Microsoftの2026年10月のPatch Tuesdayリリースでは、1,413件のMicrosoft CVEに対応しており、9月に記録した前回の最多件数974件からわずか1か月で新記録を更新しました。これは前月比で約45%の増加です。このリリースは、Windows、Microsoft 365とOfficeアプリ、SharePoint Server、SQL Server、Exchange Server、Azure、Defender、開発者ツールに及びます。Microsoftはさらに、Microsoft以外のCVE 1件も再公開しています。
すでに積極的に悪用されている脆弱性が1件あります。Windows Shellのセキュリティ機能バイパスであるCVE-2026-96951です。2件目の.NET FrameworkのCVE-2026-108398はすでに公開されており、Microsoftはまだ攻撃を確認していないものの、技術的な詳細はすでに入手可能です。どちらも重要と評価されており、深刻度ラベルだけでなく悪用状況を優先して判断すべき理由が改めて示されています。
評価すべき Microsoft のCVEが1,400件を超える中、ITチームには、攻撃者に悪用される可能性が最も高い脆弱性と、侵害された場合に最も大きな被害をもたらすシステムから着手するリスクベースの展開が必要です。
Microsoft 2026年10月のパッチ内訳
深刻度評価のある1,408件のCVEのうち、Microsoftは78件をCritical、1,329件をImportant、1件をModerateと評価しました。1,408件すべてで、インストールのために更新を適用するという顧客側の対応が必要です。
カテゴリ | 2026年10月 |
Microsoft CVEの対応状況 | 1,413 |
重大 | 78 |
重要 | 1,329 |
中程度 | 1 |
顧客側の対応が必要なCVE | 1,408 |
悪用が確認されているゼロデイ | 1 |
公開された脆弱性 | 1 |
重大なリモートコード実行の脆弱性 | 65 |
再公開されたMicrosoft以外のCVE | 1 |
権限昇格とリモートコード実行が、今回のリリースのおよそ70%を占めています:
脆弱性の種類 | 件数 |
権限昇格 | 673 |
リモートコード実行 | 315 |
情報漏えい | 252 |
サービス拒否 | 72 |
セキュリティ機能のバイパス | 40 |
改ざん | 29 |
なりすまし | 27 |
権限昇格の脆弱性は限定的なアクセスをシステムの完全な制御へと変え得る一方、リモートコード実行の脆弱性はその初期アクセスを許してしまう可能性があります。1回のリリースにこの2種類が1,000件近く含まれているため、ITチームは影響を受けるシステムのうち、どれが外部にさらされており、どれが特権アクセスを持っているのかを把握する必要があります。
脆弱性が集中している箇所
今月のCVEの4分の3以上をWindowsが占めています。さらに、OfficeとSharePoint Serverを合わせると170件、開発者ツールは60件の個別アップデート全体で61件を占めています。
製品ファミリー | 対処された脆弱性 | 個別の更新プログラム |
Janela | 1,102 | 39 |
Office | 134 | 11 |
開発者ツール | 61 | 60 |
SharePoint Server | 36 | 1 |
その他 | 32 | 25 |
SQL Server | 22 | 8 |
Azure | 15 | 20 |
Exchange Server | 7 | 8 |
Defender | 4 | 3 |
Edge | 0 | 1 |
合計 | 1,414 | 176 |
このリリースについてMicrosoftが公開している数値にはわずかな差異があります。リリースノートでは1,413件のCVEとされていますが、製品ファミリー別の内訳を合計すると1,414件となり、公開されているCVE一覧には1,411件が含まれています。本記事では、Microsoftのリリースノートに記載されている1,413件という数値を使用します。
悪用されたゼロデイが1件、一般公開された脆弱性が1件
Microsoftは今月、悪用可能性に関する特別な指定が付いた2件のCVEにフラグを付けました。どちらも重要度が「重要」のセキュリティ機能バイパスの脆弱性です。
CVE | 影響を受けるコンポーネント | 深刻度 | 悪用状況 | 重要な理由 |
