チップス
どんぐり大学卒、一般企業の情報システム部で働く若手エンジニア。
入社1〜3年目らしい悩みを抱えつつ、日々の運用やセキュリティ対応に奮闘中。慌てんぼうだが素直で吸収力が高く、ボスに鍛えられながら着実に成長している。
ボス
セキュリティ、インフラ、運用の修羅場をくぐってきた歴戦のエンジニア。サイバーセキュリティラボの所長でボスと呼ばれている。
現場視点と経営視点の両方から、本当に使えるセキュリティとキャリア戦略を叩き込む。口は悪いが面倒見はよく、若手育成と実践的な情報発信に力を注いでいる。
@boss_sec_labo
「1400件を超える修正なんて、どこから手を付ければいいの？」
「悪用されているゼロデイは、うちの社員も狙われるの？」
チップスボス、今月のWindowsアップデート、修正が1400件を超えてるって本当でしゅか！？
ボス本当だ。Microsoftの10月の月例パッチは過去最多になった。しかも、すでに悪用されているゼロデイが含まれている。
チップス数が多すぎて、どれが危ないのか分からないでしゅ……。
ボスだからこそ、まずは悪用されているものから押さえる。順番の問題だ。
10月13日（米国時間）、Microsoftは2026年10月の月例セキュリティ更新プログラムを公開しました。
この記事では、悪用が確認されたWindowsシェルの脆弱性CVE-2026-96951の中身と、膨大な修正にどう優先順位をつけるかを整理します。
3行で分かるニュースのポイント
読み終えるころには、今月のパッチ適用で何を優先すべきかが見えてくるはずです。
オススメ求人・フリーランス案件
【ISMS認証取得支援・PMO（3拠点）】東京都（赤坂駅・リモート併用）／セキュリティマネジメント
【大手企業のセキュリティ推進・脆弱性診断対応】東京都・田町（常駐）／脆弱性レポート・情シス業務
【大手リユース企業のSOC/CSIRT運用・インシデント対応】東京都・飯田橋（リモート併用）／EDR・SIEM・運用自動化
【脆弱性管理・診断基盤の内製化推進】東京都（フルリモート）／ツール導入・セキュリティ運用
【セキュリティ企画推進・コンサルタント】大阪（リモート併用）／セキュリティ戦略・ポリシー策定
【セキュリティ基準準拠・運用改善支援（NIST・ISMS）】豊洲（リモート併用）／PMO
【社内セキュリティ技術コンサルティング】東京・渋谷（常駐）／インフラ全般・設計レビュー・最新技術調査
【セキュリティサービス基盤の環境改善支援】東京・武蔵小杉（フルリモート）／AWS・マルチクラウド・構成改善
【インフラセキュリティ・脅威検知構築】東京・六本木（常駐）／Azure・ゼロトラスト・AD
【Zscalerゼロトラストネットワーク運用】東京・調布（リモート併用）／設計・構築・運用
社内SE【年収700～1500万円】セキュリティ・インフラの構築・運用
【東証プライム】情報セキュリティマネージャー候補・事業成長支援（850～1100万円）
【年収500〜800万円】日立グループ｜自動車サイバーセキュリティコンサルタント（横浜・在宅可）
【三菱地所グループ】セキュリティエンジニア（マネジメント・エンジニアリング）年収628〜1200万円
【社内セキュリティ推進室長】800〜1100万円｜人材大手ディップ・リモートOK
【年収750〜1200万円】グローバル7拠点・プロダクトセキュリティエンジニア（東京）
【年収600～1000万円】IT人材紹介企業での社内SE（セキュリティ・ガバナンス）
プロダクトセキュリティエンジニア【AWS・GCP】年収650～1000万
【700～900万】セキュリティ診断テックリード
役員直下｜コーポレートIT・セキュリティ責任者候補【627～908万円】
修正の件数と、悪用中の脆弱性の両面で異例の月になりました。
Tenableによると、10月の月例パッチで修正されたCVEは1407件で、2か月連続で過去最多を更新しました。
SecurityWeekは、修正件数を1413件と集計しています。
Tenableによる深刻度の内訳は以下の通りです。
| 深刻度 | 件数 |
|---|---|
| 緊急 | 69件 |
| 重要 | 1337件 |
| 低 | 1件 |
Tenableによると、種類別では権限昇格が47.9%で最も多く、リモートコード実行が22.3%で続きます。
SecurityWeekは、件数が急増した背景にAIを使った脆弱性の発見があると伝えています。
JPCERT/CCによると、今月の修正のうち、Windowsシェルのセキュリティ機能バイパスCVE-2026-96951の悪用が確認されています。
Tenableによると、CVSSv3の基本値は8.8で、深刻度は「重要」です。
