2026年10月14日、JPCERT/CCは「2026年10月マイクロソフトセキュリティ更新プログラムに関する注意喚起」(JPCERT-AT-2026-0031)を公開しました。マイクロソフトが同日公開した月例セキュリティ更新プログラムにおいて、複数の脆弱性のうち少なくとも1件がすでに悪用されていることが公表されています。悪用が確認されている脆弱性はWindowsのシェル機能に関するもので、Windowsを利用するすべての個人・組織が対象です。業務用PCはもちろん、家庭用PCも含めて早急な対応が求められます。月例の更新プログラムは「パッチチューズデー」と呼ばれる周期で配信されており、今回のように悪用済みの脆弱性が含まれる場合には、通常の更新サイクルよりも優先度を上げて対応する必要があります。本記事では公式発表をもとに、脆弱性の概要と今すぐ実施すべき対策を整理します。
脆弱性の概要と影響を受ける製品
マイクロソフトは2026年10月のセキュリティ更新プログラムで、同社製品に存在する複数の脆弱性を修正しました。これらが悪用された場合、リモートから任意のコードを実行されたり、セキュリティ機能を回避されたりする可能性があるとされています。JPCERT/CCが特に注意を呼びかけているのは、マイクロソフトが「悪用が確認されている」と公表した以下の脆弱性です。
| 項目 | 内容 |
|---|---|
| CVE番号 | CVE-2026-96951 |
| 脆弱性名 | Windows シェル セキュリティ機能のバイパスの脆弱性 |
| 影響を受ける製品 | Windows（詳細な対象バージョンはベンダーのセキュリティアドバイザリを確認してください） |
| 想定される影響 | セキュリティ機能のバイパス |
| 悪用状況 | マイクロソフトにより悪用が確認されていると公表 |
CVSSスコアや詳細な影響条件、他の脆弱性の内容については、公式情報に具体的な記載がないため、マイクロソフトのセキュリティ更新プログラム ガイド（Update Guide）に掲載されている該当CVEのページで確認してください。なお、Windowsの「シェル」とは、エクスプローラーやスタートメニュー、ファイルの関連付けや実行確認など、ユーザーが日常的に触れるインターフェース全般を指す概念です。この領域のセキュリティ機能には、インターネットからダウンロードしたファイルに警告を表示する仕組みなどが含まれており、こうした保護機構が回避されると、ユーザーが気付かないうちに悪意のあるファイルが実行されやすくなる点が懸念されます。
深刻度と悪用状況
CVSS（共通脆弱性評価システム）は、脆弱性の深刻度を0〜10のスコアで示す業界標準の指標で、スコアが高いほど攻撃の容易さや被害の大きさが大きいことを意味します。今回のJPCERT/CC注意喚起にはCVE-2026-96951のCVSSスコアそのものは記載されていませんが、最も重要なポイントは「マイクロソフトが悪用の事実を公表している」という点です。これは、理論上の脆弱性ではなく、実際に攻撃に使われていることが確認された脆弱性であることを意味します。
セキュリティ機能のバイパスは、単体では侵入手段にならない場合でも、他の脆弱性と組み合わせることでマルウェア実行時の警告回避や保護機構の無効化につながるおそれがあります。一般的に、こうしたバイパス型の脆弱性はフィッシングメールやマルウェア配布キャンペーンの初期段階で利用され、別の脆弱性やソーシャルエンジニアリングと組み合わさることで被害が拡大する傾向があります。悪用が確認済みである以上、攻撃者が同種の手口を広く展開する前に、できるだけ早く更新プログラムを適用することが重要です。
ベンダーはどんな修正を行ったか
マイクロソフトは2026年10月の月例セキュリティ更新プログラムとして、CVE-2026-96951を含む複数の脆弱性に対する修正を配信しました。公式発表にはモジュール単位の技術的な修正内容までは記載されていませんが、セキュリティ更新プログラムは一般的に、脆弱性のある処理ロジックを安全な実装に置き換えることで、悪意のあるコードの実行や保護機構の回避を防ぐ仕組みになっています。具体的な修正バージョンや適用対象のビルド番号については、マイクロソフトのセキュリティ更新プログラム ガイド（https://msrc.microsoft.com/update-guide/ja-jp/releaseNote/2026-Oct）および該当CVEページ（https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-96951）で確認できます。詳細はベンダーのセキュリティアドバイザリを確認してください。
