2026年7月 Microsoft Patch Tuesday - 過去最多のパッチと実攻撃中のゼロデイを読み解く
Webセキュリティの定番教科書。
脆弱性を見つけ直す実務の入門書。
侵害対応の実務を体系的に学べる一冊。
当サイトは Amazon.co.jp を宣伝しリンクすることで紹介料を得る手段を提供する、Amazonアソシエイト・プログラムの参加者です。価格・在庫はリンク先の最新情報をご確認ください。
毎月第2火曜日にやってくるMicrosoftのセキュリティ更新、いわゆるPatch Tuesdayは、情シスやインフラ担当者にとって恒例の作業です。しかし2026年7月の更新は、その規模で担当者を驚かせました。修正されたCVEの数が過去最多を更新し、しかもその中にはすでに攻撃に使われているゼロデイが含まれていたためです。件数が多すぎて「どれから手を付けるべきか」が見えにくくなるほどの量です。本記事では、確認できた一次〜準一次情報をもとに、何がどれだけ修正されたのか、どのゼロデイが危険なのか、そして限られた時間で何を優先すべきかを整理します。Microsoft製品を使っていない方にも役立つよう、Patch TuesdayやCVE・CVSS・KEVの読み方といった普遍的な勘所もあわせて解説します。
NOTE
本記事の数値・CVE番号は、2026年7月の各種報道（The Hacker News、BleepingComputer、Malwarebytes、Zero Day Initiative）およびCISAの公開情報で確認した内容です。集計方法によって総数が割れる点や、一次ソースで確定できなかった点は本文で明示しています。最新かつ正確な情報は、必ずMicrosoft MSRCの各アドバイザリとCISA KEVカタログでご確認ください。
まず結論: 何が起きたのか
- 2026年7月のPatch Tuesdayは、Microsoft自社のCVEを約622件修正しました。これはPatch Tuesday史上最多です（集計方法により570〜622件と幅があります。後述）。
- Critical（緊急）は59〜63件とされ、大半はRCE（リモートコード実行）です。
- リリース時点で3件がゼロデイとして扱われ、うち2件がすでに実攻撃で悪用中でした。SharePoint ServerとActive Directory Federation Services（ADFS）の特権昇格です。
- その後、SharePoint ServerのRCE脆弱性がもう1件、Microsoftによって「悪用済み」へ格上げされ、CISA KEVに追加されました。
Patch Tuesday とは何か
Patch Tuesdayは、Microsoftが毎月第2火曜日にまとめて公開するセキュリティ更新プログラムの通称です。バラバラに配るのではなく決まった日に集約することで、企業側が検証と適用の計画を立てやすくする狙いがあります。計画的なパッチ提供という発想は他社にも広がっており、たとえばNext.jsの月次セキュリティリリースプログラムも同じ方向の取り組みです。
この文脈で押さえておきたい3つの用語があります。
- CVE: 個々の脆弱性に振られる共通の識別番号です。「CVE-2026-56164」のように年号と連番で表されます。
- CVSS: 脆弱性の深刻度を0.0から10.0で表すスコアです。9.0以上がCritical、7.0以上がHighの目安です。
- KEV: 米CISAが公開する「悪用が確認された脆弱性カタログ（Known Exploited Vulnerabilities）」です。ここに載る = 現実に攻撃されている、という強いシグナルで、優先対応の実務指標として広く使われます。
「622件」をどう読むか
まず数字の話です。ソースによって総数が異なります。これは誤報ではなく、何を数えるかの違いです。
| 出典 | 件数 | 数え方の特徴 |
|---|---|---|
| Microsoft Security Update Guide 系（The Hacker News / Malwarebytes） | 622件 | Microsoft自社CVEを幅広く集計 |
| Zero Day Initiative | 621件 | Microsoftリリース分を集計 |
| BleepingComputer | 570件 | Chromiumやクラウド側の別配信分を除外 |
| Tenable | 569件 | 独自の集計基準 |
BleepingComputerが小さいのは、Edge（Chromium由来の468件）やMariner・Azure系など、Patch Tuesdayとは別枠で配信済みの脆弱性を除いて数えているためです。いずれにせよ、これまで月200件前後だったのが一気に3倍規模になった点は各社共通です。本記事では最も広く引用されている約622件を代表値としつつ、幅がある前提で扱います。
