2026年9月 Microsoft Patch Tuesday - ALPCとWindows Update Stackの悪用済みゼロデイ2件

2026年9月8日の Microsoft Patch Tuesday は、件数の面でも中身の面でも例外的な回になりました。件数は集計基準によって 964 件から 999 件まで報じられ、いずれの数え方でも過去最多です。そして、その膨大なリストのなかで実際に攻撃で使われていたと Microsoft が明記したのは、たった2件でした。

CVE-2026-81963(Windows Update Stack の権限昇格)と CVE-2026-85880(Windows ALPC の権限昇格)です。どちらも CVSS 7.8 の Important、リモートから直接叩ける種類のものではなく、ローカルの権限昇格です。派手さはありません。にもかかわらず、CISA は公開当日の2026年9月8日に両方を KEV(Known Exploited Vulnerabilities)へ追加しました。

この記事では、MSRC の CVRF フィード、CISA KEV の JSON フィード、NVD の API という機械可読な一次情報を直接叩いた結果をもとに、この2件が何者なのか、なぜ SYSTEM が取れるのか、そして「総数何件か」という素朴な問いになぜ各社の答えが割れるのかを整理します。

WARNING

CVE-2026-81963 と CVE-2026-85880 は、いずれも2026年9月8日に CISA KEV へ追加され、米連邦民間機関(FCEB)の是正期限は2026年9月22日です。両者の影響製品はほとんど重なっておらず、CVE-2026-81963 は Windows 11 系と Server 2025、CVE-2026-85880 は Windows 10 系と Server 2012〜2022 が対象です。つまりほぼすべての Windows 環境が、どちらか一方には該当します。

NOTE

本記事の数値・影響製品・報告者クレジットは、MSRC の CVRF API(https://api.msrc.microsoft.com/cvrf/v3.0/cvrf/2026-Sep、初版2026-09-08、改訂2026-09-09T15:09:50)、CISA KEV の JSON フィード(カタログバージョン 2026.09.09、収録1703件)、NVD の REST API、FIRST の EPSS API を2026年9月10日時点で取得して確認したものです。件数の集計は筆者が CVRF を直接パースした実測値で、各社報道の数値との差異は本文で説明します。一次情報で裏付けが取れなかった項目は「一次情報で確認できなかった事項」に分けて記載しています。

概要(まず結論)

項目	内容
公開日	2026年9月8日
MSRC文書	September 2026 Security Updates(識別子 2026-Sep)
CVRF収録CVE(実測)	1186件
うち Edge/Chromium 関連	24件
うち Mariner / Azure Linux 関連	189件
上記2つを除いた件数(実測)	973件(Critical 113 / Important 860)
さらに顧客側の作業が不要なクラウド側CVEを除く	964件(Critical 104 / Important 860)
報道された総数	964〜999件(集計基準により変動)
悪用済みゼロデイ	2件
公開済みだが悪用未確認	0件
「Exploitation More Likely」評価	58件
KEV追加	2件とも2026年9月8日、是正期限2026年9月22日

CVRF の脅威フラグで Exploited:Yes が立っているのは CVE-2026-81963 と CVE-2026-85880 のちょうど2件、Publicly Disclosed:Yes はゼロ件でした。1000件近い更新のなかで、緊急度が別格なのはこの2件だけ、というのが一次情報から読み取れる姿です。

2件のゼロデイを並べて見る

項目	CVE-2026-81963	CVE-2026-85880
名称	Windows Update Stack Elevation of Privilege	Windows Advanced Local Procedure Call (ALPC) Elevation of Privilege
CWE(NVD)	CWE-59	CWE-122
CWE(KEV)	CWE-59 / CWE-284	CWE-122 / CWE-908
CVSS v3.1 基本値	7.8(Important)	7.8(Important)
ベクタ	`CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H`	同じ
時間評価値(MSRC)	7.2(`E:F/RL:O/RC:C`)	6.8(`E:U/RL:O/RC:C`)
影響製品	Windows 11 23H2/24H2/25H2/26H1、Server 2025	Windows 10 1607/1809/21H2/22H2、Server 2012/2012 R2/2016/2019/2022
影響製品エントリ数	10	20
報告者	Romain Deperne、Microsoft Threat Intelligence Centre (MSTIC)	Proofpoint(Mark Kelly、David Galazin、Jeremy Hedges)、Volexity
CISA SSVC	exploitation: active / automatable: no / technicalImpact: total	同左
EPSS(2026-09-09)	0.631%(パーセンタイル 48.2)	0.572%(パーセンタイル 45.4)

