マイクロソフト、2026年5月のパッチ・チューズデーで120件の欠陥を修正、ゼロデイなし

本日は、マイクロソフト社の2026年5月パッチ・チューズデーであり、120件の欠陥に対するセキュリティ更新プログラムが提供される。

今回のパッチ・チューズデーでは、17件の「クリティカル」な脆弱性に対処しており、そのうち14件はリモート・コード実行、2件は特権の昇格、1件は情報漏えいの欠陥となっている。

各脆弱性カテゴリーにおけるバグ数は以下の通り：

• 特権昇格の脆弱性 61件
• 6 セキュリティ機能バイパス脆弱性
• 31 リモート・コード実行の脆弱性
• 14 情報漏洩の脆弱性
• 8 サービス拒否の脆弱性
• 13 スプーフィング脆弱性

パッチ・チューズデーのセキュリティ更新プログラムに関するレポートでは、マイクロソフトが本日リリースしたもののみをカウントしている。

したがって、この件数には、今月初めにマイクロソフトが修正したMariner、Azure、Copilot、Microsoft Teams、Microsoft Partner Centerの不具合は含まれていない。また、Googleが今月修正した131件のMicrosoft Edge/Chromiumの不具合も含まれていません。

本日リリースされたセキュリティ更新プログラム以外の更新プログラムの詳細については、Windows 11 KB5089549 & KB5087420 累積更新プログラムおよびWindows 10 KB5087544 拡張セキュリティ更新プログラムに関する専用記事をご覧ください。

注目すべき脆弱性

今月のパッチ・チューズデーでは、マイクロソフトはゼロデイ脆弱性を公表していない。しかし、本日修正された脆弱性の中には、ITおよびセキュリティ管理者が注意すべきものがいくつかある。

本日のアップデートの一環として、マイクロソフトはMicrosoft Office、Word、Excelに存在するリモート・コード実行につながる可能性のある脆弱性を多数修正した。

これらの欠陥は、悪意のあるファイルを開くことで悪用され、リモートでコードが実行される可能性があります。これらの多くはプレビュー・ペイン経由で悪用される可能性があるため、特に添付ファイルをよく受け取る場合は、Microsoft Officeをできるだけ早くアップデートすることを強くお勧めします。

マイクロソフト・オフィス、ワード、エクセルの欠陥のリストは、5月2026日のパッチ・チューズデー・レポートに掲載されている。

その他の興味深い脆弱性は以下の通り：

• CVE-2026-35421 – Windows GDI リモート・コード実行の脆弱性： この欠陥は、Microsoft Paint を使用して悪意のある拡張メタファイル (EMF) ファイルを開くことによって悪用される可能性があります。
• CVE-2026-40365 – Microsoft SharePoint Server リモートコード実行の脆弱性： 認証された攻撃者は、リモートで SharePoint サーバー上のコードを実行するネットワークベースの攻撃を実行できます。
• CVE-2026-41096 – Windows DNS クライアントリモートコード実行の脆弱性： 攻撃者に制御された DNS サーバーが、特別に細工された DNS 応答を脆弱な Windows システムに送信する可能性があり、これにより DNS クライアントが応答を不正に処理し、メモリを破壊します。これにより、攻撃者はリモートから脆弱なシステム上でコードを実行できるようになります。

他社の最近のアップデート

2026年5月にアップデートまたはアドバイザリをリリースした他のベンダは以下のとおりです：

• Adobeは、After Effects、Premiere Pro、Media Encoder、Commerce、Illustratorなどのセキュリティアップデートを公開した。
• AMDは、Zen 2ベースのCPUオペレーション（op/μop）キャッシュにおける特権昇格の脆弱性に対するアップデートを公開した。
• Appleは、macOS、iOS、watchOS、iPadOS、visionOS、tvOSのセキュリティアップデートを公開。
• Cisco は、DoS の不具合を含む多数の製品のセキュリティ・アップデートをリリース。
• フォーティネットは 、FortiSandboxと FortiAuthenticatorの2つの重大な欠陥に対するセキュリティアップデートをリリース。
• グーグルは、10件の脆弱性を修正したAndroidの5月のセキュリティ情報を公開。
• Ivanti は、ゼロデイ攻撃で悪用された深刻度の高い Endpoint Manager Mobile (EPMM) のリモートコード実行の脆弱性に対するセキュリティアップデートをリリース。
• Mozilla は、Firefox の脆弱性 5 件に対するセキュリティアップデートを公開。
• Palo Alto Networks は、ゼロデイ攻撃で悪用されたPAN-OS User-ID Authentication Portal の重大な欠陥を警告した。パッチはまだリリースされていないが、緩和策は提供されている。
• SAPは 、5月のセキュリティアップデートをリリースし、重大度の高い欠陥1件とクリティカルな欠陥2件を修正した。
• vm2は、一般的なNode.jsサンドボックスライブラリの重大な脆弱性に対するセキュリティアップデートをリリースした。

2026年5月パッチチューズデーセキュリティアップデート

以下は、2026年5月のパッチ・チューズデー・アップデートで解決された脆弱性の完全なリストです。

各脆弱性の完全な説明と影響するシステムにアクセスするには、ここで完全なレポートを見ることができます。