今日は毎月恒例「Windows Update」の日、過去最多となる1411件の脆弱性を修正

2026年10月14日(水)、Windowsのセキュリティ更新プログラムやバグ修正を配信する毎月恒例のWindows Updateが公開されました。今回は過去最多となる1411件の(ぜいじゃく)性に対処しているほか、実際に悪用されているゼロデイ脆弱性1件と、既に公表されているゼロデイ脆弱性2件を修正しています。

2026 年 10 月のセキュリティ更新プログラム (月例)
https://www.microsoft.com/en-us/msrc/blog/2026/10/202610-security-update

October 13, 2026—KB5126657 (OS Builds 19045.7807 and 19044.7807) | Microsoft Support
https://support.microsoft.com/en-us/servicing/os/windows-10/2026/10/kb5126657-windows-10-21h2-22h2-security-update

October 13, 2026—KB5127648 (OS Builds 26300.9711, 26200.9711 and 26100.9711) | Microsoft Support
https://support.microsoft.com/en-us/servicing/os/windows-11/2026/10/kb5127648-windows-11-24h2-25h2-26h2-security-update

October 13, 2026—KB5126653 (OS Build 22621.7652) | Microsoft Support
https://support.microsoft.com/en-us/servicing/os/windows-11/2026/10/kb5126653-windows-11-23h2-security-update

2026年9月のセキュリティ更新プログラムの一覧は以下の通りです。

今回修正されたゼロデイ脆弱性は「CVE-2026-108398」と「CVE-2026-92707」、そして実際に悪用が確認された「CVE-2026-96951」です。

CVE-2026-108398は.NET Frameworkに存在するセキュリティ機能をバイパスできる脆弱性で、攻撃者はWindows Defenderアプリケーション制御(WDAC)の適用を回避し、不正なアプリケーションを実行できる可能性がありました。

CVE-2026-92707はMessagePack-CSharpにおけるサービス拒否攻撃の脆弱性で、.NETにおけるシーケンシャルメモリ割り当ての制御が不適切であるため、権限のない攻撃者がネットワーク上でサービス拒否攻撃を実行できる可能性がありました。

CVE-2026-96951はMark of the Webセキュリティ機能を回避できる脆弱性で、Windowsシェルにおいて、コマンドで使用される特殊要素の不適切な無効化(コマンドインジェクション)により、権限のない攻撃者がネットワーク上のセキュリティ機能を回避できる可能性がありました。

また今回、Windows 11 バージョン 24H2 HomeおよびProのアップデートの提供が終了しました。

Windows Updateの公開はアメリカ時間の毎月第2火曜日で、次回のアップデート予定日は日本時間の2026年11月11日(水)です。