マイクロソフト、記録的な570件の脆弱性を修正

マイクロソフトは、Windows OSおよびその他のソフトウェアにおける少なくとも570件のセキュリティ上の欠陥を修正するソフトウェアアップデートをリリースしました。これは前月の記録を大幅に上回る数で、AIによる脆弱性発見の支援が要因であるとされています。7月のパッチチューズデーで修正された脆弱性のうち約60件は「クリティカル」と評価され、これらを利用されるとユーザーの操作なしにリモートからWindowsデバイスを制御される可能性があります。また、3件のゼロデイ脆弱性も修正され、うち2件は既に悪用されていました。ゼロデイ脆弱性のうち2件は攻撃者がWindowsシステム上でユーザー権限を昇格させることを可能にし、同様の権限昇格の脆弱性はその他約250件修正されました。これには、Active Directory Federation Servicesの脆弱性(CVE-2026-56155)やMicrosoft SharePointの脆弱性(CVE-2026-56164)が含まれます。Windows BitLockerのセキュリティ機能バイパス(CVE-2026-50661)は、デバイスへの物理的アクセスがあれば暗号化されたデータにアクセスされる可能性があり、公開はされていますが悪用は確認されていません。マイクロソフトはAIの進歩により、より多くのコードで、より迅速に、より多くの問題を検出・分析できるようになったと説明しています。Action1の脆弱性研究ディレクターであるJack Bicer氏は、Microsoft Copilotにおけるリモートコード実行の脆弱性(CVE-2026-48561、CVSSスコア9.6)を指摘しており、攻撃者は悪意のあるウェブサイトをホストすることで、ユーザーがそのサイトを訪問した際にMicrosoft Edge for AndroidがCopilotに細工されたプロンプトを自動的に送信させることで悪用できるとしています。AIは脆弱性の発見と修正のペースを加速させる一方で、攻撃者が既知のソフトウェアの欠陥に対するエクスプロイトを迅速に考案することも容易にしています。TenableのシニアスタッフリサーチエンジニアであるSatnam Narang氏は、マイクロソフトの脆弱性の悪用可能性指数はAIの発見速度に対応できていないと指摘し、SharePointのゼロデイ脆弱性が当初「悪用可能性は低い」と評価されていたにもかかわらず、CISAの既知の悪用済み脆弱性リストに追加された例を挙げています。この状況は、人間中心の評価からAIツールを考慮した評価への移行が必要であることを示唆しています。IvantiのChris Goettl氏は、マイクロソフトだけでなく、Adobe(AIを理由に月2回のセキュリティ情報公開へ移行)、Cisco、Mozilla、Oracleなどもアップデートの頻度を上げており、Googleも2026年6月には900件以上のセキュリティ修正をリリースしたことに言及しています。大量のパッチ適用前には、システムのバックアップが推奨され、また、システム安定性の問題が発生する可能性も考慮し、数日間待ってから適用することが賢明であると述べられています。