Microsoftの9月修正は1000件近い規模。最重要システムに「24時間以内」を検討する理由

まず初めに

「過去最多」と聞くと、更新通知を何百回も閉じる日を想像してしまうかもしれない。だが今回の数字は通知の回数ではなく、修正対象の脆弱性の件数だ。AIが棚から問題を次々と見つけてくるなら、直す側にも点検係と段取りが要る。発見係だけ増員して、後始末はいつもの人数。なかなか財布に厳しい配役である。※個人の感想です

何が起きているのか

Microsoftは2026年10月6日、同社セキュリティブログで「CISO perspectives on managing vulnerability risks in the age of AI」と題した記事を公開しました。この記事では、フロンティアAIモデル(最先端の大規模AIモデル)が、人間のチームよりはるかに速く、コードの脆弱性を見つけ出せるようになったとした上で、本当に難しいのは「見つけた後にどうするか」だと指摘しています。Microsoftは、AIによって企業に示される脆弱性の件数が、これまでより大幅に増えることになり、CISOにとっての本当の課題は「どれだけ速く直すか」ではなく、「これまでになかった規模で、速さと正確さのバランスをどう保つか」になるとしています。

この指摘の背景には、2026年9月のMicrosoftの月例セキュリティ修正「Patch Tuesday」があります。Microsoftは10月6日の公式ブログで、扱った脆弱性の件数を「1000件近い、過去最多」と説明しています。TechRadar ProとPureinfotechは974件と報じていますが、IT PostがMicrosoftの更新ガイドを独自に全件集計した数字ではありません。Office関連の内訳はTechRadar Proが111件、Pureinfotechが222件と異なり、その差の理由を今回確認できていないため、確定した内訳としては扱いません。悪用が確認された2件の脆弱性として、両媒体はCVE-2026-85880とCVE-2026-81963を挙げています。数字の迫力は十分。ただし、電卓をたたく前に「何を数えた数字か」を揃えたい。

Microsoftはこの状況への対応として、自社のコードベースをフロンティアAIモデルで脆弱性スキャンする取り組みを、すべての開発部門に拡大したと説明しています。AIモデルの出力をそのまま使うのではなく、コードへのアクセス方法や出力の検証、triage(優先順位付け)への統合を管理する「ハーネス」という仕組みを介して運用しており、このハーネスの1つ(社内コード名MDASH)は、顧客向けにも提供を始めたとしています。社内のレッドチーム(攻撃者視点での検証チーム)の活動にもAIを活用し始めたとしています。

なぜ重要なのか

今回の件が重要なのは、AIによる脆弱性発見の高速化が、攻撃する側・守る側の双方に同時に影響する点です。Microsoftは、AIモデルの能力が上がるほど、攻撃者が未修正の脆弱性を悪用するまでの時間も短くなっていくと指摘しており、ドメインコントローラーやエッジ機器など最重要システムでは、次の保守時間を待たず、修正を24時間以内に適用することを検討するよう呼びかけています。対象と強さを限定した呼びかけであり、全端末への一律の24時間ルールではありません。

また、今回の指摘は、脆弱性の「件数」だけでなく、それを処理する体制側のボトルネックに焦点を当てている点も重要です。AIがどれだけ速く脆弱性を見つけても、それを検証し、優先順位をつけ、安全に修正を適用する人とプロセスの能力が追いつかなければ、見つけた脆弱性がそのまま放置されるリスクが残ります。Microsoftは、すべての脆弱性を期限内に修正できるとは限らないため、攻撃者ができることを制限する多層防御も重視しています。「Microsoft Baseline Security Mode」の活用や、重要な制御が機能しているかの監視を呼びかけています。

私たちへの影響

脆弱性の件数は、更新通知の回数やダウンロード容量を表す数字ではありません。今回の資料だけで、一般利用者のWindows Updateが以前より頻繁になった、あるいはダウンロード量が増えたとは判断できません。利用している製品・版に適用される更新や既知の問題は、各製品の公式案内で確認する必要があります。

企業のIT管理者やセキュリティ担当者にとっては、Microsoftが呼びかける「Microsoft Baseline Security Mode」のような、既定のセキュリティ設定をまとめて強化できる仕組みの導入を検討する材料になります。Microsoftは、既存の契約の範囲内でこの仕組みを利用できるとしており、設定の影響を事前に分析してから段階的に適用できるとしています。

初心者が知っておくべきこと

「CVE」とは、ソフトウェアに見つかった脆弱性1件ごとに付けられる、世界共通の識別番号です。「CVE-2026-85880」のような形式で表記され、セキュリティ業界で脆弱性を正確に特定するための共通言語として使われています。

「Patch Tuesday(パッチチューズデー)」とは、Microsoftが毎月第2火曜日(米国時間)に、まとめてセキュリティ更新を配信する仕組みのことです。この日に合わせて多くの企業がシステムの更新作業を計画するため、月例の節目として広く使われている呼び方です。

Q. Windows Updateの通知が増えた気がするのは気のせい? A. 今回の資料だけでは判断できません。CVEの件数が増えたことと、個々の端末に出る通知の回数・更新頻度・ダウンロード容量が増えたことは別です。この記事では端末ごとの更新履歴や容量を測定していません。

Q. 更新件数が増えているなら、更新を適用するのは危険? A. 件数だけでは更新適用の安全性や、各端末への影響は判断できません。Microsoftの24時間の呼びかけは最重要システムで適用を検討するというもので、速さと正確さの両立も重視しています。利用製品への適用条件と既知の問題を、公式の更新案内で確認してください。

IT Postの見方――AIが見つけた穴を、AIで塞ぐ時代の体力勝負

IT Postは、Microsoftが自社のコードをAIでスキャンし、見つかった脆弱性を積極的に公開・修正していく姿勢そのものは、評価できる取り組みだと考える。隠すより直す方を選んでいる以上、利用者にとっては筋の通った方針だ。

一方で心配なのは、この「AIが見つけた穴を、AIで塞ぐ」という体力勝負に、十分な予算や人手を持つ大企業しか付いていけなくなるのではないかという点だ。Microsoft Baseline Security Modeのような仕組みは便利だが、使いこなすにもそれなりの体制が必要になる。セキュリティ担当者を何人も抱える余裕のない中小企業や、個人で運用しているサイト・サーバーが、この「過去最多」の波に取り残されないよう、分かりやすい手順や、負担の小さい対策が広がってほしいとIT Postは考える。※個人の感想です

今後どうなりそうか

Microsoftは、脆弱性の件数が「当面は高い水準で続く」とみており、具体的にいつ落ち着くかは発表時点では示していません。Microsoft Baseline Security Modeは、新規顧客のテナント（利用組織の環境）には段階的に既定で組み込まれていく方針が示されていますが、詳しい展開スケジュールは明らかにされていません。IT Postでは、今後のPatch Tuesdayの件数や、中小企業向けの対応策について、新しい事実が確認され次第、あらためて取り上げます。