Microsoft、1カ月で950件超の脆弱性を修正　AIでパッチ対応の負荷も拡大

Microsoftが公開した2026年9月のセキュリティ更新では、950件を超える脆弱性が修正された。同社が今年に入って修正した脆弱性は約2750件となり、約1250件だった2020年の年間記録を2倍以上上回る。これはソフトウェアの問題が急増していることだけでなく、脆弱性の発見、分析、修正のサイクルが大幅に高速化していることも示している。

まず確認すべき二つのゼロデイ

今回の更新には、すでに現実の攻撃で悪用されているゼロデイが2件含まれる。CVE-2026-81963とCVE-2026-85880はいずれも、Windows上で攻撃者が権限を昇格できる可能性がある。前者はAirbus HelicoptersとMicrosoft Threat Intelligence Centerが独立して報告し、後者はVolexityとProofpointの研究者が発見した。

また、Microsoftが「重大」と分類した脆弱性は113件に上る。内訳には、リモートコード実行の脆弱性258件、権限昇格の脆弱性438件も含まれる。ただし、分類だけで対応順を決めることはできない。実際の資産の露出状況、攻撃の到達可能性、業務への影響、既存の防御策を組み合わせる必要がある。

AIは発見と攻撃の双方を速める

セキュリティ業界では、AIツールが研究者やソフトウェア企業による弱点の発見・分析を速めているとみられている。ただし、脆弱性件数の増加をAIだけの結果とみなすのは適切ではない。これまで見つかっていなかった問題が、より多く発見され、修正されている可能性もある。一方で、攻撃者も自動化を利用し、発見から悪用までの時間を短縮できる。

そのため、パッチ管理の課題は「修正プログラムがあるか」から「何を先に、どう安全に適用するか」へ移っている。数百件の更新を一度に受け取ったIT部門は、影響を受ける端末やサーバーを特定し、悪用状況と露出度を評価し、テストを経て段階的に展開しなければならない。相互接続されたシステムでは、互換性やロールバックも重要になる。

件数だけでは安全性を測れない

今回の修正規模は、企業がセキュリティ運用を見直すきっかけになる。脆弱性の総数だけでは、組織が抱える実際のリスクは分からない。高リスク資産への適用率、悪用が確認された脆弱性の修正時間、発見から検証済み展開までの時間などが、より実務的な指標になる。

AIは分類、資産との照合、展開候補の提示を支援できる。しかし、変更管理の責任、テスト、業務側の確認まで置き換えるものではない。必要なのは、長大な未処理リストではなく、優先順位付けから検証、切り戻し、結果確認までを継続的に実行できるパッチ運用基盤である。

出典：InfoQ 中文