毎月第2火曜（日本時間では水曜の未明）に配信されるMicrosoftの更新は、情報システムの担当者にとって定例の作業です。今月はその件数が1,413件と、月として過去最多になりました。件数そのものより、含まれている中身と、同じタイミングでサポートが終わった製品の扱いに目を向ける必要があります。
何が起きたか
Microsoftは10月14日（日本時間）、10月の月例更新を配信し、自社製品の脆弱性1,413件（うちWindowsが1,102件）を修正しました。このうちWindows ShellのCVE-2026-96951は、インターネットから入手したファイルに付く保護マーク（Mark of the Web）の仕組みを回避して警告を表示させなくするもので、細工したファイルを開くか攻撃者のサイトを訪れると成立し、すでに攻撃に使われています。ほかに、Outlookでメールをプレビュー表示するだけで悪用されうるリモートコード実行の脆弱性が複数含まれ、同じタイミングでOffice 2021のサポートとWindows Server 2012／2012 R2の延長サポートが終了しています（Rapid7、クラウド Watch、ビジネス+IT）。
なぜ自社に関係があるのか
- *件数が増えている理由と、その意味。**脆弱性の発見にAIが使われるようになり、修正の件数は今年の夏ごろから急増しています。脆弱性情報を扱うZero Day Initiativeの集計では、今月1か月分だけで2025年の1年間の件数を上回りました。この流れは今後も続くと見られます。運用への影響は単純で、「月例更新を数か月まとめて当てる」というやり方の危険が増しました。1回飛ばすだけで、未修正の脆弱性が千件単位で残ります。
- *悪用済みの1件の性質。**この脆弱性は、ダウンロードしたファイルを開くときに本来出るはずの警告を出さなくします。「怪しいファイルは警告が出るから分かる」という前提が崩れるということです。社員に「警告が出たら止まる」と教えている会社ほど、更新を急ぐ理由があります。フィッシングで届く細工されたファイルが、警告なしで開く状態を想像してください。
- *プレビューで成立する種類。**Outlookの脆弱性のうち複数は、添付ファイルを開かなくても、メールをプレビュー表示した時点で成立しうるものです。「添付を開かなければ安全」という考え方が通用しません。対策は更新を当てることに尽きます。
- *サポートが終わった製品。**Office 2021とWindows Server 2012／2012 R2は、今回を最後に更新が届かなくなります。これらが残っている環境は、今後見つかる脆弱性がすべて未修正のまま残り、ランサムウェアの入口になります。
明日やること
- WindowsとOfficeの更新を今週中に全端末へ適用する。自動更新の設定、長期間オフになっていた端末、再起動が済んでいない端末を洗い出す。更新が当たっていない端末の一覧が出せない場合は、その一覧を作ることが最初の作業になる
- Outlookを使う端末を優先する。更新が完了するまでの間、プレビューウィンドウを無効にする一時対応も検討する
- Office 2021、Windows Server 2012／2012 R2が残っていないかを一覧で確認し、残っていれば移行計画を立てる。更新が届かない製品は、見つかった脆弱性をCVSSの数字で優先順位を付ける対象にもならない
もっと知るには
脆弱性の深刻度を自社の優先順位に翻訳する方法はCVEとCVSSとはで解説しています。細工されたファイルが届く経路はフィッシング詐欺とは、未更新の端末が入口になった先に起きることはランサムウェアとはをご覧ください。
