この記事でわかること
- 10月の月例更新で1,100件超の脆弱性に対処した背景と、Microsoftが「安全性が下がったわけではない」とする理由
- 修正が公開されると、攻撃側がAIで数時間のうちに攻撃手段を作れるおそれがあるという指摘
- 企業で更新が遅れている実態と、個人のPCを含めて今やっておくこと
10月の月例更新で1,100件超、件数が膨らんだ理由
Microsoftは米国時間の2026年11月5日、Windows Experience Blogで脆弱性管理の取り組みを説明し、2026年10月のWindows向け月例セキュリティ更新で1,100件を超える脆弱性（CVE）に対処したと明らかにしました。執筆したのは、Windowsの更新配信を担当するパートナーディレクターのNuno Costa氏です。
件数が増えた理由として挙げているのは3つ。AIを使ってより多くのコードをより深く調べていること、外部の研究者からの報告が続いていること、見つかった脆弱性をその都度優先して修正していることです。そのうえでMicrosoftは、CVEの件数が増えたからといってWindowsの安全性が下がったわけではなく、見つけて塞いだ脆弱性が増え、攻撃者が使える穴が減ったことを示すと説明しています。
1,100件超は、あくまで修正した数。すべてがすでに攻撃に使われていたという意味ではありません。
AIで脆弱性を探し、修正と検証にも使う
脆弱性の情報は、外部の研究者やパートナーからの報告と、社内のチームによる発見の両方から、Microsoft Security Response Center（MSRC）に集まります。社内での発見に使われているAIの一例が「MDASH」です。複数のAIモデルと専門のエージェントを組み合わせて、脆弱性の候補を見つけて検証するコードスキャナーで、出てきた結果はセキュリティとエンジニアリングのチームが確認して対応を決めます。誤検知を振り分け、本当に対処すべき脆弱性に人手を集中させるのがねらいです。
修正の段階でもAIを使っています。影響の評価、影響を受けるWindowsのバージョンの特定、関連するコードにある同種の問題の洗い出し、バージョンごとの修正方針、セキュリティテストや回帰テストの作成など。ただし作業の確認と最終判断、成果物への責任はエンジニアが持つと、Microsoftは繰り返し強調しています。
修正が増えれば、更新の品質確認も追いつかなければなりません。Windowsでは社内での先行展開や機能テスト、アプリの互換性テストに加え、PCメーカーやセキュリティベンダーなどと協力するSecurity Update Validation Programで検証しています。テストの選定や作成、結果の分析にもAIを取り入れているとのことです。
修正の公開直後から、攻撃手段づくりとの時間勝負に
AIは守る側だけでなく、攻撃する側の作業も速くします。Microsoftによると、修正が公開されると、その中身を解析して元の脆弱性を突き止め、攻撃手段を作れるようになります。それが数時間のうちに行われるおそれもあるといいます。
Microsoftはこの点で、Anthropicが2026年6月に公表した研究も引用しています。修正は公開されたものの、まだ一部の機器にしか適用されていない脆弱性を狙う「Nデイ攻撃」について、大規模言語モデルによって攻撃手段の開発がかつての数日単位から数時間単位へ速まっている、という内容です。
この研究が測ったのは、攻撃手段を作るまでの時間です。実際の攻撃には、狙う相手を探したり攻撃を届けたりする手間が別にかかります。それでも、修正が出てから端末に入るまでの期間が長いほど、攻撃にさらされる余地は残り続けます。
企業では2週間たっても半数未満、Microsoftが早期適用を要請
ところが、実際の更新は追いついていません。Microsoftが同じ発表で示した2026年8月の診断データでは、計測対象の企業向けWindowsのうち、セキュリティ更新の公開から2週間たってもインストール済みの端末は半数未満でした。4週間後でも、およそ4台に1台が未適用のままです。
Microsoftは組織に対し、次の4点に取り組むよう求めています。
- サポート対象のバージョンを使い、公開された更新をすぐに入れる
- 不要な攻撃の入口を減らし、セキュリティベースラインで実績のある設定を使う
- エンドポイントでの検出を続け、使える緩和策を適用する
- 被害を受けたときの対応と復旧の手順を整える
なかでも土台になるのが、最新の状態を保つこと。Windows 11では、Microsoft Intuneを通じたWindows Autopatchで段階的な配信や適用状況の把握ができます。条件を満たす端末なら、月例のセキュリティ更新を再起動なしで適用できるホットパッチも使えます（定期的には再起動を伴う累積更新も必要です）。古いWindowsで延長セキュリティ更新（ESU）を使う場合も、サポート対象のバージョンへ移るまでのつなぎと位置づけるよう求めています。
個人のPCでも「更新は後回しにしない」が基本
Microsoftの今回の呼びかけは、主に企業や組織の管理者に向けたものです。それでも、修正が出てから端末に入るまでの期間を短くするという考え方は、自宅のPCにも当てはまります。
まず確かめたいのは、自分のWindowsがまだ更新を受けられる版かどうか。［設定］→［システム］→［バージョン情報］を開くと、「Windowsの仕様」の欄にエディションとバージョンが表示されます。
ここで「Windows 11 Home」または「Pro」の「24H2」と表示されたら要注意です。Microsoftの告知によると、24H2のHome／Proは2026年10月の月例更新を最後に更新の提供を終えました。11月以降のセキュリティ更新は届かないため、Microsoftは25H2または26H2への更新を勧めています。
更新を受けられる版のWindows 11なら、［設定］→［Windows Update］で［更新プログラムのチェック］を選び、届いている月例更新を早めに入れます。Windows 10の場合、セキュリティ更新が届くのは個人向けの拡張セキュリティ更新（ESU）に登録した22H2の端末で、提供は2027年10月12日まで延長されています。更新の確認は［設定］→［更新とセキュリティ］→［Windows Update］から行います。更新を一時停止しているなら、長く止めたままにしないこと。Microsoftも、セキュリティ更新を「いつも待たせておける作業」として扱わないよう求めています。
11月の月例更新は、定例の日程どおり米国時間11月10日（日本時間11日）に配信される予定です。