CVE-2026-96951 | Windows Shell | 重要 | 悪用を検出 | これにより攻撃者は、インターネットからダウンロードしたファイルに対して警告や制限をトリガーするWindowsの保護機能であるMark of the Webを回避できます。 |
CVE-2026-108398 | .NET Framework | 重要 | 公開済み | 認証済みの攻撃者が Windows Defender Application Control を回避し、保護されたプロセス内でコードを実行できる可能性があります。 |
セキュリティ機能のバイパス脆弱性が、それ単独で攻撃を完結させることはほとんどありません。通常は、リモートコード実行や権限昇格のような別の脆弱性と組み合わせて機能し、そうでなければ次の段階をブロックしたり警告したりする保護機能を取り除きます。これらにパッチを適用することで、攻撃者がすでに利用している可能性のある攻撃の一段階を封じることができます。
CVE-2026-96951は、Important評価であっても、すべてのWindowsエンドポイントで最優先でパッチを適用する必要があります。Mark of the Webがバイパスされると、メールやチャットで送られた悪意のあるファイルが、ユーザーが通常目にする警告なしに開かれてしまう可能性があります。それでもユーザーがそのファイルを開く必要があるため、この脆弱性はフィッシングや、この投稿の後半で扱うファイルベースの脆弱性と自然に組み合わさります。
CVE-2026-108398はまだ悪用されていませんが、すでに公開開示されているため、技術的な詳細はすでに入手可能です。そのため、悪用される可能性が高まります。攻撃者はまずそのシステム上のアカウントを必要とするため、この更新は特に、侵入者がすでに足場を築いている状況を封じ込める目的でWindows Defender Application Controlや同様の許可リスト方式に依存している組織にとって重要です。
公開時点では、どちらのCVEもCISAのKnown Exploited Vulnerabilitiesカタログには掲載されていません。このような指定の後、数日以内に追加されることも多いため、展開を計画する際はカタログを確認してください。
次に優先すべき重大な脆弱性
Microsoftは今月、78件の脆弱性をCriticalと評価しました。そのうち65件はリモートコード実行の脆弱性で、残る13件は権限昇格またはなりすましです。これらをひとまとめに扱うのではなく、影響を受けるインフラ、それがどの程度外部にさらされているか、侵害された場合に何がリスクにさらされるかに基づいて優先順位を付けてください。
Windows DHCPおよびネットワークに公開されたサービス
重大なリモートコード実行の脆弱性5件がWindows DHCP Serverに影響します。
CVE-2026-96934
CVE-2026-88117
CVE-2026-88120
CVE-2026-88119
CVE-2026-88171
DHCP Serverは通常、内部ネットワークセグメント全体から到達可能であるため、ネットワーク全体の侵害に向けた頻繁なピボットポイントになります。今回のリリースには、DHCP ClientにおけるCriticalのリモートコード実行の脆弱性（CVE-2026-70250）も含まれています。
今月は、このほかにも複数のネットワーク公開サービスにCriticalのリモートコード実行の脆弱性があります。
CVE | 影響を受けるコンポーネント |
CVE-2026-105016、CVE-2026-100219 | Microsoft QUIC |
CVE-2026-70187 | リモートデスクトップ ゲートウェイ |
CVE-2026-108460、CVE-2026-100202 | メッセージ キューイング |
CVE-2026-69789 | RMCAST |
QUIC は HTTP/3 やその他のネットワークトランスポートを支えるため、これらの欠陥はインターネットに公開された Windows Server ワークロードで特に重要です。Remote Desktop Gateway は、多くのリモートアクセス展開の境界部分に配置されています。これらのサービスがどこで有効になっているかを特定し、外部から到達可能なシステムを優先対応の先頭に移してください。
IDおよび証明書インフラストラクチャ
重大な脆弱性は、認証、フェデレーション、および証明書登録を制御するサービスにも影響します。
