Microsoftが9月8日に公開した月例セキュリティ更新は、対応CVE数が974件(集計主体により964〜974件と幅がある)で、単月として過去最多になった。8月の約450件から倍以上に跳ね上がった格好で、月例更新の運用そのものに影響する規模だ。

悪用が確認された2件

実際の攻撃で使われている脆弱性は2件。

CVE-2026-85880 はWindows Advanced Local Procedure Call(ALPC)のヒープバッファオーバーフローで、低権限のAppContainerプロセス内でコードを実行できる攻撃者が、利用者操作なしでサンドボックスを脱出しSYSTEM権限に昇格できる。ALPCがゼロデイとして悪用されたのはこの4年近くで2件目。カーネルとユーザーモードの境界にあるIPC機構という性質上、他の脆弱性と組み合わせる「昇格の最終段」として重宝されやすい。

CVE-2026-81963 はWindows Updateスタックのリンク追跡(シンボリックリンク)不備で、こちらもローカルからSYSTEMへの昇格に至る。更新機構自体を悪用対象にする例は珍しく、5年間で7件目のUpdateスタック脆弱性のうち初のゼロデイとされる。

どちらも単体でリモート侵入できるものではないが、フィッシングや既存のフットホールドと組み合わされると被害が一気に深くなるタイプで、優先度は高い。

なぜ件数がここまで膨らんだのか

注目すべきは、この974件という数字が「Windowsが急に危なくなった」ことを意味しない点だ。複数のセキュリティ研究者が口をそろえて指摘しているのは、AIを使った脆弱性探索が2026年に入って本格化し、報告される脆弱性の絶対数を押し上げているという構図である。あるアナリストの表現を借りれば「AIによる脆弱性発見は干し草の山を大きくしているが、針の数を増やしているわけではない」。

実際、974件のうち緊急(Critical)は例年の月と大きく変わらず、大半は権限昇格や情報漏えいといった中程度の深刻度に収まっている。製品別内訳(Windows 723件、Office 222件、SQL Server 62件)を見ても、増分の多くはコンポーネントの深い場所にある個別の実装バグで、ファジングや自動解析が得意とする領域だ。

これは防御側にとって二重の意味を持つ。良い面は、これまで見過ごされてきた欠陥が塞がれていくこと。悪い面は、同じ手法を攻撃側も使えるため、パッチ公開からエクスプロイト登場までの時間が今後さらに縮む可能性があることだ。

「針」を絞り込む

件数が3桁後半になると「全部当てる」を機械的に回すだけでは、検証もリブート計画も追いつかない。実務では次の順で絞るのが現実的だ。

  1. 悪用が確認済みの2件(CVE-2026-85880、CVE-2026-81963)を最優先。エンドポイントの権限昇格対策として即時展開する。
  2. 認証・操作不要でRCEに至る「ワーム化可能」20件のうち、境界に露出しているサービス(Exchange、SharePoint Server、Remote Desktop Services)に該当するもの。CVE-2026-55007(Exchange RCE)、CVE-2026-69465(SharePoint RCE)、CVE-2026-69525(RDS RCE)などが具体名として挙がっている。
  3. 自組織で実際に稼働している製品に絞って残りを評価。Office 2016に111件が集中しているように、EOLに近い版ほど対象が多い傾向があるため、更新の可否と併せてバージョン移行の判断材料にする。

AIが「干し草の山」を広げ続けるなら、月例更新の運用は「一覧を消化する」から「自環境の攻撃面に写像して優先度を付ける」へ発想を変える必要がある。今月の内訳と各CVEの詳細はSecurityWeekのまとめ(https://www.securityweek.com/microsoft-patches-record-974-vulnerabilities-including-two-exploited-zero-days/)とMicrosoftのセキュリティ更新ガイドで確認できる。