30秒で分かる結論

米Microsoftは2026年8月11日(米国時間)、Windowsやofficeなどを対象とする月例のセキュリティ更新プログラムせきゅりてぃこうしんぷろぐらむ(通称「Patch Tuesday」)を公開しました。修正された脆弱性の件数は集計元によって394件から421件程度まで幅がありますが、セキュリティ企業Tenableの集計では398件(緊急42件、重要355件、警告1件)としています。

今回の目玉は、3件のゼロデイ脆弱性ぜろでいぜいじゃくせい(修正プログラムが公開される前から存在が知られていた、または悪用されていた脆弱性)です。うち1件(CVE-2026-68820)は、Microsoft自身が「修正前から実際の攻撃で悪用されていた」と認めているもので、セキュリティ企業Check Point Researchは、この脆弱性が北朝鮮に関連するとされるハッカー集団「Lazarus」による攻撃で使われていたと報告しています。Windowsを使っているすべての利用者は、できるだけ早く更新プログラムを適用することが推奨されます。

まず初めに

結論から言う。月に一度、山のような脆弱性を修正プログラムという名の絆創膏で塞ぎ続ける。それがPatch Tuesdayという儀式の正体だ。今回は398件だ、いや400件だ、いや421件だと、数えるセキュリティ企業ごとに答えが違うという時点で、もはや「何件あるか」を正確に数えること自体が匠の技になっている。極めつけは、そのうち1件がとっくの昔に実戦投入されていたという事実だ。修正プログラムが出た日には、もう遅かったわけである。※個人の感想です

何が起きているのか

Microsoftの月例更新プログラムは、毎月第2火曜日(米国時間)に公開される定例のセキュリティ修正で、業界では「Patch Tuesday」と呼ばれています。2026年8月分では、Windows本体のほか、Microsoft Office、SharePoint Server、Azure関連サービス、開発ツール(Visual Studioなど)といった幅広い製品が対象になりました。

集計元によって394件・398件・400件・421件と数字が揺れるのは、Chromium系のコンポーネントを含めるかどうかなど、集計方法や締め切り時点の違いによるものとみられる。

今回とくに注目されているのが、3件のゼロデイ脆弱性です。

1つ目のCVE-2026-68820は、Windowsのネットワーク通信を支えるカーネルモードのドライバー「Ancillary Function Driver for WinSock(afd.sys)」に存在する解放済みメモリ使用かいほうずみめもりしよう(Use-After-Free)の欠陥です。深刻度はCVSSv3で7.0、悪用に成功すると、すでに端末に侵入している攻撃者が一般ユーザー権限からシステム全体を管理する「SYSTEM」権限まで権限昇格けんげんしょうかくできるとされています。Microsoftはこの脆弱性について、修正プログラムの公開前から実際の攻撃で悪用されていたことを確認したと発表しています。

セキュリティ企業Check Point Researchは、この脆弱性が、北朝鮮に関連するとされるハッカー集団「Lazarus」による攻撃キャンペーン「Operation Dream Job」で悪用されていたと報告しています。同社の報告によれば、攻撃者は偽の求人情報でヨーロッパやインドの防衛関連(航空宇宙・航空分野を含む)組織の担当者に接触し、悪意のあるPDFファイルや、それを装った偽のPDF閲覧ソフトを開かせることで端末に侵入し、この脆弱性を使ってセキュリティソフトの監視をかいくぐりながらシステムの奥深くに居座る「FudModule」というルートキット(不正な活動を隠すための不正プログラム)の新しい版を展開していたとされています。

残る2件のゼロデイ、CVE-2026-72971(Windowsのコンテナー分離用ドライバーの改ざんに関する脆弱性、CVSSv3で5.5)とCVE-2026-62832(Windowsのユーザープロファイルサービスの権限昇格に関する脆弱性)は、いずれも修正プログラムの公開前にすでに脆弱性の内容が公にされていた「公開済みゼロデイ」で、Microsoftは実際の悪用は確認していないとしています。

