チップス
どんぐり大学卒、一般企業の情報システム部で働く若手エンジニア。
入社1〜3年目らしい悩みを抱えつつ、日々の運用やセキュリティ対応に奮闘中。慌てんぼうだが素直で吸収力が高く、ボスに鍛えられながら着実に成長している。
ボス
セキュリティ、インフラ、運用の修羅場をくぐってきた歴戦のエンジニア。サイバーセキュリティラボの所長でボスと呼ばれている。
現場視点と経営視点の両方から、本当に使えるセキュリティとキャリア戦略を叩き込む。口は悪いが面倒見はよく、若手育成と実践的な情報発信に力を注いでいる。
@boss_sec_labo
「Microsoftのパッチが今月すごい量って聞いたけど、どこから手をつければいいんでしゅか？」
「ゼロデイって出たらすぐ対応しないとダメでしゅよね……でも966件って何を見ればいいんでしゅか」
チップスボスー！Microsoft今月のパッチが966件もあるって本当でしゅか？どこから手をつければいいんでしゅか？
ボス本当だ。しかも2件のゼロデイはすでに野外で攻撃に使われている。今すぐ動かないといけないな。
Microsoftは2026年9月のPatch Tuesdayで、史上最多となる966件の脆弱性を修正しました。
なかでも深刻なのが、Windows Update Stack（CVE-2026-81963）とWindows ALPC（CVE-2026-85880）の2つのゼロデイです。
どちらも悪用が確認され、CISA KEVに追加。連邦機関には9月22日までのパッチ適用が義務付けられました。
この記事では2件のゼロデイの仕組みと影響を解説し、パッチ適用の優先順位を整理します。
「量が多くて何から見ればいいかわからない」状態を抜け出せます。
オススメ求人・フリーランス案件
【脆弱性管理・診断基盤の内製化推進】東京都（フルリモート）／ツール導入・セキュリティ運用
【セキュリティ企画推進・コンサルタント】大阪（リモート併用）／セキュリティ戦略・ポリシー策定
【セキュリティ基準準拠・運用改善支援（NIST・ISMS）】豊洲（リモート併用）／PMO
【社内セキュリティ技術コンサルティング】東京・渋谷（常駐）／インフラ全般・設計レビュー・最新技術調査
【セキュリティサービス基盤の環境改善支援】東京・武蔵小杉（フルリモート）／AWS・マルチクラウド・構成改善
【インフラセキュリティ・脅威検知構築】東京・六本木（常駐）／Azure・ゼロトラスト・AD
【Zscalerゼロトラストネットワーク運用】東京・調布（リモート併用）／設計・構築・運用
【特権ID管理システム導入支援（Secret Server）】東京・京橋（常駐）／要件定義・設計・構築
【Splunk CloudおよびSplunk ES環境におけるSOC運用】全国（フルリモート）／セキュリティログ解析・監視
【銀行向けサイバーセキュリティチーム支援】中野（原則オンサイト）／AI悪用対策・SOC・CSIRT・インシデント対応
社内SE【年収700～1500万円】セキュリティ・インフラの構築・運用
【東証プライム】情報セキュリティマネージャー候補・事業成長支援（850～1100万円）
【年収500〜800万円】日立グループ｜自動車サイバーセキュリティコンサルタント（横浜・在宅可）
【三菱地所グループ】セキュリティエンジニア（マネジメント・エンジニアリング）年収628〜1200万円
【社内セキュリティ推進室長】800〜1100万円｜人材大手ディップ・リモートOK
KADOKAWAグループ向けセキュリティコンサルタント｜個人情報管理・相談対応（テレワーク）
【年収750〜1200万円】グローバル7拠点・プロダクトセキュリティエンジニア（東京）
情報セキュリティ・プライバシーガバナンス スペシャリスト【900～1300万】
セキュリティ・プライバシー基盤構築【600～1000万円】
【1000～2400万円】EDR/エンドポイントセキュリティ領域のリード採用
今回のPatch Tuesdayは過去最大規模となる966件の脆弱性に対処しました。
Criticalが105件（うち遠隔コード実行81件）、権限昇格が438件、遠隔コード実行が258件です。
Microsoft OfficeのExcel・Word・Outlook、Windows DirectWrite、Dynamics 365にも重大な遠隔コード実行脆弱性が含まれています。
今回のパッチで注目すべき傾向は以下の通りです。
JPCERT/CCも翌日に注意喚起を発表し、更新プログラムの早急な適用を呼びかけています。
チップス966件って多すぎてどこから見ればいいのかわからないでしゅ……全部読まないといけないんでしゅか？
ボス全部読む必要はない。悪用が確認されているゼロデイを最優先で対応するのが鉄則だ。今回はそれが2件ある。
今回最も緊急度が高いのが、野外での悪用が確認されているゼロデイ2件です。
どちらも「ローカルで認証を持つ攻撃者がSYSTEM権限を取得できる」特権昇格欠陥で、CISAはKEVカタログに追加しました。
Windows Updateのコンポーネントに「ファイルアクセス前のリンク解決不全」（CWE-59）の欠陥があります。