CVE | 影響を受けるコンポーネント | タイプ |
CVE-2026-70229 | Active Directory Domain Services | リモートコード実行 |
CVE-2026-69802 | Network Device Enrollment Service (NDES) | リモートコード実行 |
CVE-2026-108131、CVE-2026-96222 | Active Directory Federation Services (AD FS) | なりすまし |
いずれも今回のリリースでは1件ずつのみですが、どれも価値の高い標的に影響します。ドメイン コントローラーや証明書登録サービスが侵害されると、攻撃者は環境全体にアクセス範囲を広げられる可能性があります。AD FSのなりすましは、多くの組織が依存しているフェデレーション シングルサインオンの信頼を損なう可能性があります。ドメイン コントローラー、AD FSサーバー、NDESサーバーは、悪用されたゼロデイの後に最初に評価すべきサーバー群に含めるべきです。
Exchange Serverと設定インフラストラクチャ
Exchange Server（CVE-2026-70571）とWindows Deployment Services（CVE-2026-88174）には、それぞれCriticalのリモートコード実行の脆弱性があります。SharePoint Serverには、Criticalの権限昇格の脆弱性（CVE-2026-102866）があります。
ExchangeとSharePointは機密性の高い業務データを保持していることが多く、他の社内リソースにも接続されています。Deployment Servicesは、イメージ展開やプロビジョニングでそれに依存するすべてのエンドポイントに影響を及ぼす可能性があります。外部に公開されているものや高価値データにアクセスできる展開環境を優先してください。
Hyper-V と VBS Enclave
今月の更新には、Hyper-Vにおけるホストレベルのコード実行と、Windows Virtualization-Based Security (VBS) Enclaveおよび中核カーネル コンポーネントにおける重大な特権昇格の欠陥が含まれています。
CVE | 影響を受けるコンポーネント | タイプ | 運用上の懸念 |
CVE-2026-102214, CVE-2026-105733 | Windows Hyper-V | リモートコード実行 | 脆弱なホストは、その上で稼働するすべてのゲストVMをリスクにさらす可能性があります。 |
CVE-2026-108399 | Windows Hyper-V | 権限昇格 | 初期アクセス後、ホスト上での攻撃者の支配を拡大する可能性があります。 |
CVE-2026-108471, CVE-2026-108130, CVE-2026-102211, CVE-2026-96914, CVE-2026-88074 | VBS Enclave | 権限昇格 | VBS Enclave は、仮想化ワークロード内の機密データやシークレットを保護するために使用されます。 |
CVE-2026-96913, CVE-2026-88073, CVE-2026-83917, CVE-2026-62840 | Windows カーネル、グラフィックス カーネル、ALPC、Linux カーネル（WSL） | 権限昇格 | これらは初期アクセスの欠陥と組み合わさることで、攻撃者にSYSTEMまたはroot権限を与える可能性があります。 |
Hyper-Vホストは、厳格な可用性要件を持つ本番ワークロードをサポートしていることがよくあります。即時展開によってサービスが中断する可能性がある場合は、段階的なテストと調整されたメンテナンス時間を活用してください。ただし、その時間のためにホストレベルのパッチ適用を長く遅らせないようにしましょう。
Microsoft 365およびOfficeアプリケーション
今月の重大なリモートコード実行の脆弱性のうち、34件はOfficeアプリケーションに関連しています。
アプリケーション | 重大なRCE脆弱性 |
Excel | 19 |
Outlook | 5 |
PowerPoint | 4 |
Word | 3 |
Visio | 3 |
