マイクロソフトの2026年7月の「パッチチューズデー」で、570件もの脆弱性と3件のゼロデイ脆弱性が修正された

本日はマイクロソフトの2026年7月の「パッチチューズデー」であり、これに伴い、攻撃に悪用された2件のゼロデイ脆弱性や、公開された1件の脆弱性を含む、過去最多となる570件の脆弱性に対するセキュリティ更新プログラムが提供されます。

「パッチ・チューズデー」では、59件の「重大」な脆弱性が修正されました。そのうち48件はリモートコード実行、9件は権限昇格、1件はセキュリティバイパス、1件はなりすましです。

各脆弱性カテゴリにおけるバグのおおよその数は、以下の通りです：

• 254 権限昇格の脆弱性
• 17件のセキュリティ機能回避の脆弱性
• 145件の遠隔コード実行の脆弱性
• 102 情報漏洩の脆弱性
• 35 サービス拒否（DoS）の脆弱性
• 16 なりすまし脆弱性

「パッチチューズデー」のセキュリティ更新プログラムについて報告する際、当サイトでは本日マイクロソフトがリリースしたもののみを対象としています。

したがって、この不具合の件数には、今月初めにマイクロソフトによって修正された、Mariner、Azure OpenAI、Azure Synapse、M365 Copilot、Microsoft Exchange Online、Android版Microsoft Edge、およびMicrosoft Entra Provisioning Serviceにおける不具合は含まれていません。

また、今月Googleによって修正されたMicrosoft Edge/Chromiumの脆弱性は468件にも上りましたが、これらは今回の「パッチチューズデー」のまとめからは除外されています。先月の6月の「パッチチューズデー」の一環として、Googleは360件の脆弱性を修正し、それらは後にMicrosoft Edgeにも反映されました。

先週、マイクロソフトは、「パッチ・チューズデー」のセキュリティ更新プログラムの数が増加する見込みであると警告した。これは、攻撃者が悪用する前に、Windowsのコードベース全体からより多くのセキュリティ上の欠陥を特定するため、AIを活用した脆弱性発見システムの導入を開始したためである。

本日リリースされたセキュリティ以外の更新プログラムについて詳しく知りたい場合は、Windows 11 の累積更新プログラム KB5101650 および KB5099414、ならびにWindows 10 の延長セキュリティ更新プログラム KB5099539 に関する専用記事をご覧ください。

マイクロソフト、3件のゼロデイ脆弱性に対処

今月の「パッチ・チューズデー」では、3つのゼロデイ脆弱性が修正されました。そのうち2つは攻撃に悪用されており、1つはすでに公開されています。

マイクロソフトは、公式の修正プログラムが提供されていない間、ゼロデイ脆弱性を「一般に公開されている」または「現在悪用されている」ものと分類しています。

今月の「パッチ・チューズデー」で対処された、実際に悪用されていた2つのゼロデイ脆弱性は以下の通りです：

CVE-2026-56155 – Active Directory Federation Services の権限昇格の脆弱性

マイクロソフトは、Active Directory Federation Services に存在し、現在も悪用されている、管理者権限を付与してしまう脆弱性に対してパッチを適用しました。

「Active Directory Federation Services（AD FS）におけるアクセス制御の粒度が不十分なため、権限を持つ攻撃者がローカルで権限を昇格させる可能性がある」とマイクロソフトは警告している。

マイクロソフトは、この脆弱性を同社のインシデント対応部門である「Microsoft Detection and Response Team（DART）」のジェレミー・キングストン氏とスコット・クラーク氏による発見であると明らかにし、実際の攻撃を調査する過程で発見された可能性が高いことを示唆した。

マイクロソフトは、この脆弱性が攻撃においてどのように悪用されたかについて、詳細を明らかにしていない。

CVE-2026-56164 – Microsoft SharePoint Server の権限昇格の脆弱性

マイクロソフトは、Microsoft SharePoint Server に存在し、現在も悪用されている脆弱性に対してパッチを適用しました。この脆弱性を悪用すると、リモートの攻撃者が特権を昇格させることが可能になります。

「Microsoft Office SharePoint の重要な機能において認証が欠如しているため、権限のない攻撃者がネットワークを介して権限を昇格させることが可能になる」とマイクロソフトは説明している。

マイクロソフトによると、サーバー上でアンチマルウェアスキャンインターフェース（AMSI）を有効にし、「リクエストボディスキャン」モードを「フル」に設定することで、この脆弱性の影響を軽減できるという。

