Windows シェルの脆弱性（CVE-2026-96951）｜10月の月例更新

マイクロソフトは2026年10月14日（日本時間）、月例のセキュリティ更新プログラムを公開しました。 この中で直された「Windows シェル セキュリティ機能のバイパスの脆弱性」（CVE-2026-96951）は、更新の公開より前に悪用が確認されています（マイクロソフトの発表）。 IPA は深刻度を「緊急」として至急の適用を求め、JPCERT/CC も同じ日に注意喚起を出しています。

公表された内容

• 悪用が確認された脆弱性：CVE-2026-96951（Windows シェル セキュリティ機能のバイパス）。マイクロソフトが悪用の事実を確認したとしています（IPA・JPCERT/CC）
• CVSS：IPA・JPCERT/CC・マイクロソフトの月例のまとめのページには書かれていません
• 最大の深刻度が「緊急」の製品：Windows 11、Windows Server 2025・2022・2019・2016、Microsoft Office、SharePoint、Exchange Server、.NET、Visual Studio（リモートでコードを実行される）
• 深刻度が「重要」の製品：SQL Server、Dynamics、Azure、System Center
• Windows 11 の対象の版：v26H2、v25H2、v24H2、v26H1、v23H2
• 対策：セキュリティ更新プログラムを適用する。ふつうは Windows Update で自動で当たり、再起動が要ることがあるとしています（IPA）
• そのほか：Microsoft Edge は別の日程で更新が出るため、個別に確かめるよう案内しています。次の月例は2026年11月11日（日本時間）の予定です

中小企業が今日からできること

• 全部のパソコンで更新が済んだか確かめる：「設定」の「Windows Update」で10月の更新が入っているかを見る。止めたままの更新や、再起動を待っているパソコンがないかを確かめる
• サーバーと Office も忘れない：Windows Server・Exchange Server・SharePoint を社内で動かしている場合は、保守の会社に10月の更新を当てたかを問い合わせる
• 更新を止めている理由を見直す：業務ソフトの都合で自動更新を止めている場合は、試すパソコンを決めて先に当て、問題がなければ全体に広げる手順をつくる
• 毎月の更新日を予定に入れる：月例の更新は毎月第2火曜日（米国時間）に出る。次回の11月11日（日本時間）に確かめる担当を決めておく