Microsoft SQL Serverの10月更新 22件の脆弱性、計画的に適用を

Microsoftは2026年10月の月例更新(Patch Tuesday)で、Microsoft SQL Serverの脆弱性22件を修正しました。8件はリモートコード実行(RCE)につながるものですが、いずれも認証済みの攻撃者が前提で、悪用は確認されていません。

ここでは、何が修正されたのか、どのくらい急ぐべきか、情シスの対応を、Microsoftの公式情報とNCSCの勧告から整理します。

何が修正されたのか

今回の22件は、いずれもSQL Server本体(データベースエンジン)の脆弱性です。近年多い、クライアント側のドライバー(Microsoft OLE DB Driver for SQL Serverなど)を通じて、悪意あるサーバーに接続させられたときに起きる種類の脆弱性は、今回は含まれていません。

内訳は次のとおりです。

最も深刻度が高いのは、次の2件でCVSSは8.8です。

• CVE-2026-65674: 信頼できないデータのデシリアライズ(CWE-502)によるリモートコード実行
• CVE-2026-94512: ヒープのバッファオーバーフロー(CWE-122)によるリモートコード実行

深刻度は、22件すべてが「Important(重要)」で、「Critical(緊急)」はありません。また、いずれも認証済み(ログインできる状態)の攻撃者が前提です(CVSSのベクトルは、すべて権限が必要=PR:LまたはPR:H)。

対象はSQL Server 2017・2019・2022・2025(いずれも64ビット版)です。SQL Server 2016は今回の一覧に含まれていません。

なぜ今、注意なのか

8件がリモートコード実行(RCE)で、成功すればサーバー上で任意のコードを実行される恐れがあります。一方で、いずれも認証済みの攻撃者が前提で、悪用も確認されていません(CISAのKEVにも未掲載)。そのため、ゼロデイのような緊急性はありません。

ただし、データベースは業務システムの中核で、多くの利用者や連携システムがログインします。認証後に悪用できる脆弱性は、権限を持つ内部の利用者や、乗っ取られたアカウントから狙われ得ます。緊急ではなくても、通常のメンテナンスの枠で計画的に適用することが大切です。

影響する会社・しない会社

関係するのは、業務システムのデータベースとしてMicrosoft SQL Server(2017・2019・2022・2025)を使っている会社です。自社で運用しているサーバーでも、委託先が構築・運用しているシステムでも対象になります。

SQL Serverを使っていない会社は、今回の対象ではありません。今回はクライアント側のドライバーの更新が含まれないため、アプリケーションに組み込んだドライバーを、この件のために急いで入れ替える必要はありません。

情シスが今日やること

• 社内と委託先のシステムで、SQL Serverを使っているサーバーと、そのバージョン(2017/2019/2022/2025)を洗い出す
• 本体の累積更新(CU)またはGDR(セキュリティのみ)での適用を、運用担当者や委託先と計画する。どちらを使うかは、今の運用に合わせる
• インターネットに公開しているSQL Serverや、多くの利用者がログインできる環境から優先して適用する
• SQL Server 2016を使っている場合は、今回の一覧にないため、サポート状況と移行の計画を確認する
• 適用は業務への影響があるため、メンテナンス時間を確保し、適用後に業務システムが正常に動くかを確認する

書かれていないこと

今回の22件それぞれの詳しい攻撃条件や、固定ビルド番号の一覧は、本記事では個別に扱っていません。適用するCU/GDRの正確なバージョンとKB番号は、Microsoftのセキュリティ更新ガイドで、使っているSQL Serverのバージョンごとに確認してください。悪用は現時点で確認されていませんが、状況が変わることもあります。新しい情報が出たら、内容を更新します。