Microsoft 10月パッチ 1,400件超｜リスクコホートで自宅PCに効く更新を見分ける

はじめに

2026年10月13日（米国時間）、Microsoft が月例のセキュリティ更新を公開しました。公開データを自分で数えると、Microsoft 自身が採番してこの日に初めて載せたものだけで1,408件 あります（CVE 1,407件と、CVE 番号の付かない勧告1件）。最高深刻度の Critical は77件。実際の悪用が確認されたものは1件で、同じ日に米 CISA の KEV カタログにも載りました。

1,400件の一覧を上から読む人はいません。そこで MSRC（Microsoft Security Response Center）は同じ日、「risk cohorts（リスクコホート）」 という考え方をブログで提案しました。CVE を原因や点数ではなく、「あなたの環境ではこれを外に出していますか」という同じ問いで答えが決まるもの同士 でまとめる、というものです。

この記事のゴールは、1,400件の一覧を前にしても、自宅の PC と自作サーバで本当に効く更新を自分で見分けられるようになること です。そのために、件数の数え方（CVE・CVSS・CNA）、優先順位の付け方（KEV・SSVC）、リスクコホートの中身を順に押さえ、最後に自分で CVRF データを集計して自宅環境に当てはめます。

🧭 1. Patch Tuesday と CVE／CVSS／CNA とは

Patch Tuesday

Microsoft は毎月第2火曜日（米国時間）に、その月のセキュリティ更新をまとめて公開します。通称 Patch Tuesday です。2026年10月は13日がその日でした。Windows Update で届く累積更新プログラム（KB 番号が付いたもの）に、その月の修正がまとめて入ります。

CVE と CVSS

CVE（Common Vulnerabilities and Exposures）は、脆弱性1件ごとに付く世界共通の識別番号です。CVE-2026-96951 のように「年-連番」で表します。同じ脆弱性をベンダー・報道・検出ツールが同じ番号で呼べるようにするための仕組みです。

CVSS（Common Vulnerability Scoring System）は深刻度を 0.0〜10.0 で表す採点方式です。点数と一緒に「ベクトル」と呼ばれる文字列が付き、どこから攻撃できるか（AV:N＝ネットワーク経由、AV:L＝ローカル）、認証が要るか（PR:N＝不要）、利用者の操作が要るか（UI:R＝要る）といった条件が読み取れます。Microsoft は CVSS とは別に、自社の4段階の深刻度（Critical／Important／Moderate／Low）も付けています。

CNA ── 誰が番号を振ったか

CVE 番号は誰でも振れるわけではありません。CVE Program から採番の権限を受けた組織を CNA（CVE Numbering Authority）と呼びます。Microsoft は自社製品の CNA で、Windows や Office の脆弱性には Microsoft 自身が番号を振ります。

ここが件数の揺れの出どころです。Microsoft の CVRF には、Microsoft が採番したもの以外の CVE も入っています。Edge は Chromium をもとにしているので Chrome の CNA（Google）が採番した CVE が載り、Azure Linux 向けには Linux カーネルの CNA が採番した CVE が載ります。CVRF の各 CVE には、採番した CNA の名前が入る欄があります。

残りの679件は他の CNA の採番で、多い順に Chrome 249件・Linux 197件・Apache 81件でした。Microsoft が CNA のもののうち48件は10月13日以外に初出で、10月15日に33件、16日に7件が追加されています（10月2日・8日の初出も8件あります）。

どの条件で、どの時点に数えるかで件数は変わります。 たとえば SonicWall は10月14日付の記事で「1,403件、うち特権昇格が670件」と書いています。筆者の集計（Revision 864）では特権昇格は674件で、取得した時点と数え方の違いがそのまま差に出ている形です。この記事では、Microsoft が CNA・初出10月13日・Revision 864 時点の1,408件 を基準にします。

🚦 2. トリアージとは ── 露出度で順番を決める

トリアージは救急医療の言葉で、限られた手当てを、急ぐ人から順に振り分けることを指します。脆弱性管理でも同じで、全部を一度には直せないときに、どれから当てるかを決める作業 です。

