マイクロソフト、2026年1月のパッチチューズデーで3件のゼロデイと114件の欠陥を修正

.crit { font-weight:bold; color:red; } .article_section td { font-size: 14px！important;}。

本日は、マイクロソフトの2026年1月パッチ・チューズデーであり、積極的に悪用されている脆弱性1件と公表されているゼロデイ脆弱性2件を含む、114件の欠陥に対するセキュリティ更新プログラムが提供される。

また、今回のパッチ・チューズデーでは、8件の「クリティカル（Critical）」な脆弱性（うち6件はリモート・コード実行の不具合、2件は特権昇格の不具合）に対処している。

各脆弱性カテゴリにおけるバグの数は以下の通り：

• 57 権限昇格の脆弱性
• 3 セキュリティ機能バイパスの脆弱性
• 22 リモート・コード実行の脆弱性
• 22 情報漏えいの脆弱性
• 2 サービス拒否の脆弱性
• 5 なりすましの脆弱性

パッチチューズデーのセキュリティ更新プログラムに関するレポートでは、マイクロソフトが本日リリースしたもののみをカウントしています。そのため、脆弱性の件数には、Microsoft Edge（1件）と今月初めに修正されたMarinerの脆弱性は含まれていません。

本日リリースされた非セキュリティ更新プログラムの詳細については、Windows 11 KB5074109 & KB5073455 累積更新プログラムおよびWindows 10 KB5073724 拡張セキュリティ更新プログラムに関する専用記事をご覧ください。

3件のゼロデイ、1件が悪用される

今月のパッチ・チューズデーでは、積極的に悪用されている脆弱性1件と、一般に公開されているゼロデイ脆弱性2件が修正された。

マイクロソフトは、公式な修正プログラムが提供されていないゼロデイ脆弱性を、一般に公開されているもの、または積極的に悪用されているものと分類しています。

アクティブに悪用されるゼロデイ脆弱性は以下の通り：

CVE-2026-20805 – デスクトップ・ウィンドウ・マネージャ情報漏えいの脆弱性

マイクロソフトは、積極的に悪用されるデスクトップ ウィンドウ マネージャの情報漏えいの脆弱性にパッチを適用しました。

マイクロソフトは、「Desktop Window Managerにおいて、権限のない行為者に機密情報が公開されることで、権限のある攻撃者がローカルに情報を開示することが可能になる」と説明している。

マイクロソフト社によると、この欠陥の悪用に成功すると、攻撃者はリモートのALPCポートに関連するメモリアドレスを読み取ることができる。

「攻撃者がこの脆弱性の悪用に成功した場合に開示される可能性のある情報の種類は、ユーザーモードメモリであるリモートALPCポートからのセクションアドレスである」とマイクロソフトは続ける。

マイクロソフトは、この欠陥をマイクロソフト脅威インテリジェンスセンター（MSTIC）とマイクロソフト・セキュリティ・レスポンス・センター（MSRC）に起因するとしているが、この欠陥がどのように悪用されたかは明らかにしていない。

公開されているゼロデイ欠陥は以下の通り：

CVE-2026-21265 – セキュアブート証明書の有効期限セキュリティ機能バイパスの脆弱性

マイクロソフトは、2011年に発行されたWindowsセキュアブート証明書の有効期限が迫っており、更新されていないシステムは、脅威行為者がセキュアブートをバイパスするリスクが高まっていると警告している。

有効期限が近づいている証明書は以下のとおりです。

このセキュリティ更新プログラムは、セキュアブートの信頼チェーンを維持し、ブートコンポーネントの継続的な検証を可能にするために、影響を受ける証明書を更新します。

マイクロソフトは、6月のアドバイザリ「Windows Secure Boot 証明書の期限切れと CA の更新」でこの脆弱性を公表しています。

CVE-2023-31096 – MITRE: CVE-2023-31096 Windows Agere ソフトモデムドライバの特権昇格の脆弱性

10月のパッチ・チューズデーの一環として、マイクロソフトは以前、サポートされているWindowsバージョンに同梱されているサードパーティ製Agereモデム・ドライバに、積極的に悪用される脆弱性があることを警告し、将来のアップデートで削除されると述べていた。

これらの脆弱性は、侵害されたシステム上で管理者権限を得るために悪用されていました。

本日のパッチ・チューズデー・アップデートの一環として、マイクロソフトはWindowsからこれらの脆弱なドライバーを削除しました。

「マイクロソフトは、サポートされているWindowsオペレーティングシステムにネイティブで同梱されているサードパーティ製Agere Soft Modemドライバに脆弱性があることを認識しています。

