Microsoft、2026年7月の月例更新で過去最多569件のCVEを修正、悪用済みゼロデイ2件も

2026年7月マイクロソフトセキュリティ更新プログラムに関する注意喚起

元記事は一次情報へのリンクです元記事を読む

5行でつかむ要点

JPCERT/CCは2026年7月15日、Microsoftの2026年7月月例セキュリティ更新に関する注意喚起を発表した。

修正されたCVEは569件と過去最多を更新し、うち2件はすでに実際の攻撃で悪用されている状態で公開された。

悪用が確認されたのはSharePoint Serverの特権昇格(CVE-2026-56164)とActive Directoryフェデレーションサービスの特権昇格(CVE-2026-56155)。

SharePointやAD FSを社内基盤として使う組織は、件数の多さに紛れて優先順位を誤らないよう悪用済みCVEから着手する必要がある。

対象製品の適用手順やパッチの提供状況は変更されることがあるため、作業直前にJPCERT/CCとMicrosoftの一次情報を照合したい。

単月として過去最多の569件

2026年7月のMicrosoft月例セキュリティ更新は、修正されたCVEが569件と単月では過去最多の規模になりました。件数の多さそのものより注目すべきは、そのうち2件がすでに実際の攻撃で悪用されている状態で公開された点です。

悪用済みの2件と「まだ確認されていない」1件

悪用が確認されたのはSharePoint Serverの特権昇格(CVE-2026-56164)とActive Directoryフェデレーションサービスの特権昇格(CVE-2026-56155)です。SharePointは社内文書共有、AD FSは複数システムへのログインを一元管理する仕組みで、どちらも突破されると被害が全社に広がりやすい領域です。これに加え、Windows BitLockerのセキュリティ機能バイパス(CVE-2026-50661)は悪用こそ未確認ながら、公開前に情報が出回っていたゼロデイとして扱われています。

件数の多さに紛れさせない優先順位づけ

月例更新をまとめて後回しにする運用をしているチームほど、今回のように件数が多い月は要注意です。569件という数の多さに紛れて対応の優先順位を誤ると、まさに今狙われている脆弱性への対応が遅れかねません。JPCERT/CCは速やかな適用を呼びかけており、悪用済みCVEの有無を先にチェックしてから作業に着手する習慣が効果を発揮する場面です。対象製品や適用手順はJPCERT/CCの注意喚起に掲載されています。