チップス
どんぐり大学卒、一般企業の情報システム部で働く若手エンジニア。
入社1〜3年目らしい悩みを抱えつつ、日々の運用やセキュリティ対応に奮闘中。慌てんぼうだが素直で吸収力が高く、ボスに鍛えられながら着実に成長している。
ボス
セキュリティ、インフラ、運用の修羅場をくぐってきた歴戦のエンジニア。サイバーセキュリティラボの所長でボスと呼ばれている。
現場視点と経営視点の両方から、本当に使えるセキュリティとキャリア戦略を叩き込む。口は悪いが面倒見はよく、若手育成と実践的な情報発信に力を注いでいる。
@boss_sec_labo
「Microsoft製品の脆弱性パッチが多すぎて、どれから対応すればいいか判断できない」
「ゼロデイ攻撃が悪用中と聞いたけど、うちの会社は大丈夫なのか不安だ」
チップスボスっ、Microsoftが今月また大量のパッチを出したでしゅ！570件って多すぎて、どこから手をつければいいか全然わからないでしゅ…。
ボス今月は特別だ。件数もさることながら、すでに実環境で悪用されているゼロデイが2件ある。優先順位を間違えると取り返しのつかない事態になるぞ。
2026年7月15日（日本時間）、Microsoftが月例セキュリティアップデート「Patch Tuesday」で570件もの脆弱性を一挙に修正しました。
その背景にはAIによる脆弱性発見の急加速がありますが、情シス担当者が真っ先に気にすべきは「すでに攻撃に使われているゼロデイが2件ある」という事実です。
この記事では、570件のパッチの中から今すぐ対応すべき項目を絞り込む判断軸を整理します。
この記事を読めば、大量のパッチの中から本当に急ぐべきものを見極める判断軸が身につきます。
オススメ案件
【既存インターネット閲覧環境のリプレース・SaaS移行に伴う技術支援】門前仲町（リモート併用）／セキュリティ製品の選定から携わる上流インフラ案件
【大手金融機関でのセキュリティ運用体制強化・SOC再検討支援】晴海／セキュリティ運用設計・コンサルティング
【セキュリティ製品を駆使したSOC Tier2運用・インシデント分析】勝どき／CDN・WAF・EDRアラート分析・改善支援
【Google Sec Opsを活用した大手企業向けセキュリティ運用・分析】大手町／最新セキュリティソリューション・リモート併用
【ISO27001準拠のセキュリティ施策推進・アドバイザリ】海浜幕張／週2リモート併用・PMO
【SOC・CSIRTでのインシデント分析・対応】飯田橋／リモート併用
【製造業向けセキュリティ評価支援（IT/OT横断）】フルリモート／NIST CSF・セキュリティガバナンス
【客先グループ内セキュリティ管理チーム支援（M365運用）】大崎（リモート併用）／インシデント対応・M365
【行政向けセキュリティ機能導入（Microsoft Defender）】渋谷（常駐）／テスト・運用設計・手順書作成
【顧客内セキュリティ対応に向けたインフラ設計・構築】京橋／Azure・OCI・ハイブリッドクラウド
今月のPatch Tuesdayは件数の多さだけでなく、その背景にある構造変化でも注目されています。
570件という数字の背景にあるのは、Microsoftが導入した「MDASH（Multi-model Agentic Scanning and Hardening）」と呼ばれるAI主導の脆弱性発見システムです。
人間のセキュリティチームだけでは追いつかないスピードで製品内の欠陥を洗い出しており、5月のPatch TuesdayではMDASHが16件を単独で発見したことが確認されています。
Microsoftは「AIの活用が進むほど今後もパッチ数は増加する」と明言しており、情シス担当者にとっては「毎月大量のパッチを捌く時代」の本格到来を意味します。
このような状況において、従来の「CVSSスコア順に対応する」アプローチは機能不全に陥りつつあります。
今月の変化を整理すると以下の通りです。
570件のうち59件がCritical（深刻）に分類されています。
カテゴリ別に見ると権限昇格が突出して多く、他の脆弱性と組み合わせた連鎖攻撃のリスクが高い月です。
今月の内訳は以下の通りです。
| 脆弱性カテゴリ | 件数（概数） |
|---|---|
| 権限昇格（EoP） | 254件 |
| リモートコード実行（RCE） | 145件 |
| 情報開示 | 102件 |
| サービス拒否（DoS） | 35件 |