この脆弱性が攻撃においてどのように悪用されたかについては、詳細が明らかにされていない。

マイクロソフトは、この脆弱性の発見者として、マンディアント・インシデント・レスポンスのジェイソン・フロスト氏、Google Cloudのジェンウェイ・ジャン氏、FLARE OTF、および匿名の研究者を挙げた。

修正された、公開されていたゼロデイ脆弱性は以下の通りです：

CVE-2026-50661 – Windows BitLocker のセキュリティ機能バイパス脆弱性

マイクロソフトは、攻撃者が暗号化されたデータにアクセスできる可能性のある、一般に公表されていたWindowsのBitLockerバイパス脆弱性に対して修正パッチを適用した。

「攻撃者がこの脆弱性を悪用すると、システムのストレージデバイス上のBitLockerデバイス暗号化機能を迂回できる可能性があります。標的のデバイスに物理的にアクセスできる攻撃者は、この脆弱性を悪用して暗号化されたデータにアクセスする恐れがあります」とマイクロソフトは説明しています。

マイクロソフトは、この脆弱性の発見を匿名の研究者に帰した。

他社からの最近の更新情報

2026年5月にアップデートやアドバイザリを公開したその他のベンダーには、以下の企業が含まれます：

• アドビは 最近、ColdFusionおよびCampaignの深刻度「最大」の脆弱性7件に対してパッチを適用しました。これには、後に攻撃に悪用されたColdFusionの脆弱性CVE-2026-48282も含まれています。
• BeyondTrustは、同社のRemote Support（RS）およびPrivileged Remote Access（PRA）ソフトウェアに存在する2つの重大な認証バイパス脆弱性に対するセキュリティ更新プログラムを公開しました。
• Ciscoは、Cisco Identity Services Engine、Catalyst Center、ClamAVを含む多数の製品に対してセキュリティ更新プログラムをリリースしました。また、Ciscoは、6月に修正されたCVE-2026-20230が、実際に攻撃に悪用されていたことを確認しました。
• Fortinetは、FortiOS、FortiSandbox、FortiPam、FortiSASE、およびFortiProxyにおける多数の脆弱性に対するセキュリティ更新プログラムを公開しました。
• Giteaは、Gitea Dockerイメージにおける重大な認証バイパス脆弱性に対するセキュリティアップデートを公開しました。
• Ivantiは、Ivanti Xtractionの2つの脆弱性に対するセキュリティアップデートをリリースしました。
• Linuxカーネルのメンテナは、Januscapeの脆弱性に対するパッチをリリースしました。この脆弱性により、攻撃者は仮想マシンから脱出し、ホスト上で任意のコードを実行することが可能になります。
• NVIDIAは、NVIDIA Triton Inference ServerおよびNVIDIA TensorRT-LLM向けのセキュリティ更新プログラムをリリースしました。
• Progress Softwareは、先週ShareFile Storage Zone Controllersの緊急シャットダウンを引き起こした、高深刻度のパストラバーサルゼロデイ脆弱性に対するセキュリティ更新プログラムをリリースしました。
• Ubiquitiは、UniFi OSの脆弱性に対するセキュリティ更新プログラムをリリースしました。これには、コマンドインジェクション攻撃で悪用される可能性のある最高深刻度の欠陥も含まれています。
• U-Bootのメンテナーは、ステルス的なファームウェア攻撃を可能にする恐れのある新たな欠陥を修正するパッチを導入しました。
• SAPは 7月のセキュリティ更新プログラムをリリースしました。これには、NetWeaver、Commerce Cloud、およびAppRouterにおける4つの重大な脆弱性に対する修正が含まれています。
• VMwareは、VMware Avi Load Balancer向けのセキュリティ更新プログラムをリリースしました。これには、認証バイパスやリモートコード実行の脆弱性に対する修正が含まれています。
• Zimbraは、Zimbra CollaborationスイートのClassic Web Clientに影響を与える重大なXSS脆弱性に対するセキュリティ更新プログラムをリリースしました。

2026年7月の「パッチチューズデー」セキュリティ更新プログラム

以下は、2026年7月の「パッチチューズデー」アップデートで修正された脆弱性の完全なリストです。本日以前に修正済みの脆弱性は除いています。

各脆弱性の詳細な説明や、影響を受けるシステムについては、こちらから完全なレポートをご覧いただけます。