ニュース

10月の「Windows Update」は初の脆弱性4桁で過去最多を更新～Microsoftが2026年10月「Windows Update」を実施

「緊急」は76件、悪用確認は1件。「Windows 11 24H2 Home/Pro」は今回が最後の更新に

樽井秀人

2026年10月14日 09:17

Microsoft、2026年10月の「Windows Update」「Microsoft Update」を実施

　米Microsoftは10月13日（現地時間）、すべてのサポート中バージョンのWindowsに対し月例のセキュリティ更新プログラムをリリースした（パッチチューズデー）。現在、「Windows Update」や「Microsoft Update カタログ」などから入手可能。

　リリースノートによると、今月のリリースノートに記載されたMicrosoft製品のCVEは1,413件。先月の974件をさらに大きく上回り、初めて4桁に達した。

　とはいえ、Zero Day Initiative（ZDI）によると、すでに悪用が確認されている脆弱性（ゼロデイ脆弱性）の数がこれに比例して増えているわけではない。たとえば2023年の1年間の件数は914件で、今月の脆弱性修正はこれを単月で超えてしまっているが、ゼロデイ脆弱性の数でいえば今年1月から10月は15件で、2023年の同じ期間の17件をむしろ下回っている。AIの力も借りながら、悪用される前に未然に脆弱性を発見、対処できていると見るべきかもしれない。

　ちなみに今月、深刻度が最高の 「Critical」（緊急）と評価された脆弱性は76件 。影響範囲はWindows本体や「Office」とその構成要素のほか、「SharePoint」、「Exchange Server」、「Azure」などに及ぶ。

　このうち、 すでに悪用が確認されている脆弱性は以下の1件 。深刻度は「重要」にとどまるが、インターネットから入手したファイルに付けられる「Mark of the Web」（MotW）による保護を回避されるおそれがある。できるだけ早い対処が望ましい。

CVE-2026-96951：Windows シェルセキュリティ機能のバイパスの脆弱性（重要）

　また、CVE-2026-108398（「.NET Framework」セキュリティ機能のバイパスの脆弱性、重要）は、すでに詳細が一般に公開されている。悪用の報告はまだないが、できるだけ早めの対処が望ましい。

　なお、Microsoftは今月、関連する脆弱性をまとめて分析しやすくする「リスクコホート」（risk cohorts）という概念を提案している。これはCVEを1件ずつ見るだけでなく、共通のリスク評価軸でグループ化して先に環境評価を済ませることで、パッチ優先順位付けを効率化しようという試み。正式な脆弱性分類ではなく、Microsoftのパッチ適用優先度を変更するものでもないが、顧客が脆弱性のリスクを評価する手段の一つとして役立てられる可能性がある。

Windows 10/11およびWindows Server 2016/2019/2022/2025

　Windows関連の脆弱性は1,102件。最大深刻度は「緊急」（リモートでコードが実行される）。

Windows 11 バージョン 26H2：KB5127648（OSビルド 26300.9711）
Windows 11 バージョン 26H1：KB5127646（OSビルド 28000.3231）
Windows 11 バージョン 25H2：KB5127648（OSビルド 26200.9711）
Windows 11 バージョン 24H2：KB5127648（OSビルド 26100.9711）
Windows 11 バージョン 23H2：KB5126653（OSビルド 22631.7652）
Windows 10 バージョン 22H2（ESU）：KB5126657（OSビルド 19045.7807）
Windows Server 2025：KB5126646（OSビルド 26100.33650）
Windows Server 2022：KB5126655（OSビルド 20348.5761）
Windows Server 2019：KB5126651（OSビルド 17763.9376）
Windows Server 2016：KB5126868（OSビルド 14393.9612）

　「Windows 11 バージョン 26H2/25H2/24H2」向けの更新プログラム（KB5127648）には、2026年9月の定例外更新（KB5129195）とWindows非セキュリティプレビュー更新プログラム（KB5124010）の内容が含まれる。

キーボードの「Copilot」キーを、右［Ctrl］キーまたはコンテキストメニューキーとして機能させられるように

「Emoji 17.0」に対応

「エクスプローラー」のプレビューペインに［常にプレビュー］（Preview Anyway）ボタン

Windowsの機能に関する短いヒントを表示するウィジェット

　そのほかにも、以下の不具合修正が含まれているとのこと。

一部のアプリでAC-3音声を再生できない問題を修正：9月のプレビュー更新で報告されていた既知の問題
マルチユーザー環境でエクスプローラーが起動しない問題を修正：「Azure Virtual Desktop」や「FSLogix」などの環境で、サインイン後に「Explorer.exe」が起動しなかったり、クラッシュを繰り返したりして画面が真っ黒になることがある（参考記事）
「Always On VPN」で接続できない問題を修正：プロトコルの自動選択やフォールバックを構成している場合に、接続中のまま進まなかったり、接続に失敗したりすることがあった
印刷できない問題を修正：2026年8月のセキュリティ更新プログラムの適用後、一部のアプリや、RAWまたは「Generic Text Only」プリンタードライバーを使用するデバイスで印刷に失敗する問題
ゲームでマウス入力がカクつく問題を修正
指紋によるサインインの問題を修正：一部のデバイスで、コールドブート後に「Windows Hello」の指紋認証が機能しない問題

