脆弱性974件、過去最多を大幅に更新 ～Microsoftが2026年9月「Windows Update」を実施

米Microsoftは9月8日（現地時間）、すべてのサポート中バージョンのWindowsに対し月例のセキュリティ更新プログラムをリリースした（パッチチューズデー）。現在、「Windows Update」や「Microsoft Update カタログ」などから入手可能。

　リリースノートによると、今月修正されたCVEは974件。先月の421件から倍増しただけでなく、これまで最多だった7月の622件も大幅に上回り、記録を更新した。

　Zero Day Initiative（ZDI）の集計によると、今年の脆弱性修正はすでに2,760件にも及び、昨年の2倍をすでに超えている。しかし、アクティブエクスプロイト（実際に脆弱性が悪用されている状態、およびその攻撃コード）の数がこれに比例して増えているわけではない。

なお、深刻度が最高の 「Critical」（緊急）と評価された脆弱性は114件 。影響範囲はWindows本体や「Office」とその構成要素のほか、「SQL Server」、「SharePoint」、「Exchange Server」、「Azure」、「Dynamics 365」、「Visual Studio」、「Visual Studio Code」、「Microsoft Teams」、「Microsoft Entra」、「.NET」など多岐にわたる。

　このうち、 すでに悪用が確認されている脆弱性は以下の2件 。深刻度はいずれも「重要」にとどまるが、できるだけ早い対処が望ましい。

CVE-2026-81963：Windows Update スタックの特権の昇格の脆弱性（重要）

CVE-2026-85880：Windows 高度なローカル プロシージャ コール（ALPC）の特権の昇格の脆弱性（重要）

Windows 10/11およびWindows Server 2016/2019/2022/2025

　最大深刻度は「緊急」（リモートでコードが実行される）。

Windows 11 バージョン 26H1：KB5124012（OSビルド 28000.2954）

Windows 11 バージョン 25H2：KB5124008（OSビルド 26200.9445）

Windows 11 バージョン 24H2：KB5124008（OSビルド 26100.9445）

Windows 11 バージョン 23H2：KB5122880（OSビルド 22631.7582）

Windows 10 バージョン 22H2（ESU）：KB5122878（OSビルド 19045.7725）

Windows Server 2025：KB5122871（OSビルド 26100.33438）

Windows Server 2022：KB5122882（OSビルド 20348.5622）

Windows Server 2019：KB5122876（OSビルド 17763.9245）

Windows Server 2016：KB5123099（OSビルド 14393.9512）

　ユーザーの多くが利用する「Windows 11 バージョン 25H2」（KB5124008）では、2026年8月のWindows非セキュリティプレビュー更新プログラムの内容に加え、既知の不具合が解消された。

このほか、新しいセキュアブート証明書を自動的に受け取れるデバイスの対象範囲がさらに拡大されたほか、Windows 更新プログラムをインストールするコンポーネント「サービススタック」の品質も改善された。デバイス管理サーバーとの接続を調査しやすくするため、OMA-DMクライアントのログ出力も強化されている。「Copilot+ PC」向けには、画像検索やコンテンツ抽出、セマンティック分析、設定モデルの各AIコンポーネントがバージョン 1.2608.951.0 へ更新された。

　なお、「Windows 10 バージョン 22H2」はすでに一般向けのサポートが終了している。「拡張セキュリティ更新プログラム」（Extended Security Updates：ESU）に登録しないとセキュリティパッチを受け取れない点には注意。個人向けは2027年10月まで無償で延長可能だ。

Microsoft Office関連のソフトウェア

　「Microsoft Office」関連のセキュリティ修正に関しては、以下のドキュメントを参照のこと。

Release notes for Microsoft Office security updates - Office release notes

　「Office」製品に関連する脆弱性は111件。うち21件が深刻度「緊急」と評価されており、「Office」本体や「Word」「Excel」に集中している。できるだけ早い対処を心掛けたい。

Microsoft SQL Server

　「Microsoft SQL Server」では、62件の脆弱性が修正された。うち5件が深刻度「緊急」。サーバー管理者は適用計画を早めに立てておきたい。

Microsoft SharePoint

　「Microsoft SharePoint」関連では、16件の脆弱性が修正された。最大深刻度は「重要」で、今月は「緊急」と評価されたものは含まれていない。内訳はリモートでコードが実行される脆弱性が5件、なりすましが4件、情報漏えいが4件、特権の昇格が2件など。

Microsoft Exchange Server

　「Microsoft Exchange Server」関連では、9件の脆弱性が修正された。最大深刻度は「重要」。

CVE-2026-55007（重要：リモートでコードが実行される）

CVE-2026-69355（重要：リモートでコードが実行される）

CVE-2026-69356（重要：なりすまし）

CVE-2026-69361（重要：なりすまし）

CVE-2026-69375（重要：改ざん）

CVE-2026-69378（重要：サービス拒否）

CVE-2026-69380（重要：特権の昇格）

CVE-2026-69382（重要：情報漏えい）

CVE-2026-69641（重要：特権の昇格）

Microsoft Visual Studio/Visual Studio Code

　「Visual Studio」では11件の脆弱性が修正された。「.NET」と共通のものが多いが、CVE-2026-34182（緊急）はOpenSSL由来の「CMS AuthEnvelopedData」処理の問題で、今月唯一「緊急」と評価されている。

　主な修正は以下の通り。

CVE-2026-34182（緊急：偽装されたメッセージを受け入れるおそれ）

CVE-2026-77906（重要：リモートでコードが実行される）

CVE-2026-77907（重要：リモートでコードが実行される）

CVE-2026-69439（重要：特権の昇格／.NETと共通）

CVE-2026-69522（重要：リモートでコードが実行される／.NETと共通）

CVE-2026-71328（重要：リモートでコードが実行される／.NETと共通）

　「Visual Studio Code」における修正は、12件。最大深刻度は「重要」で、セキュリティ機能のバイパスが8件と目立つ。また、2件（CVE-2026-81380、CVE-2026-81381）は「GitHub Copilot」との組み合わせで生じる情報漏えいの脆弱性だ。

Microsoft Dynamics 365

　「Microsoft Dynamics 365」関連では、以下の2件の脆弱性が修正された。いずれもオンプレミス版が対象。

CVE-2026-65772（緊急：リモートでコードが実行される）

CVE-2026-77908（重要：リモートでコードが実行される）

Microsoft .NET/.NET Framework

　「.NET」「ASP.NET Core」では、8件の脆弱性が修正された。最大深刻度は「重要」。

CVE-2026-57099（重要：サービス拒否／ASP.NET Core）

CVE-2026-58649（重要：情報漏えい）

CVE-2026-69304（重要：サービス拒否／ASP.NET Core）

CVE-2026-69439（重要：特権の昇格）

CVE-2026-69522（重要：リモートでコードが実行される）

CVE-2026-69805（重要：特権の昇格）

CVE-2026-69806（重要：特権の昇格）

CVE-2026-71328（重要：リモートでコードが実行される）

　詳細は公式ブログのアナウンスを参照のこと。

Microsoft Edge

　「Microsoft Edge」は、「パッチチューズデー」とは関係なくアップデートされている。最後にアナウンスされたセキュリティアップデートは、米国時間9月4日リリースのv152.0.4191.66。