パッチ適用を後回しにするリスク
「とりあえず動いているから」という理由で更新プログラムの適用を先延ばしにするケースは少なくありませんが、今回のように悪用が確認済みの脆弱性が含まれる場合、未適用の期間がそのまま攻撃者にとっての機会となります。特に組織内で多数の端末を管理している場合、一部の端末だけ更新が漏れていると、そこを足がかりに社内ネットワーク全体へ被害が広がる可能性があります。ランサムウェア攻撃の多くは、こうした未修正のセキュリティ機能バイパスや既知の脆弱性を初期侵入の糸口として利用することが知られています。更新プログラムの適用状況を定期的に棚卸しし、資産管理台帳と実際のパッチ適用状況に差異がないかを確認する運用を取り入れることをお勧めします。
今すぐやるべき対策手順
- 手順1: 現在のバージョンを確認する — 「設定」→「Windows Update」で現在の更新状況を確認し、2026年10月の更新プログラムが適用済みかチェックします。
- 手順2: 更新プログラムを適用する — Windows Updateから更新を実行するか、組織で配布管理している場合はMicrosoft Update カタログ（https://www.catalog.update.microsoft.com/）から該当プログラムを取得して展開します。企業環境でWSUSやIntuneなどの管理ツールを利用している場合は、承認ポリシーを確認し、悪用済み脆弱性を含む更新プログラムが遅延なく配信されるよう優先度を上げて設定してください。
- 手順3: すぐに適用できない場合の回避策を検討する — 公式情報には具体的な回避策（ワークアラウンド）の記載はありません。更新までの間は、不審なファイルや外部から受信したファイルの実行を控える、管理者権限の付与を最小限にするなど、一般的なリスク低減策を講じてください。
- 手順4: 侵害の有無を確認する — イベントログやセキュリティ対策ソフトのアラート履歴を確認し、更新前の期間に不審なプロセス実行やセキュリティ機能の無効化の痕跡がないか点検します。異常が見つかった場合はJPCERT/CC（ew-info@jpcert.or.jp）への相談・情報提供も検討してください。
- 手順5: 自動更新を有効化する — 個人利用のPCでは、Windows Updateの自動更新設定を有効にしておくことで、今後も同様の月例更新プログラムを手動で確認する手間を減らせます。
よくある質問
Q1. 個人で使っているPCも対象ですか？
はい。CVE-2026-96951はWindowsの機能に関する脆弱性であり、企業の管理PCだけでなく個人利用のPCも対象です。Windows Updateで通常の更新を行っていれば、順次更新プログラムが適用されます。
Q2. 更新プログラムを適用すれば再起動は必要ですか？
Windowsのセキュリティ更新プログラムは多くの場合、適用後に再起動が必要です。再起動を後回しにすると修正が完全に反映されないため、業務影響を踏まえつつ早めに再起動を実施してください。
Q3. CVE-2026-96951以外の脆弱性は無視してよいですか？
いいえ。今回の月例更新プログラムにはCVE-2026-96951以外にも複数の脆弱性に対する修正が含まれています。悪用が確認されているのはCVE-2026-96951ですが、他の脆弱性も将来的に悪用される可能性があるため、公開されている更新プログラムはまとめて適用することが推奨されます。
まとめ
2026年10月のマイクロソフトセキュリティ更新プログラムでは、すでに悪用が確認されているCVE-2026-96951（Windows シェル セキュリティ機能のバイパスの脆弱性）を含む修正が公開されました。悪用済みの脆弱性であることから、Windows UpdateやMicrosoft Update カタログを通じて、できるだけ早く更新プログラムを適用することが何よりも重要です。自組織・自宅の端末の適用状況を今すぐ確認し、未適用の環境がないかチェックしましょう。
