目次
[開く][閉じる]マイクロソフト、2026年10月の月例パッチで悪用済み1件含む1,411件の脆弱性を修正（CVE-2026-96951他）
BleepingComputer – October 13, 2026
マイクロソフトが2026年10月の月例セキュリティ更新プログラムをリリースし、史上最多となる1,411件の脆弱性に対処。これには、攻撃で悪用されているゼロデイCVE-2026-96951と、すでに公に開示されているゼロデイCVE-2026-108398およびCVE-2026-92707が含まれている。
1,411件という膨大な数となったのは、マイクロソフトが引き続きAIプラットフォームを使用して同社製品における脆弱性の探索・緩和を行っているためだという。なお今回修正された脆弱性のうち、Critical（緊急）評価のものは70件存在する。
悪用が確認されたゼロデイCVE-2026-96951は、Windowsシェルにおけるセキュリティ機能バイパスの脆弱性。コマンドインジェクションの問題に起因し、認可されていない攻撃者によるMark of the Web機能のバイパスを可能にするという。CVSSスコアは8.8で、深刻度は「Important（重要）」と評価されている。攻撃者がどのようにこの脆弱性を悪用しているのかといった詳細は明かされていない。
しかし公式アドバイザリによれば、Eメールやインスタントメッセージを使った攻撃シナリオの場合、攻撃者は、同脆弱性を悪用する目的で特別に細工されたファイルをターゲットユーザーに送付してこの脆弱性を悪用できる可能性があるという。ただし、攻撃者はユーザーを欺いて悪意あるリンクをクリックさせるなど、ユーザー自身が行動を起こすよう誘導する必要があるとされる。
一方で、悪用は確認されていないもののすでに開示済みのゼロデイに分類されているのが、以下の2件。
CVE-2026-108398：.NET Frameworkにおけるセキュリティ機能バイパスの脆弱性。信頼できない検索パスが存在することにより、認可済みの攻撃者によるローカルでのセキュリティ機能バイパスが可能になる恐れがあるとされる。悪用が成功した場合、攻撃者はWindows Defender アプリケーション制御（WDAC）の強制適用をバイパスし、不正なアプリケーションを実行できるようになる。悪用される可能性は比較的低いとされ、CVSSスコアは8.8、深刻度は「Important（重要）」の評価。CVE-2026-92707：MessagePack-CSharpにおけるサービス拒否の脆弱性。.NETにおける不適切に制御された順次メモリ割り当てにより、認可されていない攻撃者がネットワークを通じてサービス拒否を引き起こせるようになる恐れがあるとされる。CVSSスコアは5.3、深刻度は「Moderate（警告）」と評価されている。
今回の脆弱性件数の多さを踏まえ、マイクロソフトはセキュリティアップデートの優先順位付けを支援するための新たなメソッドを導入。これは、関連する脆弱性同士を「リスクコホート」としてまとめることで、組織が自身のシステムにとって最大のリスクをもたらし得るものは何かを理解しやすくし、パッチ適用の優先順位付けを円滑化するものとされる。
2026年10月に関して、マイクロソフトは以下を含む15件のリスクコホートを公開している。
Windowsファイルシステム、ストレージ、バックアップに影響する脆弱性（136件）Officeドキュメントおよびメールクライアントに関する脆弱性（135件）Windowsグラフィックス、メディア、コンテンツ処理に影響する脆弱性（131件）
など
なお、これらの分類は必ずしもどの脆弱性が最も危険かを示すものではなく、実際のリスクは攻撃での悪用事例の有無や深刻度、組織による当該ソフトウェアの使用方法などに左右されるという。またマイクロソフトは、このアプローチはまだ実験段階であり、あくまでアップデートの優先順位を決定する際に参考にすることを意図したもので、既存のパッチ推奨事項に取って代わるものではないと説明している。リスクコホートの一覧は、マイクロソフトが公開しているPDFで確認できる。
Fortinet、FortiSandboxにおけるCritical評価の脆弱性について警告（CVE-2026-107656）
FortiGuard Labs – Oct 13, 2026
Fortinetは10月13日、同社の複数製品における脆弱性数件についてセキュリティアドバイザリを公開。これには、FortiSandboxにおけるCritical評価の脆弱性CVE-2026-107656などが含まれる。
CVE-2026-107656は、Web管理インターフェースにおける不適切なアクセス制御とセッション管理の脆弱性。CVSSスコアは9.6で、深刻度は「Critical」と評価されている。FortiSandbox GUIにおける代替パスまたはチャネルを使用した認証回避の問題に起因し、認証されていないリモートの攻撃者が細工されたHTTPリクエストを通じて認証をバイパスすることを可能にする恐れがあるという。
影響を受けるのはFortiSandbox 5.0（5.0.0〜5.0.6）、FortiSandbox 4.4（4.4.0〜4.4.9）、FortiSandbox PaaS 5.0（5.0.0〜5.0.6）、FortiSandbox PaaS 4.4（全バージョン）で、それぞれ5.0.7以降、4.4.10以降、5.0.7以降、修正版リリースへのアップグレードまたは移行が推奨されている。FortiSandbox 5.2とFortiSandbox PaaS 5.2は影響を受けない。
Fortinetはこのほか、SQLインジェクションを介した任意のファイル書き込み／読み取りに関する深刻度の高い複数の脆弱性（CVE-2025-46773、CVE-2026-23705、CVE-2026-23706、CVE-2026-23707）についても警告。CVSSスコアは7.9で、深刻度は「High」と評価されている。
これらはFortiAnalyzer、FortiManager、FortiManager Cloud、FortiAnalyzer Cloudに影響を与える脆弱性で、権限の低いユーザーが細工されたリクエストを通じて任意のコマンドを実行できるようになる恐れがあるとされる。
Fortinetが10月13日に公開したその他のアドバイザリについては、同社のPSIRTページから確認できる。
WordPressプラグインBricksforgeのRCE脆弱性、悪用試行が確認される：CVE-2026-85097
SecurityWeek – October 12, 2026
WordPressプラグイン「Bricksforge」における重大なRCE脆弱性CVE-2026-85097が、実際の攻撃で悪用されているという。WordPressセキュリティ企業Patchstackが注意喚起した。
CVE-2026-85097は、認証されていない攻撃者が脆弱なWordPressサイト上で任意のPHPコードをアップロード・実行することを可能にする脆弱性。CVSSスコアは9.8と評価されており、3.1.8.9以前のバージョンのBricksforgeが影響を受ける。
Patchstackによると、この脆弱性を悪用する試みは10月7日から観測され始めたという。同社は、テレメトリにおいて以下2つのクラスターが際立っていたと説明。いずれのパターンもローテーションプロキシや分散型インフラを介した自動化された攻撃を示唆しているものの、これらだけでは、この活動を単一の脅威アクターによるものと特定することはできないと指摘した。
44件のIPが数秒の間に同一のペイロードを含む56件のリクエストを送信3件のIPアドレスが、同じ一時ファイルに対して25種類のPHP拡張子とエンコーディングの組み合わせをテスト
同脆弱性は3.1.8.10で修正されており、脆弱なバージョンを使用中の組織には可及的速やかなアップグレードが呼びかけられている。