マイクロソフトが9月の月例更新を公開、悪用確認済みのWindows特権昇格2件にIPAとJPCERT/CCが早急な適用を呼びかけ

要点

• マイクロソフトは2026年9月8日（米国時間）、同社製品の脆弱性を修正する9月のセキュリティ更新プログラム（月例）を公開した。対象はWindows 11やWindows Server、Microsoft Office、SharePoint、Exchange、SQL Server、.NET、Visual Studio、Dynamics 365、Azureなど幅広い。
• このうち2件の特権昇格の脆弱性、「Windows Updateスタックの特権の昇格の脆弱性（CVE-2026-81963）」と「Windows Advanced Local Procedure Call（ALPC）の特権の昇格に関する脆弱性（CVE-2026-85880）」について、マイクロソフトは更新公開前の悪用を確認済みだと公表した。
• これを受けて独立行政法人情報処理推進機構（IPA）と一般社団法人JPCERTコーディネーションセンター（JPCERT/CC）は9月9日、それぞれ注意喚起を出し、セキュリティ更新プログラムの早急な適用を求めた。

悪用が確認された2件：更新の仕組みとOS内部通信の特権昇格

悪用が確認された2件はいずれも、攻撃者が既に持つ低い権限を管理者相当に引き上げる特権昇格の脆弱性だ。単独で外部から侵入するものではないが、正規利用者の権限を奪った攻撃者が管理下に置く段階で使われると、対策ソフトの無効化や機密情報への到達を許すおそれがある。

CVE-2026-81963は、Windows Updateの土台部分（更新スタック）の特権昇格の脆弱性だ。更新の仕組み自体に弱点があるため、修正のための更新を適用する前に悪用される可能性があり、IPAは「今後被害が拡大するおそれがある」として至急の適用を求めている。

CVE-2026-85880は、Windows内部の部品同士が高速に連絡を取り合う仕組みであるALPC（Advanced Local Procedure Call）の特権昇格の脆弱性だ。ALPCはOSの深部で動くため、ここで権限を奪われると影響が大きい。JPCERT/CCは、マイクロソフトが提供する最新の情報を確認した上で対策を実施するよう求めている。

9月更新の全体像：Windowsは緊急、再起動が必要な基準更新

マイクロソフト日本セキュリティチームの月例ブログによると、9月の更新はWindows 11（v26H1、v25H2、v24H2、v23H2）とWindows Server 2025／2022／2019／2016がいずれも最大深刻度「緊急」で、受ける影響は「リモートでコードの実行が可能」とされている。Office、SQL Server、Visual Studio、Dynamics 365、Azureも「緊急」、SharePointとExchange、.NETは「重要」だ。

今月のWindows更新は、再起動が必要な基準（ベースライン）更新プログラムだとマイクロソフトは説明している。Exchangeの更新を展開する際は、Exchangeチームのガイダンスも参照するよう求めている。また、既存の脆弱性情報38件の更新も同時に行われた。

IPAとJPCERT/CCが求める対応：自動更新の確認と早期の展開

IPAとJPCERT/CCが求める対応は、Windows UpdateやMicrosoft Updateによるセキュリティ更新プログラムの適用だ。出典元が実際に公表している内容は次の通りだ。

• IPAは、セキュリティ更新は通常は自動で行われ、Windows Updateを通じて自動的に入手・導入されると説明している。更新の適用には再起動が必要になる場合があるとしている。
• IPAは、更新管理を行っている組織に対して、マイクロソフトの月例情報を参照の上、早期に更新を展開するよう求めている。
• JPCERT/CCは、Microsoft UpdateもしくはWindows Updateなどを用いて適用することと、Microsoft Updateカタログの利用を示している。

個人利用者はWindows Updateが有効かを確認し、保留中の更新があれば再起動して適用を完了させたい。組織の管理者は、月例情報を確認して展開計画を立て、特に今回悪用が確認された2件の修正が行き渡ったかを確認することが求められる。

出典

• Microsoft Japan Security Team, 「2026 年 9 月のセキュリティ更新プログラム (月例)」（2026年9月7日）: https://www.microsoft.com/en-us/msrc/blog/2026/09/202609-security-update/
• IPA, 「Microsoft 製品の脆弱性対策について(2026年9月)」（2026年9月9日）: https://www.ipa.go.jp/security/security-alert/2026/0909-ms.html
• JPCERT/CC, 「2026年9月マイクロソフトセキュリティ更新プログラムに関する注意喚起」（JPCERT-AT-2026-0025、2026年9月9日）: https://www.jpcert.or.jp/at/2026/at260025.html