| その他 | 34件 |
570件の中で最優先で対応が必要なのが、実環境での悪用が確認されている2件のゼロデイです。
チップスCVSSスコアが9.8以下のゼロデイが悪用されているんでしゅか？スコアが低いから後回しにしようと思っていたでしゅが…。
ボスそれが危険な発想だ。CVSSは「理論上どれだけ危ないか」を示すスコアであって、「実際に攻撃に使われているか」は別の話だ。悪用が確認されたものから先に潰すのが鉄則だぞ。
1件目はSharePoint Serverの特権昇格脆弱性（CVE-2026-56164）です。
「認証不要・ネットワーク経由・ユーザー操作不要」という3拍子が揃っており、攻撃者にとって悪用の敷居が極めて低い欠陥です。
Mandiant・Google FLARE（FireEye）の研究者によって発見・報告されており、Microsoftが実際の攻撃での悪用を確認しています。
特に注意が必要なのは、SharePoint Server 2016と2019が今回のパッチ適用日（2026年7月15日）をもって拡張サポート期間終了となった点です。
今回は例外的にパッチが提供されましたが、今後のセキュリティ更新は期待できません。
対応の優先事項は以下の通りです。
2件目はActive Directory Federation Services（AD FS）の特権昇格脆弱性（CVE-2026-56155）です。
MicrosoftのDARTインシデント対応チームが実際の攻撃調査の中から発見しており、すでに標的型攻撃で使われていた可能性が高いとされています。
AD FSは企業のシングルサインオン（SSO）基盤を担うシステムです。
セキュリティ専門家はこの製品を「社内全体のシステムが信頼するトークンに署名する心臓部」と表現しており、ここが侵害されると組織内の多数のシステムが連鎖的なリスクにさらされます。
Windowsを広く利用する日本企業にとって、このゼロデイは見過ごせない脅威です。
確認すべき事項は以下の通りです。
2026年7月のMicrosoft Patch Tuesdayは、史上最多570件のパッチ件数と2件のゼロデイ悪用という二重の意味で情シス担当者を試しています。
CVSSスコアで上から順に対応していく従来の方法では、実際に攻撃に使われているゼロデイへの対処が後回しになる危険があります。
SharePoint Server（CVE-2026-56164）とAD FS（CVE-2026-56155）のパッチ適用を最優先に進め、SharePoint 2016/2019については移行計画の再確認を急ぎましょう。
ボススコアだけで安心しない習慣をつけることだ。「現実に悪用されているか」を最初のフィルタにする——これがセキュリティ対応の本質だぞ。
チップスわかったでしゅ！CVSSより「すでに狙われているか」を最初に確認するでしゅ！情シス2年目でもできるでしゅ！
セキュリティの脅威は日々進化しており、最新の動向を追い続けることが求められます。
専門知識を持ってフリーランスとして活躍したい方は、ぜひ下記からセキュリティ案件をチェックしてみてください。
オススメ案件
【既存インターネット閲覧環境のリプレース・SaaS移行に伴う技術支援】門前仲町（リモート併用）／セキュリティ製品の選定から携わる上流インフラ案件
【大手金融機関でのセキュリティ運用体制強化・SOC再検討支援】晴海／セキュリティ運用設計・コンサルティング
【セキュリティ製品を駆使したSOC Tier2運用・インシデント分析】勝どき／CDN・WAF・EDRアラート分析・改善支援
【Google Sec Opsを活用した大手企業向けセキュリティ運用・分析】大手町／最新セキュリティソリューション・リモート併用
【ISO27001準拠のセキュリティ施策推進・アドバイザリ】海浜幕張／週2リモート併用・PMO
【SOC・CSIRTでのインシデント分析・対応】飯田橋／リモート併用
【製造業向けセキュリティ評価支援（IT/OT横断）】フルリモート／NIST CSF・セキュリティガバナンス
【客先グループ内セキュリティ管理チーム支援（M365運用）】大崎（リモート併用）／インシデント対応・M365
【行政向けセキュリティ機能導入（Microsoft Defender）】渋谷（常駐）／テスト・運用設計・手順書作成
【顧客内セキュリティ対応に向けたインフラ設計・構築】京橋／Azure・OCI・ハイブリッドクラウド