CVSS の点数は「その脆弱性そのものの深刻さ」を表しますが、あなたの環境でどれだけ危ないか までは表しません。9.8点の脆弱性でも、その機能を使っていなければ当たりません。逆に Important の脆弱性でも、実際に攻撃に使われていれば最優先です。そこで、点数以外の物差しが2つよく使われます。

米連邦機関向けには、CISA の指令 BOD 26-04（2026年6月10日発出）が、資産が公開されているか・KEV に載っているか・攻撃を自動化できるか・技術的影響 の4つで対応期限を決めています。今回の CVE-2026-96951 の KEV の項目には「forensicTriage: Yes」が付き、対応期限は追加から3日後の10月16日でした。BOD 26-04 の期限表の読み方は、当サイトの NetScaler CVE-2026-8452 の記事 で詳しく扱っています。

ポイントは、どちらも「露出」を問いの中心に置いている ことです。外から届くのか、誰が触れるのか。この問いを CVE 1件ずつではなく、まとめて1回で答えようというのが次の話です。

🗂️ 3. リスクコホートとは ── 同じ問いで答えが決まる CVE をまとめる

MSRC のブログによると、CVE を1件ずつトリアージすると、環境に関する同じ質問を何度も繰り返すことになります。たとえば次のような質問です。

• 信頼できないコンテンツは、その部品まで届くか
• 権限の境界をまたいでコードを動かせるのは誰か
• その役割・機能は、そもそも組織に導入されているか

リスクコホートは、この「顧客の環境についての同じ問い」で評価が決まる CVE をひとまとめにしたものです。原因が同じとも、CVSS が同じとも限りません。共通しているのは問いだけです。問いに1回答えておけば、それをコホート内の各 CVE を見るときの出発点にできる、という考え方です。

ブログには、2026年10月分を例にした15のコホートが載っています。件数はブログの表の値です。Critical の件数は、コホート別 CVE 一覧の PDF と CVRF を突き合わせて筆者が数えました。

最大は「Windows filesystems, storage and backup」の136件ですが、Critical は0件です。Critical が集中しているのは Office（34件）で、件数の大きさと急ぐべき度合いが一致しないことがこの表からも読み取れます。

ブログは RDP のコホートを例に、問いの立て方も示しています。

• RD Gateway や RD セッションホストを社外から届く状態で動かしているなら、サーバ側の CVE を優先
• 管理端末が RDP で社内外のホストに接続するなら、クライアント側の CVE に注意（悪意のある接続先が脆弱なクライアントを狙えるため）
• RDP が VPN やゼロトラストの経路の内側にしかなく、インターネットに直接出ていないなら、一部の CVE は 今すぐの対応の優先度を下げられる

そのうえで、悪用が確認されたもの・認証が要らないもの・攻撃経路が違うものは、コホートの傾向と違っても個別に見る必要がある、と念を押しています。

📊 4. 2026年10月の中身

内訳

基準の1,408件（Microsoft が CNA・初出10月13日）を、深刻度と影響の種類で分けると次のとおりです。

半分近くが特権昇格で、攻撃経路はローカル（AV:L）が841件、ネットワーク（AV:N）が530件でした。CVSS が9.0以上のものは61件あります。

悪用が確認された1件 ── CVE-2026-96951

Microsoft の FAQ によると、攻撃者は細工したファイルをメールやメッセージで送り、利用者に開かせる必要があります。利用者の操作が前提ですが、Windows を使うほぼ全員が対象になる種類 です。

この CVE は、15のコホートのどれにも入っていません（10月13日分の Windows Shell の CVE 8件は、すべてコホート別一覧の外でした）。コホートで後回しにしてよいと判断した範囲の外に、今月いちばん急ぐべき1件があった ことになります。ブログが「悪用が確認されたものは個別に見る」と繰り返しているのは、まさにこの形のためです。

Critical の代表例

Critical 77件の影響は、リモートコード実行が64件、特権昇格が11件、なりすましが2件です。製品別では Excel が19件で最多でした。CVSS 9.8（ネットワーク経由・認証不要・操作不要）の Critical は次の14件です。

