2026年6月のパッチチューズデー、記録的な200件近くの脆弱性を修正

Microsoftは2026年6月のパッチチューズデーで、Windows OSおよびサポートソフトウェア全体で約200件のセキュリティ脆弱性に対する修正プログラムをリリースした。これは同社の月例パッチチューズデーにおける過去最多の修正件数である。これらの脆弱性のうち約3分の1は「重大」と評価され、少なくとも3件については悪用コードが公開されている。AIツールの活用増加が、今回の大量パッチリリースの背景にあるとみられ、今後もこのような傾向が続くと予想される。今回のゼロデイ脆弱性には、Microsoft Internet Information Services (IIS) に影響するサービス拒否の脆弱性(CVE-2026-49160)が含まれ、これはOpenAIのCodexによって報告された。また、Nightmare Eclipseというセキュリティ研究者による最近の脆弱性開示に端を発するゼロデイ脆弱性が2件含まれており、そのうち1件はWindows Collaborative Translation Frameworkにおける権限昇格の脆弱性(CVE-2026-45586)である。さらに、Nightmare EclipseはWindows BitLockerの脆弱性(CVE-2026-50507)に対するエクスプロイトも公開しており、物理アクセスを持つ攻撃者が暗号化データを閲覧できる可能性がある。Microsoftは、脆弱性を報告した研究者への法的措置を検討していると一時発表し、後に撤回したが、法を破った場合は当局に報告すると表明した。Nightmare Eclipseは自身を元Microsoft社員だと主張しているが、Microsoftはコメントを控えている。一方、Rapid7は、Microsoftが今月これまでに360件のブラウザ脆弱性に対処しており、これは過去数年間の平均を大きく上回ると指摘している。また、Visual Studio Codeのゼロデイ脆弱性も修正され、攻撃者はGitHubトークンを盗むことが可能だった。Microsoftは社内でも、72件以上のコードリポジトリがShai-Huludワームに感染するというインシデントに見舞われた。他の主要ソフトウェアベンダーも、Adobeは多数の重大な脆弱性を修正し、GoogleはChromeブラウザで429件の脆弱性を修正している。