マイクロソフトの2026年11月の「パッチチューズデー」：1,095件の脆弱性のうち1件が6.5と評価され、現在攻撃を受けている

今月、マイクロソフトの製品で悪用された脆弱性は1件のみで、その深刻度は「中程度」と評価されています。また、この脆弱性はマイクロソフトが公表する悪用成熟度評価の中で最も高いレベルに分類されています。この脆弱性は、AIを活用した研究者によって発見され、すでに実環境で悪用されていました。一方、今月実際にファイアウォールを乗っ取ったバグは、マイクロソフトの製品に起因するものではありませんでした。

一目でわかる

件数には、マイクロソフトが「影響度」評価を付与したCVEが含まれており、再公開されたサードパーティのCVE 267件（Azure Linux／Marinerパッケージ、Googleが割り当てたChromiumのCVE）は除外されています。これらを含めると、このドキュメントには1,362行が記載されています。TenableとKrebsは1,093件、ZDIは約1,090件、BleepingComputerは異なる基準で1,235件を報告しています。 当社の数値は11月11日の改訂版に基づいています。11月の数値は10月の1,418件から23％減となっており、4桁を記録した2ヶ月目ですが、新記録ではありません。

衝撃クラス別の放出量

マイクロソフトが作成したCVEは1,095件。

権限昇格は、この脆弱性の49％を占めており、まず足掛かりを確保する必要があります。一方、リモートコード実行は、足掛かりを必要とせずに実行されるタイプです。Tenableの集計によると、影響を受ける製品は287件あり、その内訳はOffice Word（65件）、Office Excel（64件）、SQLServer （53件）が最も多くなっています。

今月、本当に重要なこと

優先順位の高い順に5つ挙げます。

1. 悪用された唯一のマイクロソフトの脆弱性は6.5と評価された――マイクロソフトは、この脆弱性の悪用成熟度を「高」と評価している

これは最悪のケース、つまり広く入手可能で信頼性の高いエクスプロイトコードが存在するという状況です。CVE-2026-124194は、NTLMハッシュを漏洩させるOutlookの脆弱性ですが、影響は機密性のみであり、ユーザーの操作が必要であるため、CVSSの評価は過小評価されています。1,095件のCVEのうち、1,084件は 未確認 と評価されており、もう1件は 概念実証（PoC）と評価されています。CVSSは「中程度（Moderate）」と評価しています。エクスプロイトの成熟度からは、今すぐ実行すべきとの判断が下されています。

2. そのパッチは、Windowsの累積更新プログラムには含まれていません

この修正は Office のセキュリティ更新プログラム（Microsoft 365 Apps for Enterprise および Office LTSC 2021/2024）を通じて提供され、KB5132061 には含まれていません。毎月の Windows ロールアップを適用するだけで対応完了とみなしている環境では、依然として脆弱性が残ったままとなります。CISA が定めた期限は 11 月 24 日です。

3. 同じ月の両方にAIが登場した

マイクロソフトは、Outlookの脆弱性を発見したのは「AnthropicのClaudeを活用して」研究を行っていた研究者であると述べており、この脆弱性は発見された時点で既に悪用されていた。同じ状況下で、攻撃者はAIアシスタントを利用してphp2shellのエクスプロイトチェーンを構築し、パロアルトのファイアウォールを乗っ取った。発見と悪用、その両方が同じニュースサイクルの中で加速した。

4. 今月の本当の被害は、マイクロソフトではなくPHPに起因していた

CVE-2026-109618 および CVE-2026-109619 は、PHP コア自体に存在する認証不要の RCE 脆弱性です — EPSS 0.9999であり、この期間中の CVE の中で最も高い値です。Amazon のハニーポットは、公開前の情報開示禁止期間中であるにもかかわらず、公開の 4 日前に悪用試みを検知しました。少なくとも 25 台のパロアルト・ファイアウォールが乗っ取られました。これらの脆弱性は、いずれも「パッチ・チューズデー」のフィードには掲載されていません。

5. リスク回避の動きにより、出来高は減少の一途をたどっている

1,095件のマイクロソフトのCVEのうち、悪用されたのは1件 — 0.09%。VulnCheckのデータによると、公開されたCVEは前年比45%増加した一方、悪用が確認された件数は10%増加し、悪用された割合はピーク時の2.7%から1.4%に低下した。 しかし、公開から悪用されるまでの期間の中央値は120日から80日に短縮された。脆弱性の数は増加しているが、その影響力は薄れつつあり、悪用されるまでの時間はますます短くなっている。

