マイクロソフトが過去最多1,413件の脆弱性を修正、悪用が確認されたWindows Shellの欠陥も公表

マイクロソフトは月例セキュリティ更新プログラムにおいて、過去最多となる1,413件の脆弱性を修正しました。Windows Shellをはじめとする各種製品に深刻な欠陥が見つかっており、一部の脆弱性はすでに実際の攻撃で悪用されたことが報告されています。管理者は迅速なパッチ適用とリスク評価が求められます。

The Hacker News：Microsoft Patches Record 1,413 Flaws, Including Exploited Windows Shell Bug

この記事のポイント

影響のあるシステム

• Microsoft Windows（Windows Shellを含む複数のコンポーネント）
• Microsoft Office
• Microsoft Developer Tools
• SharePoint Server
• SQL Server
• .NET Framework
• MessagePack-CSharp
• Raw Image Extension

推奨される対策

• マイクロソフトが提供する最新のセキュリティ更新プログラムを適用する
• 悪用が確認されているWindows Shellの脆弱性（CVE-2026-96951）への対処を優先する
• 不審なリンクのクリックやメール添付ファイルの開封を避けるよう組織内で注意喚起する
• 自社環境の露出状況や機能の展開状況を評価し、リスクコホート等の考え方を用いて脆弱性の対応優先度を判断する

過去最多となる1,413件の脆弱性修正とその背景

マイクロソフトが公開した月例更新プログラムにおいて、合計1,413件という記録的な数の脆弱性が修正されました。対象となった内訳は、Windowsが1,102件、Officeが134件、Developer Toolsが61件、SharePoint Serverが36件、SQL Serverが22件に及んでいます。

深刻度や影響の観点では、特権昇格に関する欠陥が670件以上、リモートコード実行が300件以上、情報漏洩が250件報告されており、70件以上が緊急（Critical）と評価されています。人工知能（AI）を活用した調査アプローチの普及により、脆弱性の発見から修正までのスピードが加速していることがこの膨大な修正件数の背景にあると指摘されています。

セキュリティ担当者にとっては、単純に脆弱性の総数に追われるのではなく、悪用可能性や実際の脅威状況に基づいた優先順位付けがこれまで以上に重要になっています。

悪用が確認されたWindows Shellの脆弱性と注目の欠陥

今回のアップデートの中で特に警戒が必要なのが、Windows Shellに存在するコマンドインジェクションの脆弱性（CVE-2026-96951、CVSSスコア8.8）です。この欠陥は既に実際の攻撃で悪用されていることが確認されており、米CISAの既知の悪用された脆弱性（KEV）カタログにも追加されました。

CVE-2026-96951が悪用されると、インターネット経由で入手したファイルの実行を警告するMark of the Web（MOTW）防御が回避される危険があります。攻撃にはユーザーが不正なリンクをクリックしたり添付ファイルを開いたりする操作が必要とされますが、標的型メールなどを介した侵入に利用される懸念があります。

このほか、Windows Defender Application Control（WDAC）を回避して保護プロセス内でコードを実行できる.NET Frameworkの欠陥（CVE-2026-108398、CVSS 8.8）や、画像プレビュー生成時にリモートコード実行につながるRaw Image Extensionの欠陥（CVE-2026-21413、CVSS 9.8）など、注意すべき脆弱性が複数含まれています。

参考：CISA「CISA Adds Two Known Exploited Vulnerabilities to Catalog | CISA」

リスクコホートを活用した脆弱性対応の優先順位付け

毎月膨大な件数の脆弱性が報告される中、マイクロソフトは管理者が自社環境に合わせた対応優先度を判断しやすくするため、「リスクコホート」と呼ばれる新しいアプローチの概念を提案しています。

リスクコホートとは、システムへの展開状況や外部からの到達性など、共通の評価基準を持つ複数のCVEをグループ化する手法です。例えばリモートデスクトップ関連の脆弱性群において、対象機能が社外に露出しているか、VPN経由のみに制限されているかといった環境条件を整理することで、分析の重複を減らすことができます。

ただし、このグループ化はあくまで分析の出発点であり、最終的な判断を代替するものではありません。各脆弱性の深刻度や悪用実績の有無を個別に精査した上で、リスクの高いシステムから段階的にパッチを適用することが求められます。

参考：Microsoft「Using risk cohorts to prioritize security updates」

参考文献・記事一覧

• The Hacker News「Microsoft Patches Record 1,413 Flaws, Including Exploited Windows Shell Bug」
• CISA「CISA Adds Two Known Exploited Vulnerabilities to Catalog | CISA」
• Microsoft「Using risk cohorts to prioritize security updates」