長年にわたり、脆弱性管理は比較的予測可能なサイクルで運用されてきました。つまり、脆弱性が発見され、公表され、評価され、優先順位が付けられ、最終的にはパッチが適用されるという流れです。しかし、このモデルを維持することはますます困難になってきています。
2026年9月のマイクロソフト「パッチチューズデー」は、単一のリリースで過去最多となる973件の脆弱性が修正されたことから、これまでにないほど明確な証拠となっています。AIによって脆弱性の発見、エクスプロイトの開発、攻撃の実行が加速している中、組織はそれに追いつくために、より迅速に脆弱性を修正しなければなりません。これは、vulnerability detection やパッチ管理ソリューションに「スピード」という要素を組み込む必要に迫られているISV（独立系ソフトウェアベンダー）にとって、極めて重要な課題となっています。
主なポイント
- マイクロソフトの2026年9月の「パッチチューズデー」では、973件の脆弱性が修正され、過去最多を記録した。これには、すでに悪用されている2件のゼロデイ脆弱性（CVE-2026-85880、CVE-2026-81963）も含まれている。
- AIによって、脆弱性が悪用されるまでの期間が短縮されています。攻撃者は、AIを活用して、脆弱性の発見、攻撃手法の開発、および攻撃の実行をますます迅速化できるようになっています。
- 脆弱性とパッチ管理は、リアルタイムのセキュリティ機能となりつつあります。もはや脆弱性を検知するだけでは不十分です。組織は、AI並みのスピードで優先順位を付け、迅速に是正措置を講じる必要があります。
- パッチ管理は、単なるレポート作成の段階から一歩先へ進む必要があります。顧客が必要としているのは、単に問題点を指摘するだけでなく、脆弱性を特定し、リスクの優先順位付けを行い、迅速に対処できる製品です。
- ISVは、組み込みセキュリティを競争上の強みに変えることができます。 vulnerability detection と修復機能を製品に直接統合することで、よりシームレスな顧客体験を実現すると同時に、顧客のリスク露出期間の短縮にも貢献できます。
マイクロソフトの2026年9月の「パッチチューズデー」を詳しく見てみる
2026年9月8日、マイクロソフトは973件のCVE（Common Vulnerabilities and Exposures）に対する修正プログラムを公開しました。これは同プログラムの歴史上最大規模の単一のセキュリティ更新プログラムであり、7月の過去最高記録である622件を350件以上上回るものです。今回の更新プログラムは、Windows、Microsoft Office、SQLServer 、Exchange、SharePoint、Azure、および開発者向けツールを対象としており、そのうち723件の修正はWindowsのみに影響するものです。
Cyber Security Newsによる分析では、報告されたCVEをさまざまな脆弱性の種類別に分類し、各カテゴリーで特定されたCVEの数を以下のように明らかにしました：
脆弱性のカテゴリ | カウント |
権限の昇格 | 438 |
リモートコード実行 | 258 |
情報開示 | 173 |
サービス拒否 | 56 |
セキュリティ機能の回避 | 19 |
スプーフィング | 16 |
改ざん | 13 |
積極的に悪用されている脆弱性に対する緊急対応
- 誰も悪用していない脆弱性で高スコアが出ても、実際に悪用されているキャンペーンにおける中程度のスコアの欠陥よりも、運用上のリスクは低い。
重大な脆弱性およびリモートコード実行（RCE）に対する「高優先度」対応 — 今週中
- Windows Kerberos のリモートコード実行の脆弱性 (CVE-2026-69676)：Windows Kerberos におけるキャプチャ・リプレイによる認証バイパスにより、権限を持つ攻撃者がネットワーク経由でコードを実行することが可能になります。
- Windows DNS「Server 」のリモートコード実行の脆弱性（CVE-2026-69730）。認証なしで悪用可能
ビジネスに不可欠なシステム向けのNEXT- 標準的な期間内
- Secure のカーネルモードおよび仮想化ベースのセキュリティエンクレーブに関する問題など、未解決の「重大」評価のWindows修正プログラム
- Office、SQLServer 、SharePoint、Exchange などの業務に不可欠なシステム
継続中 - サードパーティ製アプリケーション – 継続的な サイクル
