Microsoft 5月Patch Tuesdayで137件のCVEを修正、Dynamics 365 RCE（CVSS 9.9）とAI発見16件に注目

「Microsoftの5月Patch Tuesdayで137件もCVEが出たって、結局どれから優先して当てればいいの？」
「AIが脆弱性を見つけたという話も出ているけれど、攻撃側だけでなく防御側のAI活用は実用段階に入っているの？」

チップス

毎月の月例更新だけど、今月は特に多い気がするでしゅ……。

ボス

ふふふ。今月は件数だけでなく、AIが見つけた脆弱性が含まれている点でも転換点となる更新だな。注目すべきポイントを順に見ていこう。

Microsoftは2026年5月のPatch Tuesdayで137件のCVEを修正し、IPAも5月13日付で関連注意喚起を公開しました。
同社が公開したAIシステム「MDASH」が16件の発見に貢献し、ゼロデイは含まれないものの重大なRCEが複数含まれます。
本記事では適用優先度の高い脆弱性と、AI活用が変える脆弱性管理の今後を整理します。

件数が多い月こそ、優先順位を取り違えると後手に回ります。
業務インパクトと攻撃の現実性から、何を先に当てるべきかを整理します。

5月Patch Tuesdayの全体像

まずは公表内容を俯瞰し、件数と注目すべきカテゴリを押さえます。

修正された脆弱性の内訳

Microsoftは5月12日に137件のCVEを公開し、うち14件をCriticalに分類しました。
ゼロデイは2024年6月以来となるゼロ件で、CISA KEVへの即時追加もありません。
一方で「悪用される可能性が高い」とMicrosoftが評価した脆弱性が13件含まれており、IPAも注意喚起を発出しています。

注目度が特に高い脆弱性は以下のとおりです。

チップス

CVE-2026-42898はCVSS 9.9でしゅ！Dynamics 365を使ってる企業は本当に急ぎでしゅ！

優先適用すべきカテゴリ

業務影響の観点では、外部公開のあるDynamics 365 on-premisesのRCE（CVE-2026-42898）と、Word RCE 4件への対処が最優先です。
続いてIKEv2を有効化したVPN終端のWindowsサーバ、IPv6＋IPSec環境のサーバが対象です。
これらはエッジから侵入経路となり得るため、業務時間帯であってもメンテナンスウインドウを前倒しする判断が現実的です。

AIが変える脆弱性管理とMDASHの意味

次に、MicrosoftがAIシステム「MDASH」を公開した意義と、企業側に起きる変化を見ていきます。

MDASHが見つけた16件の中身

MDASHはMicrosoftが内部で運用するマルチモデルAIシステムで、5月Patch Tuesdayで修正された16件の脆弱性発見に貢献しました。
対象はWindowsネットワーキングと認証スタック全般に広がっており、ikeext.dllのダブルフリーやTCP/IPのレースコンディションなどメモリ安全性に関わる問題が含まれます。
これらは人手のレビューでは見落とされやすい類型で、AIによる網羅探索の強みが発揮された事例です。

ボス

攻撃側でAIが活用されるなら、防御側でもAIで先回りする。これからの脆弱性管理の本流になる視点だな。

企業が運用に取り入れたい考え方

AIによる脆弱性発見が当たり前になると、月例更新で公開されるCVE数は今後さらに増加する見込みです。
そのためベンダー任せの月一適用ではなく、リスク評価から段階リリースまでを自動化するパイプライン整備が重要になります。
EDR・WSUS・SCCM／Intuneの組み合わせを見直し、Criticalは48時間以内に展開できる体制を目標にしたいところです。

運用面の改善ポイントは次のとおりです。

詳細な一次情報はIPAの注意喚起とThe Hacker Newsの記事から確認できます。

まとめ

2026年5月のPatch Tuesdayは、件数の多さに加えてAIによる脆弱性発見という新しい潮流を示しました。
Dynamics 365、Word、Windowsネットワークスタックの重大RCEが含まれており、攻撃側がAIで悪用パターンを生成する前に確実な適用が求められます。
月例更新を「ベンダー任せのイベント」から「自動化された継続プロセス」へと変えていくことが、AI時代の競争力になります。

チップス

Critical 48時間ルール、社内に提案してみるでしゅ！

ボス

その通りだ。基準を明文化することで、いざという時の判断スピードが変わる。