Microsoft、記録的な570件のセキュリティ脆弱性を修正

Microsoft Corp.は本日、Windowsオペレーティングシステムおよびその他のソフトウェアにおける少なくとも570件のセキュリティホールを修正するためのソフトウェアアップデートをリリースしました。これは、先月の記録的なパッチチューズデーで修正された脆弱性の数のほぼ3倍です。Microsoftは、人工知能（AI）による脆弱性の発見支援が、パッチ数の急増の原因であると説明しています。 7月のパッチチューズデーで修正されたバグの約60件は「クリティカル」な深刻度評価を受けており、これは悪意のある攻撃者やマルウェアがユーザーの助けをほとんど、あるいは全く借りずにWindowsデバイスのリモート制御を奪うことができることを意味します。Microsoftはまた、すでに実世界で悪用されている3件のゼロデイ脆弱性にも対処しました。 2つのゼロデイ脆弱性は、攻撃者がWindowsシステム上でユーザー権限を昇格させることを可能にし、今月修正された約250件の他の権限昇格脆弱性も同様です。これらには、Active Directory Federation ServicesのバグであるCVE-2026-56155と、Microsoft SharePointの脆弱性であるCVE-2026-56164が含まれます。CVE-2026-50661は、Windows BitLockerのセキュリティ機能バイパスであり、攻撃者がデバイスに物理的にアクセスできる場合、暗号化されたデータにアクセスできる可能性があります。Microsoftによると、このバグは公に詳細が説明されていますが、アクティブな悪用は認識していません。 7月9日のブログ投稿で、MicrosoftのExecutive Vice PresidentであるPavan Davuluri氏は、AIが脆弱性の発見を支援することにより、Windowsユーザーは「各セキュリティリリースに含まれるセキュリティアップデートの量が増加する」ことに気づくだろうと述べています。「AIの進歩により、より多くのコードで、より速く、より多くの問題を、発見と分析の両方を加速する新しいメカニズムで発見することが可能になり、脆弱性の発見ペースが変化しています」とDavuluri氏は書いています。 Action1社の脆弱性研究ディレクターであるJack Bicer氏は、Microsoft Copilotにおけるリモートコード実行の脆弱性（CVSS脅威スコア9.6）であるCVE-2026-48561に注目を集めました。これは、不正な攻撃者がネットワーク経由でコードを実行することを可能にします。Microsoftによると、攻撃者は、ユーザーがサイトを訪問したときにMicrosoft Edge for AndroidがCopilotに自動的に細工されたプロンプトを送信するように、悪意のあるウェブサイトをホストすることでこのバグを悪用する可能性があります。 AIが脆弱性の発見と修正の状態を進歩させるにつれて、攻撃者が既知のソフトウェアの脆弱性に対する実用的なエクスプロイトを迅速に考案することも容易になっています。Microsoftは長年、セキュリティバグを「エクスプロイタビリティインデックス」を使用してラベル付けしてきました。これは、攻撃者が特定の脆弱性を悪用する信頼性の高い方法を見つけ出す可能性がどれくらいあるかについてのRedmondの最良の推測です。しかし、TenableのシニアスタッフリサーチエンジニアであるSatnam Narang氏は、Microsoftのエクスプロイタビリティインデックスは、発見の機械速度に合わせて改善する必要があると主張しています。 例えば、Microsoftは当初、今月のSharePointゼロデイに「エクスプロイトの可能性は低い」という評価を与えていましたが、その脆弱性は7月1日にCISAの既知の悪用脆弱性リストに追加されました。「AnthropicのRed Team自身の既知の脆弱性（n-day）に関する調査結果は、このシステムがいかに脆くなっているかを示しており、そのMythos Previewモデルは、『エクスプロイトの可能性は低い』または『エクスプロイトの可能性は非常に低い』と評価された14件の脆弱性のうち13件に対してプルーフオブコンセプトエクスプロイトを生成することができました」とNarang氏は述べています。「これは、エクスプロイタビリティインデックスがAIツールではなく人間を中心に据えているため、パッチチューズデーの見方が変わったことを意味します。これらのツールが改善し続けるにつれて、防御もそれに合わせて改善する必要があります。」 IvantiのChris Goettl氏は、Microsoftからの記録的なパッチ数は、他の多くの主要ソフトウェアメーカーがパッチの提供頻度を増やしている中で来ていると指摘しています。Adobeは本日、毎月第2火曜日と第4火曜日にセキュリティ情報を2回発行すると発表しました（Adobeもパッチサイクルの加速にAIを挙げています）。Cisco、Mozilla、Oracleもアップデートをより頻繁にリリースしており、Googleの2026年6月のパッチバッチは900件以上のセキュリティ修正を合計したとGoettl氏は述べています。 オペレーティングシステムのアップデートを適用する前に、Windowsシステムやデータのバックアップを取ることが常に良い考えです。今月対処されたパッチの量が多いことを考えると、エンドユーザーはこれらの修正を適用する前に数日間待つのが賢明かもしれません。セキュリティパッチがシステムの安定性の問題を引き起こすことは珍しくなく、今日の巨大なパッチ数ではその可能性はおそらくかなり高まります。 さらに読む: Action1のパッチチューズデーブログ Automoxの概要 まだ混乱している... Microsoftのエンジニアがプログラミングしているのに、なぜ570もの欠陥があるのか？不注意なのか、それとも意図的なのか？ 返信 → バグのないプログラミングは、難しいか不可能かの間です。セキュリティは敵対的なタスクなので、バグは見つかります。 返信 → これは長年存在していた多くのもの、さまざまな方法で作られた微妙な間違いであり、作成時にはそれほど明白ではありませんでしたが、調査時には明白になりました。これらがさまざまな言語、世代の人々、数十億行のコードにまたがっていることを考慮してください。地球上の誰もそれをすべて開いて見ることができません。AIは、ほとんどが書かれたときには存在しなかった、ブルートフォース分析によってそれを掘り出しています。 返信 → カバレッジに感謝します！今月はすごかった！ 返信 → AIが発見したこれらの脆弱性のうち、バグ/ホールなどではないものはどれくらいあり、修正によって予期せぬ新しい問題が発生するのでしょうか？ 返信 → 脆弱性の多くは、1つの弱点から別の弱点への連鎖によるものです。人間にはこれに時間がかかりますが、AIはこれをはるかに速く行います。 返信 → Microsoftのコードベースの安定性バグを修正するために何十年もの作業が行われてきたことを考えると、これらのセキュリティバグが今発見されることは驚くことではありません。おそらくこれらのサイクルの多くがかかるでしょう。そして指摘されているように、新しい欠陥が導入されるでしょう。 返信 → こすってこすってこすって！ 返信 → あくび。 返信 →