Excelは特に目立っており、単一アプリ内に重大な欠陥が異例なほど集中しています。悪意のある文書は、依然としてフィッシングを起点としてユーザー環境に侵入する最も一般的な経路の1つです。今月は、そのリスクがさらに高まっています。というのも、悪用されているMark of the Webのバイパスにより、ダウンロードしたファイルに通常ユーザーが目にする警告が取り除かれる可能性があるためです。Visioは、Word、Excel、Outlookよりもパッチ優先度リストで下位に置かれることが多いものの、文書ベースのリスクは同じです。
メディア、グラフィックス、プリンタードライバー
重大なリモートコード実行の脆弱性10件が、Media Foundation、GDI+、Codecs、Windows PDF、Text Shaping、Raw Image Extension（CVE-2026-96202およびCVE-2026-96943）を含む、メディア、グラフィックス、ドキュメントレンダリングの各コンポーネントに影響します。これらは、細工された画像、動画、フォント、またはPDFを開くだけで、マクロやスクリプトがなくても悪用される可能性があります。
PostScript Printer Driverにも、CVE-2026-70153、CVE-2026-70147、CVE-2026-108467という3件の重大なリモートコード実行の脆弱性があります。プリンタードライバーは広く導入されている一方で、パッチ適用サイクルでは見落とされがちです。今回のリリースの他の項目と同じ展開対象に含まれていることを確認してください。
2026年10月のパッチに優先順位を付ける方法
すべての環境に当てはまる固定されたタイムラインはありません。まずはこれらの階層を出発点として使い、その後、公開範囲、ビジネスへの影響、テスト要件に応じて調整してください。
72時間以内にパッチを適用
すべてのWindowsエンドポイント上のCVE-2026-96951（Windows シェル）、続いてCVE-2026-108398（.NET Framework）
Windows DHCP ServerおよびDHCP Client
リモートデスクトップ ゲートウェイ、NDES、Active Directory ドメイン サービス
インターネット向けのWindows Serverワークロード上のMicrosoft QUIC
Exchange ServerとSQL Server。まずは外部から到達可能なシステム、または機密データを保持しているシステムから着手します。
Hyper-V ホスト
その後CISA KEVカタログに追加された、またはExploitation More Likelyのフラグが付けられたCVE
1～2週間以内にパッチを適用
Office アプリケーション（Excel を筆頭に、Outlook、PowerPoint、Word、Visio）
カーネルおよびVBS Enclaveの権限昇格の脆弱性
メディア、グラフィックス、ドキュメントレンダリングの各コンポーネント、およびPostScript Printer Driver
開発者のワークステーション上のVisual Studio、Visual Studio Code、.NET
AzureおよびEntraの権限昇格の脆弱性
それでも、外部への露出状況はデフォルトのタイムラインより優先して考慮すべきです。日常的に外部のドキュメントを開くユーザーには、Officeの更新をより早く適用する必要があるかもしれません。
通常のパッチ適用サイクル
露出が限定的なコンポーネントにおける、重要評価の権限昇格および情報漏えいの脆弱性
物理アクセスが制限されたシステムにおける、ローカルアクセス限定の問題およびデバイス ドライバーの問題
インターネットに公開されておらず、代替コントロールが導入されているシステム
注目すべきサードパーティのアップデート
Microsoftが今月再公開しているMicrosoft以外のCVEは1件のみで、9月の25件から減少しています。Cisco Talosによって報告されたRaw Image Extensionのリモートコード実行の脆弱性、CVE-2026-21413です。これは、上記で取り上げたMicrosoft所有の重大なRaw Image Extensionの欠陥2件（CVE-2026-96202およびCVE-2026-96943）と同じコンポーネントに影響するため、3件すべてを単一の対処作業として処理できます。
このリリースでMicrosoft Edgeに新しいCVEはありませんでした。それでも各チームは、ブラウザー、開発ツール、サードパーティ製アプリケーションの更新を各自のスケジュールで確認し、OSの更新と同じ脆弱性管理ワークフローで運用し続ける必要があります。Windowsのパッチ適用が最新でも、プロセスが分かれていると見落としが生じる可能性があります。