緩和策に関する指針

単なるパッチ適用だけでなく、対策計画が必要なマイクロソフトの5つの修正プログラム。それぞれについて、攻撃者が実際にそれをどのように悪用するか、自社の環境ではどのような点に注意すべきか、そして更新プログラムの展開以外にどのような対応が必要かを解説します。

CVE-2026-124194 — Microsoft Outlook、NTLMハッシュの漏洩

悪用済み ・CVSS 6.5 ・エクスプロイトの成熟度：高 ・KEV 有効期限：2026年11月24日 ・CWE-356

マイクロソフトはこれを「なりすまし」として分類しているが、機能的には認証情報の漏洩にあたる。巧妙に作成されたメッセージファイルにより、Outlookは通常の外部コンテンツ警告が表示されないまま、攻撃者が制御する場所へアクセスし、その後Windowsが自動的に認証を行い、ユーザーのNTLMv2ハッシュを渡してしまう。6.5という評価は、「機密性のみへの影響」と「ユーザーの操作が必要」という点を反映したものであり、中継されたドメイン認証情報の価値については何も言及していない。

攻撃者がこれをどのように悪用するか

• 作成したメッセージファイルを送信すると、ユーザーがそれを開きます。 プレビューペインはベクターではありません — ファイルを開く必要があります。
• Outlookは外部への接続を行い、Windowsが自動認証を行うため、NTLMv2ハッシュが漏洩する。
• SMB/LDAP署名や「認証の拡張保護」に対応していないサービスに対しては、ライブでリレー攻撃を仕掛け、そうでない場合は、時間をかけてオフラインで解析してください。

注意すべき点

• メッセージファイルが開かれた直後に、外部宛てへのアウトバウンドSMB（ポート445）通信が行われます。
• インターネット上の宛先に対する NTLM 認証の試行 — NTLM 運用イベントログを確認してください。
• SMB署名、LDAP署名、およびEPAが実際に適用されているかどうか。これらが、データ漏洩によって流出したハッシュを単なる厄介事以上のものにするのです。
• IOCは公開されておらず、攻撃者の名前も特定されていないため、行動パターンに基づく検知が唯一の選択肢となる。

緩和策に関する指針

• Windowsのロールアップだけでなく、Officeの更新プログラムも展開してください。 Microsoft 365 Apps for Enterprise および Office LTSC 2021/2024 にはこの修正が含まれています。これは、パッチを適用したと思い込んで実際には適用されていない、という状況に陥る最も可能性の高いケースです。
• サーバーよりもエンドポイント。配信は電子メールで行われ、対象は個人です。
• まだ実施していない場合は、SMBおよびLDAPの署名と「認証の拡張保護」を有効にしてください。これにより、このCVEだけでなく、今後出現するあらゆる亜種に対するリレー攻撃を阻止できます。
• 境界でSMBの送信をブロックしてください。それを行う正当な理由はほとんどありません。

CVE-2026-116928 — Windows 検索コンポーネント、リモートコード実行

重大 ・CVSS 9.8 ・AV:N / PR:N / UI:N ・トリガー：インデックス化された添付ファイル ・現時点で悪用例は確認されていない

ユーザーの操作を必要としない、認証前のRCE（リモートコード実行）。この脆弱性を他の9.8評価の脆弱性よりも深刻なものにしている点は、Exchangeサーバーに送信された悪意のある添付ファイルが、インデックス作成時に自動的に処理されてしまうことです。ユーザーが何かを開く必要は一切ありません。この脆弱性を完全に修正するには、WindowsとExchangeの両方の修正プログラムが必要です。

攻撃者がこれをどのように悪用するか

• インデックス作成が有効になっているExchangeサーバー上の任意のメールボックスに、作成済みの添付ファイルを送信します。
• 検索インデクサーは、人間がそのメッセージを目にする前に、それを解析して実行します。

注意すべき点

• コンテンツのインデックス作成が有効になっているExchangeサーバー（そのほとんどが該当します）。
• 検索インデクサーまたはExchangeトランスポートコンポーネントから予期しない子プロセスが生成される。
• アップロードを受け付ける共有フォルダで、Windows Search が有効になっているファイルサーバー。

