何が起きたか
2026年9月8日 のPatch Tuesdayで、Microsoftは 964件のCVE を修正しました。Tenableによると7月を上回る過去最多で、緊急104件、重要860件。権限昇格が 44.7%、リモートコード実行が 26.8% を占めます。
2件のゼロデイ
- CVE-2026-81963(Windows Update Stack): リンク追従の不備で SYSTEM 権限に昇格できる。CVSS 7.8。Update Stackの権限昇格がゼロデイとして悪用されたのは2022年以降で初めて。
- CVE-2026-85880(Windows ALPC): SYSTEMへの昇格、CVSS 7.8。CVE-2023-21674以来、ALPCで2件目のゼロデイ。
どちらもローカルアクセスが必要ですが、フィッシングなどで侵入した後に攻撃者が連鎖させる典型的な脆弱性です。
ほかに優先すべき脆弱性
- CVE-2026-69730(Windows DNS Server): 認証不要のRCE、CVSS 9.8、「悪用される可能性が高い」。
- CVE-2026-69525(リモートデスクトップサービス): use-after-freeによるRCE、CVSS 9.8。
- CVE-2026-69676(Kerberos): RCE、CVSS 8.8。
- CVE-2026-69380(Exchange Server): 認証済みユーザーが他人のメールボックスにアクセス可能、CVSS 8.1。
今すべきこと
- 9月の累積更新をクライアントとサーバーに適用。インターネットを使う端末から優先(権限昇格ゼロデイ対策)。
- DNSサーバー、RDSホスト、ドメインコントローラーを優先する。
- 1か月で約1000件という量に備え、パッチ管理を自動化し、CISAのKEVで順番を決める。