃者から見れば「どこにでもある高権限プロセス」です。

Windows 10側は「更新が届かない」環境がありうる

もう1件のCVE-2026-85880はALPC（Advanced Local Procedure Call）の脆弱性です。ALPCとは、Windowsの内部でプロセス同士がやり取りするための仕組みで、OSのサービスの多くがこの上で動いています。利用者が意識することはありませんが、常時稼働しており、かつ高権限プロセスと低権限プロセスの境界に位置するため、権限昇格の狙い目として繰り返し悪用されてきた場所です。

実務上やっかいなのは影響範囲です。対象はWindows 10の1607／1809／21H2／22H2と、Windows Server 2012〜2022。Windows 10の通常サポートは2025年10月14日に終了しています（最終版の22H2を含む）。それでも2026年9月の修正が出ているのは、LTSB/LTSCリリース（1607＝LTSB 2016、1809＝LTSC 2019。LTSC 2019の延長サポートは2029年1月まで）と、ESU（拡張セキュリティ更新プログラム）を契約している環境に向けたものです。

つまり、ESU未契約のままWindows 10を残している場合、悪用が確認済みのこの脆弱性の修正は自社に届きません。同じことはWindows Server 2012／2012 R2（2023年10月に延長サポート終了）にも当てはまります。今月については「パッチを当てたか」だけでなく、「そもそもパッチを受け取れる状態か」を確認する必要があります。

悪用はまだ無いが、優先度が高い2件

悪用中の2件が権限昇格＝侵入後の話なのに対し、こちらは侵入の入口になりうる2件です。いずれもMicrosoftが「悪用される可能性が高い（Exploitation More Likely）」と評価しています（今月このラベルが付いたのは58件）。

CVE-2026-69730：DNSサーバーの未認証RCE（CVSS 9.8）

Windows DNSの解放済みメモリ使用（use after free）により、認証なしのリモート攻撃者が細工したパケットを送るだけでコードを実行できる脆弱性です（CVSS 9.8、AV:N/AC:L/PR:N/UI:N）。影響するのはWindows Server 2012からServer 2025まで（およびWindows 10の1607/1809）で、DNSサーバーの役割を有効にしている場合が対象です。

社内でActive Directoryを運用していれば、ドメインコントローラーがDNSサーバーを兼ねている構成が一般的です。ADのDNSが乗っ取られるということは、認証基盤そのものが危険にさらされることを意味します。2020年のSigRed（CVE-2020-1350）と同じ性格の脆弱性であり、海外メディアが「SigRedの後継」と呼ぶのもこの点です。現時点で悪用は確認されていませんが、性質上、攻撃コードが出れば一気に狙われる部類です。

CVE-2026-69676：Kerberosの認証回避（CVSS 8.8）

Windows Kerberosの「キャプチャリプレイによる認証回避」で、認証済みの攻撃者がネットワーク経由でコードを実行できるとされています（CVSS 8.8）。Kerberosは社内のシングルサインオンを支える認証プロトコルそのもので、ここが破られるとドメイン全体の信頼関係に影響します。影響範囲はWindows 10からWindows 11、Server 2012からServer 2025までと広く、AD環境を持つ組織は横断的に該当します。

件数が媒体によって違う理由（今月も）

今回も報道の件数は964件・966件・973件・974件とばらついています。当サイトの集計では1,185件でした。理由は先月と同じで、MicrosoftがAzure Linux（旧CBL-Mariner）に同梱されるOSSの脆弱性もCVRFに載せているためです。今月のCVRF収録1,185件のうち189件はAzure Linux系の製品を含むもので、その多くはMicrosoft製ではないOSS（今月はFreeIPMIの各種バッファオーバーフローなど）です。

CVSS 9.8の上位にFreeIPMI関連が5件並ぶのもこのためで、一般的なWindows環境の情シスにとっては対象外です。件数の多寡に一喜一憂せず、自社が使っている製品名で絞り込むのが先です（この見極め方は先月の記事で詳しく整理しています）。

現場目線：数字が大きい月ほど、確認すべきは「例外」

正直なところ、973件という数字を前にして全件を精査できる情シスはほとんどいないはずです。実際に手を動かすのは「WSUSやIntuneで承認を出し、再起動のタイミングを調整し、翌週になっても更新が入っていない端末を追いかける」という作業で、脆弱性の中身を1件ずつ読む時間はまず取れません。

だからこそ今月は、件数ではなく「例外の棚卸し」に時間を使うのが合理的だと考えます。悪用中の2件はいずれもCVSS 7.8で、スコアだけで優先度を付けている運用だと埋もれます。一方で、その2件が新旧どちらの環境にも1件ずつ当たっている以上、「更新が自動で当たらない端末・サーバー」がそのまま穴になります。具体的には、ESU未契約のまま残っているWindows 10、更新を止めている検証機や生産設備の制御端末、再起動できずに保留のままのサーバー、そして資産管理台帳に載っていない持ち込み端末です。

この手の端末は毎月「後で」と先送りされがちですが、今月はその先送りが「悪用中の脆弱性を放置している状態」と同義になります。全件を眺めるより、例外リストを1枚作るほうが効きます。

情シスはどうすべきか

優先順位としては、次の順で確認するのが現実的です。

  1. 悪用中2件の該当有無を環境別に確認する。Windows 11／Server 2025があればCVE-2026-81963、Windows 10／Server 2022以前があればCVE-2026-85880。混在環境なら両方。
  2. 更新が届かない環境を洗い出す。ESU未契約のWindows 10、サポート切れのServer 2012系、更新を停止している端末。届かないなら、ネットワーク分離や利用制限といった代替策を検討する。
  3. DNSサーバーの役割の有無を確認する。ADのドメインコントローラーは特に。該当すればCVE-2026-69730の適用を前倒しする。
  4. 残りは通常の月次サイクルで適用する。

手順そのものは各社の運用に依存しますが、脆弱性対応の考え方や体制づくりについては、自前でチェックリストを作るより公的な指針を土台にしたほうが早く、経営層や他部署への説明もしやすくなります。まずはIPAの中小企業の情報セキュリティ対策ガイドラインが、資産管理と更新運用を含めた基本の整理に使えます。インシデントを想定した訓練まで踏み込むなら、IPAのセキュリティインシデント対応 机上演習教材が無償で利用できます。

また、権限昇格の起点になるのは多くの場合フィッシングや不審な添付ファイルの実行です。技術的な対策と並行して、IPAの対策のしおりのような資料を使った地道な利用者啓発が、結局のところ最初の一歩を止める効果を持ちます。

まとめ

  1. 2026年9月の月例更新は973件（当サイト集計では1,185件）。悪用が確認されたのは2件、公開済みゼロデイは0件。PoCが広く出回る前の修正であり、早く当てるほど猶予が大きい。
  2. 悪用中2件は対象環境が完全に分かれている。CVE-2026-81963はWindows 11／Server 2025、CVE-2026-85880はWindows 10／Server 2022以前。混在環境はどちらも該当し、逃げ場がない。
  3. 今月は「当てたか」より「受け取れるか」。ESU未契約のWindows 10やサポート切れのServer 2012系には、悪用中の脆弱性の修正が届かない。例外の棚卸しを優先する。

関連記事

出典

タイトルとURLをコピーしました