14件とも悪用は確認されておらず、Microsoft の評価はすべて「悪用される可能性は低い（Exploitation Less Likely）」でした。Outlook・Word・PowerPoint・Text Shaping は「信頼できない文書やメールが届くか」のコホートに、DHCP Server は「名前解決・アドレス配布のサービスを動かしているか」のコホートに入ります。同じ9.8でも、自宅で当たるかどうかはコホートの問いで分かれる わけです。

AI を使った報告者のクレジット

CVE-2026-96951 の謝辞には4者の名前が並び、そのうち1つが 「Benoit Sevens using Claude with Anthropic」 です。残りは「yhw」と、富士通の Riku Bamba 氏・Yuya Chudo 氏でした。同じ脆弱性を複数の報告者が独立に見つけた形です。

1,408件の謝辞のうち、「using（AI の名前）」の形で AI を使ったと明記したものは16件ありました（GLM from z.ai が15件、Claude with Anthropic が1件）。社名や所属として AI 企業の名前が書かれている謝辞はほかにもありますが、使い方までは書かれていないため数えていません。

MSRC はブログの最後で、AI を使った研究が脆弱性の発見に寄与するようになるにつれ、この種のやり方はより役に立つようになるかもしれない と書いています。1回の更新が1,400件を超えるのは、見つける側の道具が強くなったことの裏返しでもあります。この流れは、当サイトの Linux カーネルの「AIパッチ洪水」の記事 で扱った、カーネル側の CVE の急増と同じ方向を向いています。

🐍 5. 自分で集計する ── CVRF を Python で読む

ここまでの数字は、すべて次の手順で再現できます。Windows に入っている curl で JSON を取得し、Python で数えます。

curl.exe -H "Accept: application/json" -o 2026-Oct.json https://api.msrc.microsoft.com/cvrf/v3.0/cvrf/2026-Oct

import json, collections

d = json.load(open("2026-Oct.json", encoding="utf-8"))
print("Revision", d["DocumentTracking"]["RevisionHistory"][-1]["Number"])

def notes(v, t): return [n.get("Value") for n in v["Notes"] if n["Type"] == t]
def threats(v, t): return {(x["Description"] or {}).get("Value") for x in v["Threats"] if x["Type"] == t}

ms = [v for v in d["Vulnerability"]
      if notes(v, 8) == ["Microsoft"]                                   # 採番した CNA
      and min(r["Date"] for r in v["RevisionHistory"]).startswith("2026-10-13")]  # 初出日

print("total", len(ms), "cve", sum(v["CVE"].startswith("CVE-") for v in ms))
print("severity", collections.Counter(next((s for s in ("Critical", "Important") if s in threats(v, 3)), "other") for v in ms))
print("impact", collections.Counter("/".join(sorted(threats(v, 0))) for v in ms).most_common(4))
print("exploited", [v["CVE"] for v in ms if any("Exploited:Yes" in (e or "") for e in threats(v, 1))])

Revision 864 での出力は次のとおりです。

Revision 864
total 1408 cve 1407
severity Counter({'Important': 1330, 'Critical': 77, 'other': 1})
impact [('Elevation of Privilege', 674), ('Remote Code Execution', 314), ('Information Disclosure', 252), ('Denial of Service', 71)]
exploited ['CVE-2026-96951']

読むときに押さえる点は3つです。

🏠 6. 自宅 PC・自作サーバに当てはめる

自宅の PC は、基本的には Windows Update に任せて全部当てるのが正解です。それでもコホートの問いが効く場面が2つあります。再起動を後回しにしがちな自作サーバ と、Windows Update の外で更新されるソフト です。

コホートの問いに自宅環境で答える

Windows Update の外にあるもの

コホートの対象外だった10月13日分の291件には、SharePoint（36件）・Windows Search（29件）・.NET（25件）・SQL Server（22件）・Visual Studio Code（10件）などが入っています。開発用の PC では、.NET の SDK・ランタイム、SQL Server、VS Code は Windows Update とは別の経路で更新していることが多い はずです。OS の更新が済んでいても、こちらは自分で版を確かめる必要があります。

