Microsoftは2026年9月8日（現地時間）、サポート中のすべてのWindowsに月例セキュリティ更新プログラムを公開しました。修正されたCVEは974件に達し、これまでの最多記録を大幅に更新。すでに悪用が確認されている2件の脆弱性も含まれるため、できるだけ早い対処が望まれます。
- 2026年9月の月例更新で修正されたCVEは、過去最多となる974件
- 最高深刻度「緊急」の脆弱性は114件、悪用確認済みは2件
- Windows 11 バージョン25H2では、既知の不具合修正と2026年8月のプレビュー更新内容を反映
- Officeは111件、SQL Serverは62件など、幅広いMicrosoft製品が更新対象
- Windows 10 バージョン22H2は一般向けサポートが終了しており、更新にはESUへの登録が必要
2026年9月のWindows Updateが公開
Microsoftは2026年9月8日（現地時間）、すべてのサポート中バージョンのWindowsを対象に、月例のセキュリティ更新プログラムをリリースしました。更新プログラムは「Windows Update」や「Microsoft Update カタログ」などから入手できます。
今月修正されたCVEは974件です。2026年8月の421件から倍増しただけでなく、これまで最多だった2026年7月の622件も大幅に上回りました。
Zero Day Initiative（ZDI）の集計では、2026年に修正された脆弱性は9月までに2,760件に達し、すでに前年の2倍を超えています。一方、実際に悪用されている脆弱性や攻撃コードの数が、修正件数に比例して増加しているわけではありません。
「緊急」は114件、悪用確認済みは2件
今回修正された脆弱性のうち、最高深刻度の「Critical（緊急）」と評価されたものは114件です。
影響範囲はWindows本体だけでなく、Office、SQL Server、SharePoint、Exchange Server、Azure、Dynamics 365、Visual Studio、Visual Studio Code、Microsoft Teams、Microsoft Entra、.NETなど多岐にわたります。
すでに悪用が確認されている脆弱性は、次の2件です。いずれも深刻度は「重要」ですが、できるだけ早い対処が望まれます。
- CVE-2026-81963：Windows Updateスタックにおける特権昇格の脆弱性
- CVE-2026-85880：Windows高度なローカルプロシージャコール（ALPC）における特権昇格の脆弱性
Windows向け更新プログラム一覧
Windows 10／11およびWindows Server 2016／2019／2022／2025の最大深刻度は「緊急」で、リモートコード実行に関する脆弱性が含まれます。
| 対象製品 | 更新プログラム | OSビルド |
|---|---|---|
| Windows 11 バージョン26H1 | KB5124012 | 28000.2954 |
| Windows 11 バージョン25H2 | KB5124008 | 26200.9445 |
| Windows 11 バージョン24H2 | KB5124008 | 26100.9445 |
| Windows 11 バージョン23H2 | KB5122880 | 22631.7582 |
| Windows 10 バージョン22H2（ESU） | KB5122878 | 19045.7725 |
| Windows Server 2025 | KB5122871 | 26100.33438 |
| Windows Server 2022 | KB5122882 | 20348.5622 |
| Windows Server 2019 | KB5122876 | 17763.9245 |
| Windows Server 2016 | KB5123099 | 14393.9512 |
Windows 11 バージョン25H2の主な変更点
Windows 11 バージョン25H2向けの「KB5124008」には、2026年8月の非セキュリティプレビュー更新プログラムの内容が含まれます。タスクバー、スタート画面、Windows Searchの刷新も一般展開されます。
また、以下の既知の不具合が解消されました。
- Arm64搭載PCでTeamsやOutlookが予期せず終了する問題
- 英語以外の表示言語で、カスタマイズしたマウスカーソルの設定が反映されない問題
- デスクトップの背景が正しく読み込まれない問題
- 一部の構成で、リモートセッションの音声がローカルで再生されない問題
このほか、新しいセキュアブート証明書を自動的に受け取れるデバイスの対象範囲が拡大されました。Windows更新プログラムをインストールする「サービススタック」の品質改善や、OMA-DMクライアントのログ出力強化も行われています。
Copilot+ PCでは、画像検索、コンテンツ抽出、セマンティック分析、設定モデルの各AIコンポーネントがバージョン1.2608.951.0へ更新されました。
Windows 10はESUへの登録が必要
Windows 10 バージョン22H2は、すでに一般向けサポートが終了しています。セキュリティ更新プログラムを受け取るには、「拡張セキュリティ更新プログラム（ESU）」への登録が必要です。個人向けは2027年10月まで無償で延長できます。
OfficeやSQL Serverなどの修正状況
Microsoft Office
Office製品に関連する脆弱性は111件で、うち21件が「緊急」です。脆弱性はOffice本体やWord、Excelに集中しています。
Microsoft SQL Server
SQL Serverでは62件の脆弱性が修正され、うち5件が「緊急」と評価されています。
SharePoint関連では16件を修正。最大深刻度は「重要」で、「緊急」の脆弱性は含まれていません。
内訳には以下が含まれます。
- リモートコード実行：5件
- なりすまし：4件
- 情報漏えい：4件
- 特権昇格：2件
Microsoft Exchange Server
Exchange Server関連では9件の脆弱性が修正されました。最大深刻度は「重要」で、リモートコード実行、なりすまし、改ざん、サービス拒否、特権昇格、情報漏えいに関する問題が含まれます。
Visual Studio／Visual Studio Code
Visual Studioでは11件の脆弱性を修正しました。OpenSSL由来の「CMS AuthEnvelopedData」処理に関するCVE-2026-34182が、「緊急」と評価されています。
Visual Studio Codeでは12件を修正。最大深刻度は「重要」で、セキュリティ機能のバイパスが8件を占めます。CVE-2026-81380とCVE-2026-81381は、GitHub Copilotとの組み合わせで発生する情報漏えいの脆弱性です。
Microsoft Dynamics 365
オンプレミス版を対象に、次の2件が修正されました。
- CVE-2026-65772：緊急、リモートコード実行
- CVE-2026-77908：重要、リモートコード実行
.NET／ASP.NET Core
.NETおよびASP.NET Coreでは8件の脆弱性が修正されました。最大深刻度は「重要」で、サービス拒否、情報漏えい、特権昇格、リモートコード実行に関する問題が含まれます。
その他のMicrosoft製品も更新
そのほか、以下の製品にもセキュリティアップデートが提供されています。
- Azure関連：12件、最大深刻度「緊急」
- Skype for Business：10件、最大深刻度「緊急」
- Microsoft Entra：2件、最大深刻度「緊急」
- Microsoft Teams：2件、最大深刻度「重要」
Microsoft Edgeは月例のパッチチューズデーとは別に更新されています。最後に告知されたセキュリティアップデートは、2026年9月4日（米国時間）公開のバージョン152.0.4191.66です。
早めの更新適用を
2026年9月の月例更新では、過去最多となる974件のCVEが修正されました。すでに悪用が確認されている2件の脆弱性も含まれています。
Windowsだけでなく、OfficeやSQL Serverなど幅広い製品が対象です。利用しているOSや製品に対応する更新内容を確認し、できるだけ早い対処が望まれます。
