2026年9月のPatch Tuesday：974件のCVE、2件のゼロデイ脆弱性

Microsoftの2026年9月のPatch Tuesdayリリースでは、974件のMicrosoft CVEに対応しており、これまでで最大のPatch Tuesdayリリースとなっています。このリリースは、Windowsのクライアントおよびサーバー、Microsoft 365アプリ、SQL Server、Exchange Server、Azure、開発者ツール、IDサービス、リモートアクセスコンポーネント、そしてWindowsの中核サブシステムに及びます。Microsoftはさらに、Microsoft以外の25件のCVEも再公開しています。

すでに2件の脆弱性が活発に悪用されています。Windows Advanced Local Procedure Call (ALPC) の CVE-2026-85880 と、Windows Update Stack の CVE-2026-81963 です。どちらも重要度 Important の権限昇格の脆弱性であり、深刻度ラベルだけでなく、悪用状況を優先して判断すべき理由を裏付けています。

評価すべきMicrosoftのCVEが1,000件近くある中、ITチームには、アクティブな悪用、システムの露出、業務上の重要度、そして影響を受ける各システムが環境内で果たす役割を考慮したリスクベースのロールアウトが必要です。

2026年9月のMicrosoftパッチ内訳

詳細な重大度情報がある973件のCVEのうち、Microsoftは113件をCritical、860件をImportantと評価しました。Microsoftによると、964件は顧客側での対応が必要で、9件はMicrosoftのクラウドインフラ内で解決されました。

特権昇格とリモートコード実行が、今回のリリースの大半を占めています。

権限昇格とリモートコード実行の脆弱性が多数あるため、特権アクセスやより広範な侵害への経路となる可能性が高いシステムを特定することが特に重要です。

脆弱性が集中している箇所

今月の脆弱性の大半はWindowsに関するものですが、今回のリリースは生産性向上アプリケーションや重要なサーバーインフラにも影響します。

現在悪用が確認されている2件のゼロデイ脆弱性には、直ちに対応が必要です

Microsoftは、Windowsの2件の特権昇格の脆弱性が実際に悪用されていることを確認しました。

権限昇格の脆弱性では、通常、攻撃者がまず何らかのアクセス権を持っている必要がありますが、限定的なアクセスを影響を受けるシステムの制御へと変える助けになる可能性があります。Microsoftがすでに悪用を検出しているため、どちらの脆弱性も、重大度や理論上のリスクだけで優先順位が付けられた脆弱性より先に対応すべきです。

次に優先して対処すべき重大な脆弱性

Microsoftは113件の脆弱性をCriticalと評価しており、そのうち82件はリモートコード実行の脆弱性です。これらを一律のグループとして扱うのではなく、影響を受けるインフラ、その公開状況、侵害された場合の潜在的な影響に応じて優先順位を付けてください。

Windows DNS Server

6件の重大なリモートコード実行の脆弱性がWindows DNS Serverに影響します。

• CVE-2026-69730

• CVE-2026-69827

• CVE-2026-69858

• CVE-2026-69813

• CVE-2026-77505

• CVE-2026-72987

DNS は Windows ネットワークと Active Directory 環境の基盤です。ドメイン統合 DNS サーバーと、信頼されていないネットワークから到達可能な影響対象システムを優先してください。

IDおよびドメインインフラストラクチャ

今回のリリースには、Windowsの認証の中核を担う複数のコンポーネントにおける重大なリモートコード実行の脆弱性が含まれています：

Kerberos、キー配布センター、Netlogonは、Windowsドメイン全体の認証をサポートしています。そのため、ドメインコントローラーやIDサービスを支えるその他のシステムは、悪用が確認されている2件のゼロデイの後、最初に評価してパッチを適用すべきサーバーに含める必要があります。

リモートアクセスとネットワークサービス

CVE-2026-69518 は Windows Remote Desktop に影響し、CVE-2026-69590、CVE-2026-72950、CVE-2026-72959、および CVE-2026-69852 は Windows Routing and Remote Access Service (RRAS) に影響します。

これらのコンポーネントは、インターネットから到達可能であったり、VPNサービスに接続されていたり、信頼性の低いネットワークセグメントからアクセス可能であったりする場合、優先度の高い露出を生み出す可能性があります。ITチームは、影響を受けるサービスがどこで有効になっているかを特定し、外部から到達可能なシステムや業務上重要なシステムを優先的に対応すべきです。