「これは、agrsm64.sysとagrsm.sysドライバーの削除のお知らせです。これらのドライバは、1月2026日の累積アップデートで削除されました。

マイクロソフトは、これをTeamT5を使用したZezeによるものだとしている。

他社の最近のアップデート

2026年1月に更新プログラムまたはアドバイザリをリリースした他のベンダーは次のとおりです：

• Adobeは、InDesign、Illustrator、InCopy、Bridge、Substance 3D Modeler、Substance 3D Stager、Substance 3D Painter、Substance 3D Sampler、Coldfusion、Substance 3D Designerのセキュリティアップデートをリリースした。
• シスコ、Identity Services Engine（ISE）の脆弱性に関するセキュリティアップデートを公開。
• フォーティネットは、2つのRCEの修正を含む複数の製品のセキュリティアップデートをリリース。
• D-Linkは、アクティブに悪用される新たな脆弱性が使用済みルータに影響することを確認した。
• Googleは、Dolbyコンポーネントに影響を与える「DD+コーデック」の重大な欠陥の修正を含む、Androidの1月のセキュリティ情報を公開した。
• jsPDF は 、PDF を生成する際にサーバーから任意のファイルを密輸するために使用される可能性のある重大な脆弱性を修正した。
• n8n は、「Ni8mare」と呼ばれる、サーバーを乗っ取るために使用される可能性のある最大深刻度の脆弱性を修正した。
• SAPは 、SAP Solution Managerの9.9/10コードインジェクションの不具合の修正を含む、複数の製品の1月のセキュリティアップデートを公開した。
• ServiceNowは、ServiceNow AI Platformに重大な特権昇格の脆弱性があることを公表した。
• トレンドマイクロは、攻撃者がSYSTEM権限で任意のコードを実行できる可能性のあるApex Central（オンプレミス）の重大なセキュリティ上の欠陥にパッチを適用した。
• Veeamは、重大なRCEの脆弱性を含む、Backup & Replicationソフトウェアの複数のセキュリティ上の欠陥を修正するセキュリティアップデートをリリースした。

2026年1月パッチ・チューズデー・セキュリティ・アップデート

以下は、2026年1月のパッチ・チューズデー・アップデートで解決された脆弱性の完全なリストです。

各脆弱性の完全な説明と影響を受けるシステムについては、こちらのレポートをご覧ください。

.ia_ad { background-color：#width: 95%; max-width: 800px; margin: 15px auto; border-radius: 8px; border：1px solid #d6ddee; display: flex; align-items: stretch; padding: 0; overflow: hidden; }：0; overflow: hidden; } .ia_lef { flex: 1; max-width: 200px; height: auto; display: flex; align-items: stretch; } .ia_lef a { display: flex; width: 100%; height: 100%; } .ia_lef a img { width: 100%; height: 100%; border-radius: 8px 0 0 8px; margin: 0; display: block; } .ia_rig { flex: 2; padding：display: flex; flex-direction: column; justify-content: center; } .ia_rig h2 { font-size: 17px !important; font-weight: 700; color：#line-height: 1.4; font-family：margin: 0 0 14px 0; } .ia_rig p { font-weight: bold; font-size: 14px; margin: 0 0 clamp(6px, 2vw, 14px) 0; } .ia_button { background-color：#border：1px solid #3b59aa; color: black; text-align: center; text-decoration: none; border-radius: 8px; display: inline-block; font-size: 16px; font-weight: bold; cursor: pointer; padding：width: fit-content; } .ia_button a { text-decoration: none; color: inherit; display: block; } @media (max-width: 600px) { .ia_ad { flex-direction: column; align-items: center; } .ia_lef { max-width: 100%; } .ia_lef a img { border-radius: 8px 8px 0 0; } .ia_rig { padding：15px;
width: 100%;
}

.ia_button {
width: 100%;
margin: 0px auto;
}
}

2026年CISO予算ベンチマーク

予算の季節です！300人以上のCISOやセキュリティ・リーダーが、来年に向けてどのような計画、支出、優先順位付けを行っているかを発表しました。本レポートでは、2026年に向けた戦略のベンチマーク、新たなトレンドの特定、優先事項の比較を可能にするために、彼らの洞察をまとめています。

トップリーダーがどのように投資を測定可能なインパクトに変えているかをご覧ください。

今すぐダウンロード