米マイクロソフトは10月の月例セキュリティ更新で、過去最多となる1400件超の脆弱性（ぜいじゃくせい＝システムの安全上の欠陥）を修正しました。このうち1件はすでに攻撃に悪用されており、同社は利用者に速やかな更新を呼びかけています。
悪用済みのゼロデイ欠陥
すでに悪用が確認されたのは「CVE-2026-96951」と名付けられた欠陥で、ウィンドウズの基本機能である「シェル」に関わります。インターネットから入手したファイルに付く警告の仕組み「Mark of the Web（マーク・オブ・ザ・ウェブ）」を回避し、本来表示されるはずの安全警告や保護ビューを出さないまま、悪意あるファイルを開かせる恐れがあります。メールやメッセージ、ダウンロードを通じて細工したファイルが届き、利用者がそれを開くと被害に遭う仕組みです。
記録を更新し続ける修正件数
今回の修正件数は1400件を超え、月例更新としては過去最多を更新しました。このうち55件は、利用者の操作を必要とせず遠隔から悪用されうる「ワーム型」の重大な欠陥とされます。DHCPサーバーやリモートデスクトップ・ゲートウェイなど、企業ネットワークの基盤となる製品が対象に含まれています。
専門家は件数より悪用性を重視
セキュリティ専門家は、修正件数の多さそのものよりも、実際に悪用されやすいかどうかで優先順位をつけるべきだと指摘します。あるアナリストは、AIの発達によって欠陥が発見・悪用されるまでの時間が短くなっていると警告しました。ウィンドウズのシェルが悪用されるのは、今年に入ってこれで3件目です。
日本への影響
月例更新は毎月のことですが、今回のように悪用済みの欠陥が含まれる場合、対応の遅れが即座にリスクに直結します。日本でもウィンドウズは企業・官公庁・家庭で広く使われており、「Mark of the Web」の回避は、取引先を装ったメールの添付ファイルを開いただけで被害に遭いかねない身近な脅威です。とりわけ標的型攻撃やばらまき型の不正メールが後を絶たない日本の環境では、警告表示を頼りに安全性を判断してきた利用者ほど、今回の欠陥の危うさを認識する必要があります。企業の情報システム担当者は速やかに更新を適用し、個人の利用者も自動更新が有効になっているかを確認することが大切です。見慣れない送信元のファイルは警告の有無にかかわらず開かないという習慣こそが、最後の砦となります。
まとめ：更新の通知を後回しにする習慣が、思わぬ扉を開けてしまいます。今日こそ、その一手間を惜しまないようにしたいところです。
出典：
https://www.helpnetsecurity.com/2026/10/14/microsoft-patch-tuesday-cve-2026-96951-motw-bypass/
https://securityaffairs.com/200953/security/microsoft-patch-tuesday-sets-new-record-with-1415-cves-in-october-2026-updates.html
Photo: Joshua Hoehne / Unsplash