緩和策に関する指針

• パッチ 両方の WindowsとExchangeの両方に対応しています。修正の半分では、この脆弱性が未解決のまま残っています。
• この問題については、悪用された項目と同じレベルの緊急性をもって対処してください。つまり、認証不要、ユーザーとのやり取りがなく、かつあらゆる組織がすでに運用している配信メカニズムであるという点です。
• テストしたサーバーだけでなく、DAG内のすべてのサーバーに更新が反映されていることを確認してください。

CVE-2026-119958 — Windows LDAP、リモートコード実行

重大 ・CVSS 9.8 ・範囲外書き込み ・AV:N / PR:N / UI:N ・まだ悪用例は確認されていない

LDAP サービスにおける認証なしの範囲外書き込み。LDAP はすべてのドメイン コントローラー上で実行されているため、これは 11 月の DNS 問題と同様の事態となっている。つまり、脆弱性のあるサービスと最重要資産が同一のホスト上にあるということだ。

攻撃者がこれをどのように悪用するか

• 作成したLDAPトラフィックを、到達可能なドメインコントローラーに送信します。認証情報は不要で、何もクリックする必要はありません。
• LDAP サービスコンテキストで実行します。DC では、これはディレクトリそのものを指します。

注意すべき点

• どのネットワークが、DC上で389/636に到達できるでしょうか。答えはたいてい「思った以上に多い」です。
• LDAP サービスが、対応する変更がないにもかかわらず、クラッシュしたり再起動したりします。
• ゲストセグメント、リモートアクセスセグメント、またはOTセグメントにさらされているDC。

緩和策に関する指針

• まずドメインコントローラーを優先し、その後に一般的なサーバー環境を扱います。ディレクトリ内の他のすべての要素は、これらに依存しています。
• 展開中はLDAPへのアクセス制限を行ってください。ネットワーク制御は一時的な対策に過ぎず、バグを修正できるのはパッチのみです。
• その際、もしLDAPの署名が強制されていない場合は、今月、その問題を修正すべき2つの独立した理由があります。

CVE-2026-88218 — Windows DNSServer 、リモートコード実行

重大 ・CVSS 9.8 ・AV:N / PR:N / UI:N ・今サイクルで4件のDNS関連CVE ・現時点で悪用例は確認されていない

Windows DNSにおける認証不要のリモートコード実行の脆弱性。これは、今回のサイクルで発見された4つのDNSの脆弱性のうちの1つであり、ZDIが「ワーム化可能」と分類する30件のCVEの一部である。多くの環境では、DNS（Server ）がドメインコントローラー上で実行されているため、この脆弱性は前述のLDAPの脆弱性と同じ場所に影響を及ぼす。つまり、1回のメンテナンスウィンドウで両方の問題を解決できるということだ。

攻撃者がこれをどのように悪用するか

• 到達可能な任意の Windows DNS サーバーに、特別に作成されたパケットを送信します。
• DNS サービスのコンテキストで実行される。同一サーバー上に存在する DC において、これはドメインの侵害につながる直接的な経路となる。

注意すべき点

• Active Directory と同一ホストを共有する DNS サーバー — スケジュールを設定する前に、その時点ではなく、事前に確認を行ってください。
• ユーザーVLAN、リモートアクセス範囲、またはインターネットからWindows DNSにアクセス可能です。
• 今回のリリースに含まれる残りの3つのDNS CVEについては、まとめて修正してください。

緩和策に関する指針

• LDAPパッチとの作業を、1回のDCメンテナンスウィンドウにまとめて実施する。同じホスト上に9.8が2つあるため、メンテナンスウィンドウを前倒ししても問題ない。
• 最初の足場がフィッシング攻撃を受けたノートパソコンである場合、「内部限定」は緩和策とはなりません。
• ロールアップ後のサービスの正常性を確認してください。1サイクルで4件のDNS修正が行われるため、通常よりもリグレッションの発生範囲が広くなります。

CVE-2026-119952 — Windows Schannel、リモートコード実行

重大 ・CVSS 8.1 ・悪用される可能性が高い ・AV:N / PR:N / UI:N ・まだ悪用されていない

SchannelはWindowsのTLS実装であり、暗号化された接続を終了させるあらゆる機能の基盤となっています。この脆弱性のスコアは前述の脆弱性よりも低いものの、今回のリリースにおいて「悪用される可能性が高い」と評価された数少ない事例の一つであり、これはマイクロソフトが、次なる悪用手法がどこから現れると予想しているかを示唆しているものです。

攻撃者がこれをどのように悪用するか

• Schannel を通じて TLS を終了するあらゆるサービス（IIS、RDP、LDAPS、TLS 経由の SMB など）にアクセスできます。
• ハンドシェイク中に、認証段階に入る前に実行する。

