AIツールを使えば、本来なら1年かかるような件数の脆弱性をわずか30日で見つけ出せる可能性がある。チャイルズ氏は、従来のように月1回の頻度で脆弱性修正の優先順位付け（トリアージ）をする管理手法に固執すれば、自社のネットワーク境界を危険にさらし続けることになると警告する。

　「かつては1回のリリースで数百件ものCVEが修正されるのは例外的な事態だったが、今ではそれが基準だ」とチャイルズ氏は語る。AI技術の発展が原因の一部であることは間違いない。攻撃者と防御者の双方で脆弱性探索が加速しているため、ベンダーはより多くの脆弱性を見つけて修正し、研究者もより早く脆弱性を発見するようになった。

　AIツールは何もないところから脆弱性を生み出しているのではなく、脆弱性が存在してから誰かがそれに気付くまでの時間を短縮しただけだ。チャイルズ氏は「脆弱性の多さは本質的な問題ではない」と指摘する。重要なのは、悪用方法の確立よりも早く脆弱性が発見されていることだ。悪用される可能性を無視して、単にCVEの件数だけで優先順位を決めるセキュリティチームは、無関係な脆弱性の処理に無駄な労力を費やすことになる。悪用が確認されたもの、公開されたものの修正を優先させて、それ以外は割り切って処理する姿勢が求められる。

注目すべき深刻な脆弱性

　2026年10月の更新についてチャイルズ氏が特に警戒を促すのは、以下に存在する55件の脆弱性だ。

• IPアドレス割り当てを自動化するプロトコル「DHCP」（Dynamic Host Configuration Protocol）
• リモートデスクトップ接続を中継するサーバ機能「リモートデスクトップゲートウェイ」
• ネットワークアクセスの認証・認可を一括管理する「NPS」（Network Policy Server）

　これらの脆弱性は、認証不要かつエンドユーザーの操作なしで悪用できる。自己増殖して感染を広げる攻撃経路になり得るため、高い水平展開（ネットワーク内での感染拡大）リスクをもたらす。

　2026年10月にリストアップされたうち、特に深刻な脆弱性を詳しく見ると、Windowsの基本操作画面やファイル管理をつかさどる「Windows Shell」に存在するコマンドインジェクション脆弱性「CVE-2026-96951」が既に悪用された。これはインターネットやメールなどから取得したファイルに付与されるWindowsのセキュリティ警告機構「Mark of the Web」（MotW）を回避するもので、チャイルズ氏は直ちに境界防御を固めるよう助言する。CVE-2026-96951の発見にはAnthropicのAIモデル「Claude」が一部関与したと見られ、米サイバーセキュリティインフラストラクチャセキュリティ庁（CISA）の「悪用が確認済みの脆弱性」（KEV）カタログにも登録されている。

　チャイルズ氏は、「Microsoft SharePoint Server」に存在する特権昇格の脆弱性「CVE-2026-102866」にも注目する。これは未認証の攻撃者がネットワーク経由で不正に権限を昇格させ、暗号化トークンの検証機能の不具合を悪用し、ユーザーアカウントを乗っ取れるようにする脆弱性だ。

　パッチ管理サービスベンダーAction1で脆弱性調査部門の責任者を務めるジャック・バイサー氏によると、セキュリティ担当者にとって2026年10月の課題は、単に大量の更新プログラムを適用することではない。関連する他のシステムで障害を起こすことなく、何を最優先で処置すべきかを見極めることだ。

　バイサー氏は、脆弱性の優先順位付けは深刻度のスコアだけで判断できるものではないと指摘する。すでに悪用されたかどうか、外部に公開されているサービスかどうか、自社ネットワーク内でそのシステムが何を担っているかなどを総合的に考慮して、適用手順を決定する必要がある。

担当者を追い詰めるパッチ適用の重圧

　セキュリティベンダーSocuraが2026年4月にセキュリティ担当者502人を対象として実施した調査では、月例の更新プログラムがセキュリティ担当者に深刻なストレスを与えている実態が浮き彫りになった。回答者の29％が、Microsoftがパッチを配布する毎月第2火曜日の「Patch Tuesday」を控えた前夜に「強い不安を感じる」と答えた。22％はパッチ適用の作業を避けるためにわざと仮病を使って欠勤したり、計画的に有給休暇を取得したりした経験があると回答した。

　SocuraのCEOであるアンドリュー・ケイス氏は、「重要な業務の日にセキュリティ担当者が意図的に職場を離れようとすることは、IT業界における過労やストレスがいかに不健全な水準にあるのかを如実に物語っている」と述べる。「CVEの件数は年々増加しており、AIツールを使うことでサイバー攻撃者がかつてない速度で脆弱性を悪用できるため、状況が好転する前に担当者の重圧はさらに悪化するだろう」と同氏は懸念する。

　それでも救いとなるのは、防御側もAI技術を活用できる点だ。各地のセキュリティチームが、AIツールによって顧客の被害を食い止め、インシデントの解決にかかる時間を短縮している。調査では、回答者の40％がAIツールによって定型業務が自動化されたと答え、37％がコアインフラの防御強化にAIツールが役立っていると答えた。