- サードパーティ製アプリケーション：ブラウザ、ランタイム、PDFリーダーは、マイクロソフトの製品群と同様に頻繁に悪用されており、パッチチューズデーの概要には一切記載されません。
- 新規に導入されたデバイスおよび再接続されたデバイス：9月にオフラインだったエンドポイントは、再接続した瞬間に未処理のタスクをすべて引き継ぎます
これはISVにとってどのような意味を持つのでしょうか？
脆弱性の拡散速度は、従来の手法による対策の速度を上回っている
従来の脆弱性管理は、もともと困難な課題でした。現代のソフトウェア環境には、オペレーティングシステム、サードパーティ製アプリケーション、ライブラリ、依存関係、ドライバ、コンポーネントなどが含まれており、これらが絶えず新たな攻撃対象領域を生み出しています。
AIの登場により、そこに「スピード」という新たな側面が加わりました。
- 脆弱性をより迅速に発見できるようになります。AIモデルやエージェント型システムを活用することで、研究者はソースコード、バイナリ、依存関係、設定、攻撃対象領域を、手作業では再現が困難な規模で分析できるようになります。
- エクスプロイトは、発見から実用化までわずか1日で行われる可能性がある。 Infosecurity Magazineのレポートは 、AIモデルによって脆弱性の公開から悪用までの時間が24時間弱にまで短縮されているという新たな現実を指摘している。
- 手動による修正作業は、機械並みの速度で展開される攻撃に対応できるほど拡張性がありません。 脆弱性の発見は 、あくまで始まりに過ぎません。組織は依然として、影響を受けるエンドポイントやアプリケーションを特定し、深刻度を評価し、利用可能なパッチを見つけ出し、それらをどれほど迅速かつ安全に展開できるかを判断する必要があります。ソフトウェア環境が拡大するにつれ、このプロセスを手動で管理することは、ますます拡張が困難になっていきます。
「パッチ・チューズデー」を超えて
「パッチ・チューズデー」には1つの利点がある。それは、予測可能だということだ。実施日は事前に公表され、Windowsの更新プログラムは累積型であり、ほとんどの企業では、それらを適用するために特別に構築されたツールをすでに運用している。
サードパーティ製のアプリには、そうした機能は一切備わっていません。問題は、スケジュール機能がないことではなく、各アプリがそれぞれ異なるスケジュールを管理していることです：
- Google Chromeは2026年9月8日より、2週間ごとのリリースサイクルに移行し、ゼロデイ脆弱性が悪用された場合には、それに加えて緊急のアウト・オブ・バンド更新が行われることになった。
- Oracle Javaのリリースは毎月第3火曜日に行われ、その間の数ヶ月間は四半期ごとの「重要パッチ更新プログラム」および「重要セキュリティパッチ更新プログラム」が提供されます。これはマイクロソフトのリリースサイクルに近いものの、決して同じ週にはリリースされません。
- Mozilla Firefoxは、2026年9月1日より2週間ごとのリリースサイクルに移行しました
- Zoom、Slack、Notionといったコラボレーションや生産性向上ツールは、絶えず更新されており、その多くはユーザーに通知されずに更新されます。
- 7-Zip、Notepad++、VLC などのユーティリティやオープンソースツールは、事前の告知なしにリリースされる
これらのいずれもWindowsの累積更新プログラムには含まれておらず、そのうちのいくつかは管理されたイメージではなくユーザーによるインストールを通じて導入されるため、パッチの適用が漏れる前に、インベントリからその存在が消えてしまうことになる。
ISVにとって、ここでこそ「対応範囲」が単なるチェック項目ではなく、差別化要因となるのです。御社の製品を評価している顧客は、通常、マイクロソフトのパッチ適用についてはすでに解決済みです。彼らがまだ解決できていないのは、サードパーティ製アプリケーションの「ロングテール」の問題であり、まさにそのギャップを埋めることができるのが御社の製品なのです。
かつての「ニューノーマル」はもはや通用しない
セキュリティ環境の変化のスピードは、従来のパッチ適用プロセスやエンドポイントの状態確認といった手法が対応できるように設計されたペースを上回っています。ISVにとって、これは、昨日のセキュリティ機能では、今日のエンタープライズセキュリティ要件を満たすにはもはや不十分である可能性があることを意味します。
- 「ウイルス対策ソフトは動作していますか？」という質問だけでは、もはや不十分です。企業の 購買担当者は、ディスク上のどこかにセキュリティエージェントが存在するかどうかに留まらず、接続するデバイスに、既知の悪用事例があるCVEに対するパッチが適用されているかどうかを、ますます重視するようになっています。