ベクタが同一なのは偶然ではありません。AV:L(ローカル)、PR:L(低い権限が必要)、UI:N(ユーザー操作不要)、S:U(スコープ不変)、影響は機密性・完全性・可用性すべて H。これは「すでにその端末で何らかのコードが動かせる攻撃者が、SYSTEM まで昇格する」という型の脆弱性に典型的な形です。

ここで押さえておきたいのは、この型が単体では侵入経路にならないということです。攻撃者はまず別の手段(フィッシング、ブラウザの脆弱性、盗まれた資格情報など)で足場を作る必要があります。しかし逆に言えば、足場さえあれば端末の完全な支配に直結します。実際の攻撃キャンペーンでは、初期侵入用の脆弱性とこの種の権限昇格が組み合わされるのが定石です。

なお MSRC が公開している時間評価値のベクタには、注意すべき食い違いがあります。CVE-2026-85880 は Exploited:Yes と明記されているにもかかわらず、CVSS の時間評価では E:U(Exploit Code Maturity: Unproven)が付いています。CVE-2026-81963 のほうは E:F(Functional)です。CVSS の時間評価値だけを機械的に取り込んで優先度を決めていると、実悪用中の ALPC のほうが点数が低く出るという逆転が起きます。スコアではなく Exploited フラグと KEV を見てください。

CVE-2026-81963: link following とは何か

CWE-59 の一般的な仕組み

NVD が付けている CWE-59 は「Improper Link Resolution Before File Access」、通称 link following です。KEV 側はこれに CWE-284(不適切なアクセス制御)を足しています。

Windows でこの手のバグが成立する構図は、おおむね次のようなものです。

SYSTEM や TrustedInstaller などの高権限で動くサービスが、ファイルの作成・移動・削除・権限変更を行う
その操作対象が、C:\Windows\Temp や %ProgramData% 配下のように低権限ユーザーでも書き込めるディレクトリにある
低権限の攻撃者が、そのパスをあらかじめリンクに差し替えておく
高権限サービスがリンクを解決してしまい、攻撃者が指定した本来触れないはずの場所に対して操作が実行される

Windows で使われるリンクには、NTFS のディレクトリジャンクション、オブジェクトマネージャのシンボリックリンク(\RPC Control 配下など、管理者権限なしで作れるもの)、ハードリンクがあります。UNIX の symlink と違い、Windows では管理者でなくても作れる種類のものが存在するため、この攻撃が現実的になります。

差し替えのタイミングは競合状態(TOCTOU: Time-of-Check to Time-of-Use)になりますが、実際の攻撃では oplock(便宜的ロック)でファイル操作を一時停止させ、その隙にリンクを張り替えるという確実な手法が知られています。「レース条件だから成功率が低い」という前提は成り立ちません。

そして、任意の場所にファイルを書けるようになれば、あとは DLL 探索順序を悪用した読み込みや、システムファイルの上書きで SYSTEM としてのコード実行に持ち込めます。任意のファイルを削除できるだけでも昇格経路が知られており、「書き込みではなく削除だから軽い」とは言えません。

Windows Update Stack が狙われる理由

Windows Update Stack は、更新の検出・ダウンロード・展開を担う一群のコンポーネント(Windows Update サービス、Update Session Orchestrator、TrustedInstaller など)です。この層は設計上必ず高権限で動き、大量のファイル操作を行い、しかも常駐しているという、link following にとって理想的な条件を揃えています。

Microsoft の FAQ には「この脆弱性の悪用に成功した攻撃者は SYSTEM 権限を取得しうる」とだけ書かれており、具体的にどのファイル操作が悪用されたのかは公開されていません。上記はあくまで CWE-59 の一般論であり、本 CVE の具体的なコードパスを説明したものではない点に注意してください。