適用済みかを確かめる

Windows 11 24H2／25H2 なら、10月の累積更新は KB5127648 です。

• 設定 → Windows Update → 更新の履歴 で、品質更新プログラムの一覧に KB5127648 があるかを見る
• PowerShell では Get-HotFix -Id KB5127648 で、インストール日が返るかを見る
• Windows 10 22H2 は KB5126657 です。Windows 10 のサポートは2025年10月14日に終わっているため、届くのは ESU（拡張セキュリティ更新）に登録している端末だけです

判断の流れ

コホートが決めるのは「どれを先に当てるか」で、「当てなくてよいもの」ではありません。最後には全部が入っている状態を目指します。Windows Update の外にある .NET・VS Code・SQL Server は、この流れとは別に版を確かめます。

🔐 7. 10月19日に期限を迎えた Secure Boot の「PCA 2011」

10月19日は、Secure Boot の証明書の1つ 「Microsoft Windows Production PCA 2011」 の有効期限です。2011年に発行され、Windows のブートローダーの署名に使われてきた証明書で、後継は 「Windows UEFI CA 2023」 です。

Microsoft の説明では、2023年版の証明書をまだ受け取っていない端末も これまでどおり起動し、通常の Windows Update も入ります。ただし、Windows Boot Manager の更新や、失効リスト、起動段階の新しい脆弱性への対策といった 起動プロセス向けの新しい保護は受け取れなくなります。家庭向けの Windows 10／11（Home・Pro・Education）で更新を自動で受けている端末には、新しい証明書が Windows Update で順次届き、多くの場合は操作は要らないとされています。

自分の PC は次の手順で確認できます。

1. Win + R → msinfo32 で「セキュア ブートの状態」が「有効」になっているかを見る
2. 管理者の PowerShell で次を実行し、Subject に Windows UEFI CA 2023 を含む証明書があるかを見る

Get-SecureBootUEFI -Name db -Decoded

-Decoded は2026年4月14日の月例更新から加わったパラメータで、証明書の名前と有効期間が読める形で出ます。Microsoft の例では、Microsoft Windows Production PCA 2011 の ValidTo が 2026-10-19 11:51:42Z と表示されています。KEK 側は -Name kek で同じように見られ、後継は Microsoft Corporation KEK 2K CA 2023 です。

まとめ

• 2026年10月13日の Microsoft の月例更新は、Microsoft が CNA・初出10月13日の条件で1,408件（CVE 1,407件＋勧告1件、Critical 77件・Important 1,330件）。CVRF 全体では2,135件で、条件と取得時点で件数は変わる（Revision 864 時点）
• 悪用確認は CVE-2026-96951（Windows Shell・MOTW の回避・CVSS 8.8）の1件で、同日 CISA KEV に追加。謝辞には「Benoit Sevens using Claude with Anthropic」と富士通の研究者2名などが並ぶ
• MSRC は、環境への同じ問いで評価が決まる CVE をまとめる risk cohorts を15個例示した。最大は Windows filesystems, storage and backup の136件。暫定の提案で、公式の分類ではなく、Security Update Guide にも表示されない
• Critical は Office のコホートに34件が集中する一方、悪用確認の1件はどのコホートにも入っていない。コホートで仕分けたあとも、悪用確認は個別に見る
• CVRF は curl と Python 十数行で集計できる。CNA は Notes の Type 8、初出日は RevisionHistory の最古の日付で判定する
• 自宅では、RDP・SMB を外に出しているか、仮想化を使うか、Windows Update の外のソフト（.NET・VS Code・SQL Server）があるかを確かめる。10月19日に期限を迎えた Secure Boot の PCA 2011 は Get-SecureBootUEFI -Name db -Decoded で後継の有無を確認できる

