Microsoftが過去最大974件の脆弱性を修正 — 9月定例更新、2件のゼロデイは悪用確認でCISAがKEV登録

Microsoftは2026年9月8日（米国時間）、月例のセキュリティ更新（2026年9月）で974件のMicrosoft CVEを修正したと公表した。同社のセキュリティ更新ガイド（Security Update Guide）が示す統計で、Windowsが723件を占めるほか、Office 111件、SQL 62件など、主要製品が広範囲に含まれる。Microsoftの定例更新として過去最大の規模であり、同社は2件の脆弱性について野外での悪用を確認済みと説明している。

米CISA（サイバーセキュリティ・インフラストラクチャ安全保障庁）も同日、この2件を含む4件の脆弱性をKEV（Known Exploited Vulnerabilities）カタログへ追加し、連邦機関に迅速な修復を求めた。日本国内でもWindowsやOfficeは広く利用されているため、影響の有無を確認し、優先度を付けて更新を進める必要がある。

974件の内訳 — Windowsだけで723件

Microsoftが公開した CVRF 2026-Sep によれば、今回のリリースは次の製品群にまたがる。

製品ファミリー	修正された脆弱性数
Windows	723件
Office（Office 2016を含む）	各111件
SQL	62件
開発者ツール	22件
SharePoint Server	16件
Azure	12件
その他	9件

Windowsの更新は 累積更新 として提供され、Windows 11 バージョン 23H2 / 24H2 / 25H2 や Windows 10 バージョン 1607 / 1809 / 21H2 / 22H2、Windows Server 各バージョンが対象に含まれる。Microsoftは追加で 25件の非Microsoft CVE を再掲している。

同日、米NVD（National Vulnerability Database）でも該当CVEの詳細が更新され、各脆弱性の影響バージョンが公開されている。

悪用が確認された2件のゼロデイ — いずれも権限昇格

今回、悪用が確認された（Exploitation Detected）としてMSRCが明記し、CISAがKEVへ登録したのは次の2件だ。いずれも権限昇格に分類され、正規の権限を持つ攻撃者がローカルで権限を昇格できる欠陥だ。

CVE-2026-81963 — Windows Update Stackのリンク追従の不備

• 概要: Windows Update Stackにおける**リンク解決前のファイルアクセス（Link Following）**の不備。NVDの説明によれば、権限を持つ攻撃者がローカルで権限昇格に悪用できる。
• 影響: Windows 11 23H2（ビルド 22631.7582未満）、24H2（26100.9445未満）、25H2などが影響を受ける。Windows Updateのスタックに関わるため、更新処理を悪用する経路が想定される。
• 状態: Microsoftが野外での悪用を確認、CISAが2026年9月8日にKEVへ登録。

CVE-2026-85880 — Windows ALPCのヒープベースバッファオーバーフロー

• 概要: Windows ALPC（Advanced Local Procedure Call） におけるヒープベースのバッファオーバーフロー。ALPCはWindowsのプロセス間通信機構で、権限を持つ攻撃者がローカルで権限昇格に悪用できる。
• 影響: Windows 10 1607 / 1809 / 21H2 / 22H2、Windows 11 23H2 / 24H2 / 25H2、Windows Serverを含む広範なバージョンが対象。NVDは各バージョンの修正前ビルド範囲を公開している。
• 状態: 同じく野外での悪用を確認、CISAが同日KEVへ登録。

Microsoftは両脆弱性の悪用の詳細や攻撃キャンペーン名を公表していないが、Exploitation Detected と明記しており、既に攻撃に使われていることが確定している。

CISAが同日にKEVへ4件を追加 — AdobeとN-ableも含む

CISAは2026年9月8日、4件の脆弱性をKEVカタログへ追加したと発表した。Microsoftの2件に加え、次の2件が含まれる。

• CVE-2026-75650 — Adobe Commerce / Magento のテンプレートエンジンにおける入力無害化の不備（CVSS 10.0）。Adobeが9月7日に緊急更新APSB26-146で修正し、野外での悪用を確認している。
• CVE-2026-86218 — N-able N-central の静的コードインジェクション脆弱性。管理者に身に覚えのないユーザーアカウントが作成されていないか確認するよう求められている。

CISAは、連邦民間行政機関（FCEB）に対し、拘束的運用指令 BOD 26-04「リスクに基づくセキュリティ更新の優先順位付け」 に基づき、インターネットに公開され、悪用で完全な制御を奪われるおそれがある資産を優先して迅速に修復するよう求めている。BODはFCEB機関向けだが、CISAはすべての組織がKEVの脆弱性を優先して修復することを推奨している。

管理者が取るべき対応

Microsoftは累積更新として修正を提供しており、Windows UpdateやWSUS、Intune経由での適用が基本となる。今回の更新は件数が極めて多く、テストと展開に時間を要する組織もあるが、CISAがKEVへ登録した2件については最優先での適用と、適用前の侵害有無の確認が求められる。

Microsoftのセキュリティ更新ガイドでは、製品・バージョンごとのKB番号と再起動要件を確認できる。CISAのKEVカタログは、悪用が確認された脆弱性の一次情報として、優先度付けの判断材料になる。国内組織でも、WindowsとAdobe Commerce/Magento、N-able N-central のいずれかを利用している場合は、該当製品がKEVに含まれていないかを確認することが重要だ。

Microsoftは今回の更新で 58件を「悪用される可能性が高い（Exploitation More Likely）」 と評価しており、ゼロデイ以外の脆弱性でも、今後の悪用に備えた計画的な適用が求められる。

出典

• Microsoft Security Response Center — CVRF 2026-Sep「September 2026 Security Updates」（974件のMicrosoft CVE、2件のExploitation Detectedを記載） — https://api.msrc.microsoft.com/cvrf/v2.0/cvrf/2026-Sep
• CISA Alert「CISA Adds Four Known Exploited Vulnerabilities to Catalog」（2026年9月8日、CVE-2026-75650 / CVE-2026-81963 / CVE-2026-85880 / CVE-2026-86218のKEV登録） — https://www.cisa.gov/news-events/alerts/2026/09/08/cisa-adds-four-known-exploited-vulnerabilities-catalog
• NVD — CVE-2026-81963詳細（Windows Update StackのLink Following） — https://services.nvd.nist.gov/rest/json/cves/2.0?cveId=CVE-2026-81963
• NVD — CVE-2026-85880詳細（Windows ALPCのヒープバッファオーバーフロー） — https://services.nvd.nist.gov/rest/json/cves/2.0?cveId=CVE-2026-85880