なぜここまで増えたのか。背景として各社が指摘するのが、AIによる脆弱性発見の加速です。攻撃者より先に大量の不具合が見つかるようになり、修正件数そのものが押し上げられています。これはMicrosoftに限った現象ではなく、業界全体の潮流です。
実際に攻撃されているゼロデイ
件数が多くても、まず見るべきは「今まさに悪用されているもの」です。7月のリリースで悪用が確認された、あるいは後に確認されたゼロデイを整理します。
| CVE | 製品 | 種別 | 深刻度 | 悪用状況 |
|---|---|---|---|---|
| CVE-2026-56164 | SharePoint Server | 特権昇格（認証欠落） | MS: 5.3 / NVD: 9.8 | 悪用中・KEV追加 |
| CVE-2026-56155 | ADFS | 特権昇格 | Important | 悪用中 |
| CVE-2026-58644 | SharePoint Server | RCE（デシリアライズ） | 9.8 | 後に悪用確認・KEV追加 |
| CVE-2026-50661 | Windows BitLocker | セキュリティ機能バイパス | Important | 公開済み・悪用未確認 |
CVE-2026-56164（SharePoint 特権昇格）
オンプレミス版SharePoint Server（2016 / 2019 / Subscription Edition）で、本来必要な認証チェックが欠落しているために、ネットワーク経由の未認証攻撃者が権限を昇格できる脆弱性です。CISAは2026年7月14日にこれをKEVへ追加しました。悪用が現実に進んでいます。
CVE-2026-56155（ADFS 特権昇格）
Active Directory Federation ServicesはSSO（シングルサインオン）を担う認証基盤です。ここに特権昇格の欠陥があり、認証済みの攻撃者がローカルで管理者権限を得られます。Microsoftは実際の攻撃を調査する過程でこの脆弱性を発見したと説明しており、認証基盤が狙われている点で影響が大きい一件です。
CVE-2026-58644（SharePoint RCE）
SharePoint Serverの信頼できないデータのデシリアライズに起因するRCEで、CVSSは9.8です。リリース当初は悪用フラグが付いていませんでしたが、Microsoftが後日アドバイザリを改訂して「悪用済み」と明記し、CISAは7月17日にKEVへ追加、連邦機関には7月19日という短い是正期限が設定されました。デシリアライズがなぜRCEに直結するのかは、同系統のSharePoint RCE脆弱性 CVE-2026-45659で詳しく解説しています。
WARNING
CISAは、CVE-2026-32201・CVE-2026-45659・CVE-2026-56164・CVE-2026-58644という複数のSharePoint脆弱性が同時期に悪用されていると注意喚起しています。SharePoint Serverをオンプレミスで運用している組織は、7月分の更新を最優先で適用し、不必要なインターネット公開を止めてください。
CVE-2026-50661（BitLocker バイパス）
BitLockerの暗号化を回避して暗号化データにアクセスできるバイパスですが、悪用には端末への物理アクセスが必要で、リリース時点では実攻撃は確認されていません。3件のゼロデイの中では相対的に優先度が下がります。
深刻度スコアの落とし穴
ここで実務者向けの重要な教訓があります。ベンダーのCVSSスコアを鵜呑みにしないことです。
CVE-2026-56164に対して、MicrosoftはCVSS 5.3（Moderate）という控えめなスコアを付けました。一方、米国のNVD（National Vulnerability Database）は同じ脆弱性を9.8（Critical）と評価しています。この差は大きく、「Moderateだから後回し」と判断すると、未認証でネットワーク到達可能な、実際に悪用中の穴を放置することになりかねません。
NOTE
脆弱性の優先度は、深刻度スコアだけでなく「悪用されているか（KEV掲載の有無）」「攻撃条件（未認証か、ネットワーク到達可能か）」を組み合わせて判断します。スコアが中程度でもKEVに載っていれば、それは最優先の対応対象です。
その他の注目すべき脆弱性
ゼロデイ以外にも、条件次第で致命的になるCriticalが複数あります。
- CVE-2026-56188（Windows Server Network Driver, CVSS 9.8）: ネットワークトラフィックだけで未認証RCEに至るおそれのある脆弱性です。競合状態（TOCTOU）に起因するとされ、境界に露出するサーバでは特に危険です。
