要点

  • Microsoft が9月8日に公開したセキュリティ更新は、Windows Update Stack と Advanced Local Procedure Call に存在し、悪用が確認された権限昇格の脆弱性を修正する
  • 悪用が確認されているという情報は、深刻度スコアだけに基づくパッチ適用順では見落とされる判断材料を更新担当チームに与える

事実

Microsoft は9月8日、攻撃ですでに悪用されたとする Windows の脆弱性2件の修正を公開した。CVE-2026-81963 は Windows Update Stack に影響し、脆弱な端末にすでにアクセスできる攻撃者が、ファイルリンクの不適切な処理を通じて権限を昇格できる。CVE-2026-85880 は、Windows がプロセス間通信に使用する Windows Advanced Local Procedure Call に影響し、攻撃者が SYSTEM 権限を取得できる可能性がある。

2件の脆弱性はいずれも CVSS スコアが7.8で、Microsoft は「重要」と評価している。報告された不具合は、インターネット経由の初期リモートアクセスではなく、権限昇格に関するものだ。入手可能な報告では、攻撃対象となった組織は特定されておらず、侵入経路の全体像も説明されていない。また、すべての Windows システムが影響を受けるとも確認されていない。

分析

企業のパッチ適用は、点数を競うものではなく、優先順位を見極める作業だ。悪用が確認された時点で、チームは深刻度スコアの単純な順位付けを超え、脆弱なコンポーネントが実際にどこに存在するかを把握する必要がある。つまり、セキュリティ情報を自社のエンドポイントやサーバーと照合し、それらのシステムが支える業務サービスを特定したうえで、どの環境でテストと展開を早めるべきか判断する必要がある。

BTW の読者にとって、ローカルアクセスが前提であることはリスクを限定するが、問題を無視できるわけではない。パッチを適用すれば対象システムの脆弱性は解消されるが、更新プログラムの導入前に攻撃者がそれを悪用したかどうかは判断できない。そのため、セキュリティチームと運用チームは、2つの異なる作業に取り組む必要がある。該当する端末が脆弱な状態のまま残る期間を短くすることと、すでに侵害された可能性がある不審なシステムを調査することだ。パッチ適用の完了と侵害の証拠は、それぞれ異なる問いに答えるものであり、同じ指標として扱うべきではない。

今後の注目点

Microsoft やセキュリティ研究者が、脆弱性がどのように悪用されているか、どの Windows 構成が影響を受けるかについて、さらに詳しい情報を公表するかを注視する。組織内では、該当システムへの更新適用率、未解決のパッチ適用例外、更新プログラム導入前に不具合が悪用されたことを示す証拠の有無が、より有用な指標となる。