Microsoftの10月のPatch Tuesday、過去最多の1,400件超の脆弱性を修正

Microsoftの2026年10月の更新プログラム（Patch Tuesday、パッチチューズデー）は、過去最多となる1,400件超の脆弱性を修正しました。Windows Shellのバグ1件はすでに悪用されており、さらに2件は修正前に公開されていました。

著者 Tech AI Wire Team

2026年10月14日4 分で読めます

X LinkedIn はてなブックマーク

他の言語で読む:原文（英語）Deutsch日本語Français Español Português

2026年10月13日のWindows 10セキュリティ更新プログラムKB5126657を説明するMicrosoft Supportのページ。左側に更新履歴が並んでいます。

数字で見る

flaws fixed; counts range from 1,411 to 1,415: 1,400+
flaw already exploited in attacks: 1
rated Critical, per BleepingComputer and CrowdStrike: 70-75
elevation of privilege bugs, the largest group: 677

Microsoftは10月13日、2026年10月のセキュリティ更新プログラムを公開し、1,400件を超える脆弱性を修正しました。1回のPatch Tuesdayとしては過去最多です。Patch Tuesdayは、Microsoftが毎月修正を配信する日です。CVE-2026-96951として追跡されているWindows Shellの脆弱性1件は、すでに攻撃に使われています。開発者に関係するものとしては、PowerShell、OpenSSH for Windows、Visual Studio Codeの緊急のバグも含まれています。

修正された脆弱性は正確に何件か

リリースごとに件数を数えている各社の集計は、合計が一致していません。この差は、それぞれがリリースの範囲をどこで区切るかによって生じています。

情報源	件数	備考
BleepingComputer	1,411	10月の早い時期に修正された348件を除外
CrowdStrike	1,413	75件が緊急（Critical）
Tenable	1,413	Microsoft自社製品を集計。うちWindowsが1,102件
Zero Day Initiative	1,415	初めて4桁に達した月と表現

BleepingComputerは、緊急の脆弱性を70件と数えています。種類別では、同サイトとCrowdStrikeのどちらも、権限昇格のバグを677件としています。権限昇格とは、攻撃者がマシン上でより多くの権限を得られるものです。両社はまた、リモートコード実行のバグを317件挙げています。これは、攻撃者が自分のコードを実行できるものです。

なぜこれほど多いのでしょうか。BleepingComputerによると、Microsoftは脆弱性の発見と修正に、AIプラットフォームを使い続けています。Zero Day InitiativeのDustin Childs氏は、AIが防御側と攻撃側の両方で、バグの発見を加速させていると述べています。「パッチの月がまた来れば、Microsoftのパッチ数はまた新記録になる」と同氏は書いています。

Microsoftは、脆弱性を15の「リスクコホート」にも分類しました。同社によると、このグループ分けは、どの脆弱性が最も危険かを示すものではありません。

攻撃者がすでに使っている脆弱性

CVE-2026-96951は、Windows Shellのセキュリティ機能のバイパスです。この脆弱性は、Mark of the Webを無効にしてしまいます。Mark of the Webは、インターネットからダウンロードしたファイルにWindowsが付けるタグです。ダウンロードしたファイルを開く前に警告を出すきっかけになるのが、このタグです。

Microsoftはこのバグをコマンドインジェクションと説明しており、悪用されていることを認めています。Zero Day InitiativeとCrowdStrikeは、10点満点中8.8と評価しています。誰が悪用しているのかは、どの報告も伝えていません。

Tenableは、Windows Server 2012 R2には修正が提供される一方、Windows Server 2012には提供されないと指摘しています。

修正前に公開されていた2件の脆弱性

ほかに2件のバグが、Microsoftがパッチを出す前に公開されていました。

CVE-2026-108398、.NET Framework、評価は8.8。 すでにログインしている攻撃者が、App Control for Windowsを回避できるようになります。App Control for Windowsは、実行してよいコードを制限する機能です。Microsoftによると、攻撃者は細工した.NETアセンブリを仕込み、保護されたプロセスで読み込まれるように登録します。
CVE-2026-92707、MessagePack-CSharp、評価は5.3。 データを小さなバイナリ形式に詰めるサードパーティ製ライブラリにある、サービス拒否（DoS）のバグです。サードパーティが公開したもので、Microsoftが自社の更新プログラムに含めました。

開発者が注意すべき緊急の脆弱性

いくつかの緊急の脆弱性は、開発者が毎日使うツールにあります。

脆弱性	コンポーネント	深刻度スコア
CVE-2026-83578	PowerShell、リモートコード実行	9.8
CVE-2026-97816	OpenSSH for Windows、リモートコード実行	9.8
CVE-2026-102238	Visual Studio Code、リモートコード実行	9.6
CVE-2026-100219、CVE-2026-105016	QUICネットワークプロトコル、リモートコード実行	9.8
CVE-2026-70571	Exchange Server、リモートコード実行	8.1

Zero Day Initiativeは、Exchangeのバグをワーム化が可能（wormable）だとしています。人の手を借りずに、マシンからマシンへ広がりうるという意味です。Tenableが引用したMicrosoft自身の評価は、「Exploitation More Likely」（悪用される可能性が高い）です。Tenableはまた、プレビューウィンドウ経由で発動しうるOutlookのバグ5件にも注意を促しています。

更新が終了するバージョン

BleepingComputerとTenableによると、今回のリリースは、一部の古いソフトウェアにとって最後の更新です。

Windows 11 24H2のHomeとProは、サービス期間の終了を迎えます。26H2への移行については、今月初めにお伝えしました。
Windows 10 Enterprise LTSB 2016は、最後の更新を受け取ります。
Windows Server 2012と2012 R2は、Tenableによると、10月14日に有償の拡張セキュリティ更新プログラム（ESU）の3年目を終えます。
Office 2021は10月14日にサポートが終了し、Exchange Server 2016と2019は10月15日から「ESUなし」（no ESU）の状態に移ります。

開発者にとっての意味

開発者のマシンから先にパッチを当てること。 PowerShell、OpenSSH、VS Codeのいずれにも緊急の修正があります。これらを実行するビルドサーバーやノートPCは、価値の高い標的です。
MessagePack-CSharpを更新すること。 NuGetの依存関係にMessagePackがないか確認し、アドバイザリーに記載された修正版に移行してください。
パッチを当てるまで、ダウンロードしたファイルに注意すること。 悪用されている脆弱性は、通常そうしたファイルから身を守ってくれる警告を無効にします。
Windows 11 24H2のHomeとProから移行すること。 これらのエディションには、今月を最後に修正が提供されなくなります。
パッチの多い月に備えること。 TenableのAdam Barnett氏は、件数は今後も増え続けると見ています。更新を1件ずつ手作業で確認するのではなく、仕分けとテストを自動化してください。