- CVE-2026-55008（Outlook Web Access / Exchange, CVSS 9.6）: OWAにおける格納型XSS（スコープ変更を伴う）です。Microsoftはこれを「スプーフィング」として分類していますが、格納型XSSは他ユーザーのブラウザ上で任意スクリプトを実行させうるため、分類が実害を過小評価しているとの指摘があります。XSSと多層防御の考え方はコンテンツセキュリティポリシー（CSP）実践ガイドを参照してください。
- Officeの一括修正: WordやPowerPointを含むOfficeで多数の修正があり、その中にはプレビューウィンドウで発火しうるものが含まれるとされます。ファイルを開かなくてもトリガーされうる点で注意が必要です。
では、実務者は何をすべきか
622件すべてを同じ重さで扱うのは不可能です。現実的な優先順位付けの考え方を示します。
- KEV掲載品を最優先で即時対応: CVE-2026-56164とCVE-2026-58644はすでにKEV入りです。SharePoint Serverを運用しているなら、検証と並行してでも最短で適用計画を立てます。連邦機関でなくとも、KEVは「今日狙われている穴」の実務リストとして使えます。
- スコアではなく悪用状況と露出面で並べ替える: CVSSが中程度でも、未認証・ネットワーク到達可能・KEV掲載のものは上位に上げます。逆に物理アクセスが前提のCVE-2026-50661のようなものは相対的に後ろで構いません。
- 検証してから適用する: 特にSharePointやExchangeの累積更新は影響が広く、構成ウィザードの失敗がサービス停止につながります。本番適用の前にステージング検証とバックアップを徹底します。件数が多い月ほど、影響調査の時間を確保してください。
- 多層防御で時間を稼ぐ: パッチ適用までの間、境界の露出を減らす（SharePointやOWAを不必要に公開しない）、WAFやレートリミットを効かせる、といった緩和で攻撃対象面を狭めます。ただし緩和は時間稼ぎであり、恒久対策はあくまでパッチ適用です。
WARNING
本番でパッチ適用や再起動を行う前に、他のビルドや更新が同時に走っていないか、リソースに余裕があるかを必ず確認してください。大規模更新の同時実行は障害の引き金になります。
計画的なパッチ運用の考え方はNext.jsの月次セキュリティリリース、国内の攻撃動向は2026年の国内セキュリティインシデントまとめもあわせて参考にしてください。
まとめ
- 2026年7月のPatch Tuesdayは、Microsoft自社CVEを約622件（集計により570〜622件）修正した、史上最多規模の更新でした。
- リリース時点で3件のゼロデイがあり、うち2件（SharePointのCVE-2026-56164、ADFSのCVE-2026-56155）が実攻撃で悪用中でした。
- さらにSharePoint RCEのCVE-2026-58644が後日「悪用済み」へ格上げされ、CISA KEVに追加されました。SharePoint Serverの運用者は最優先で対応してください。
- CVE-2026-56164はMicrosoftが5.3、NVDが9.8と評価が割れました。スコアだけでなく、KEV掲載の有無と攻撃条件で優先度を判断するのが実務の鉄則です。
- 件数が3倍規模になった背景にはAIによる脆弱性発見の加速があります。この傾向は続くとみられ、トリアージ（優先度付け）の力がこれまで以上に問われます。
参考・出典
- The Hacker News - Microsoft Patches Record 622 Flaws, Including Two Zero-Days Under Active Attack
- The Hacker News - CISA Adds Exploited SharePoint RCE Zero-Day CVE-2026-58644 to KEV
- BleepingComputer - Microsoft July 2026 Patch Tuesday fixes massive 570 flaws, 3 zero-days
- Malwarebytes - July 2026 Patch Tuesday fixes 622 Microsoft CVEs, including three zero-days
- Zero Day Initiative - The July 2026 Security Update Review
- CISA - Urges SharePoint Hardening After New Exploitations
- CISA - Known Exploited Vulnerabilities Catalog
- Microsoft Security Update Guide - 2026年7月リリースノート
- Rapid7 - Patch Tuesday July 2026
