Microsoft、更新プログラムの“すぐに適用”を呼び掛け ～AIで「パッチギャップ」のリスクが増大

「Windows Experience Blog」の記事

　米Microsoftは11月5日（現地時間）、AI時代の脆弱性管理に関する取り組みを、公式ブログ「Windows Experience Blog」で明らかにした。AIの進歩で脆弱性の発見・分析がこれまでより速く、大規模に行えるようになったことを受け、同社自身の体制を強化するとともに、組織に対しても更新プログラムを迅速に展開するよう求めている。

　同社によると、AIは守る側と攻める側の双方で脆弱性の発見を加速させているという。防御側は脆弱性をより早く見つけて修正できるようになった一方で、攻撃者も修正が提供される前に脆弱性を探したり、公開された修正を分析したりしやすくなった。

　たとえば、守る側のMicrosoftでは、複数のAIモデルと専門のエージェントで潜在的な脆弱性を発見・検証するエージェント型のコードスキャナー「MDASH」などを開発。修正の過程でも、影響の評価や影響を受けるWindowsのバージョンの特定、関連コードに潜む亜種の洗い出し、バックポートの方針策定、テストの作成などにAIを用いているという。作業のレビューや判断、最終的な成果物の責任はあくまでもエンジニアが担うが、AIの支援も積極的に活用しているわけだ。

　こうした取り組みにより、Windowsのセキュリティ更新で対処される脆弱性は増えている。実際、2026年10月の月例セキュリティ更新ではWindows向けに1,100件を超えるCVEが修正された。

　修正された脆弱性の件数が増えたことで、製品の安全性を危ぶむ向きもあるかもしれないが、同社はWindowsの安全性が低下したわけではないと説明している。むしろ今まで気づかれていなかった脆弱性の多くが対策され、攻撃者による悪用を未然に防いでいると評価すべきだろう。

　一方で、更新プログラムが公開されると、攻撃者はその修正を即座に分析し、脆弱性を把握してエクスプロイト（攻撃コード）を開発できるようになる。

　AIが発展・普及する前は、修正の公開から攻撃コードの開発までの時間があったが、同社は今ではそれが“数時間以内”になる可能性を指摘。修正の公開から各デバイスへの適用までの時間差である 「パッチギャップ」 が生じている間、未適用のデバイスのリスクが高まっていると警告している。

　ところが、これまで通り更新の展開に数週間をかけている組織は少なくない。2026年8月の診断データによると、計測対象となった企業のWindowsデバイスのうち、セキュリティ更新プログラムのリリースから2週間後にインストールを済ませていたのは半数未満だったという。4週間後でも、約4台に1台が未インストールのままだった。

　そこで同社は、組織に以下の4点に取り組むよう求めている。

• サポート対象のバージョンを使い、更新プログラムをリリース後すぐにインストールする
• 不要な露出を減らし、セキュリティベースラインで実績のある構成を適用する
• エンドポイントでの検知を維持し、利用可能な緩和策を適用する
• 効果的な対応・復旧の手順を確立する

　なかでも基本となるのは、 ソフトウェアを最新の状態に保つ ことだ。Windows 11では「Windows Autopatch」が「Microsoft Intune」を通じた段階的な展開やレポートを提供するほか、対象のデバイスではホットパッチにより再起動なしで月例のセキュリティ更新を適用できる（定期的に通常の累積ベースライン更新は必要）。「Windows Server 2025」も、Azure、Azure Local、Azure Arcに接続された対象の環境でホットパッチをサポートしている。

　延長セキュリティ更新（ESU）を利用する場合も、それはサポート対象のバージョンへ移行するまでのつなぎでしかないと認識し、できるだけ早く後継バージョンへの移行に取り組むべきだろう。