Microsoft、2026年10月の月例パッチで1,411件の脆弱性を修正―攻撃に悪用されたWindows Shellゼロデイなど3件に対応

Microsoftは2026年10月13日（米国時間）、WindowsやOffice、.NET、Exchange Server、Active Directoryなどに関する月例セキュリティ更新プログラム（Patch Tuesday）を公開しました。米BleepingComputerの集計では修正対象は1,411件で、このうち70件が「Critical（緊急）」に分類されています。実際の攻撃で悪用が確認されたWindows Shellのセキュリティ機能回避「CVE-2026-96951」を含み、修正前から公表されていた脆弱性2件と合わせて、ゼロデイ計3件に対応したと報じています。

今回の更新に合わせ、Microsoftは大量のCVEを利用環境ごとの共通した評価項目で整理する試験的な「Risk Cohorts（リスクコホート）」も公開しました。脆弱性の実悪用、外部公開状況、設置している機能を踏まえて優先順位を付ける考え方です。

2026年10月のMicrosoft月例更新のサマリー

• 公開日：2026年10月13日（米国時間）
• 対象製品：Windows、Office、.NET、Active Directory、SharePoint、Exchange Server、SQL Serverなど
• 修正総数：1,411件
• 緊急度Critical：70件
• ゼロデイ：計3件（悪用確認済み1件、修正前に公開された2件）
• 悪用確認済み：CVE-2026-96951（Windows Shell、Mark of the Webの回避）
• 修正前に公開：CVE-2026-108398（.NET Framework、WDACの回避）、CVE-2026-92707（MessagePack-CSharp、サービス拒否）
• 追加で優先評価したい脆弱性：Active Directory Domain Services、Exchange Server、SharePointなどの認証・サーバー系CVE
• 新しい整理手法：Microsoftが15の試験的な「リスクコホート」を公開
• サポート期限：Windows 11 24H2のHome・Pro、Windows 10 Enterprise LTSB 2016が10月13日に更新終了

Windows ShellのCVE-2026-96951は実際の攻撃で悪用済み

優先度が高いのは、Windows Shellのセキュリティ機能回避の脆弱性「CVE-2026-96951」です。Microsoftのアドバイザリでは、Windows Shellにおけるコマンド処理の問題により、ネットワーク経由でセキュリティ機能が回避される可能性があると説明されています。CVSS v3.1基本値は8.8（High）で、Microsoftは実際の攻撃で悪用されたゼロデイとして扱っています。

問題となるのは「Mark of the Web（MOTW）」です。Windowsはインターネットなどから取得したファイルに出所を示す情報を付与し、実行時の警告やOfficeなどの保護機能の判断に利用します。今回の脆弱性は、この安全確認の仕組みをすり抜ける可能性があります。

Tenableは、メールやメッセージで悪意あるファイルを開かせるソーシャルエンジニアリングによる攻撃を想定しています。ただし、実際に観測された攻撃の具体的な手順、攻撃主体、被害組織はMicrosoftから公表されていません。MOTWを回避できることはWindowsのあらゆる保護機能を無効化できることと同義ではありません。

• CVE-2026-96951 — Microsoft Security Update Guide

もう2件のゼロデイは、WDAC回避とMessagePack-CSharpのサービス拒否

CVE-2026-108398：.NET FrameworkのWDAC回避

「CVE-2026-108398」は、.NET Frameworkにおける信頼できない検索パスの問題です。認証済みの攻撃者が細工した.NETアセンブリを利用し、Windows Defender Application Control（WDAC）の制約を回避して、許可されていないコードを実行できる可能性があります。CVSS v3.1基本値は8.8、深刻度はImportantです。

Microsoftは、対象環境では利用者の追加操作を必要とせずに悪用され得ると説明しています。ただし、攻撃にはローカル環境での事前の権限や条件が関わり、外部から誰でも直接攻撃できるという意味ではありません。発見者としてGoogle Project ZeroのJames Forshaw氏が記載されています。

• CVE-2026-108398 — Microsoft Security Update Guide

CVE-2026-92707：MessagePack-CSharpでサービス拒否の可能性

「CVE-2026-92707」は、.NET関連のMessagePack-CSharpでメモリ割り当てが適切に制御されず、ネットワーク経由の入力によってサービス拒否（DoS）につながる脆弱性です。Microsoftの更新情報に掲載されており、修正前から存在が公表されていた問題です。BleepingComputerの一覧では深刻度はModerateです。

企業側では、当該ライブラリや関連コンポーネントを利用するサーバー・業務アプリケーションがあるかを確認し、該当する公式更新を適用します。なお、公開済みであることと実際に攻撃で悪用されたことは異なり、本件について実悪用が確認されたとの情報はありません。