Tenable と SecurityWeek はいずれも、Windows Update Stack の権限昇格がゼロデイとして悪用されたのは今回が初めてだと報じています。過去にも同コンポーネントの脆弱性は修正されてきましたが、実悪用の確認は初、という位置づけです。

影響を受けるのは新しい Windows だけ

MSRC の影響製品一覧で確認できる範囲では、対象は Windows 11 の 23H2 / 24H2 / 25H2 / 26H1 と Windows Server 2025 のみです。NVD の CPE 設定もこれと一致しています。Windows 10 系や Server 2022 以前は対象外です。

つまりこの CVE は、比較的新しい環境ほど当たる脆弱性です。「古い OS を使い続けているのが危ない」という一般論が、この件に限っては逆向きに働きます。

CVE-2026-85880: ALPC とは何か、なぜ SYSTEM が取れるのか

ALPC の位置づけ

ALPC(Advanced Local Procedure Call)は、Windows における同一マシン内のプロセス間通信を担うカーネル機構です。Windows Vista で旧来の LPC を置き換える形で導入され、以後 Windows の中核 IPC として使われ続けています。

重要なのは、ALPC が公式には文書化されていない内部機構であるにもかかわらず、Windows のあらゆる場所で使われているという点です。

RPC のローカルトランスポート(ncalrpc)の下回りは ALPC
csrss.exe(クライアント/サーバーランタイム)との通信
lsass.exe(ローカルセキュリティ機関)への認証要求
サービス制御マネージャ、WinLogon、各種システムサービス

これらはいずれも SYSTEM 権限で動作するプロセスです。そして ALPC のポートは、サンドボックス内のプロセスからも到達できるように設計されています。到達できなければ、サンドボックス化されたアプリは何もできませんから、これは仕様上必要な穴です。

ALPC の通信は、サーバー側が接続ポートを作って待ち受け、クライアントが接続すると個別の通信ポートが張られる、という形をとります。メッセージはヘッダとペイロードから成り、短いものはカーネルが管理する領域にコピーされ、大きいものは共有セクション(ビュー)を介して受け渡されます。さらにメッセージには属性を付けられ、ハンドルの受け渡し、セキュリティコンテキストの引き渡し、ビューの記述といった付加情報を運びます。

このメッセージ長・ビュー長・属性の検証が甘いと、境界を越えた書き込みが起きます。ALPC のバグが繰り返し見つかるのは、この「サイズと属性を運ぶ複雑なメッセージ構造」が攻撃面として大きいためです。

なぜヒープオーバーフローが SYSTEM につながるのか

CWE-122(ヒープベースのバッファオーバーフロー)が SYSTEM 昇格になる経路は、大きく2つ考えられます。

1つ目は、カーネル側のプールを壊す経路です。 ALPC の処理そのものはカーネルモードで行われるため、そこでのオーバーフローはカーネルプールの破壊になります。隣接するカーネルオブジェクトのメンバを書き換えられれば、そこから任意アドレスへの読み書きプリミティブを組み立てられます。あとは自プロセスのトークンを SYSTEM プロセスのトークンで置き換えれば昇格完了です。この「プール破壊からトークン差し替えへ」という流れは、Windows のカーネル権限昇格の定番です。

2つ目は、ALPC サーバー側のユーザーモードヒープを壊す経路です。 SYSTEM で動くサービスプロセスが、受け取ったメッセージを処理する過程でヒープを溢れさせれば、そのプロセス内でのコード実行がそのまま SYSTEM 権限の獲得になります。

どちらが実際の経路だったのかは公開されていません。ただし CISA の KEV レコードは、NVD の CWE-122 に加えてCWE-908(初期化されていないリソースの使用)を併記しています。未初期化のメモリを読んだ結果としてサイズ計算が狂い、オーバーフローに至った、という組み合わせを示唆する記載ですが、これも推測の域を出ません。

AppContainer からの脱出という位置づけ

MSRC の FAQ には、この CVE について明確な記述があります。「低権限の AppContainer 内でコードを実行できる攻撃者は、この脆弱性をローカルで悪用してサンドボックスから脱出し、影響を受けるシステム上で権限を昇格できる。追加のユーザー操作は不要」というものです。