SecurityWeekによると、CISAは10月13日にこの脆弱性をKEVカタログへ追加し、連邦機関に10月16日までの対応を求めました。
このほか、パッチ公開前に詳細が公になっていた脆弱性もあります。
件数は膨大でも、いま実際に狙われている脆弱性は限られています。
チップス1400件のうち、本当に今狙われているのは1件なんでしゅね。
ボスそうだ。ただ、その1件が社員のメール受信箱に届くかもしれない。
今回のゼロデイは、利用者に「怪しいファイル」と気づかせないための脆弱性です。
Mark of the Web（MotW）は、インターネットから入手したファイルに付く目印です。
Windowsはこの目印を見て、ファイルを開く前に警告を出したり、Officeの保護ビューで開いたりします。
Tenableによると、CVE-2026-96951を悪用されると、このMotWの保護を回避されます。
Microsoftが想定する攻撃の流れは以下の通りです。
攻撃者が細工したファイルをメールやメッセージで送る
ソーシャルエンジニアリングで、標的にファイルを開かせる
MotWによる保護が働かないまま、ファイルが開かれる
悪用には利用者の操作が必要ですが、保護が働かないぶん、利用者が怪しいと気づく機会が減ります。
1400件を超える修正を一度に検証するのは現実的ではありません。
優先順位の考え方は以下の通りです。
SecurityWeekによると、Microsoftは似た評価が必要なCVEをまとめた「リスクコホート」という分類も新たに示しています。
チップスパッチを当てるまでの間は、社員に気をつけてもらうしかないんでしゅね。
ボスそうだ。技術の穴は、人の注意でしばらく持ちこたえる。だが長くはもたんぞ。
Microsoftの10月の月例パッチは1400件を超える脆弱性を修正し、過去最多となりました。
なかでもWindowsシェルのCVE-2026-96951は悪用が確認されており、Mark of the Webの保護を回避される恐れがあります。
件数の多さに圧倒されず、悪用中の脆弱性から順に適用を進めることが、今月の対応の要になります。
ボス数に惑わされるな。まず火の手が上がっているところから消せ。
チップス今日はまずWindowsの更新を済ませるでしゅ！
参考：
JPCERT/CC「2026年10月マイクロソフトセキュリティ更新プログラムに関する注意喚起」
IPA「Microsoft 製品の脆弱性対策について（2026年10月）」
Tenable
SecurityWeek
オススメ求人・フリーランス案件
【ISMS認証取得支援・PMO（3拠点）】東京都（赤坂駅・リモート併用）／セキュリティマネジメント
【大手企業のセキュリティ推進・脆弱性診断対応】東京都・田町（常駐）／脆弱性レポート・情シス業務
【大手リユース企業のSOC/CSIRT運用・インシデント対応】東京都・飯田橋（リモート併用）／EDR・SIEM・運用自動化
【脆弱性管理・診断基盤の内製化推進】東京都（フルリモート）／ツール導入・セキュリティ運用
【セキュリティ企画推進・コンサルタント】大阪（リモート併用）／セキュリティ戦略・ポリシー策定
【セキュリティ基準準拠・運用改善支援（NIST・ISMS）】豊洲（リモート併用）／PMO
【社内セキュリティ技術コンサルティング】東京・渋谷（常駐）／インフラ全般・設計レビュー・最新技術調査
【セキュリティサービス基盤の環境改善支援】東京・武蔵小杉（フルリモート）／AWS・マルチクラウド・構成改善
【インフラセキュリティ・脅威検知構築】東京・六本木（常駐）／Azure・ゼロトラスト・AD
【Zscalerゼロトラストネットワーク運用】東京・調布（リモート併用）／設計・構築・運用
社内SE【年収700～1500万円】セキュリティ・インフラの構築・運用
【東証プライム】情報セキュリティマネージャー候補・事業成長支援（850～1100万円）
【年収500〜800万円】日立グループ｜自動車サイバーセキュリティコンサルタント（横浜・在宅可）
【三菱地所グループ】セキュリティエンジニア（マネジメント・エンジニアリング）年収628〜1200万円
【社内セキュリティ推進室長】800〜1100万円｜人材大手ディップ・リモートOK
【年収750〜1200万円】グローバル7拠点・プロダクトセキュリティエンジニア（東京）
【年収600～1000万円】IT人材紹介企業での社内SE（セキュリティ・ガバナンス）
プロダクトセキュリティエンジニア【AWS・GCP】年収650～1000万
【700～900万】セキュリティ診断テックリード
役員直下｜コーポレートIT・セキュリティ責任者候補【627～908万円】
