米マイクロソフトが9月8日、月例セキュリティ更新プログラム「パッチチューズデー」を公開し、過去最多となる約970件の脆弱性を修正しました。このうち2件は、すでに攻撃に悪用されている「ゼロデイ脆弱性」でした。
悪用中のゼロデイ2件を修正
ゼロデイとは、修正プログラムが提供される前に攻撃者に悪用されてしまう欠陥のことです。今回修正された2件はいずれも権限昇格の脆弱性で、「CVE-2026-85880」はWindowsの内部通信機能に潜むバッファオーバーフローの問題、「CVE-2026-81963」はWindows Updateの仕組みに関わる欠陥です。攻撃者はこれらを突くことで、端末の管理者権限を奪える恐れがありました。
緊急105件、広範な製品群が対象
修正対象は極めて広範で、深刻度が最も高い「Critical（緊急）」に分類された脆弱性だけでも105件に上ります。その多くは、外部から遠隔でプログラムを実行できてしまうリモートコード実行の欠陥です。対象はWindows本体に加え、Office、SQL Server、Exchange、SharePoint、Azureなど、企業が日常的に使う製品群に及びます。
セキュリティ更新の規模が過去最大を更新し続けている背景には、AIを使った脆弱性発見の高度化や、攻撃者側の探索能力の向上があります。専門家は、悪用が確認されているゼロデイについては特に、できるだけ早い更新の適用を強く呼びかけています。
日本への影響
Windowsは日本の企業や官公庁、家庭のパソコンで圧倒的なシェアを占めるため、今回の更新は多くの読者に直接関係します。とりわけ悪用が確認された2件のゼロデイは、放置すれば社内ネットワークへの侵入や情報流出の入り口になりかねず、日本国内の中小企業でもランサムウェア（身代金要求型ウイルス）被害が後を絶ちません。個人の利用者は、Windows Updateを手動で確認し、更新プログラムを速やかに適用することが最も確実な防御になります。企業のシステム管理者にとっては、業務への影響を検証しつつも、緊急度の高い脆弱性から優先して対応する体制づくりが求められます。パソコンを長時間つけっぱなしにせず、更新後に再起動して修正を有効化する習慣も、被害を防ぐうえで欠かせません。
まとめ：更新の後回しは思わぬ被害を招きます。まずはWindows Updateの確認から始めてみてはいかがでしょうか。
出典：
BleepingComputer – Microsoft September 2026 Patch Tuesday
SecurityWeek – Microsoft patches record vulnerabilities
CyberScoop – Microsoft discloses two actively exploited zero-days
Photo: Sasun Bughdaryan / Unsplash