AppContainer は Windows のサンドボックス機構で、ブラウザのレンダラプロセス、ストアアプリ、一部の Office コンポーネントなどがこの中で動きます。ここから抜け出せるということは、ブラウザの脆弱性と組み合わせれば「Webページを開いただけで SYSTEM」が成立しうることを意味します。

エクスプロイトチェーンの構造としては、前半でレンダラ内のコード実行を取り、後半でサンドボックス脱出と昇格を担当する、という2段構えです。前半に相当するものとしては、たとえば2026年9月に KEV 入りした Chrome の V8 型混同ゼロデイ CVE-2026-85046 が典型です。あちらの記事で書いた「V8 のサンドボックス内での任意コード実行」の先に、まさに今回のような機構が控えています。

Volexity と Proofpoint というインシデント調査を生業とする2社が同時にクレジットされていることも、この見立てを補強します。両社が別々に発見したということは、複数の顧客環境で実際の攻撃痕跡から拾われた可能性が高いということです。

影響製品が古い Windows に偏っている

MSRC と NVD の双方で確認した影響範囲は、Windows 10 の 1607 / 1809 / 21H2 / 22H2、および Windows Server 2012 / 2012 R2 / 2016 / 2019 / 2022 です。Windows 11 と Windows Server 2025 は含まれていません。

Rapid7 はこの点について、Microsoft が新しい OS で進めているメモリ安全性の改善が悪用を成立させなくなっている可能性を指摘しています。ただしこれは Rapid7 の見立てであり、Microsoft 自身がそう説明しているわけではありません。単に古いコードパスにしか該当箇所が残っていなかった、という可能性もあります。

実務上の注意点として、Windows 10 の Home / Pro は2025年10月14日にサポートを終了しています(Microsoft Lifecycle の記載)。それでも2026年9月の更新対象に Windows 10 22H2 が並んでいるのは、LTSC 系や拡張セキュリティ更新プログラム(ESU)の経路が残っているためです。ESU に加入していない Windows 10 端末が社内に残っている場合、この CVE の修正は届きません。台数の棚卸しが先です。

前回の ALPC ゼロデイとの比較

ALPC のゼロデイは初めてではありません。CVE-2023-21674 が2023年1月に修正されており、こちらも「Windows Advanced Local Procedure Call (ALPC) Elevation of Privilege Vulnerability」という同じ名称でした。

項目	CVE-2023-21674	CVE-2026-85880
公開	2023年1月10日	2026年9月8日
CVSS v3.1	8.8	7.8
ベクタ	`CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H`	`CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H`
悪用	悪用確認済み	悪用確認済み

差はスコープです。2023年のものは S:C(Scope: Changed)、今回は S:U(Unchanged)。S:C は脆弱なコンポーネントの権限境界を越えて別のコンポーネントに影響が及ぶことを示す指標で、当時のものはブラウザサンドボックスからの脱出が明示的にスコープ変更として評価されていました。今回は同じくサンドボックス脱出が語られているにもかかわらず S:U です。この評価の揺れは CVSS の運用上よく起きるもので、スコアの 8.8 と 7.8 の差に実質的な意味を読み取るべきではありません。

Tenable と SecurityWeek はいずれも、Microsoft が ALPC のパッチを出すのは2023年4月以来であり、ゼロデイとしては CVE-2023-21674 に次いで2件目だと報じています。3年以上手つかずだったコンポーネントに、実悪用が2件。攻撃者側から見て、ALPC は投資に見合う的だということです。

「964件」「966件」「974件」はどれが正しいのか

ここが今回いちばん混乱を招いている部分です。結論から言うと、どれも間違っていません。数えている対象が違うだけです。

CVRF を直接数えた結果

MSRC は毎月、その月のセキュリティ更新を CVRF(Common Vulnerability Reporting Framework)形式の機械可読データとして公開しています。2026年9月分を取得して集計すると、次のようになりました。