注意すべき点

• TLSを終了させる、インターネットに公開されているすべてのWindowsサービス。影響を受ける範囲は、個々の製品名から想像されるよりもはるかに広範囲に及んでいます。
• システムイベントログに、Schannelのエラーやハンドシェイクの失敗が集中して記録されている。

緩和策に関する指針

• 上記のマイクロソフトによる評価を8.1よりも重視すべきです。「悪用される可能性が高い」というのは将来を見据えた判断ですが、CVSSは静的な評価に過ぎません。
• まずインターネットに面したTLSターミネーター、次に内部のTLSターミネーター。
• 設定による回避策はありません。Schannelを無効にすることはできません。この更新プログラム自体が制御手段となります。

サードパーティによるリリース

実際に悪用が行われている場所。この期間に悪用が確認された43件のCVEのうち42件は、マイクロソフト社外からのものでした。そのうち9件はエッジデバイスまたは境界デバイスに関するものです。

PHPとパロアルト

php2shell · EPSS 0.9999 · 悪用済み

CVE-2026-109618 および CVE-2026-109619 は、 PHP コア自体に存在するに存在する未認証のRCE（リモートコード実行）脆弱性であり、10月21日に公開されました。1つはメモリ不足状態後のリクエストクリーンアップ中にメモリを破損させるもので、もう1つは再利用されたワーカー上で古いリクエスト状態を再利用するものです。これらは、Webリクエストを処理するすべてのPHPインストール環境（PHP-FPM、mod_php、php-cgi、FrankenPHP、LiteSpeed）に影響を及ぼしますが、mod_phpが最も深刻です。なぜなら、アプリケーションコードが実行される前に悪用が可能となるためです。 PHP 8.5.12、8.4.27、8.3.36、および 8.2.35 で修正されました。

Amazonの「MadPot」ハニーポットは、 10月17日、公開の4日前で、まだ報道規制中だった時期に。攻撃者は、これを「Fragnesia」と呼ばれるカーネルの権限昇格バグと組み合わせて、パロアルトのファイアウォール管理インターフェースにルートWebシェルを展開した。Dream Researchの調査によると、少なくとも25件の侵害が確認された。パロアルト社は、「影響を受けるために特別な設定は必要ない」と述べている。SecurityWeekによると、攻撃者はAIの支援を利用してこの攻撃チェーンを構築した。

イヴァンティ

Secure に接続 · チェーンが閉じられました · 悪用済み

10月のブリーフでは、ConnectSecure のチェーンにパッチが適用されていないリンクがあることが指摘されていました。現在、この問題は解決されています。 CVE-2026-111357（CVSS 8.8、dsinvokedルートメンテナンスサービスにおける認証の欠如）およびCVE-2026-118527（4.3、アップロードレースを可能にする予測可能な識別子）は、10月29日に25.1.1.3および22.8R2.6で修正されました。 両方の脆弱性は10月30日にKEVに登録されました。118527の期限は11月13日です。あと2日です。

VolexityによるUTA0576に関する詳細レポートは一読の価値がある。dsinvokedステージでは、Pythonペイロードが実行され、メモリ内のライブラリを一時的に変更し、メンテナンスタスクをroot権限で実行するようにリダイレクトした後、元の設定とメモリ状態を復元した。 Webシェルも永続的なバックドアも存在せず、コマンドは繰り返されるHTTPSリクエストを介して送信されていました。侵害後の活動では、Windows LAPSの管理者パスワードとBitLockerの回復キーが抽出されました。侵害されたアプライアンスは、当時、すべてのパッチが適用された状態でした。 「整合性チェックの結果が正常であったとしても、それだけでは侵害の可能性を排除することはできません。」

アドビ

110件のCVE · 9件のセキュリティ情報 · 「重大」

Adobe Connectが注目されています — APSB26-191では、24件のCVEが報告されており、そのうち18件が「Critical」と分類され、CVSSスコアは最大10.0に達しています。これらは認証やユーザーの操作を必要とせず、ネットワーク経由で攻撃可能です。ZDIは、これを今月最大かつ最も深刻なAdobeのセキュリティ情報と呼んでいます。Experience Manager（APSB26-189）ではさらに14件が追加されており、その中には低権限のアカウントのみで攻撃可能なCVSSスコア9.9の脆弱性が4件含まれています。