よくある質問（FAQ）

Q. 10月の更新は何件だったのですか。報道によって数字が違います。

数える条件で変わります。Microsoft の CVRF（Revision 864）では、全エントリが2,135件、そのうち Microsoft が採番したものが1,456件、さらに10月13日に初めて載ったものが1,408件（うち CVE は1,407件）です。他社が採番した Chrome や Linux の CVE を含めるか、10月13日より後の追加分を含めるか、どの時点のデータを使うかで、報道の数字が前後します。記事やメモで件数を使うときは、条件と Revision を一緒に書いておくと後から比べられます。

Q. 自宅の PC で、今すぐやるべきことは何ですか。

10月の累積更新（Windows 11 24H2／25H2 なら KB5127648）が入っているかを確かめることです。悪用が確認された CVE-2026-96951 はこの更新で直り、Windows を使うほぼ全員が対象になる種類です。あわせて Office アプリ側の更新も確認してください。

Q. リスクコホートは Security Update Guide のどこで見られますか。

まだ表示されません。MSRC のブログ自体が、コホートは暫定で Security Update Guide には今のところ表示しないと書いています。10月分の一覧は、ブログからリンクされた PDF（October 2026 - CVEs in each cohort）で確認できます。今後どう扱うかは、利用者からのフィードバックを見て決めるとしています。

Q. コホートの問いに「いいえ」と答えたら、その更新は入れなくてよいのですか。

いいえ。コホートが決めるのは対応の順番で、更新を省いてよいという意味ではありません。MSRC も、コホートは優先度を単独で決めるものではなく、個々の CVE の評価の代わりにもならないとしています。自宅の PC なら、最終的には毎月の更新を全部当てることになります。

Q. CVE-2026-96951 のクレジットにある「Claude」は、AI が見つけたという意味ですか。

謝辞の文言は「Benoit Sevens using Claude with Anthropic」で、研究者が Claude を使って報告した、という書き方です。AI 単独で見つけたとは書かれていません。同じ CVE には他に3者の名前もあり、複数の報告者が独立に見つけた脆弱性です。

Q. Secure Boot の証明書が期限切れになると、PC は起動しなくなりますか。

Microsoft の説明では、起動しなくなることはなく、通常の Windows Update も入り続けます。受け取れなくなるのは、Windows Boot Manager の更新など起動段階向けの新しい保護です。家庭向けの端末には後継の証明書が Windows Update で順次届くとされているので、更新を止めていないか、Secure Boot が有効になっているかを確かめておけば十分です。

参考

• Using risk cohorts to prioritize security updates（MSRC ブログ・2026年10月13日）
• October 2026 - CVEs in each cohort（MSRC・コホート別 CVE 一覧 PDF）
• MSRC CVRF API 2026-Oct（Revision 864・Accept: application/json で取得）
• CVE-2026-96951（Microsoft Security Update Guide）
• Known Exploited Vulnerabilities Catalog（CISA）
• Stakeholder-Specific Vulnerability Categorization（CISA）
• BOD 26-04: Prioritizing Security Updates Based on Risk（CISA・2026年6月10日）
• Windows Secure Boot certificate expiration and CA updates（Microsoft サポート）
• Windows devices for home users, businesses, and schools with Microsoft-managed updates（Microsoft サポート・KB5062711）
• PowerShell: Using the -Decoded parameter in Get-SecureBootUEFI（Microsoft サポート・KB5093574）
• Microsoft Security Bulletin Coverage for October 2026（SonicWall・2026年10月14日）

関連記事

• Linuxカーネルの『AIパッチ洪水』｜CVE 2,000件の正体とメンテナの適応
• Android 2026年9月の四半期更新｜180件の内訳とパッチレベル 01/05
• NetScaler CVE-2026-8452｜DoS のはずが未認証 RCE、優先度の決め方
• PwnEscape（CVE-2026-99999）｜VMのパケットがホストを書き換える穴と確かめ方 — AI の支援で見つかった脆弱性の実例（Linux カーネル）
• curl 8.23.0 で脆弱性24件を修正｜HTTP/2 の解放後使用と自分の curl の確かめ方 — AI の支援で見つかった脆弱性の実例（curl）