チップス
どんぐり大学卒、一般企業の情報システム部で働く若手エンジニア。
入社1〜3年目らしい悩みを抱えつつ、日々の運用やセキュリティ対応に奮闘中。慌てんぼうだが素直で吸収力が高く、ボスに鍛えられながら着実に成長している。
ボス
セキュリティ、インフラ、運用の修羅場をくぐってきた歴戦のエンジニア。サイバーセキュリティラボの所長でボスと呼ばれている。
現場視点と経営視点の両方から、本当に使えるセキュリティとキャリア戦略を叩き込む。口は悪いが面倒見はよく、若手育成と実践的な情報発信に力を注いでいる。
@boss_sec_labo
「毎月のWindows Updateって、本当に全部適用すべきなの？」
「SharePointを社内で使っているけど、ゼロデイって聞くと不安になる……」
チップスボス！今月のPatch Tuesday、167件って過去最大級じゃないでしゅか！？
しかもSharePointのゼロデイがもう悪用されてるって……うちも使ってるのに、どうすればいいでしゅか！
ボス慌てるな、チップス。
件数が多いからこそ、優先順位をつけて対処することが大事だ。
今回のSharePointのゼロデイは実際に攻撃で使われている。まずはここから押さえていこう。
2026年4月のMicrosoft月例パッチは、修正件数167件という大規模な更新となりました。
中でもSharePoint Serverのゼロデイ脆弱性は、すでに実際の攻撃で悪用が確認されています。
この記事では、今回のパッチの全体像と、特に注意すべきポイントを整理します。
自社環境への影響を正しく把握し、適切な優先順位でパッチを適用するためのヒントをお伝えします。
オススメ求人・フリーランス案件
【Google Sec Opsを活用した大手企業向けセキュリティ運用・分析】大手町／最新セキュリティソリューション・リモート併用
【ISO27001準拠のセキュリティ施策推進・アドバイザリ】海浜幕張／週2リモート併用・PMO
【SOC・CSIRTでのインシデント分析・対応】飯田橋／リモート併用
【既存インターネット閲覧環境のリプレース・SaaS移行に伴う技術支援】門前仲町（リモート併用）／セキュリティ製品の選定から携わる上流インフラ案件
【大手金融機関でのセキュリティ運用体制強化・SOC再検討支援】晴海／セキュリティ運用設計・コンサルティング
【セキュリティ製品を駆使したSOC Tier2運用・インシデント分析】勝どき／CDN・WAF・EDRアラート分析・改善支援
【製造業向けセキュリティ評価支援（IT/OT横断）】フルリモート／NIST CSF・セキュリティガバナンス
【客先グループ内セキュリティ管理チーム支援（M365運用）】大崎（リモート併用）／インシデント対応・M365
【行政向けセキュリティ機能導入（Microsoft Defender）】渋谷（常駐）／テスト・運用設計・手順書作成
【顧客内セキュリティ対応に向けたインフラ設計・構築】京橋／Azure・OCI・ハイブリッドクラウド
社内SE【年収700～1500万円】セキュリティ・インフラの構築・運用
【東証プライム】情報セキュリティマネージャー候補・事業成長支援（850～1100万円）
【年収630~732万・東京】情報セキュリティ課長代理・野村不動産
【年収500〜800万円】日立グループ｜自動車サイバーセキュリティコンサルタント（横浜・在宅可）
【三菱地所グループ】セキュリティエンジニア（マネジメント・エンジニアリング）年収628〜1200万円
【野村不動産グループ】情報セキュリティ担当課長候補・年収808〜844万円・週3日リモート
【社内セキュリティ推進室長】800〜1100万円｜人材大手ディップ・リモートOK
KADOKAWAグループ向けセキュリティコンサルタント｜個人情報管理・相談対応（テレワーク）
【年収750〜1200万円】グローバル7拠点・プロダクトセキュリティエンジニア（東京）
【新潟】セキュリティエンジニア｜業界No.1自社SaaS企業｜年収450〜650万円
Microsoftは2026年4月14日、月例セキュリティ更新プログラムを公開しました。
修正された脆弱性は167件で、2026年に入ってから最大規模のアップデートです。
今回の修正内容をカテゴリ別に見ると、全体の傾向がはっきりと見えてきます。
| カテゴリ | 件数 |
|---|---|
| 権限昇格（EoP） | 93件 |
| 情報漏洩 | 21件 |
| リモートコード実行（RCE） | 20件 |
| セキュリティ機能バイパス | 13件 |
| サービス拒否（DoS） | 10件 |
| なりすまし | 9件 |
権限昇格が93件と全体の55%を占めている点は見逃せません。
攻撃者がシステムに侵入した後、SYSTEM権限まで一気に昇格するシナリオが現実的になります。
初期侵入を防ぐだけでなく、内部での横展開を想定した多層防御の重要性が改めて問われています。
チップス93件も権限昇格の脆弱性があるってことは、入られたら一気にやられちゃうってことでしゅか……？
ボスそういうことだ。
だからこそ、パッチ適用は「外向き」だけでなく「内部」のサーバーやエンドポイントも含めて計画的にやる必要がある。