優先度2に分類されているのはこの2件のみで、残りの7件のセキュリティ情報はいずれも優先度3です。今月のアドビのセキュリティ情報には悪用されているものは含まれていませんが、CommerceおよびMagentoにおける無制限のファイルアップロードの脆弱性であるCVE-2026-48356は、10月27日にEPSS 0.475でKEVに登録されました。これは 3ヶ月連続で Adobe Commerceの脆弱性が悪用されたことが確認された月となります。

SAP

43件のメモ · 12件のHotNews · 重要

Onapsisはこれを過去最多と位置付けています。新たに公開・更新されたセキュリティノートが43件、HotNewsが12件、CVSS 10.0に該当する脆弱性が4件あり、いずれも認証不要で悪用可能です。 そのうち2件は、ICM2SHELLのメモリ破損脆弱性のペアである——CVE-2026-76964（NetWeaver AS ABAP）とCVE-2026-89126（Web DispatcherおよびHANA XSA）。 CVE-2026-89103は「PROXYGATE」と呼ばれるSAP Gatewayのアクセス制御の欠陥であり、CVE-2026-120017はNetWeaver SAML2サービスプロバイダーにおける認証の欠如です。

2つの運用上の落とし穴。 PROXYGATEは、パッチ適用後にプロファイルパラメータを手動で変更する必要がある — パッチを適用するだけではこの脆弱性は解消されません。また、ICM2SHELLに対するWebSocket無効化という回避策は、SAPによって明示的に推奨されていません。研究者らはSAPに実用可能なエクスプロイトを提供しましたが、現時点では実環境での悪用事例は報告されていません。

エッジアプライアンス

Citrix · SonicWall · Barracuda · 悪用された

バラクーダ 最新の脆弱性として、CVE-2026-116606（認証バイパス）とCVE-2026-111560（OSコマンドインジェクション）が明示的に連鎖していることが判明した。バラクーダは「少数の組織」に対する攻撃を確認しており、watchTowrはエクスプロイトコードを公開した。両脆弱性の修正は11月13日が予定されている。

SonicWallのCVE-2026-19868（7.1）により、有効な非SAML認証情報を持つユーザーが、SSL-VPN上でSAMLによって強制される多要素認証（MFA）を迂回できてしまいます。回避策はありません。修正版は7.3.4-7013および8.2.3-8015で、11月20日にリリース予定です。 Citrixは10月8日にCVE-2026-107406（CVSS 9.5、SAML設定済みのNetScaler）をリリースし、さらに14.1-73.49 / 13.1-64.32では、9月および10月の修正も含まれた別のphp2shellロールアップをリリースしました。

モジラ・ファイアフォックス

160 · 99件のCVE · 悪用事例なし

Firefox 160 (MFSA 2026-125) は、パッチチューズデーにリリースされ、99件のCVE（57件が「高」、24件が「中」、18件が「低」、そして「重大」はなし）が含まれていました。 ESR 115.45 および 153.7、さらに Thunderbird 160 および 153.7 も同時にリリースされました。1回のブラウザリリースで99件という数は、Mozillaの過去の平均をはるかに上回っており、Microsoftと同様の傾向を示していますが、MozillaはこれをAIを活用した脆弱性発見によるものだと公には述べていません。

Apple

2024年のCVE、すでに悪用されている · 悪用済み

Appleは11月9日、iOS/iPadOSの27.2.1、26.7.3、18.7.12に加え、3つのmacOSブランチに対して修正プログラムを配信した。3つのiOSブランチが同時に存在すること自体が一つの兆候である――SANSのリー・ニーリー氏は、「Appleが2つ以上のバージョンに対して修正プログラムをリリースしたときは、私は注目する」と述べている。

より興味深いのは、より古い脆弱性です。CVE-2024-27834（CVSS 5.5のポインタ認証バイパスで、Appleが2024年5月に修正した脆弱性）は、11月4日にKEVに登録されました。Sekoiaは、この脆弱性の悪用を APT29／Midnight Blizzardによるものと分析している。これは、侵害された正規サイトやPlerdy SEOトラッカーのサプライチェーン侵害を通じて配信され、クッキーを盗む情報窃取型マルウェアで終わるゼロクリック攻撃チェーンを形成していた。発生から2年半が経過した中程度の深刻度の脆弱性が、国家系アクターによって悪用された事例である。