ローカルで認証を持つ攻撃者がSYSTEM権限を取得できます。
CVSS基本値は7.8で「Important」ですが、野外での積極的悪用が確認されたため即時対応が求められています。
本脆弱性を発見したのはRomain DeperneとMicrosoft Threat Intelligence Centreです。
Windows Update Stackに関連するゼロデイは過去5年間で7件修正されていますが、積極的悪用が確認されたのは今回が初めてとなります。
Windows Advanced Local Procedure Call（ALPC）にヒープベースのバッファオーバーフロー（CWE-122）が存在します。
こちらもSYSTEM権限取得につながる特権昇格欠陥で、CVSS基本値は7.8です。
Volexityのセキュリティ研究者らとProofpointのJeremy Hedgesが発見しました。
ALPCはWindowsのプロセス間通信の根幹を担うコンポーネントです。
悪用されるとOSの最高権限が奪われ、あらゆる後続攻撃の足がかりになります。
両脆弱性の危険ポイントをまとめます。
チップスSYSTEM権限を奪われるって……それって完全に乗っ取られるってことでしゅか！？
ボスそういうことだ。ランサムウェアの展開も認証情報の窃取も、攻撃者が思いのままに動ける。だから「重要度7.8」という数字より、悪用実績があることのほうが本質的なリスクだ。
今月のPatch Tuesdayは「量」「質」ともに過去最大級です。
特にCVE-2026-81963とCVE-2026-85880は今この瞬間も悪用されています。
SYSTEM権限を奪われると、ランサムウェアの展開や認証情報の窃取まで攻撃者は思いのままに動けます。
優先対応の流れは次の通りです。
設定→Windows Update→更新プログラムの確認を実行し、保留中の更新がないことを確かめます。自動更新が有効でない場合は即時有効化してください。
社内の全端末・サーバで適用状況を確認し、未適用のものに手動でパッチを当てます。特にドメインコントローラーや業務サーバを優先してください。
Excel・Word・Outlookにも今回Critical修正が入っています。Office Updateを実行し、最新バージョンになっているか確認してください。
パッチ適用後はWindowsイベントログで不審な権限昇格や異常な実行履歴がないかを確認します。適用前にすでに侵害されていた場合に早期検出できます。
「来週まとめて対応しよう」では遅いです。
CVSSスコアより「今まさに悪用されているか」を判断基準にする習慣が、実務で最も大切なセキュリティスキルです。
ボス数字だけで判断せず、「悪用されているか」で動く。セキュリティの本質を学んだな、チップス。
チップスはい！ゼロデイが出たら即パッチ確認でしゅ！会社のPCも今日中に確認しましゅです！
オススメ求人・フリーランス案件
【脆弱性管理・診断基盤の内製化推進】東京都（フルリモート）／ツール導入・セキュリティ運用
【セキュリティ企画推進・コンサルタント】大阪（リモート併用）／セキュリティ戦略・ポリシー策定
【セキュリティ基準準拠・運用改善支援（NIST・ISMS）】豊洲（リモート併用）／PMO
【社内セキュリティ技術コンサルティング】東京・渋谷（常駐）／インフラ全般・設計レビュー・最新技術調査
【セキュリティサービス基盤の環境改善支援】東京・武蔵小杉（フルリモート）／AWS・マルチクラウド・構成改善
【インフラセキュリティ・脅威検知構築】東京・六本木（常駐）／Azure・ゼロトラスト・AD
【Zscalerゼロトラストネットワーク運用】東京・調布（リモート併用）／設計・構築・運用
【特権ID管理システム導入支援（Secret Server）】東京・京橋（常駐）／要件定義・設計・構築
【Splunk CloudおよびSplunk ES環境におけるSOC運用】全国（フルリモート）／セキュリティログ解析・監視
【銀行向けサイバーセキュリティチーム支援】中野（原則オンサイト）／AI悪用対策・SOC・CSIRT・インシデント対応
社内SE【年収700～1500万円】セキュリティ・インフラの構築・運用
【東証プライム】情報セキュリティマネージャー候補・事業成長支援（850～1100万円）
【年収500〜800万円】日立グループ｜自動車サイバーセキュリティコンサルタント（横浜・在宅可）
【三菱地所グループ】セキュリティエンジニア（マネジメント・エンジニアリング）年収628〜1200万円
【社内セキュリティ推進室長】800〜1100万円｜人材大手ディップ・リモートOK
KADOKAWAグループ向けセキュリティコンサルタント｜個人情報管理・相談対応（テレワーク）
【年収750〜1200万円】グローバル7拠点・プロダクトセキュリティエンジニア（東京）
情報セキュリティ・プライバシーガバナンス スペシャリスト【900～1300万】
セキュリティ・プライバシー基盤構築【600～1000万円】
【1000～2400万円】EDR/エンドポイントセキュリティ領域のリード採用