10月のPatch TuesdayがITチームにとって重要な理由
10月のリリースでは、個々のCVEを超える2つの運用上の問題が浮上しています。
1. 件数が多すぎて手作業でのトリアージは現実的ではない
これは記録更新となるリリースが2か月連続で続いた2回目のケースであり、1か月でCVEが974件から1,413件へ急増したことで、手作業でレビューする余地はほとんどありません。チームは、どのデバイスで影響を受けるソフトウェアが実行されているのか、どの脆弱性が悪用されているのか、そしてどのシステムがID管理、リモートアクセス、または重要なワークロードを支えているのかを迅速に把握する必要があります。そのためには、正確なハードウェアおよびソフトウェアのインベントリが欠かせません。
Microsoftはこの件数の多さにも対応しています。今回のリリースでは、どのシステムが信頼されていないファイルを処理するかといった共通の露出に関する観点で関連するCVEをまとめる試験的な手法として、リスクコホートが導入されました。Microsoftは、コホートは危険度を順位付けするものではないと述べており、したがって作業の優先順は引き続き悪用状況と露出状況に基づいて決めるべきだとしています。
2. 一部のシステムはセキュリティ更新プログラムの最終提供を受けたばかりです
10月の更新は、Windows 11 version 24H2 HomeおよびPro、ならびにWindows 10 Enterprise LTSB 2016向けの最後のセキュリティ更新です。Windows 11 version 23H2 Enterprise、Education、およびIoT Enterpriseは、11月に更新提供が終了します。これらのエディションを実行しているデバイスは、チームがどれだけ迅速にパッチを適用しても、終了日以降は修正プログラムを受け取れなくなります。今すぐそれらを特定し、アップグレードを計画してください。今月のゼロデイ修正が、それらにとって最後の保護になる可能性があるためです。
Splashtop AEMがパッチの優先順位付けと展開にどう役立つか
1,413件のCVEを含み、悪用されたゼロデイもある今回のリリースでは、ITチームには2つの課題があります。自社環境で重要なものを見極めることと、適切な更新をすばやく適用することです。Splashtop AEM（Autonomous Endpoint Management）は、その両方を一元化されたコンソールから処理します。
公開状態のデバイスを特定: Splashtop AEMは、CISAのKnown Exploited Vulnerabilitiesカタログにある脆弱性を含むCVEについて、WindowsおよびmacOSのエンドポイントを継続的にスキャンし、パッチ状況やハードウェア／ソフトウェアのインベントリもあわせて確認します。
攻撃者が悪用しているものを優先: AIを活用したCVEの要約とリスクシグナルにより、チームはCVE-2026-96951のような脆弱性を今回のリリース内の他の項目より優先して対応できます。
設定と確認をより迅速に: OSとサードパーティアプリケーションのリアルタイムパッチ適用、自動化ポリシー、メンテナンスウィンドウ、更新リングにより、チームはOfficeやサーバーの更新をまず少数のデバイスグループでテストできます。その後、チームは展開対象を拡大し、どのインストールが成功したか、または失敗したかを追跡できます。
既存のワークフローを強化: Splashtop AEM can enhance Microsoft Intune に、リアルタイムのパッチ適用、CVEの可視化、修復を追加できます。RMMを使用しているチームは、それを使ってパッチの可視性と自動化のギャップを埋めることができます。
Splashtop AEMで過去最多のPatch Tuesday件数に先手を打つ
10月のリリースは、パッチ管理がいかに急速にトリアージの問題へと変わるかを示しています。1,413件のCVEに加え、悪用されたゼロデイ脆弱性も含まれているため、ITチームは公開されているデバイスを特定し、最も緊急性の高い更新から設定し、すべてのエンドポイントがカバーされていることを確認する必要があります。
Splashtop AEMの無料トライアルを始めて、どのエンドポイントに脆弱性があるかを確認し、リスクの高い更新を優先し、より迅速にパッチを設定しましょう。
