2026年10月14日付の香港のHKCERTの情報によると、Microsoftが10月のセキュリティ更新を公開しました。HKCERTは更新全体を高リスクと評価し、Windowsの脆弱性では実際の攻撃での悪用を報告しています。情シスは、月例更新の対象確認に加え、悪用状況を踏まえた適用順の見直しが必要です。
Windowsは悪用確認、開発関連は実証コード公開
HKCERTは、Windowsと開発関連製品のDeveloper Toolsを、それぞれ高リスクと評価しています。ただし、実際の攻撃で悪用されている脆弱性と、攻撃方法を示す実証コードが公開された脆弱性は分けて把握する必要があります。
Windowsでは、CVE-2026-96951が実際の攻撃で悪用されているとしています。また、Windows Shellについて、コマンド注入によりネットワーク経由でセキュリティ機能を回避できる問題を説明しています。
開発関連では、.NET FrameworkのCVE-2026-108398と、.NETのCVE-2026-92707の実証コードが公開済みです。前者は権限を持つ攻撃者がローカルでセキュリティ機能を回避できる問題です。後者は権限を持たない攻撃者がネットワーク経由でサービス妨害を起こせる問題です。
この違いは、社内で確認する担当者や利用環境を整理する手掛かりになります。Windowsの端末確認と、.NETを使うアプリの確認を、同じ作業として扱わないことが重要です。開発関連の確認は、.NETなど開発ツールの更新確認も参考にしてください。
Officeなども対象、評価だけで適用不要と判断しない
HKCERTは、Microsoft Office、SQL Server、拡張セキュリティ更新プログラム(ESU)を中リスクと評価しています。高リスクの製品を先に確認する場合でも、これらを更新確認の対象から外さないようにします。
今回の資料には、対象となる製品の版、個別の更新番号、適用期限は書かれていません。また、日本での提供は発表には書かれていません。国内での配信状況や対象版は、この資料だけでは判断できません。
したがって、リスク評価は確認順を決める材料として使い、自社のどの端末・サーバーに更新が必要かは別に照合する進め方が適切です。
影響する会社・しない会社
- 影響する: Windowsを利用している会社です。悪用確認のある脆弱性を含むため、対象版と更新状況の確認を優先します。対象となる具体的な版は発表には書かれていません。
- 影響する: .NET Frameworkや.NETを利用している会社です。開発担当者やアプリの保守担当者に、利用状況と対象版の照合を依頼します。
- 影響する: Microsoft Office、SQL Server、ESUを利用している会社です。HKCERTの評価は中リスクですが、今回の更新確認の対象です。
- 影響しない: 影響がないと判断できる製品・版の条件は、発表には書かれていません。製品名だけで対象外と決めず、個別の更新情報との照合が必要です。
情シスが今日やること
- 本日中に確認担当を決めます。 IT資産台帳でWindows、Microsoft Office、SQL Serverの利用先を洗い出します。.NET Frameworkと.NETについては、開発・保守担当者に利用するアプリと環境の確認を依頼します。
- 悪用確認と実証コード公開を分けて記録します。 管理票にCVE-2026-96951、CVE-2026-108398、CVE-2026-92707を登録し、それぞれの確認担当と対象環境を整理します。実証コード公開を、悪用確認と同じ意味で記載しないようにします。
- 更新管理画面で対象版と適用状況を照合します。 自社で使う更新管理の画面や適用結果を確認してください。具体的な管理画面名や操作経路は、今回の発表には書かれていません。対象版・更新番号はMicrosoftの個別情報で確認し、未確認と適用済みを分けます。
- 確認結果を部門責任者と保守担当者へ共有します。 悪用確認のある問題から適用順を検討し、業務停止が必要なら実施日時を調整します。資料に適用期限はないため、社内で確認期限と更新予定日を決めてください。停止時間の調整には、製造現場と情シスの更新時間の合わせ方も参考になります。
