2026年11月のIT期限カレンダー 動かせない日と自社で決める日

11月の山は、10日と17日です。10日（日本時間では11日の未明）にはMicrosoftの月例とサポート終了、米国の期限が重なり、17日にはChrome 158がXSLTを止めて、RD Web Accessの画面が開かなくなります。

ただ、2つの山は同じ重さではありません。10日に並ぶものは適用する更新、止まる更新、目安の期限と中身が別々で、一度に片づけようとすると順番を誤るでしょう。

だから今回のカレンダーは、日付順に並べるだけで終わらせていません。発表元の文書で確認できた日だけを置き、「他社が決めた日」「自社で決める日」「米国の目安」に色分けしました。下期のカレンダーのあとに分かった日付を足した、11月版です。

11月を1枚のカレンダーにすると

公表された時刻があるものは日本時間に直したので、Ciscoの勧告は5日、Zoomの最小バージョンは8日の欄に入っています。サポート終了の日は、発表元の表記のままです。

見落としやすいのは週末です。1日、7日、8日、14日、15日と、土日に5日も他社の予定が入っています。月曜の朝に気づいても遅い行があります。たとえば14日のZoom CRCなら、13日までに済ませる置き方になります。

12月以降も日付は続きます。年内は12月8日（米国）の月例、10日の週のEdge 159（XSLTが既定でオフ）、12月のCisco ISE 3.5のeMudhra修正（3.3と3.4は2027年4月）、31日のPHP 8.2のサポート終了。年明けは2027年1月12日のWindows Server 2016と、1月20日のCiscoの次のhardening勧告です。

10日の仕事は、中身で4つに分かれる

Microsoftは月例を、第2火曜の米国太平洋時間10時ごろに出します。11月1日に米国の夏時間が終わるので、日本では11日（水）の3時ごろ。10月より1時間遅くなります。

同じ日付でも、情シスの作業はかなり違うものです。

気をつけたいのは2段目です。11月10日を過ぎても、23H2のPCや.NET 8のアプリがその日に止まるわけではありません。届かなくなるのは次の修正で、カレンダーで数えると最初は12月8日（米国時間）の月例になります。

だから10日の前後に問い合わせは増えないはずで、静かなまま脆弱性だけが残っていく形になるでしょう。

ただ、同じ.NET 8でも、AWS Lambdaでは事情が違います。AWSのランタイムの表では、.NET 8の非推奨が11月10日、関数の新規作成ができなくなるのが2027年7月29日、更新ができなくなるのが8月31日です。AWSは計画のための予測の日付としていますが、10日を境に関数が使えなくなる話ではありません。

Fortinetは、Highまでの脆弱性の勧告を第2火曜に公開すると説明しています。10月に先に修正版を出した5つの製品系列を上げた会社は、ここで中身を照合することになります。

編集部は、11日の朝に全部を片づけようとしないほうがよいと考えます。月例は検証に回す、止まる製品は数える、Fortinetは読む。その日のうちに手を動かすのは、月例の検証だけで足ります。

KEVの期限は、日本の会社の義務ではない

KEVの期限は、米国の連邦機関に向けたものです。CISA自身も、10月28日の告知で適用先を連邦の文民機関に限っています。

While BOD 26-04 applies only to FCEB agencies, CISA encourages all organizations to adopt risk-based vulnerability management and prioritize remediation of KEV Catalog vulnerabilities.

つまり日本の会社に、期限を守る義務はありません。それでもカレンダーに入れるのは、悪用の証拠があるという印だからです。

数えてみると、別の使い方も見えてきます。10月30日版のカタログで11月に期限が来るのは10件で、追加から期限までの日数は3日と14日の2通りでした。

3日の期限は、月の初めにカレンダーを作っても間に合いません。10月27日から30日の4日間だけで8件増えているので、11月も途中で割り込みが入るとみておくのが自然です。期限の差が生まれる仕組みは、Fragnesiaの記事で説明しました。

目を引くのはIvanti Connect Secureの2件です。同じ日に追加され、同じ修正版で直るのに、期限は2日と13日に分かれました。持っている会社が13日まで待つ理由はありません。KEVの日付をそのまま写すと、かえって遅くなる例です。

自社で決める日は、動かせない日から逆算する

他社が決めた日は変えられなくても、その前に置く社内の日は変えられます。起点にしたいのは、3連休の前の20日（金）です。月例が日本に届く11日から20日までは、土日を除くと8日あります。

次の表は編集部の案で、検証にかかる日数に合わせてずらして使えます。月例に悪用済みの脆弱性があれば、展開は前倒しです。

18日18時は、経理の締めカレンダーの記事の文例と同じ日にそろえました。経理に知らせた日と食い違わないよう、自社のカレンダーでも1か所にまとめておきたいところです。

Chromeだけは別の筋で動きます。Chrome Platform Statusの予定では、158の早期安定版は11月4日に始まります。17日の安定版より前に、一部の端末で同じ症状が出るかもしれません。

