米マイクロソフトは同社製品に影響する974件のCVEを対象とした月例セキュリティ更新プログラムを公開した。
月間の修正対象が900件を超えるのは初めてで、うち2件は公開前から悪用が確認されている。
Windows中心に974件の脆弱性を修正
マイクロソフトは2026年9月8日（米国時間）、WindowsやOffice、Exchange Server、SQL Server、Azureなどを対象とするセキュリティ更新プログラムを公開した。
今回のリリースには974件のMicrosoft CVE（※）が含まれ、月間として初めて900件を超える規模となった。
内訳ではWindowsが723件と突出して多く、Officeが111件、SQLが62件、開発者向けツールが22件、SharePoint Serverが16件、Azureが12件などとなっている。
Windows 11やWindows Server、Office、SQL Server、Dynamics 365、Azureでは最大深刻度が「緊急」とされ、リモートコード実行や特権昇格につながる脆弱性も含まれた。
特に注意が必要なのが「CVE-2026-85880」と「CVE-2026-81963」の2件だ。
前者はWindows Advanced Local Procedure Callの特権昇格、後者はWindows Update Stackの特権昇格に関する脆弱性で、いずれも更新プログラム公開前から悪用が確認されている。
マイクロソフトは影響を受ける利用者に対し、可能な限り早期の更新適用を推奨している。
Windowsの今月の更新は再起動を必要とするベースライン更新となり、既存の脆弱性情報38件とセキュリティアドバイザリ1件も同時に更新された。
※CVE：公開された情報セキュリティ上の脆弱性を識別するための共通番号。個々の脆弱性に固有の番号を割り当てることで、ベンダーや利用者が同じ問題を識別・追跡しやすくする仕組み。
大規模更新で企業の脆弱性管理が重要に
今回の更新規模は、企業における脆弱性管理やパッチ適用の重要性を改めて浮き彫りにしたと言える。
特にWindowsを中心に多数の脆弱性が修正されているため、端末数の多い企業では更新状況を把握し、優先順位を付けて適用する運用が一段と重要になるだろう。
更新を適切に適用できれば、既知の攻撃経路を早期に塞ぎ、システム侵害のリスクを低減できるはずだ。
一方、企業環境では更新による既存システムへの影響も無視できない。
今回のWindows更新では再起動が必要になるほか、既知の問題が存在する可能性もあるため、業務システムとの互換性確認や段階的な展開が求められそうだ。
今後、修正対象となる脆弱性の増加が続けば、単純に更新件数を追うだけでは対応が難しくなる可能性もある。
悪用状況や深刻度、利用製品を基準に優先度を判断し、自社環境に合わせて更新を管理する体制の整備が、企業のセキュリティ対策で一層重要になるだろう。
関連記事：
Microsoftが新セキュリティAI「MAI-Cyber-1-Flash」発表 脆弱性管理を高速・低コスト化
ソフトバンク、AIで脆弱性診断からパッチ適用まで自動化 重要インフラ向け新サービスを3,000社へ拡大
OpenAIがサイバー防衛「Daybreak」を強化 脆弱性修正を発見からパッチ適用まで高速化
