Microsoft 月例更新が2026年10月14日に公表 — 悪用確認の脆弱性あり、Windows更新を至急

アカウント乗っ取りパスワード流出不正ログイン二段階認証フィッシングWindows Update

IPA と JPCERT/CC は2026年10月14日、Microsoft 製品の2026年10月月例セキュリティ更新に合わせた注意喚起を公表しました。この中の Windows シェルの脆弱性（CVE-2026-96951）は、Microsoft 社が悪用の事実を確認済みと公表しており、IPA は「至急、セキュリティ更新プログラムを適用してください」と案内しています。利用者が今すべきことは、Windows Update を確認して Windows・Office などを今すぐ更新することです。

この記事の要点を最初にまとめます。

何が公表されたか（要点）

2026年10月14日に IPA と JPCERT/CC が公表した注意喚起によると、Microsoft 社は2026年10月の月例セキュリティ更新を公開し、この中の Windows シェルの脆弱性（CVE-2026-96951）については悪用の事実を確認済みとしています（IPA・JPCERT 注意喚起、2026年10月21日取得）。

• IPA「Microsoft 製品の脆弱性対策について(2026年10月)」が2026年10月14日に公表され、Windows シェルの脆弱性（CVE-2026-96951）について「至急、セキュリティ更新プログラムを適用してください」と案内された。
• JPCERT/CC の注意喚起（JPCERT-AT-2026-0031）も同日の2026年10月14日付けで、悪用が公表されている脆弱性として CVE-2026-96951 を挙げている。

次に、対象と深刻度を整理します。

対象と深刻度

対象は Microsoft 製品で、更新は Windows Update・Microsoft Update から適用します（IPA・JPCERT 注意喚起、2026年10月14日公開、2026年10月21日取得）。CVE の総数と深刻度の内訳は、両方の注意喚起ページには記載がなく、公式未公表です。個別の評価は Microsoft 社のセキュリティ更新プログラム情報で確認できます。

• CVE-2026-96951 は Windows シェルのセキュリティ機能を回避される恐れのある脆弱性。悪用された場合、リモートから任意のコードを実行されたり、セキュリティ機能を回避されたりする可能性がある（JPCERT 注意喚起）。
• IPA は、月例更新で対策される脆弱性が悪用された場合の被害として、アプリケーションの異常終了や攻撃者による PC の乗っ取りを想定として挙げている。
• CVE の総数・深刻度別の内訳は IPA・JPCERT の注意喚起ページに記載がないため、本記事では公式未公表として扱う。Microsoft 社のセキュリティ更新ガイド（リリースノート）で確認できる。

次に、利用者が今すべき具体的な手順を示します。

利用者が今すべきこと（更新手順）

Windows Update による自動更新が通常は行われます（IPA 注意喚起、2026年10月14日公開）。悪用が確認された脆弱性を含むため、更新の適用は早いほどよく、待つ理由はありません。

1. Windows の設定から「Windows Update」を開き、更新プログラムの確認を実行する。自動更新が有効なら通常は配信される。
2. 更新が表示されたら適用する。適用には再起動が必要になる場合があるため、作業中のファイルを保存してから行う。
3. Office など Windows Update から配信されない Microsoft 製品も、同じ月例更新に含まれる。更新が届かない場合は Microsoft Update カタログから入手できる（JPCERT 注意喚起の案内）。
4. 組織で更新管理を行っている場合は、Microsoft 社のセキュリティ更新プログラム情報を参照のうえ、早期に環境へ展開する（IPA 注意喚起の案内）。

更新と合わせて、普段からの予防も効きます。Windows の更新はアカウント乗っ取りの被害を直接減らす対策です。悪用を狙う攻撃は、更新直後から「まだ更新していない人」を対象に広がりやすいため、更新が済むまで不審なリンクや添付ファイルを開かないこと、同じパスワードを使い回さないこと、二段階認証を有効にしておくことが有効です。

よくある質問

Q. Windows Update 2026年10月分はいつ適用すればよいですか？

今すぐです。IPA は悪用の事実が確認された Windows シェルの脆弱性（CVE-2026-96951）について「至急、セキュリティ更新プログラムを適用してください」と案内しています（IPA 注意喚起、2026年10月14日公開）。Windows Update を開いて更新を確認し、適用後は再起動が必要な場合がある点に注意してください。

Q. Microsoft のセキュリティ更新を適用しないとどうなりますか？

脆弱性が残ったままになり、悪用された場合にアプリケーションの異常終了や、攻撃者による PC の乗っ取りにつながる恐れがあります（IPA 注意喚起の想定被害）。また、リモートから任意のコードを実行されたり、セキュリティ機能を回避されたりする可能性があります（JPCERT 注意喚起）。PC が乗っ取られると、保存したパスワードやログイン中のアカウントが盗まれる経路になるため、更新が最も確実な対策です。

Q. 悪用が確認されている脆弱性はどれですか？

Windows シェルのセキュリティ機能を回避される恐れのある CVE-2026-96951 です。Microsoft 社が悪用の事実を確認済みと公表しており、IPA・JPCERT/CC の両方の注意喚起（ともに2026年10月14日公開）がこの脆弱性を挙げています。該当する更新が配信されている Windows を使っている場合は、Windows Update での適用を優先してください。

Q. 自動更新が有効かどうか分かりません。確認方法はありますか？

Windows の設定画面から「Windows Update」を開くと、更新プログラムの状態と最終確認の時刻が表示されます。ここで更新の確認を実行して「最新です」と表示されれば、2026年10月の月例更新も適用済みの可能性が高いですが、表示が更新の適用待ちになっている場合はその場で適用してください。組織の PC で更新管理の設定がある場合は、管理者の案内に従ってください。

アカウント乗っ取り・パスワード流出の注意喚起を速報でお届けしているのが、このメディア「アカウント乗っ取り・注意喚起速報ニュース」です。新しい注意喚起が公表されたときは、利用者が取るべき手順と一緒にまとめてお伝えします。

出典: IPA「Microsoft 製品の脆弱性対策について(2026年10月)」（2026年10月14日公開）、JPCERT/CC 注意喚起 JPCERT-AT-2026-0031（2026年10月14日公開）。ともに2026年10月21日取得。

この記事は AI が一次ソースを読んで執筆しました。数値と日付は出典に記した公式情報の執筆時点の値です。誤りを見つけたら訂正の窓口へお知らせください。確認のうえ本文を直し、訂正履歴に残します。編集方針