そこで案では、RD Web Accessを使う端末に、祝日の前の2日までにXSLTEnabledを配っておきます。連休明けに「開かない」という問い合わせが来たら、まず早期安定版を疑い、その端末へ同じポリシーを配ります。

もっとも、このポリシーは一時しのぎです。Chromeでは176（2027年8月17日）で使えなくなる予定だからです。MicrosoftはHTML5のWebクライアントに移る回避策も挙げていて、長く使う入口の比べ方はRD Web Accessの記事に書きました。

3日と23日で、当番の置き方が変わる

11月3日は火曜日です。2日（月）に休みを足すと、10月31日から4連休になります（AI対談の回）。ところがこの4日間に、KEVの期限が1日、2日、3日と続き、最後の日にはChrome 157の安定版が来ます。

全員が休む会社では、公開機器を見る人がいないまま水曜を迎えることになります。

2日を休む会社でも当番を1人置き、公開機器の版を見る作業だけを頼む形なら、負担は小さいはずです。ほかは4日でも間に合います。

一方、23日は月曜なので、21日から3連休。20日に展開を終える理由はここにあります。その次の週は、26日が米国の感謝祭です。米国に窓口がある製品への質問は、25日までに出しておくと返事を待つ時間が読みやすいでしょう。

もう1つ、予定表そのものにも注意が要ります。Microsoftは、Outlookの祝日カレンダーについて、日本の2026年の残りと2027年の祝日が欠けていることがあると案内しています。当番表を作るときは、内閣府の一覧で3日と23日を確認してください。

うちの会社に関係する行の絞り方

カレンダーの全部が当てはまる会社は、まずありません。台帳を横に置いて、関係しない行を消すところから始めます。

• 17日のChrome 158で困るのは、RD Web AccessのページをChromeで開いている会社です。Edgeは12月10日の週の159からです。
• RD Web Accessを使っていなくても、XSLTに頼る社内のWebページがあれば同じように表示できなくなります。ChromeのLegacy Technology Reportで利用の有無を確認できます。
• 10日の23H2は、Enterprise、Education、IoT Enterpriseで23H2が残っている会社が対象です。Home・Proの23H2は2025年11月11日に終わりました。
• 10日の.NETとPowerShellは、自社開発や委託開発のアプリ、運用スクリプトを持つ会社に関係します。委託先に版を聞かないと分からないことが多い行です。
• 8日のZoomは、VDIプラグイン、Zoom Phone Local Survivability、Meeting SDK（Web）を使う会社だけです。ほかのクライアントは8月の要件のままです。
• 14日のZoom CRCは、会議室の機器をSIP/H.323でつなぐ会社が対象です。
• 灰色のKEVの行は、製品を持っていなければ消してかまいません。ただし、委託先が運用する機器は台帳に載っていないことがあります。

カレンダーに載せなかった日

確認できなかった日は、予定らしく見えても置いていません。

• AdobeとSAP、Oracleは、公式のページを今回読めませんでした。AdobeとSAPは10月に第2火曜の13日で更新を出し、Oracleは毎月第3火曜に修正を出すとしています。11月の第2火曜は10日、第3火曜は17日です。同じ周期で来るとみて、日付は各社の告知を見てから入れるのが安全です。
• Androidの11月の告知は、まだ一覧にありません。2026年の公開日は、1月から10月まで9月の8日を除いて第1月曜でした。11月の第1月曜は2日ですが、予告ではありません。
• eMudhraの残りのルートについて、Googleは10月20日の発表で調査中とするだけで、日付を示していません。
• 経理、税、労務の期限は受け持ちの外です。ITの準備が要るものは、ベンチャー・スピリット！の年末調整の電子化の進め方とe-Taxの2027年1月の変更にあります。情シスの分担は年末調整の「ログインできない」の記事で扱いました。

今日から2日までの手順

1. カレンダーの青と灰色の行から、自社の製品に当たるものだけを予定表に写します。
2. Ivanti Connect Secure、GitLab、Cisco ASA・FTDを持っていれば、版を確認します。Ivantiは10月13日の修正版（25.1.1.2・22.8R2.5）に上げた機器も、25.1.1.3か22.8R2.6への更新が要ります。25.1.3.0以降は対象外です。
3. 11月2日に休む人を確認し、公開機器を見る当番を決めます。
4. 11月1日にe-Govの電子納付が止まることを、経理と総務に伝えます。
5. RD Web Accessを使っている部署があるかを、リモート接続の担当に聞きます。使っていれば、2日までに端末へXSLTEnabledを配ります。

カレンダーは作った日から古くなり始めます。古くなるのが早いのは灰色の行です。青の行でも、Chrome、Edge、AWS、Ciscoの日付は予定や目標なので、動くことがあります。月曜の朝にKEVの一覧と各社の予定を見直す時間を、毎週1回入れる。このカレンダーに最初に足すのは、その1行で十分です。