Microsoftは2026年10月のセキュリティ更新を公開し、1,411件の脆弱性に対処した。これは、BleepingComputerの報告によると、同社が発表した月間件数として最多となる。今回のパッケージには「緊急」と分類された脆弱性が70件含まれており、その内訳はリモートコード実行の脆弱性57件、権限昇格の脆弱性11件、保護機構を回避する脆弱性2件となっている。
火曜日の更新で対処された脆弱性の内訳は、権限昇格677件、リモートコード実行317件、情報漏えい254件、サービス拒否73件、セキュリティ機能の回避40件、なりすまし28件となった。
3件のゼロデイ脆弱性
今回のパッケージには、Microsoftがゼロデイ脆弱性に分類した3件の脆弱性が含まれている。CVE-2026-96951はWindows Shellに存在し、実際に悪用されていた。この脆弱性を悪用すると、コマンドインジェクションによってMark of the Web機能を回避できる。Microsoftは、悪用した攻撃者や攻撃の実行方法について詳細を公開していない。
CVE-2026-108398は.NET Frameworkに存在し、公開済みとなっていた。この脆弱性を悪用すると、認証済みの攻撃者がWindows Defender Application Controlの制限を回避し、ユーザーの操作を必要とせずに保護されたプロセス内でコードを実行できる。脆弱性はGoogle Project ZeroのJames Forshaw氏が発見した。
Microsoftは、MessagePack-CSharpに存在するCVE-2026-92707にも対処した。これは公開済みのサービス拒否脆弱性で、ネットワーク経由で悪用できる。
Windowsの一部エディションがサポート終了
Microsoftは同日、Windows 11バージョン24H2のHomeおよびProエディションと、Windows 10 Enterprise LTSB 2016のサポート終了を発表した。2026年10月の更新はこれらのエディションに対する最後のセキュリティ更新となるため、影響を受ける組織やユーザーにとって、サポート対象のエディションへ移行することは直接的なセキュリティ上の課題となる。
同社は以前、Windows 11 23H2 Enterprise、Education、IoT Enterpriseの各エディションについて、翌月からセキュリティ更新の提供を停止すると説明していた。
セキュリティチームにとって実際に何が変わるのか
Microsoftは今回の更新とともに、類似した脆弱性を「リスクグループ」にまとめることで、パッチ適用の優先順位を決める実験的な方法を提示した。同社は10月分として15のグループを公開しており、その中には、Windowsのファイルシステム、ストレージ、バックアップシステムに関連する脆弱性136件、Officeドキュメントおよびメールクライアントに関する脆弱性135件、グラフィックス、メディア、コンテンツ処理に関する脆弱性131件、Windowsカーネルの権限境界に影響する脆弱性109件、インストール、展開、更新サービスに関連する脆弱性103件が含まれている。
Microsoftは、これらのグループに含まれる脆弱性が自動的に最も危険であることを意味するものではないと説明している。実際のリスクは、攻撃での悪用状況、深刻度、組織による製品の利用方法によって決まる。そのため、この仕組みは依然として実験的なものであり、現在のパッチ適用に関する推奨事項を補完するものであって、それに代わるものではない。
数字の範囲
1,411件という数字は、Microsoftが同じ火曜日に修正を公開した脆弱性に限られる。Azure API Center、Azure App Service、Azure Event Grid、Microsoft Exchange Server、Microsoft Partner Centerなどの製品やサービスについて、10月のそれ以前の時点で同社が修正した別の348件の脆弱性は含まれていない。
件数が増えたからといって、優先順位付けの必要性がなくなるわけではない。実際に悪用されている脆弱性や、公開状態にあるシステムまたは高い権限を持つシステムに影響する脆弱性は、膨大な一覧全体に一度に対処しようとする前に、緊急に処理する価値がある。ただし、この記事では影響を受けるすべての製品や社内展開スケジュールについて完全な詳細を示していないため、実施順序を決定する前にMicrosoftのセキュリティ情報を参照し、各組織の環境を評価することが不可欠となる。