　一方、9月のセキュリティ更新プログラムの適用後に、一部の「USB Audio Class 1.0」デバイスが起動しなかったり、音が出なかったりする問題は、まだ一部しか解決されていない。9月14日の定例外更新で8チャンネルや3Dオーディオモードでの症状は解消されたが、そのほかの症状については調査中とのこと。

　なお、「Windows 10 バージョン 22H2」はすでに一般向けのサポートが終了している。「拡張セキュリティ更新プログラム」（Extended Security Updates：ESU）に登録しないとセキュリティパッチを受け取れない点には注意。個人向けは2027年10月まで無償で延長可能だ。

　また、「Windows 11 バージョン 24H2」のHome/Proエディションは、今回の更新をもってサポートが終了した。今後は月例のセキュリティ更新プログラムやプレビュー更新プログラムを受け取れなくなるため、最新バージョンのWindows 11へのアップグレードが推奨されている。

Microsoft Office関連のソフトウェア

　「Microsoft Office」関連のセキュリティ修正に関しては、以下のドキュメントを参照のこと。

Release notes for Microsoft Office security updates - Office release notes

　「Office」製品に関連する脆弱性は134件。うち25件が深刻度「緊急」と評価されており、すべてリモートでコードが実行される脆弱性だ。

Microsoft SQL Server

　「Microsoft SQL Server」では、22件の脆弱性が修正された。最大深刻度は「重要」。

　なかでも「CVE-2026-65674」（重要：リモートでコードが実行される）はCVSS基本値が「8.8」と高く、認証済みの攻撃者が細工したリクエストを送るだけで、ユーザーの操作なしにサーバー上でコードを実行できるおそれがある。インターネットに直接接続されたサーバーではとくに注意したい。

Microsoft SharePoint

　「Microsoft SharePoint」関連では、36件の脆弱性が修正された。このうち、特権昇格の脆弱性「CVE-2026-102866」は唯一「緊急」と評価されており、警戒が必要。有効な証明トークンを入手した攻撃者が、それを改ざんして標的のユーザーとして認証されるおそれがあり、認証されていない攻撃者でも悪用が可能だ。

Microsoft Exchange Server

　「Microsoft Exchange Server」関連では、7件の脆弱性が修正された。最大深刻度は「緊急」。

CVE-2026-70571（緊急：リモートでコードが実行される）
CVE-2026-70279（重要：なりすまし）
CVE-2026-77910（重要：特権の昇格）
CVE-2026-87692（重要：特権の昇格）
CVE-2026-87695（重要：特権の昇格）
CVE-2026-87696（重要：特権の昇格）
CVE-2026-96940（重要：特権の昇格）

Microsoft Visual Studio/Visual Studio Code

　「Visual Studio」関連では、以下の2件の脆弱性が修正された。最大深刻度は「重要」。

CVE-2026-102869（重要：特権の昇格／.NETと共通）
CVE-2026-103572（重要：リモートでコードが実行される／Visual Studio Tools for ApplicationsとSQL Server Management Studio）

　「Visual Studio Code」における修正は、計10件。最大深刻度は「重要」で、内訳はセキュリティ機能のバイパスが5件、リモートでコードが実行される脆弱性が4件、情報漏えいが1件となっている。

Microsoft Dynamics 365

　「Microsoft Dynamics 365 Business Central」関連では、4件の脆弱性が修正された。最大深刻度は「重要」で、内訳は特権の昇格が2件、リモートでコードが実行される脆弱性が1件、情報漏えいが1件。

Microsoft .NET/.NET Framework

　「.NET」「ASP.NET Core」「.NET Framework」では、45件の脆弱性が修正された。最大深刻度は「重要」。内訳はサービス拒否が13件、リモートでコードが実行される脆弱性が11件、特権の昇格が10件など。前述の通り、「.NET Framework」のCVE-2026-108398は、すでに詳細が一般に公開されている。悪用される可能性もあるため、早めの対処が望ましい。

　詳細は公式ブログのアナウンスを参照のこと。