Microsoft、過去最多972件の脆弱性にパッチ
原題: Why this month's Microsoft patch release is a doozy
なぜ重要か
AI駆動の脆弱性発見が加速する中、ソフトウェアベンダーの対応負荷とサイバーセキュリティリスクの構造的な拡大を示す重要なトレンドとなっている。
Microsoftは2026年9月のパッチチューズデーで、過去最多となる972件の脆弱性を修正した。このうち112件はクリティカル評価。2ヶ月前の記録（570件）を大幅に更新し、今年の累計修正数は2,760件に達した。AI支援による脆弱性発見の急増が背景にある。
Microsoftは2026年9月のパッチチューズデーにおいて、過去最多となる約972件の脆弱性を修正した。ChromiumベースのEdgeへのChromiumフィックスの移植分を含めると997件に上る。112件がクリティカル評価を受け、残りは「重要」に分類されている。
Microsoftは2ヶ月前の7月に当時の記録となる570件を、先月8月には約620件を修正しており、毎月記録を更新し続けている。Google他の企業も同様に、近年の月次パッチ数が記録的水準に達している。
2週間前には、OpenAI・Anthropic・Amazon Web Services・Google・Microsoftをはじめとする100社以上が連名で公開書簡を発表。AIを活用した攻撃による脆弱性悪用の「津波」が到来する前に、パッチ適用の時間的余裕が狭まっていると警告しており、業界全体で前例のない規模のパッチ対応が加速している。
Zero Day InitiativeのリサーチャーDustin Childsは、このスパイクを「新常態」と表現しつつ、「AIを活用した脆弱性発見が減速する兆しはないが、現時点では実際の悪用件数の相関した急増はまだ見られていない」と述べた。
今年だけで既に2,760件の脆弱性が修正されており、これは前年比2倍超。このペースが続けば、2026年1年間の修正件数が2023年・2024年・2025年の合計を上回る見通しだ。
今月の注目脆弱性としては、Windowsアップデートサービスおよびリモート手続き呼び出し機構に存在するゼロデイ2件（CVE-2026-81963・CVE-2026-85880）が含まれる。また、Exchange ServerのCVE-2026-55007は悪意あるVisio添付ファイルを含むメールを送付するだけでリモートから未認証コード実行が可能。Microsoft AuthenticatorにはローカルPrivilege Escalationの脆弱性CVE-2026-80097、SharePointには17件の個別RCE脆弱性（CVE-2026-69465）、SQL Serverには60件のPrivilege Escalation脆弱性が確認されている。