集計単位	件数
CVRF に収録された一意の CVE	1186件
うち Microsoft Edge(Chromium ベース)関連	24件
うち Mariner / Azure Linux 関連	189件
上記を除いた Microsoft 製品分	973件
さらに顧客側の対応が不要なクラウド側CVEを除く	964件
Windows 製品を影響対象に含むもの	715件

Edge の CVE は多くが Chromium 側で採番されたものの再掲であり、更新の配信経路も Patch Tuesday とは別です。Mariner / Azure Linux はコンテナ用の Linux ディストリビューションで、上流 OSS の CVE がまとめて計上されるため件数が膨らみます。この2つを外すと 973 件になります。

さらに、CVRF には各 CVE に「Customer Action Required」というフラグが付いています。ここが No になっている9件は、Microsoft のクラウドサービス側ですでに緩和済みで、利用者側に作業が発生しないものでした。透明性のために CVE を採番して公表しているだけ、という位置づけです。

CVE	CVSS	製品
CVE-2026-70352	10.0	Azure AI Language
CVE-2026-83711	10.0	Microsoft Azure Active Directory B2C
CVE-2026-83941	9.9	Entra ID
CVE-2026-80098	9.3	Copilot Studio
CVE-2026-62916	9.1	Microsoft Entra ID
CVE-2026-69857	8.5	Azure Cosmos DB
CVE-2026-70178	8.5	Microsoft Fabric
CVE-2026-65818	8.5	Power Automate
CVE-2026-62906	7.4	Microsoft Discovery Studio

この9件はすべて Critical に分類されています。973件から9件を引くと964件、Critical 113件から9件を引くと104件。Tenable が報じた「964件、Critical 104 / Important 860」と完全に一致します。 つまり Tenable は「利用者が手を動かす必要のある Microsoft 製品の CVE」を数えていることになります。

出典ごとの数値

出典	件数	数え方
Tenable	964件(Critical 104 / Important 860)	Edge・Azure Linux・顧客対応不要のクラウドCVEを除外
BleepingComputer	966件	Patch Tuesday 当日分のみ。今月上旬に別配信された204件は含まない
Cybersecurity News	973件	Microsoft 製品分をそのまま集計
SecurityWeek	974件	Microsoft 製品分
Zero Day Initiative	972件(新規CVE)/ 997件(外部・Chromium 込み)、Critical 114	新規採番分と再掲分を分けて提示
Rapid7	999件(Microsoft 974件 + 非Microsoft 25件)、うち Windows 723件	第三者採番分も合算
CyberInsider	723件	Windows 製品のみ
本記事の CVRF 実測	1186件 / 973件 / 964件	集計条件ごとに三段階

この表から読み取ってほしいのは、「何件だったか」に一意の正解が存在しないということです。ベンダーごとに顧客に見せたい粒度が違うので、集計基準が違います。社内報告で件数を引用するときは、必ず出典と集計基準をセットで書いてください。「過去最多の974件」とだけ書かれた資料は、翌月に別の基準の数字と並べた瞬間に比較不能になります。

なお、筆者が確認した範囲では 995 件という数値の出典は特定できませんでした。ZDI の 997 件や Rapid7 の 999 件との混同の可能性があります。

種別ごとの内訳

973件を影響の種別で分類すると次のようになりました。

種別	件数
権限昇格(EoP)	438件
リモートコード実行(RCE)	258件
情報漏えい	173件
サービス拒否(DoS)	56件
セキュリティ機能バイパス	19件
なりすまし	16件
改ざん	13件

権限昇格が全体の45%を占めています。今回のゼロデイ2件がどちらも権限昇格だったのは、統計的にも自然な結果です。

なぜここまで増えたのか

ZDI と SecurityWeek はいずれも、この件数増加をAI 支援による脆弱性発見に帰しています。ZDI はこの規模を「新しい常態(the new normal)」と表現しました。SecurityWeek が引用した研究者のコメントは「2026年の AI 支援による脆弱性発見は、より大きな干し草の山を作っているが、より多くの針を見つけているわけではない」というものでした。

件数が3桁後半になったこと自体より、そのなかで本当に危険なものを見分けるコストが上がったことが実務上の問題です。この傾向は 2026年7月の Patch Tuesday の時点ですでに始まっていました。

