「パッチアポカリプス」現実に

Microsoftが過去最多200件超の脆弱性修正　パッチ管理の「手作業」はもう限界か？

Microsoftが過去最多となる約200件の脆弱性修正を公開した。サードパーティー製を含め月間600件に迫る「パッチアポカリプス」が到来している。情シスは従来の手法では対処しきれないパッチ管理の限界と、修正品質のリスクに直面している。

　Microsoftは、最新の月例セキュリティ更新（パッチチューズデー）で約200件の脆弱性を修正した。これは2025年10月に記録した約170件という従来の「共通脆弱性識別子（CVE）」の最高記録を大幅に塗り替えるものだ。

　今回の更新では、合計32件の「緊急（Critical）」な脆弱性と3件のゼロデイ脆弱性が修正されている。

　TrendAIのZero Day Initiativeで脅威啓発部門の責任者を務めるダスティン・チャイルズ氏は、「サイバーセキュリティにとって、非常にリスクの高い夏を迎えようとしている」と述べる。同氏によれば、6月の記録的なパッチ公開は、AIが制御不能な規模で脆弱性の発見を加速させているという強い警告だという。「Microsoftが2026年に公開したCVEの総数は、既に2018年通年の件数を超えている。1カ月でこれほど多くのパッチを作成できるのは驚異的だが、品質面でどのような問題があるのか、多くのテスターが懸念しているだろう」と同氏は指摘する。

　Google ChromeやMicrosoft Edge（Chromium）、その他のサードパーティー製ソフトの脆弱性を含めると、修正件数は合計で約600件に達する。企業向けにIT資産管理やエンドポイントセキュリティなどを提供する米Ivantiのセキュリティ製品管理担当バイスプレジデントであるクリス・ゲトル氏は、もはや「パッチアポカリプス（パッチの黙示録）」という言葉は大げさではなくなったと話す。

　「われわれは今、パッチアポカリプスの中にいる。これは脅しではなく、大半の企業が予測していた課題が、2026年上半期に新世代のLLM（大規模言語モデル）によって急加速した結果を示しているのだ」（ゲトル氏）

　同氏は、「ベンダーがCVEを修正するペースは、かつてないほど速く継続的になる。残念ながら、これにはこれまで以上に多くのゼロデイ脆弱性や、修正公開後に悪用される『Nデイ攻撃』が含まれるだろう。2023年の脅威インテリジェンスデータでは、ベンダーの修正公開から悪用までの期間は既に5日間に短縮されている」と付け加えている。

　同氏によると、Oracle、Google、Mozillaなどの多くのベンダーが、脆弱性の特定と解決のためにセキュリティ研究でAIツールの活用を認めており、更新頻度を上げている。Microsoftもこれに続くかどうか、今後の動向が注目される。

3件のゼロデイ脆弱性について

Computer Weekly発　世界に学ぶIT導入・活用術

この連載の記事をもっと見る

この記事の著者

関連記事

• 

  Windowsの脆弱性管理がまたもうまくいかない”報われない理由”

• 

  Windowsの「再起動」「起動不能」から開放　Microsoftが掲げる新更新管理手法

• 

  「セキュリティ予算ゼロ」でも防衛力は上がる　情シスが打つべき“背水の陣”

• 

  攻撃も確認　Microsoftが講じた「パッチを提供する以外」のセキュリティ対策とは