今回のパッチで最も警戒すべきは、すでに攻撃で悪用が確認されているSharePoint Serverの脆弱性です。
この脆弱性は、SharePoint Serverの入力検証の不備に起因するなりすまし（Spoofing）の問題です。
認証されていない攻撃者がネットワーク経由でなりすまし行為を実行でき、機密情報の閲覧や改ざんにつながります。
SharePointのSpoofing脆弱性は、実質的にクロスサイトスクリプティング（XSS）として機能するケースが多く、攻撃者は正規のSharePointページ上で悪意のあるスクリプトを実行させる手口を取ります。
攻撃が成功すると、以下のリスクが発生します。
CVSSスコアは6.5（Important）ですが、実際の攻撃での悪用が確認されているため、スコア以上の警戒が必要です。
CISAは本脆弱性をKEV（Known Exploited Vulnerabilities）カタログに追加し、米国連邦機関に対して2026年4月28日までの修正を義務付けました。
IPAも4月15日付の注意喚起で「至急、セキュリティ更新プログラムを適用してください」と呼びかけています。
今回はもうひとつ、CVE-2026-33825というMicrosoft Defenderの権限昇格の脆弱性も公表されています。
こちらは攻撃での悪用は確認されていませんが、悪用されるとSYSTEM権限を取得される深刻な問題です。
Defenderのマルウェア対策プラットフォームをバージョン4.18.26030.3011以降に更新することで対処できます。
チップスDefenderにも脆弱性があるんでしゅか！？
守る側のソフトに穴があったら、もう何を信じればいいんでしゅ……
ボスふふふ、だからこそ多層防御なんだ。
ひとつの製品に依存しすぎない。これが鉄則だな。
2026年4月のPatch Tuesdayは167件という大規模な修正となりました。
SharePoint ServerのゼロデイCVE-2026-32201は現在進行形で悪用されており、SharePointを利用している組織は最優先でパッチを適用してください。
権限昇格の脆弱性が93件と突出して多い今回のパッチは、「侵入前提の防御」がどれだけ大切かを物語っています。
まずはSharePointとDefenderのアップデートから着手し、その後エンドポイントやサーバーのパッチ適用計画を立てましょう。
チップスとりあえずSharePointとDefenderのアップデートから始めるでしゅ！
ボス、今月もありがとうございましたでしゅ！
ボスああ。167件の全部を一度に当てるのは難しいかもしれないが、ゼロデイだけは待ったなしだ。
計画を立てて、確実に対処していこう。
オススメ求人・フリーランス案件
【Google Sec Opsを活用した大手企業向けセキュリティ運用・分析】大手町／最新セキュリティソリューション・リモート併用
【ISO27001準拠のセキュリティ施策推進・アドバイザリ】海浜幕張／週2リモート併用・PMO
【SOC・CSIRTでのインシデント分析・対応】飯田橋／リモート併用
【既存インターネット閲覧環境のリプレース・SaaS移行に伴う技術支援】門前仲町（リモート併用）／セキュリティ製品の選定から携わる上流インフラ案件
【大手金融機関でのセキュリティ運用体制強化・SOC再検討支援】晴海／セキュリティ運用設計・コンサルティング
【セキュリティ製品を駆使したSOC Tier2運用・インシデント分析】勝どき／CDN・WAF・EDRアラート分析・改善支援
【製造業向けセキュリティ評価支援（IT/OT横断）】フルリモート／NIST CSF・セキュリティガバナンス
【客先グループ内セキュリティ管理チーム支援（M365運用）】大崎（リモート併用）／インシデント対応・M365
【行政向けセキュリティ機能導入（Microsoft Defender）】渋谷（常駐）／テスト・運用設計・手順書作成
【顧客内セキュリティ対応に向けたインフラ設計・構築】京橋／Azure・OCI・ハイブリッドクラウド
社内SE【年収700～1500万円】セキュリティ・インフラの構築・運用
【東証プライム】情報セキュリティマネージャー候補・事業成長支援（850～1100万円）
【年収630~732万・東京】情報セキュリティ課長代理・野村不動産
【年収500〜800万円】日立グループ｜自動車サイバーセキュリティコンサルタント（横浜・在宅可）
【三菱地所グループ】セキュリティエンジニア（マネジメント・エンジニアリング）年収628〜1200万円
【野村不動産グループ】情報セキュリティ担当課長候補・年収808〜844万円・週3日リモート
【社内セキュリティ推進室長】800〜1100万円｜人材大手ディップ・リモートOK
KADOKAWAグループ向けセキュリティコンサルタント｜個人情報管理・相談対応（テレワーク）
【年収750〜1200万円】グローバル7拠点・プロダクトセキュリティエンジニア（東京）
【新潟】セキュリティエンジニア｜業界No.1自社SaaS企業｜年収450〜650万円