その他の注目すべき脆弱性

ゼロデイ以外にも、条件次第で致命的になるものが並んでいます。MSRC が「Exploitation More Likely」と評価したものは58件ありました。そのなかで CVSS が高いものを中心に挙げます。

CVE	製品	種別	CVSS	備考
CVE-2026-69730	Windows DNS Server	RCE(解放後使用)	9.8	未認証・ユーザー操作不要。Exploitation More Likely
CVE-2026-69525	リモートデスクトップサービス	RCE(解放後使用)	9.8	ネットワーク内の攻撃者による任意エンドポイント呼び出し。Exploitation More Likely
CVE-2026-69676	Windows Kerberos	RCE(認証バイパス)	8.8	キャプチャ・リプレイによる認証バイパス。低権限の認証済み攻撃者で成立
CVE-2026-55007	Exchange Server	RCE(二重解放)	8.1	細工した Visio 添付をコンテンツインデックス処理が解析する経路。ZDI が最重要と評価
CVE-2026-72982	Windows Netlogon	RCE	9.8	Critical
CVE-2026-72979 / CVE-2026-69845	Windows DHCP Server	RCE	9.8	Critical。2件
CVE-2026-85877	Windows Print Spooler	RCE(ヒープオーバーフロー)	8.8	悪意あるサーバーへの接続が引き金

CVE-2026-69730 は、2026年8月の Windows DNS Server のワーム化可能なRCE CVE-2026-62878 と同じコンポーネントで、2か月連続で CVSS 9.8 の未認証 RCE が出た形になります。DNS サーバーは Active Directory ドメインコントローラ上で動いていることが多く、落ちた場合の影響範囲が広い点でも優先度が高い対象です。

CVE-2026-55007 について、ZDI は今回のリリースでゼロデイ2件より優先すべきと評価しています。理由は、未認証の攻撃者がメールを送るだけで Exchange サーバー上のコード実行に至りうるためです。ただし MSRC の FAQ には注記があり、悪用には対象システムが継続的な低メモリ状態にあることが必要とされています。通常運用では稀な状態のため攻撃複雑度が高く評価されており(AC:H)、Microsoft 自身の評価は「Exploitation Less Likely」です。ここは評価が割れている箇所として認識しておくのがよいと思います。

ZDI はまた、今回の更新に含まれるもののうち20件をワーム化可能(wormable)と分類しています。DHCP Server、Active Directory、DNS Server、Message Queuing などが対象です。

一方、CVSS 10.0 が付いている CVE-2026-70352(Azure AI Language)と CVE-2026-83711(Azure AD B2C)は、前述のとおりすでに Microsoft 側で緩和済みで、利用者の作業は不要です。スコアの高さに反応してこちらを追いかけると時間を失います。

実務での優先順位付け

KEV を最上位に置く

今回のゼロデイ2件の EPSS スコアを見てください。

CVE	EPSS	パーセンタイル
CVE-2026-81963	0.631%	48.2
CVE-2026-85880	0.572%	45.4
CVE-2026-69730	1.054%	62.4
CVE-2026-69525	1.064%	62.6

EPSS は「今後30日以内に悪用が観測される確率」を予測するモデルですが、実際に悪用されている2件が、悪用が確認されていない2件より低い数値になっています。パーセンタイルにいたっては中央値付近です。

これは EPSS の欠陥ではなく、性質です。EPSS はエクスプロイトコードの公開状況やスキャン観測などの外形的な特徴から確率を推定するモデルなので、限定的な標的型攻撃で静かに使われているローカル権限昇格は、モデルにとって見えにくいのです。EPSS スコアの閾値だけでパッチ適用を決める運用にしていると、今回の2件は下位に埋もれます。

対して CISA の SSVC 判定は、両件とも exploitation: active / technicalImpact: total でした。automatable: no は「大量自動化はされていない」という評価で、これは標的型で使われているという見立てと整合します。

実務の順序としては、次のようになります。

KEV 掲載の有無を最優先の判定軸にする。ここに載っている = 現実に攻撃されている、という一次的な事実です
次に自組織での露出度。インターネットに面しているか、その資産に到達できる攻撃者がすでにいそうか
そのうえで CVSS・EPSS を順序付けの補助として使う。単独の判断基準にはしない