SQL Server と Exchange Server

4件の重大なリモートコード実行の脆弱性がMicrosoft SQL Serverに影響します：

• CVE-2026-67631

• CVE-2026-67378

• CVE-2026-67636

• CVE-2026-67643

データベースやメッセージングシステムには機密性の高い業務データが含まれていることが多く、他のリソースに対する特権アクセスで運用されている場合もあります。影響を受けるSQL ServerおよびExchange Serverの設定を速やかに確認し、外部に公開されているシステム、重要なワークロード、高価値データへのアクセスを持つシステムを優先してください。

Hyper-V、フェールオーバー クラスタリング、設定インフラストラクチャ

今回の9月のリリースには、複数のワークロードや下流システムに影響を与える可能性がある、インフラにおける重大なリモートコード実行の脆弱性も含まれています。

パッチ適用のタイミングでは可用性要件を考慮する必要がありますが、これらのシステムには重要なワークロードが集中しているため、修正対応の遅れはリスクが高くなります。即時展開によって本番サービスに支障が出る可能性がある場合は、段階的なテストと調整済みのメンテナンス時間帯を活用してください。

Microsoft 365 および Office アプリケーション

このリリースには、CriticalのWordのリモートコード実行の脆弱性が3件、CriticalのExcelのリモートコード実行の脆弱性が6件、そしてCriticalのOutlookのリモートコード実行の脆弱性が4件含まれています。

Officeアプリケーションは引き続き重要です。悪意のあるファイルやメールコンテンツが、ユーザー環境への初期侵入経路となる可能性があるためです。これらの更新は通常、悪用された脆弱性や公開されたインフラストラクチャに続いて適用すべきですが、外部との文書のやり取りが多い組織や、リスクの高いユーザーグループを抱える組織では、設定を前倒しする必要がある場合があります。

2026年9月のパッチに優先順位を付ける方法

すべての環境に当てはまる固定のタイムラインはありません。まずは以下の階層を出発点として使用し、その後、露出度、影響を受ける資産、ビジネスへの影響、利用可能な緩和策、テスト要件に基づいて調整してください。

72時間以内にパッチを適用

優先順位:

• Microsoftがアクティブな悪用を確認しているため、CVE-2026-85880とCVE-2026-81963

• ドメイン統合されている、または外部から到達可能なシステム上のWindows DNS Serverの脆弱性

• IDインフラストラクチャにおけるKerberos、Netlogon、Key Distribution Center、およびActive Directory Domain Servicesの更新

• 外部に公開されている、またはリモートアクセス可能なシステム上のWindows Remote DesktopおよびRRASの脆弱性

• 機密性の高い、または外部から到達可能なワークロードに影響を与える、SQL Server と Exchange Server の重大な脆弱性

• 重要インフラにおける Windows Deployment Services、Failover Cluster、Hyper-V の脆弱性

• 後に「Exploitation More Likely」とマークされた、またはCISAのKnown Exploited Vulnerabilitiesカタログに追加された脆弱性

インターネットに公開されているシステム、ドメインコントローラー、VPNゲートウェイ、リモートアクセスサービス、および特権資格情報や重要なワークロードを扱うシステムを、この層の最優先に移してください。

1〜2週間以内にパッチを適用

優先順位:

• Microsoft Word、Excel、PowerPoint、Outlook、SharePointのリモートコード実行の脆弱性

• メディア、グラフィックス、コーデック、WebP、イメージング、その他のクライアント側の脆弱性

• Windows Hello、Credential Guard、およびその他の認証関連の権限昇格の脆弱性

• エッジに公開されていない仮想化およびストレージシステム

• Visual Studio、Visual Studio Code、PowerShell、および開発者エンドポイント上の .NET の更新

露出状況と業務上の役割は、引き続き標準のタイムラインよりも優先して考慮すべきです。たとえば、日常的に外部文書を受け取る高リスクのユーザーグループでは、Officeの更新をより早く行う必要がある場合があります。

通常のパッチ適用サイクル

含めるもの:

• 露出が限定的なコンポーネントにおける重大度の低い脆弱性

• 厳格に管理されたシステムにおけるローカルアクセス限定の脆弱性

• 物理アクセスが制限されたデバイスにおける周辺機器およびデバイスドライバーの問題

• 効果的な代替コントロールで保護された、インターネットに公開されていないシステム

深刻度だけでパッチ適用の順序を決めるべきではありません。優先順位を決めるには、悪用が確認されているか、攻撃経路、システムの公開状況、必要な権限、業務上の重要度、そして他のシステムへの潜在的な影響を基準にするほうが有効です。

注目すべきサードパーティの更新

Microsoftは、今月のリリースにあわせてMicrosoft以外のCVE 25件も再公開しています。ChromiumベースのリリースサイクルでMicrosoft Edgeを管理している組織は、関連するブラウザーの更新を個別に確認する必要があります。

