迫られる運用モデル転換

MS月例パッチが1000件突破　人手不足の情シスを襲う「月1回メンテ」の崩壊

Microsoftの月例パッチが1000件に迫り、従来の運用は限界を迎えた。AIによる脆弱性発見が激増するなか、情シスはいかに優先順位をつけ組織を守るべきか。破綻を防ぐ現実的な4つのアプローチを解剖する。

　ソフトウェアの脆弱性の報告数が過去最多を更新し続ける中、Microsoftは自らの記録を再び塗り替えた。同社は2026年9月の月例セキュリティ更新プログラム（パッチチューズデー）で、1000件近くのバグ修正を公開した。

　対処が必要な「緊急（Critical）」の脆弱性は100件を超える。AIを活用した脆弱性発見が常態化する中、人間のセキュリティチームの対応能力は限界を迎えつつあり、世界中の企業が無防備な状態にさらされている。

　セキュリティ組織Zero Day Initiative（ZDI）で脅威認識部門を率いるダスティン・チャイルズ氏は、Computer Weeklyのメール取材で次のように語った。「単月で1000件近くの脆弱性を目にして思い浮かぶのは『何ということだ、星でいっぱいだ』という言葉だけだ。AIによるバグ発見でパッチの数は天文学的に跳ね上がった。防御側はこの過酷な現実を受け入れるしかない」

　パッチ管理ベンダーAction1の脆弱性調査ディレクターであるジャック・バイサー氏は次のように補足した。「この規模になると、単にパッチ一覧を消化するだけでなく、何に最優先で対処すべきかを把握することが課題になる。数百件もの更新が一度に届くため、IT部門やセキュリティチームは、即時対応が必要な脆弱性と通常の運用サイクルで展開できる脆弱性を迅速に仕分ける必要がある」

　セキュリティ専門家にとって欠かせない情報源となっている毎月のパッチチューズデー解説ブログを手掛けているチャイルズ氏は、わずかな救いもあると指摘する。同氏によると、Microsoftは2026年に入ってから、2024年と2025年の2年分の合計を上回るCVE（共通脆弱性識別子）を公開しているものの、それを悪用した活動が同じ水準で増加している兆候は見られないという。

　それでもチャイルズ氏は、2件の特権昇格（EoP）の脆弱性を優先すべきだと強調する。Windows Update Stackに存在する「CVE-2026-81963」と、Microsoft Exchange Serverに存在する「CVE-2026-69380」の2件だ。

　また、Action1のチームは「CVE-2026-85880」にも警告を発した。これはWindows Advanced Local Procedure Call（ALPC）のヒープベースのバッファーオーバーフローに起因する特権昇格の脆弱性で、実環境での悪用が確認されている。

　AIによる脆弱性発見が激増するなか、情シスはいかに優先順位をつけ組織を守るべきか。以下では、破綻を防ぐ現実的な4つのアプローチを解剖する。

ワームの脅威が再来

Computer Weekly発　世界に学ぶIT導入・活用術

この連載の記事をもっと見る

この記事の著者

関連記事

• 

  「パッチのビッグウェーブがやってくる」　AI悪用で崩壊する脆弱性管理の常識

• 

  Microsoftが過去最多200件超の脆弱性修正　パッチ管理の「手作業」はもう限界か？

• 

  「重大な脆弱性は3日以内にパッチを」　CISA新指令が示すパッチ管理の大転換

• 

  再起動なし、更新失敗も未然に防ぐ　Windows 11の「AI×パッチ管理」が楽すぎる理由

• 

  Windowsの脆弱性管理がまたもうまくいかない”報われない理由”

新着ホワイトペーパー PR

• 事例
  [サイボウズ株式会社] DXに必要な「Dスキル」「Xスキル」を持った人材を育成するには？
• 市場調査・トレンド
  [サイボウズ株式会社] データで見る、DXが「順調に進む企業」と「つまずく企業」の違い
• 製品資料
  [サイボウズ株式会社] 賛否が割れがちな「Notesからの移行」　新環境への移行を納得してもらうには？
• 事例
  [ServiceNow Japan合同会社] 農林中金に学ぶ内製開発　処理効率を約2倍に高めAI活用も加速させた方法とは？
• 事例
  [ServiceNow Japan合同会社] NTTグループのデジタル変革術、17万人が利用する決裁プロセス刷新の全貌