• CVE-2026-92707 — Microsoft Security Update Guide

Active Directory、Exchange Server、SharePointの修正にも注意

実悪用が確認されたCVEとは別に、認証基盤やメールサーバーに関する重大な修正が含まれています。TenableとZDIが取り上げた代表例は以下のとおりです。

これらはすべて悪用確認済みという意味ではありません。また、CVSSスコアや「Critical」の区分だけで、各企業の緊急性が一律に決まるわけでもありません。特にAD DS、Exchange Server、SharePoint、SQL Serverは、実際に該当する機能や製品を使用しているか、どこからアクセスできるか、管理者権限や利用者への影響がどこまで及ぶかを確認して判断します。

Microsoftが「リスクコホート」を導入―1,000件超のCVEをどう優先するか

Microsoft Security Response Center（MSRC）は10月13日、複数の脆弱性について「企業側で共通して確認する必要がある質問」をまとめる試験的な整理方法「Risk Cohorts」を発表しました。リスクコホートは正式な脆弱性分類ではなく、個別のCVE評価や既存の更新推奨方針に代わるものではありません。

Microsoftが公開した15の例には、Windowsのファイルシステム・ストレージ・バックアップ（136件）、Officeの文書・メールクライアント（135件）、Windowsのグラフィックス・メディア処理（131件）、Windowsコア・カーネルの権限境界（109件）、インストール・配布・更新サービス（103件）などがあります。

例えば、Officeの脆弱性を評価する際、管理者はまず「どの端末に対象製品があるか」「外部から届いた文書・メールを開く利用者は誰か」「更新はどの経路で配布されるか」を共通の確認項目として扱います。そのうえで、実悪用の有無、必要な権限、ユーザー操作の要否、業務影響をCVE単位で照合します。

Microsoftはリスクコホートの利用を実験的なものと位置付け、同一グループ内で修正方法や脆弱性の危険度がすべて同じになるわけではないと説明しています。

大量の脆弱性を優先順位付けする具体的な運用については、セキュリティ対策Labの脆弱性管理とは？ 修正優先順位と運用プロセスの解説も参考になります。

Windows 11 24H2 Home・Proなどは同日に更新サポート終了

セキュリティ更新の公開日と同じ10月13日に、Windows 11 バージョン24H2のHome・Pro、およびWindows 10 Enterprise LTSB 2016の通常の更新提供が終了しました。Microsoftが公式に示したライフサイクル上の期限です。

Windows 11の24H2がすべてのエディションで直ちに利用できなくなるわけではありません。企業はインベントリからOSバージョンだけでなくエディションを確認し、アップグレードまたは適切な延長更新プログラムの適用方針を決める必要があります。

情報システム部門が優先して確認すること

今回の修正対象が多いため、情報システム部門では次の順に確認すると、対応の抜けを減らせます。

1. 実悪用されたCVE-2026-96951への対応：対象Windows端末・サーバーを特定し、最新更新の適用状況と再起動完了を確認する。メールやダウンロードファイル経由の不審な操作がないかも点検する。
2. 重要な認証・外部公開サーバーの評価：Active Directory、Exchange、SharePoint、SQL Serverなどを使う環境で、対象CVEとシステムへの到達経路を照合する。インターネットに公開されているサービスから優先的に検証する。
3. 公開済みの2件の影響確認：.NET FrameworkでWDACを利用する端末・サーバーと、MessagePack-CSharpなどの該当コンポーネントを利用する業務システムを棚卸しする。
4. 更新の検証・展開：業務への影響が大きい機器では検証環境・段階的展開を使い、更新の失敗、保留状態、再起動待ちを管理する。
5. サポート終了OSの洗い出し：Windows 11 24H2 Home・Pro、Windows 10 Enterprise LTSB 2016、翌月終了する23H2 Enterprise・Educationの移行計画を点検する。
6. 委託先・子会社の適用状況：自社だけでなく、管理委託サーバーや業務で利用するシステムを運営する委託先の更新責任・実施予定を確認する。

月例の更新を受け、どの機器で検証や修正が停滞しているかを整理する場合は、AI時代の脆弱性管理・パッチ管理 実践ガイドで、資産との突合や修復・暫定防御の進め方を紹介しています。

関連：Microsoft、2026年9月の定例パッチで悪用済みゼロデイ2件を修正

出典

• Microsoft Security Update Guide – Microsoft Security Response Center
• CVE-2026-96951：Windows Shellのセキュリティ機能回避 – Microsoft
• CVE-2026-108398：.NET Frameworkのセキュリティ機能回避 – Microsoft
• CVE-2026-92707：MessagePack-CSharpのサービス拒否 – Microsoft
• Using risk cohorts to prioritize security updates（2026年10月13日） – Microsoft MSRC
• Windows 11 バージョン24H2の更新終了に関する公式案内 – Microsoft Learn
• Windows 11 の製品ライフサイクル – Microsoft Learn
• Windows 10 Enterprise LTSC/LTSB 2016 – Microsoft Learn
• Windows 11 バージョン23H2の更新終了 – Microsoft Learn