マイクロソフト、過去最多570件の脆弱性を修正、2件のゼロデイが悪用される

マイクロソフトの7月のパッチチューズデーは、好ましくない記録を打ち立てた。同社は今月、Windowsエコシステム全体で570件のセキュリティ脆弱性を修正した。これは同社がこれまでに提供した中で最大の修正パッケージである。そのうち61件は深刻度が「緊急」に分類され、3件はゼロデイ脆弱性、つまり修正プログラムが存在する前に一般に知られていたか、すでに攻撃に使われていたことを意味する。この3件のゼロデイのうち2件は、リリース時点で活発に悪用されていることが確認された。

Windowsマシンを使用している人にとって、今月は更新プロンプトを無視してよい月ではない。

今回のパッチチューズデーが異例である理由

パッチチューズデーは毎月第2火曜日に行われ、通常のサイクルでは60～150件前後の問題が修正される。570件というのは大幅な増加であり、Windowsのコードベース（カーネルからネットワークコンポーネント、Officeの統合部分まで）が、新たな攻撃手法が登場するたびに継続的なメンテナンスを必要としていることを反映している。その膨大な数は、ITチームも一般ユーザーも、今回のサイクルではこれまで以上に多くの修正作業を抱えることを意味する。

この更新を単に規模が大きいだけでなく緊急にしているのは、すでに実際に悪用されているゼロデイの存在だ。ゼロデイとは、マイクロソフトが修正プログラムをリリースする前に攻撃者が利用できる脆弱性、あるいは場合によっては一般の人々がその欠陥の存在すら知らないうちに利用される脆弱性である。今月のゼロデイ3件のうち2件が活発に悪用されていると確認されたということは、セキュリティ研究者だけでなく、実際の攻撃者がこれらの隙間を突く動作コードを持っていることを意味する。更新のインストールを数週間遅らせれば、すでに一部の脅威アクターが通り抜けている窓を開けたままにすることになる。

マイクロソフトが対応する前に研究者がWindowsの欠陥をこじ開けたのは今回が初めてではない。セキュリティコンテストでは、これらの問題がどれほど根深いかが繰り返し示されてきた。例えば、Pwn2Own Berlin 2026でのWindows 11とEdgeのゼロデイでは、研究者がまだパッチのない欠陥を発見して多額の賞金を獲得した。また、独立系研究者が未修正の発見を直接公開するケースも常態化しており、Nightmare Eclipseとして知られる研究者が別のWindowsゼロデイを公開した際には、マイクロソフトの通常の開示プロセス外で行われた。

クリティカルなバグは件数だけでなく優先度で対処すべき

今回のリリースだけで深刻度「緊急」の脆弱性が61件もあると、この更新をひとつの大きな包括的な修正と見なして先に進みたくなるかもしれない。しかし、緊急の評価が付けられているのには理由がある。これらは、攻撃者がシステムを制御したり、リモートでコードを実行したり、ユーザーの操作をほとんど必要とせずに権限を昇格させたりする可能性が最も高いバグである。このような脆弱性が公になった瞬間から、セキュリティ研究者も犯罪グループも、何が修正されたのかを正確に把握するためにパッチをリバースエンジニアリングし始めるため、他の場所での悪用スケジュールが早まる。

このパターンは過去にも繰り返されてきた。ランサムウェアの運営者は、被害を引き起こすのに本物のゼロデイを必要としないことを示している。修正プログラムが利用可能になった後も、組織が適用する前に、新たに開示された深刻度の高い欠陥に素早く乗り換えることがよくある。この構図は、CISAがランサムウェアギャングがBlueHammerの脆弱性を悪用していることを確認したことでも裏付けられた。修正がすでにリリースされた後も悪用が続いていたのだ。一貫した教訓は、最初のゼロデイの見出しが消えた後も、パッチ未適用のシステムは貴重な標的であり続けるということだ。

ユーザーにとっての意味

個人のノートパソコンでも業務用デバイスでも、Windowsを使っているなら、実際に取るべき手順は簡単だ。今月の更新プログラムが利用可能になり次第、すぐにインストールすること。「設定」から「Windows Update」に進み、まだプロンプトが表示されていない場合は手動で更新を確認する。要求されたら再起動する。基本的なことに聞こえるが、パッチ適用の遅れは、特にすでに活発に悪用されているゼロデイの場合、攻撃者が成功する最も一般的な理由のひとつであり続けている。

OSにパッチを適用することは、セキュリティ環境のあらゆる要素が依存する基盤でもある。VPNはトラフィックのプライバシーを保護し、IPアドレスを詮索から守り、エンドポイント保護ツールは悪意のあるファイルや不審な動作を検出できるが、いずれのツールも、攻撃者にデバイスへの直接アクセスを許す未修正のOSの脆弱性を完全に補うことはできない。OSのパッチを鍵のかかった玄関ドアと考え、VPN、ウイルス対策、ファイアウォールなど他のすべては、そのドアの周囲に追加されたセキュリティ層だと捉えてほしい。ドア自体に穴が開いていれば、他の層が安全を保つためにはるかに多くの労力を強いられることになる。

実践すべきポイント

特に複数のデバイスや小規模ビジネスのネットワークを管理している場合は、7月のパッチチューズデー更新プログラムをすぐに確認してインストールすること。1週間経ってもパッチが適用されていないシステムを優先的に対処すること。通常、その時期から悪用の試みが加速するからだ。今後のために自動更新を有効にしておき、毎月のリリースを手動で覚えておく必要がないようにする。そして、過去最多となった今回のパッチサイクルを、OSの健全性が、あなたが使うあらゆるプライバシーやセキュリティツールの土台であることを思い出させるものと受け止め、それが最も弱い部分にならないようにしよう。