迫られる運用モデル転換

MS月例パッチが1000件突破　人手不足の情シスを襲う「月1回メンテ」の崩壊

Microsoftの月例パッチが1000件に迫り、従来の運用は限界を迎えた。AIによる脆弱性発見が激増するなか、情シスはいかに優先順位をつけ組織を守るべきか。破綻を防ぐ現実的な4つのアプローチを解剖する。

　ソフトウェアの脆弱性の報告数が過去最多を更新し続ける中、Microsoftは自らの記録を再び塗り替えた。同社は2026年9月の月例セキュリティ更新プログラム（パッチチューズデー）で、1000件近くのバグ修正を公開した。

　対処が必要な「緊急（Critical）」の脆弱性は100件を超える。AIを活用した脆弱性発見が常態化する中、人間のセキュリティチームの対応能力は限界を迎えつつあり、世界中の企業が無防備な状態にさらされている。

　セキュリティ組織Zero Day Initiative（ZDI）で脅威認識部門を率いるダスティン・チャイルズ氏は、Computer Weeklyのメール取材で次のように語った。「単月で1000件近くの脆弱性を目にして思い浮かぶのは『何ということだ、星でいっぱいだ』という言葉だけだ。AIによるバグ発見でパッチの数は天文学的に跳ね上がった。防御側はこの過酷な現実を受け入れるしかない」

　パッチ管理ベンダーAction1の脆弱性調査ディレクターであるジャック・バイサー氏は次のように補足した。「この規模になると、単にパッチ一覧を消化するだけでなく、何に最優先で対処すべきかを把握することが課題になる。数百件もの更新が一度に届くため、IT部門やセキュリティチームは、即時対応が必要な脆弱性と通常の運用サイクルで展開できる脆弱性を迅速に仕分ける必要がある」

　セキュリティ専門家にとって欠かせない情報源となっている毎月のパッチチューズデー解説ブログを手掛けているチャイルズ氏は、わずかな救いもあると指摘する。同氏によると、Microsoftは2026年に入ってから、2024年と2025年の2年分の合計を上回るCVE（共通脆弱性識別子）を公開しているものの、それを悪用した活動が同じ水準で増加している兆候は見られないという。

　それでもチャイルズ氏は、2件の特権昇格（EoP）の脆弱性を優先すべきだと強調する。Windows Update Stackに存在する「CVE-2026-81963」と、Microsoft Exchange Serverに存在する「CVE-2026-69380」の2件だ。

　また、Action1のチームは「CVE-2026-85880」にも警告を発した。これはWindows Advanced Local Procedure Call（ALPC）のヒープベースのバッファーオーバーフローに起因する特権昇格の脆弱性で、実環境での悪用が確認されている。

　AIによる脆弱性発見が激増するなか、情シスはいかに優先順位をつけ組織を守るべきか。以下では、破綻を防ぐ現実的な4つのアプローチを解剖する。

ワームの脅威が再来

Computer Weekly発　世界に学ぶIT導入・活用術

この連載の記事をもっと見る

この記事の著者

関連記事

• 

  「パッチのビッグウェーブがやってくる」　AI悪用で崩壊する脆弱性管理の常識

• 

  Microsoftが過去最多200件超の脆弱性修正　パッチ管理の「手作業」はもう限界か？

• 

  「重大な脆弱性は3日以内にパッチを」　CISA新指令が示すパッチ管理の大転換

• 

  再起動なし、更新失敗も未然に防ぐ　Windows 11の「AI×パッチ管理」が楽すぎる理由

• 

  Windowsの脆弱性管理がまたもうまくいかない”報われない理由”

新着ホワイトペーパー PR

• 事例
  [フォーティネットジャパン合同会社] 複雑化しがちな「SASE運用」　IT・医療・金融などの事例に見る導入成功の秘訣
• 製品資料
  [フォーティネットジャパン合同会社] 「SD-WAN」導入で失敗しないための5つの重要事項
• 技術文書・技術解説
  [フォーティネットジャパン合同会社] VPNの代替候補「ZTNA」を理解できるようになる“3大要素”とは？
• 事例
  [フォーティネットジャパン合同会社] すぐ分かる「SD-WAN」選定のポイント　成功企業はどんな成果を出した？
• 製品資料
  [SCSK株式会社] 「Dropbox」管理・運用の困りごと解決ガイド