貴社で Windows を使っているなら、通常のサイクルを待たず、2026年10月の更新プログラムを今週中にインストールしてください。2026年10月13日、Microsoft は同社史上最大のセキュリティ更新プログラムをリリースし、1,400件を超える脆弱性を修正しました。その中には、攻撃者がすでに悪用している脆弱性（CVE-2026-96951）が含まれており、評価は10点中8.8です。この脆弱性により、Windows はインターネットやメールで届いたファイルを社員が自分で作成したファイルのように扱うため、通常なら開く前に表示される警告がまったく表示されません。サウジアラビア国家サイバーセキュリティセンター（Saudi CERT）は同日、影響を受ける製品の更新を推奨する重大アラートを発表しました。対策はひとつだけです。10月の更新プログラムをインストールすることで、Windows 11（24H2、25H2、26H2）では KB5127648 です。

今月は何が変わったのか？

Microsoft は毎月第二火曜日にセキュリティ更新プログラムを配信しており、この日は Patch Tuesday と呼ばれています。10月のリリースは規模が違います。Zero Day Initiative は新しい CVE を1,415件数え、これは同組織が初めて目にする四桁の月間合計であり、Microsoft の2023年の年間合計914件をも上回ります。件数は集計元によって若干異なり、Tenable は1,407件と数え、そのうち69件が「緊急」と評価されています。Zero Day Initiative の説明によれば、その理由は AI ツールが防御側でも攻撃側でも、以前より速く脆弱性を見つけるようになったことです。

件数よりも重要なのは、いままさに悪用されているひとつの脆弱性です。ほかの脆弱性は誰かが武器化するまでに時間がかかりますが、この脆弱性は修正が出る前からすでに使われていました。

悪用されている脆弱性は中小企業にとってどれほど深刻か？

社員がファイルをダウンロードしたりメールの添付ファイルを開いたりすると、Windows はそのファイルに Mark of the Web というマークを付け、外部から来たものであることを示します。このマークがあるからこそ、Office はファイルを保護ビューで開き、Windows はダウンロードしたプログラムを実行する前に警告を出します。CVE-2026-96951 を使うと、細工したファイルからこのマークを外すことができるため、Windows はそれをローカルのファイルとして扱い、何の警告もなく開いてしまいます。

Tenable によると、悪用はソーシャルエンジニアリングに依存しています。つまり、社員にファイルを開かせるメールやメッセージです。私たちの市場でよくあるシナリオがまさに当てはまります。「請求書」や「見積書」が経理担当者に届き、担当者は止める警告もないまま開いてしまうのです。Tenable は、これが2026年に実際の攻撃で悪用された Windows Shell の脆弱性としては、2月と4月に続く三件目だと指摘しています。

米国サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）は10月13日にこれを既知の悪用された脆弱性（Known Exploited Vulnerabilities）カタログに追加し、米国連邦機関に2026年10月16日までの修正を求めました。わずか三日間です。この短い期限は、どれほど深刻に受け止められているかを示しています。

影響を受けるマシンと、それぞれの更新プログラム番号は？

Microsoft のセキュリティ更新プログラム ガイドにあるこの脆弱性の項目によると、修正はサポート対象のすべての Windows バージョンで提供されています。

  • Windows 11 バージョン 24H2、25H2、26H2：KB5127648。
  • Windows 11 バージョン 23H2：KB5126653。
  • Windows Server 2025：KB5126646、Windows Server 2022：KB5126655、Windows Server 2019：KB5126651。
  • Windows Server 2016：KB5126868、Windows Server 2012 R2：KB5126836。

更新プログラムが提供されないマシンは、たいていサポート対象外になっています。Windows 11 24H2 Pro のPCは10月13日にサポート終了を迎えました。これについては Windows 11 24H2 のサポート終了 で取り上げています。Windows 10 のマシンがまだある場合は、企業向け Windows 10 のサポート終了期限 をご覧ください。

今週やるべきこと：五つの手順

  1. 今日、更新プログラムをインストールする：「設定」、次に Windows Update、そして再起動します。マシンを再起動するまで更新は完了しません。
  2. 最も狙われやすいマシンから始める：経理、購買、カスタマーサービスなど、毎日外部からの添付ファイルを受け取るPCです。
  3. サーバーを忘れない：Zero Day Initiative は、今回のリリースにログインもユーザー操作も不要なワーム化可能（wormable）な脆弱性が59件あると指摘しており、DHCP Server や Remote Desktop Gateway などのコンポーネントに含まれています。同じリリースで Outlook、Excel、Exchange、SharePoint、SQL Server の緊急の脆弱性も修正されています。
  4. すべてのマシンに実際にインストールされたか確認する：「更新は自動だから」で済ませないでください。IT担当者に、更新が完了していないマシンの一覧を求めましょう。
  5. 社員に注意を呼びかける：短いメッセージで十分です。予期していない添付ファイルは、警告が表示されなくても開かず、送信者に電話して確認すること。

自動更新だけで十分か？

十分であることはまれです。多くの企業には、何週間も再起動されていないPC、古いプログラムが一度動かなくなったために更新が一時停止されたマシン、「動いているから」と誰も更新しないサーバーがあります。だからこそ Saudi CERT のアラートは、単に更新を有効にするだけでなく、影響を受ける製品を更新するよう組織に求めているのです。修正が1,400件を超えるリリースでは、一か月遅れたマシンがネットワーク全体への開いた扉になります。

Origami の見解

今回のリリースは、恒久的な変化を示しています。AI によって脆弱性の発見が加速しているため、毎月の更新は今後も増え続け、公開から悪用までの時間は今後も短くなり続けるでしょう。「誰かが思い出したときに」パッチを当てる企業は、常に後手に回ります。決まったスケジュールを持つほうが賢明です。緊急の更新は72時間以内、それ以外は二週間以内に適用し、すべてのPCとサーバーが最新であることを証明する月次レポートを作成します。Origami では、お客様のためのシステムとサーバーを初日からこのフォローアップ体制で構築しています。貴社のPCやサーバーを点検したい場合は、お問い合わせください。

出典