Microsoft、10月のセキュリティ更新でCVE約1,415件を修正　悪用済みはWindows ShellのMotW回避1件

Microsoftの2026年10月のセキュリティ更新は、Zero Day Initiative（ZDI）の集計で新規CVEが1,415件に上り、初めて4桁に達した。ZDIは、2023年のMicrosoftのCVE総数が914件だったことを挙げ、1か月で過去のどの年よりも多いとしている。悪用が確認されているのはWindows Shellのセキュリティ機能バイパスCVE-2026-96951（CVSS 8.8）の1件で、メールやチャットで受け取ったファイルに付くMark of the Webの保護を回避するもの。公開済みとされたのは、WDACの適用を回避できる.NET FrameworkのCVE-2026-108398と、サードパーティ製のMessagePack-CSharpのDoS（CVE-2026-92707）の2件。ほかに、未認証で悪用できるSharePointの署名検証不備CVE-2026-102866、SQL ServerのデシリアライズによるRCE CVE-2026-65674などが注目点として挙がっている。ZDIは、未認証かつユーザー操作なしでネットワーク越しに悪用できるワーム化しうる脆弱性が59件あると数え、DHCP Server、NPS、Windows Error Reporting、RD Gateway、QUIC、Schannel、DNS Serverなどが含まれる。Microsoftは今回から、同じ導入状況や露出の論点を持つCVEをまとめる「risk cohorts」を試験的に導入した。Microsoftは公式の分類ではなく、更新ガイダンスや個々のCVE評価を置き換えるものでもないとしている。