ブラウザ、開発者ツール、オープンソース依存関係、サードパーティ製アプリケーションの更新は、オペレーティングシステムの更新と同じ脆弱性管理ワークフローの一部として維持する必要があります。Windowsのパッチ適用が最新であっても、プロセスが分かれていると死角が生じる可能性があります。

9月のPatch TuesdayがITチームにとって重要な理由

9月のリリースは、単なる大規模なパッチ適用イベントではありません。ITチームが対処すべき3つの運用上の課題が浮き彫りになっています。

1. 件数が多く、手動での優先順位付けは現実的ではない

約1,000件のMicrosoft CVEすべてを同じ緊急度で扱うことはできません。ITチームは、どの資産が影響を受けているか、どの脆弱性が悪用されているか、そしてどのシステムがID、リモートアクセス、データベース、コラボレーション、または重要なワークロードを支えているかを判断する必要があります。

その評価は、正確な資産およびソフトウェアのインベントリに依存します。それがなければ、露出したシステムが脆弱なまま残っている一方で、チームはリスクの低い更新に時間を費やしてしまう可能性があります。

2. 中核となるエンタープライズインフラが大きな割合を占めています

9月のアップデートは、IDサービス、DNS、リモートアクセス、データベース、メッセージング、仮想化、エンドポイントOSに同時に及びます。その結果、サーバーとユーザーデバイスの両方で優先対応事項が重なり、それぞれに異なるテストとメンテナンスの要件が生じます。

段階的なロールアウトにより、チームは最もリスクの高いシステムへの対応を迅速に進めつつ、組織全体に設定する前に、より広範な更新をテストできます。

3. 設定と同じくらいパッチの検証も重要です

アップデートを送信しただけでは、すべてのデバイスが保護されていることの証明にはなりません。システムがオフラインになっていたり、インストールに失敗したり、エンドポイントが設定の実行タイミングを逃したりする可能性があります。

IT チームは、どのデバイスに脆弱性が残っているか、どのパッチが成功したか、どれが失敗したか、そしてどのシステムで再度の設定試行または追加の修復対応が必要かを把握する必要があります。

Splashtop AEMがパッチの優先順位付けと設定にどう役立つか

974件のMicrosoft CVEを含むPatch Tuesdayのリリースでは、環境内で何が重要かを特定することと、適切な更新を迅速に展開することという2つの差し迫った課題が生じます。Splashtop AEM は、ITチームがこの両方を一元管理コンソールから管理するのに役立ちます。

• リスクの所在を確認: Splashtop AEMは、脆弱性、パッチ状況、ハードウェアとソフトウェアのインベントリ、エンドポイントの健全性を一元的に可視化します。ITチームはそのコンテキストを活用して、影響を受けるデバイスを特定し、どこで緊急の対処が必要かを把握できます。

• 最も重要な脆弱性を優先しましょう: CVEに関するインサイトとエンドポイントレベルの情報により、チームは悪用されている脆弱性、高リスクのソフトウェア、重要システム、IDやリモートアクセスなどの機密機能を支えるデバイスに注力できます。

• 更新をより迅速に設定: Splashtop AEMは、リアルタイムのパッチ適用、自動パッチポリシー、スケジュールされた設定、リングベースのロールアウトをサポートします。チームはより小規模なデバイスグループで更新をテストし、段階的に設定を拡大し、環境全体の可視性を失うことなく成功または失敗を監視できます。

• 既存のパッチ適用ワークフローを強化: 今なおパッチ適用の一部を手作業で行っているチームは、繰り返し発生する設定作業や確認作業を自動化できます。Splashtop AEMはMicrosoft Intuneを強化できます。既存の環境にリアルタイムのパッチ適用、CVEの可視化、修復機能を追加できます。RMMを使用している組織は、追加機能が必要な場面で、Splashtop AEMを活用してパッチの可視性、自動化、エンドポイントワークフローを強化できます。

Splashtop AEMで高リスクの脆弱性により迅速に対応

9月の記録的なPatch Tuesdayは、パッチ管理がいかに迅速に優先順位付けと検証の問題になるかを示しています。ITチームは、分散環境全体のシステムを把握し続けながら、公開されているデバイスを特定し、緊急の更新を設定し、対策の完了を確認する必要があります。

Splashtop AEMは、CVEの可視化、リアルタイムのパッチ適用、自動化、パッチステータスの監視、エンドポイントのインサイトを1つのプラットフォームに統合します。

Splashtop AEMの無料トライアルを始めて、脆弱なエンドポイントを特定し、高リスクの更新に優先順位を付け、より迅速にパッチを設定しましょう。