米連邦機関以外にとっての KEV

CISA の是正期限(今回は2026年9月22日)は、法的には米連邦民間機関に対する義務です。日本の民間企業に直接の拘束力はありません。しかし KEV は「今日狙われている脆弱性の実務リスト」として世界中で使われており、期限の短さは CISA が見積もったリスクの大きさをそのまま表しています。

今回の要求アクションは BOD 26-04(Prioritizing Security Updates Based on Risk)に基づくもので、「資産のインターネット露出度を評価したうえで、BOD 26-04 のパッチ適用ガイドラインに従うこと」という記載になっています。件数が爆発している時代に合わせて、一律の期限ではなく露出度に応じた優先度付けを求める方向に変わってきているのが読み取れます。

なお CISA は2026年9月8日に4件を KEV へ追加しており、Microsoft の2件のほかに Adobe Commerce / Magento の CVE-2026-75650(是正期限9月11日)と、N-able N-central の CVE-2026-86218(同9月11日)が含まれています。N-able N-central については、CVE-2026-18577 の認証バイパスの記事でも触れたとおり、MSP 経由で多数の顧客環境に波及する構造を持つ製品です。

検証・適用のチェックリスト

1. 自組織がどちらの CVE に該当するかを確定する

2件の影響範囲は重なっていません。まずここを分けます。

Windows 11(23H2 以降)または Windows Server 2025 を使っている -> CVE-2026-81963 が該当
Windows 10(1607 / 1809 / 21H2 / 22H2)または Windows Server 2012 / 2012 R2 / 2016 / 2019 / 2022 を使っている -> CVE-2026-85880 が該当
両方の世代が混在している -> 両方が該当

多くの組織は3番目です。「片方だけ当てて終わり」にならないよう、資産台帳と突き合わせてください。

2. Windows 10 の ESU 加入状況を確認する

Windows 10 の Home / Pro は2025年10月14日にサポートを終了しています。ESU に加入していない端末には、CVE-2026-85880 の修正は配信されません。該当端末が残っている場合、選択肢は ESU の手配か Windows 11 への移行のどちらかです。「更新が来ないから対象外」ではなく「更新が来ないから危険」です。

3. 適用前に本番の状態を確認する

これは Patch Tuesday の規模を問わず必ずやることですが、今回のように大規模な累積更新では特に重要です。

他のビルドや更新、再起動が同時に走っていないか
ディスクとメモリに余裕があるか(更新の展開には相応の空きが要ります)
ロールバック手段(スナップショット、バックアップ)が確保されているか

大規模更新の同時実行はそれ自体が障害の引き金になります。

4. 段階的に展開する

検証環境で適用し、業務アプリケーションの動作を確認する
影響の小さい部門から本番展開する
サーバー、特にドメインコントローラや Exchange は最後にする(ただし CVE-2026-69730 のようにサーバー側が優先対象になる場合は順序を見直す)

5. 侵害の確認をする

権限昇格が実際に使われていたということは、その前段の侵入がすでに起きていた組織が存在するということです。パッチを当てるだけでは、すでに入られていた場合の対応になりません。

端末上での予期しない SYSTEM 権限プロセスの起動履歴
低権限プロセス(ブラウザのレンダラ、AppContainer 内のプロセス)から派生した子プロセス
サービスの新規作成、スケジュールタスクの追加、Run キーの変更といった永続化の痕跡
Windows Update 関連の作業ディレクトリに置かれた見慣れないファイルやリンク
資格情報アクセスの痕跡(lsass へのハンドル取得など)

Volexity と Proofpoint がインシデント調査で発見したという経緯から考えて、この2件は広くばら撒かれたものではなく、特定の標的に対して使われた可能性が高いと見られます。自組織が標的層に該当するかどうかで、調査にかけるコストの判断が変わります。

6. サンドボックス脱出の前段を塞ぐ

CVE-2026-85880 は AppContainer からの脱出に使われる型です。前段のブラウザ側を最新に保つことが、そのままチェーン全体の遮断になります。Chrome / Edge の自動更新が企業ポリシーで止まっていないか、この機会に確認してください。

