チップス
どんぐり大学卒、一般企業の情報システム部で働く若手エンジニア。
入社1〜3年目らしい悩みを抱えつつ、日々の運用やセキュリティ対応に奮闘中。慌てんぼうだが素直で吸収力が高く、ボスに鍛えられながら着実に成長している。
ボス
セキュリティ、インフラ、運用の修羅場をくぐってきた歴戦のエンジニア。サイバーセキュリティラボの所長でボスと呼ばれている。
現場視点と経営視点の両方から、本当に使えるセキュリティとキャリア戦略を叩き込む。口は悪いが面倒見はよく、若手育成と実践的な情報発信に力を注いでいる。
@boss_sec_labo
「Microsoft製品の脆弱性パッチが多すぎて、どれから対応すればいいか判断できない」
「ゼロデイ攻撃が悪用中と聞いたけど、うちの会社は大丈夫なのか不安だ」
チップスボスっ、Microsoftが今月また大量のパッチを出したでしゅ！570件って多すぎて、どこから手をつければいいか全然わからないでしゅ…。
ボス今月は特別だ。件数もさることながら、すでに実環境で悪用されているゼロデイが2件ある。優先順位を間違えると取り返しのつかない事態になるぞ。
2026年7月15日（日本時間）、Microsoftが月例セキュリティアップデート「Patch Tuesday」で570件もの脆弱性を一挙に修正しました。
その背景にはAIによる脆弱性発見の急加速がありますが、情シス担当者が真っ先に気にすべきは「すでに攻撃に使われているゼロデイが2件ある」という事実です。
この記事では、570件のパッチの中から今すぐ対応すべき項目を絞り込む判断軸を整理します。
この記事を読めば、大量のパッチの中から本当に急ぐべきものを見極める判断軸が身につきます。
オススメ求人・フリーランス案件
【脆弱性管理・診断基盤の内製化推進】東京都（フルリモート）／ツール導入・セキュリティ運用
【セキュリティ企画推進・コンサルタント】大阪（リモート併用）／セキュリティ戦略・ポリシー策定
【セキュリティ基準準拠・運用改善支援（NIST・ISMS）】豊洲（リモート併用）／PMO
【社内セキュリティ技術コンサルティング】東京・渋谷（常駐）／インフラ全般・設計レビュー・最新技術調査
【セキュリティサービス基盤の環境改善支援】東京・武蔵小杉（フルリモート）／AWS・マルチクラウド・構成改善
【インフラセキュリティ・脅威検知構築】東京・六本木（常駐）／Azure・ゼロトラスト・AD
【Zscalerゼロトラストネットワーク運用】東京・調布（リモート併用）／設計・構築・運用
【特権ID管理システム導入支援（Secret Server）】東京・京橋（常駐）／要件定義・設計・構築
【Splunk CloudおよびSplunk ES環境におけるSOC運用】全国（フルリモート）／セキュリティログ解析・監視
【銀行向けサイバーセキュリティチーム支援】中野（原則オンサイト）／AI悪用対策・SOC・CSIRT・インシデント対応
社内SE【年収700～1500万円】セキュリティ・インフラの構築・運用
【東証プライム】情報セキュリティマネージャー候補・事業成長支援（850～1100万円）
【年収500〜800万円】日立グループ｜自動車サイバーセキュリティコンサルタント（横浜・在宅可）
【三菱地所グループ】セキュリティエンジニア（マネジメント・エンジニアリング）年収628〜1200万円
【社内セキュリティ推進室長】800〜1100万円｜人材大手ディップ・リモートOK
KADOKAWAグループ向けセキュリティコンサルタント｜個人情報管理・相談対応（テレワーク）
【年収750〜1200万円】グローバル7拠点・プロダクトセキュリティエンジニア（東京）
情報セキュリティ・プライバシーガバナンス スペシャリスト【900～1300万】
セキュリティ・プライバシー基盤構築【600～1000万円】
【1000～2400万円】EDR/エンドポイントセキュリティ領域のリード採用
今月のPatch Tuesdayは件数の多さだけでなく、その背景にある構造変化でも注目されています。
570件という数字の背景にあるのは、Microsoftが導入した「MDASH（Multi-model Agentic Scanning and Hardening）」と呼ばれるAI主導の脆弱性発見システムです。
人間のセキュリティチームだけでは追いつかないスピードで製品内の欠陥を洗い出しており、5月のPatch TuesdayではMDASHが16件を単独で発見したことが確認されています。
Microsoftは「AIの活用が進むほど今後もパッチ数は増加する」と明言しており、情シス担当者にとっては「毎月大量のパッチを捌く時代」の本格到来を意味します。
このような状況において、従来の「CVSSスコア順に対応する」アプローチは機能不全に陥りつつあります。
今月の変化を整理すると以下の通りです。
570件のうち59件がCritical（深刻）に分類されています。
カテゴリ別に見ると権限昇格が突出して多く、他の脆弱性と組み合わせた連鎖攻撃のリスクが高い月です。
今月の内訳は以下の通りです。
| 脆弱性カテゴリ | 件数（概数） |
|---|---|
| 権限昇格（EoP） | 254件 |
| リモートコード実行（RCE） | 145件 |
| 情報開示 | 102件 |
| サービス拒否（DoS） | 35件 |