なぜ重要なのか

Windowsは、日本国内でも家庭のパソコンから企業の業務端末まで幅広く使われているOS(基本ソフト)です。今回のCVE-2026-68820のように、修正プログラムが公開される前から実際の攻撃で悪用されていた脆弱性は、更新プログラムを適用するまでの間、攻撃者に一歩先んじられていたことを意味します。

とくに今回のケースが注目されるのは、単なる個人の愉快犯的な攻撃ではなく、国家の関与が疑われる組織的なスパイ活動の一部として使われていたとされる点です。Tenableの研究者は、afd.sysという同じドライバーが過去にも同種の攻撃で狙われてきた経緯があることを指摘しており、今回の件も、国家の後ろ盾を持つとされる攻撃グループによる仕業である可能性を示唆しています。もっとも、こうした攻撃者の特定(アトリビューション)は、あくまでセキュリティ企業による分析結果であり、確定的な事実として断定できるものではない点には注意が必要です。

a Windows update shield icon overlaid with a small red exclamation warning badge, clean flat illustration, no text or logos

権限昇格の脆弱性は、それ単体では画面の乗っ取りなどの派手な被害にはつながりませんが、フィッシングメールなどで一般ユーザー権限をすでに奪われた端末において、攻撃者がより深いレベルの制御を奪うための「踏み台」として使われる点に危険性があります。

私たちへの影響

一般の家庭利用者やビジネスパーソンが、今回報告されたキャンペーンの直接の標的である防衛・航空宇宙分野の担当者である可能性は低いと考えられます。ただし、悪用された脆弱性そのものは、標的を選ばずどのWindows端末にも存在するものです。同じ手口が別の攻撃者によって模倣され、より広い範囲に使われる可能性は否定できません。

a person clicking the restart button on a laptop update notification, clean flat illustration, no text or logos

対応としては、Windows Updateを開いて更新プログラムを確認し、適用後にパソコンを再起動することが基本です。多くの家庭用パソコンでは自動更新が有効になっていますが、しばらく再起動していないパソコンでは、更新プログラムがダウンロード済みでも適用が完了していない場合があります。念のため、手動でWindows Updateの画面を開いて状況を確認しておくと安心です。

初心者が知っておくべきこと

「Patch Tuesday(パッチ・チューズデー)」とは、Microsoftが毎月第2火曜日(米国時間)にまとめて公開するセキュリティ修正プログラムの通称です。月に一度まとめて公開することで、企業のシステム管理者が計画的に更新作業を行えるようにする狙いがあります。

「権限昇格」とは、攻撃者が本来持っていないはずの高い権限(管理者権限やシステム権限)を、脆弱性を悪用することで不正に手に入れる行為のことです。多くのサイバー攻撃では、まず何らかの方法で低い権限だけを奪い、その後に権限昇格の脆弱性を使ってより深い制御を狙うという段階的な手順が取られます。

IT Postの見方

IT Postでは、Microsoftが毎月これだけの規模の脆弱性を修正し続けているという事実そのものを、単純に「危ない会社だ」と切り捨てるのは早計だと考えます。世界中で使われる巨大なソフトウェアである以上、一定数の欠陥が見つかり続けるのは避けがたい面があるからです。

一方で、セキュリティ企業ごとに「今回は何件だったか」という基本的な集計結果すら一致しないという状況には、率直に言って呆れます。件数という一番分かりやすいはずの数字ですら業界内で足並みが揃わないのに、利用者に「早く更新してください」と呼びかける説得力は、正直なところ心許ないとIT Postでは考えます。数字を揃えろとまでは言いませんが、せめて集計方法くらいは各社そろって開示してほしいものです。※個人の感想です

今後どうなりそうか

Microsoftは今後も毎月のPatch Tuesdayを継続する見込みです。今回のCVE-2026-68820をめぐっては、Lazarusとされるグループによる攻撃の詳細な分析が今後も各セキュリティ企業から公表される可能性があり、標的にされた業界や地域の範囲がさらに広がっていないかも注目されます。IT Postでは、この脆弱性の悪用範囲や、新たな攻撃グループへの模倣が確認された場合には、あらためて取り上げます。