米マイクロソフト、10月の月例更新で1,413件のCVEを修正　悪用確認のゼロデイは1件

　米マイクロソフトは10月13日（米国時間）、2026年10月分の月例セキュリティ更新プログラムを公開した。同社のセキュリティ更新プログラムガイドのリリースノートによると、今回のリリースは1,413件のMicrosoft CVE（共通脆弱性識別子）で構成される。

　製品ファミリ別の内訳は、Windowsが1,102件、Officeが134件、Developer Toolsが61件、SharePoint Serverが36件、その他（Other）が32件、SQL Serverが22件、Azureが15件、Exchange Serverが7件、Defenderが4件。Edgeは0件だった。表の合計欄は1,414件で、個別の更新プログラムは176本にのぼる。

　注目のCVEとして、2件を挙げている。

　1件目は、Windows Shellのセキュリティ機能のバイパスの脆弱性（CVE-2026-96951）。「悪用が検出されています」と明記された。すでに実際の攻撃で使われている、いわゆるゼロデイ脆弱性にあたる。

　2件目は、.NET Frameworkのセキュリティ機能のバイパスの脆弱性（CVE-2026-108398）。こちらは「公表済み」と位置づけられ、悪用の検出は示されていない。

　このほか、CNA（CVE採番機関）のCisco Talosが割り当てた、非マイクロソフトのCVE（CVE-2026-21413、Raw Image Extensionのリモートでコードが実行される脆弱性）1件も再公開した。

　Windowsの更新プログラムは累積型で、月次のセキュリティリリースには、セキュリティ以外の更新も含まれる。主な更新プログラムは、Windows 11 バージョン26H2、25H2、24H2向けがKB5127648、Windows 10 バージョン21H2と22H2向けがKB5126657、Windows Server 2025向けがKB5126646。Windows 11 バージョン26H1向けはKB5127646、Windows Server 2022向けはKB5126655としている。

　SQL ServerとExchange Serverにも、それぞれ個別の更新プログラムが用意された。更新プログラムはMicrosoft Update Catalogで入手できるとしている。