一次情報で確認できなかった事項

以下は本稿執筆時点で確認できませんでした。断定を避け、未確認として記載します。

実際の攻撃キャンペーンの内容。Microsoft は2件とも「悪用を検知した」とだけ記載しており、攻撃者、標的、時期、手口のいずれも公開していません。Volexity と Proofpoint も、本稿執筆時点で詳細な調査レポートを公開していません
脆弱性の具体的なコードパス。Windows Update Stack のどのファイル操作が link following の対象だったのか、ALPC のどのメッセージ処理でヒープが溢れたのかは、いずれも非公開です。本文中の機構の説明は CWE の一般論であり、本 CVE の実装を説明したものではありません
Romain Deperne 氏の所属。MSRC の謝辞には LinkedIn へのリンクのみが記載されており、所属組織名は書かれていません。Airbus Helicopters 所属という記述を検索結果で見かけましたが、MSRC・NVD・KEV のいずれからも確認できませんでした
Windows 11 と Server 2025 が CVE-2026-85880 の対象外である理由。メモリ安全性の改善が効いているという Rapid7 の見立ては合理的ですが、Microsoft 自身の説明は確認できていません
「995件」という数値の出典。特定できませんでした
KEV の knownRansomwareCampaignUse。2件とも Unknown です。ランサムウェア攻撃で使われたかどうかは判明していません
CVE-2026-85880 の時間評価値が E:U である理由。Exploited:Yes との不整合について、MSRC からの説明は見つかりませんでした

まとめ

2026年9月8日の Patch Tuesday は、集計基準により964件から999件と報じられた。筆者が MSRC の CVRF を直接パースした結果は、収録 CVE が1186件、Edge と Azure Linux を除くと973件、顧客側の作業が不要なクラウド側CVE 9件をさらに除くと964件
Tenable の964件、Critical 104件という数値は、この最後の集計と完全に一致する。数字が割れるのは誤報ではなく数え方の違い
Exploited:Yes が立っているのはCVE-2026-81963 と CVE-2026-85880 の2件のみ。Publicly Disclosed:Yes はゼロ件
CVE-2026-81963 は Windows Update Stack の link following(CWE-59)。高権限サービスがリンクを解決してしまい、低権限ユーザーが SYSTEM 権限のファイル操作を誘導できる型。影響は Windows 11 23H2 以降と Server 2025
CVE-2026-85880 は ALPC のヒープベースバッファオーバーフロー(CWE-122)。AppContainer からのサンドボックス脱出に使え、ブラウザの脆弱性と連鎖する。影響は Windows 10 系と Server 2012〜2022
2件の影響範囲は重なっていない。裏を返せばほぼすべての Windows 環境がどちらか一方には該当する
報告者は Romain Deperne と MSTIC、および Proofpoint の3名と Volexity。インシデント調査会社が2社そろってクレジットされていることは、実際の侵害現場から拾われた可能性を示す
両件とも2026年9月8日に KEV 追加、是正期限は9月22日。CISA の SSVC 判定は exploitation: active / technicalImpact: total
EPSS はこの2件をそれぞれ 0.631% と 0.572% と評価しており、悪用未確認の CVE より低い。EPSS の閾値だけで優先度を決めると実悪用中のものを取り逃す
ゼロデイ以外では、Windows DNS Server の CVE-2026-69730(CVSS 9.8、未認証RCE、Exploitation More Likely)と Exchange の CVE-2026-55007(ZDI が最重要と評価)に注意
CVSS 10.0 の Azure AI Language と Azure AD B2C はすでに Microsoft 側で緩和済みで利用者の作業は不要。スコアだけを見て追いかけない

やることは3つです。自組織がどちらの CVE に該当するかを資産台帳で確定する。Windows 10 の ESU 加入状況を確認する。そして、権限昇格が実悪用されていたという事実を前提に、前段の侵入がなかったかを一度確認する。件数の多さに圧倒される月ほど、見るべきものは少数です。

2026年9月 Microsoft Patch Tuesday - ALPCとWindows Update Stackの悪用済みゼロデイ2件

概要(まず結論)

2件のゼロデイを並べて見る