- エンジニアリングチームは今、絶えず変化する対象に対応しなければなりません。 製品が認識する必要があるあらゆる アプリケーション、セキュリティ製品、OSのビルド、パッチレベルは、積み重なるにつれてますます大きな負担となっています。1か月で970件以上の修正がリリースされると、保守の負担はさらに増大します。
- 脆弱性に関するデータだけでは問題は解決しません。顧客は 、何が影響を受けているのか、その深刻度はどの程度か、修正策は存在するのか、そしてどのような対応を取るべきかを理解する必要があります。
- 検知のみを行って是正措置を講じなければ、顧客はリスクにさらされたままになります。脆弱性のあるアプリケーションを特定することの価値は、顧客が迅速に対応してリスクを軽減できる場合にのみ発揮されます。
提供サービスの見直し
攻撃者がAI並みのスピードで活動している状況下では、ISVは自社製品を通じて顧客にどのようなことが可能になるかを再考する必要があります。パッチ管理は、もはや定期的な手作業のプロセスであってはなりません。継続的かつ迅速で、よりスマートで、実用性の高いものへと進化させる必要があります。
ISVにとって、これは、顧客を支援するためのvulnerability detection およびパッチ管理機能を構築することを意味します。具体的には、顧客が以下を実現できるよう支援します：
- 継続的な可視性を維持します。顧客に対し、脆弱性のあるアプリケーションやエンドポイントに関する最新の状況を可視化することで、前回の評価から数週間経ってからではなく、リスクが発生したその時点で直ちに特定できるようにします。
- 単なる報告ではなく、是正措置を。 悪用可能な期間が24時間しかない状況では、管理者に「デバイスが古くなっている」や「脆弱性がある」と伝えるだけでは 、その価値は限定的です。顧客が複数のセキュリティツールやIT管理ツールを切り替えて操作する必要がないよう、パッチの適用を既存の製品ワークフローに組み込んでください。
- 単なる数値ではなく、悪用可能性に関するより詳しい情報を提供してください。顧客が、同じリリースに含まれる970件以上の修正プログラムの中から、実際に悪用されているゼロデイ脆弱性を区別できるようにしてください。
- 最も重要な事項を優先しましょう。どの脆弱性に直ちに対処すべきかを特定するインテリジェンスを活用し、顧客がますます増加するCVEの情報を的確に把握できるよう支援します。自動化された優先順位付けにより、脆弱性データから具体的な是正措置の決定へとつなげることができます。
つまり、脆弱性およびパッチ管理は、もはや単なるバックエンドのセキュリティ機能にとどまらない。これは、製品の価値や顧客体験、さらにはISVの競争力に直接影響を及ぼす可能性がある。
OPSWAT フレームワークの活用方法
OPSWATの「OESIS Framework」は、組み込み可能なエンドポイントセキュリティSDKであり、ISV（独立系ソフトウェアベンダー）に対し、Windows、macOS、Linuxにわたるオペレーティングシステムや数千ものエンドポイントアプリケーションを評価し、自動パッチ適用を行うための単一かつ一貫性のあるインターフェースを提供します。その対応範囲は、新たな脆弱性が発見されるのと同じ速さで常に最新の状態に保たれています。
「AIによって脆弱性の発見や悪用が加速する現代において、セキュリティ対策は単なる検知にとどまってはなりません。ISVは、脆弱性に関する情報を具体的な行動につなげる機会を捉え、顧客がリスクを特定し、重要な事項に優先順位をつけ、優先順位の高いリスクを効率的かつ迅速に是正できるよう支援しなければなりません。」 ブレント・ビーチェム、プロダクトディレクター
OESIS Framework を使用することで、企業は 98,500 件以上の固有の CVE および 175,000 件以上の脆弱性インスタンスを特定、評価、マッピングすることができ、1,000 以上のアプリケーションに対応しています。また、数百に及ぶサードパーティ製アプリケーションやオペレーティングシステムについて、適用されていないパッチを自動的に検出し、脆弱性を修正します。
製品に脆弱性評価やパッチ管理機能を組み込むことで、顧客は、連携していないツールの間を行き来する必要なく、脆弱性の発見から優先順位付け、是正に至るまで、より包括的なセキュリティワークフローを利用できるようになります。
単に顧客が脆弱性を見つける手助けをするだけではいけません。顧客がリスクにさらされる期間をより迅速かつ効率的に短縮できるよう支援しましょう。