| その他 | 34件 |
570件の中で最優先で対応が必要なのが、実環境での悪用が確認されている2件のゼロデイです。
チップスCVSSスコアが9.8以下のゼロデイが悪用されているんでしゅか？スコアが低いから後回しにしようと思っていたでしゅが…。
ボスそれが危険な発想だ。CVSSは「理論上どれだけ危ないか」を示すスコアであって、「実際に攻撃に使われているか」は別の話だ。悪用が確認されたものから先に潰すのが鉄則だぞ。
1件目はSharePoint Serverの特権昇格脆弱性（CVE-2026-56164）です。
「認証不要・ネットワーク経由・ユーザー操作不要」という3拍子が揃っており、攻撃者にとって悪用の敷居が極めて低い欠陥です。
Mandiant・Google FLARE（FireEye）の研究者によって発見・報告されており、Microsoftが実際の攻撃での悪用を確認しています。
特に注意が必要なのは、SharePoint Server 2016と2019が今回のパッチ適用日（2026年7月15日）をもって拡張サポート期間終了となった点です。
今回は例外的にパッチが提供されましたが、今後のセキュリティ更新は期待できません。
対応の優先事項は以下の通りです。
2件目はActive Directory Federation Services（AD FS）の特権昇格脆弱性（CVE-2026-56155）です。
MicrosoftのDARTインシデント対応チームが実際の攻撃調査の中から発見しており、すでに標的型攻撃で使われていた可能性が高いとされています。
AD FSは企業のシングルサインオン（SSO）基盤を担うシステムです。
セキュリティ専門家はこの製品を「社内全体のシステムが信頼するトークンに署名する心臓部」と表現しており、ここが侵害されると組織内の多数のシステムが連鎖的なリスクにさらされます。
Windowsを広く利用する日本企業にとって、このゼロデイは見過ごせない脅威です。
確認すべき事項は以下の通りです。
2026年7月のMicrosoft Patch Tuesdayは、史上最多570件のパッチ件数と2件のゼロデイ悪用という二重の意味で情シス担当者を試しています。
CVSSスコアで上から順に対応していく従来の方法では、実際に攻撃に使われているゼロデイへの対処が後回しになる危険があります。
SharePoint Server（CVE-2026-56164）とAD FS（CVE-2026-56155）のパッチ適用を最優先に進め、SharePoint 2016/2019については移行計画の再確認を急ぎましょう。
ボススコアだけで安心しない習慣をつけることだ。「現実に悪用されているか」を最初のフィルタにする——これがセキュリティ対応の本質だぞ。
チップスわかったでしゅ！CVSSより「すでに狙われているか」を最初に確認するでしゅ！情シス2年目でもできるでしゅ！
セキュリティの脅威は日々進化しており、最新の動向を追い続けることが求められます。
専門知識を持ってフリーランスとして活躍したい方は、ぜひ下記からセキュリティ案件をチェックしてみてください。
オススメ求人・フリーランス案件
【脆弱性管理・診断基盤の内製化推進】東京都（フルリモート）／ツール導入・セキュリティ運用
【セキュリティ企画推進・コンサルタント】大阪（リモート併用）／セキュリティ戦略・ポリシー策定
【セキュリティ基準準拠・運用改善支援（NIST・ISMS）】豊洲（リモート併用）／PMO
【社内セキュリティ技術コンサルティング】東京・渋谷（常駐）／インフラ全般・設計レビュー・最新技術調査
【セキュリティサービス基盤の環境改善支援】東京・武蔵小杉（フルリモート）／AWS・マルチクラウド・構成改善
【インフラセキュリティ・脅威検知構築】東京・六本木（常駐）／Azure・ゼロトラスト・AD
【Zscalerゼロトラストネットワーク運用】東京・調布（リモート併用）／設計・構築・運用
【特権ID管理システム導入支援（Secret Server）】東京・京橋（常駐）／要件定義・設計・構築
【Splunk CloudおよびSplunk ES環境におけるSOC運用】全国（フルリモート）／セキュリティログ解析・監視
【銀行向けサイバーセキュリティチーム支援】中野（原則オンサイト）／AI悪用対策・SOC・CSIRT・インシデント対応
社内SE【年収700～1500万円】セキュリティ・インフラの構築・運用
【東証プライム】情報セキュリティマネージャー候補・事業成長支援（850～1100万円）
【年収500〜800万円】日立グループ｜自動車サイバーセキュリティコンサルタント（横浜・在宅可）
【三菱地所グループ】セキュリティエンジニア（マネジメント・エンジニアリング）年収628〜1200万円
【社内セキュリティ推進室長】800〜1100万円｜人材大手ディップ・リモートOK
KADOKAWAグループ向けセキュリティコンサルタント｜個人情報管理・相談対応（テレワーク）
【年収750〜1200万円】グローバル7拠点・プロダクトセキュリティエンジニア（東京）
情報セキュリティ・プライバシーガバナンス スペシャリスト【900～1300万】
セキュリティ・プライバシー基盤構築【600～1000万円】
【1000～2400万円】EDR/エンドポイントセキュリティ領域のリード採用