発送を行う場合、これはどういう意味かSoftware

今月を特徴づけるのは、その規模の大きさではない。最も重大な2つの出来事――マイクロソフトの唯一の悪用された脆弱性の発見と、パロアルトのファイアウォールの侵害――が、わずか3週間の間に、対立する立場でAIの支援を伴っていたという点である。ある研究者は、すでに悪用されていたバグを発見するためにAIを活用した。一方、ある攻撃者は、本番環境のアプライアンスを乗っ取るための攻撃チェーンを構築するためにAIを利用した。

そして、実際にシステムへの侵入を許してしまった原因はPHPでした。これは製品そのものではなく、依存関係に過ぎません。CVEが公開される前に、自社製品やエンドポイント内に何が含まれているかを把握しておくことが、すべてを左右します。OESIS Detection & Patching Dashboardが可視化しているのは、まさにこの一連の流れ、つまり、どのアプリケーションがインストールされているか、そのアプリケーションにどのようなCVEが存在するか、そしてパッチがすでに公開されているかどうか、という情報です。

優先順位マトリックス

4つのバンドに分けており、最も深刻なものが先頭になります。バンドの分類はCVSSではなく、露出度と悪用状況に基づいて行われています。そのため、6.5のものが先頭に位置し、10.0のものが最下位となっています。ほとんどの組織が実際に運用しているソフトウェアを対象としており、データセット全体には、悪用された43件のCVEすべてと、対象期間内のすべてのベンダーが含まれています。

P1 — 現在 24時間以内に 43件中19件が悪用された

実環境での悪用が確認された — 予測ではなく、実際に観測されたもの。新しい順に並べ替えています：上段は前回のサイクルでは取り上げられなかったものです。

MicrosoftおよびChromeの行にはEPSSが表示されていません。これは、このスナップショットが取得された時点で、モデルがこれらのスコアを算出していなかったためです。残りの24件の悪用されたCVEは、メディアサーバー、バックアップアプライアンス、開発者向けツール、および10月8日のレガシーバッチに含まれています。これら43件すべては、「OPSWAT 」のCVEダッシュボードで検索可能です。

P2 — 今週 72時間以内 32件中12件

Windows、認証なし、ネットワーク経由でアクセス可能、ユーザーの操作不要。これらによって感染リスクが変わる際、何もクリックする必要はありません。Server の役割をまず確認してください。なお、DNSとLDAPはいずれもドメインコントローラーに到達することに注意してください。

今月はEPSSのコラムはありません。 このスナップショットを撮影した時点で、このモデルは1,095件のMicrosoft CVEのうちわずか1件しかスコア付けできていませんでした。これに対し、10月にはほぼ同じ時間帯に実行された際、ほぼ完全なカバレッジを達成していました。EPSSのスコアは独自のスケジュールで算出されるため、ダッシュで埋め尽くされたコラムは「データなし」ではなく「リスクが低い」ことを意味します。いずれにせよ、確認済みの悪用事例については、EPSSスコアは適切なランキング指標とはなり得ませんでした。

P3 — 今回のサイクル 7日以内 8件のCVE

重要かつ実行可能ですが、それぞれに前提条件（認証情報、認証済みセッション、送信済みのファイルなど）が必要です。「概念実証（PoC）」の行は、スコアにかかわらず、エクスプロイトの成熟度という観点からここに位置づけられます。

P4 — 措置なし 周知のみ 4件のCVE

サービス側。マイクロソフトは自社の環境内でこれらの問題を修正済みであり、顧客がデプロイすべきものは何もありません。同社は毎月、CVSSスコアに基づく未加工のランキングを公開しています。まさにその理由から、誰かを混乱させるような事態を避けるため、ここに掲載されているのです。

72時間計画

優先順位マトリックスからは読み取れないこと。

今後の予定は？

情報源

まずは主要ベンダーからのアドバイザリから。

1. マイクロソフト セキュリティ レスポンス センター、CVRF 文書 2026-Nov、改訂日 2026-11-11 — 標準的な CVE リスト、マイクロソフトが割り当てた CVSS および時間ベクトル。
2. CISAの「既知の悪用されている脆弱性」カタログおよびFIRST EPSS。
3. Zero Day Initiative、2026年11月のセキュリティ更新プログラムのレビュー。
4. Tenable、2026年11月の「パッチチューズデー」で1,093件のCVEに対処；Krebs on Security；Rapid7。
5. CVE-2026-109618 および CVE-2026-109619 に関する PHP Group のアドバイザリ；NCSC-NL の php2shell 製品トラッカー；Palo Alto の侵害事件に関する SecurityWeek の記事。
6. UTA0576およびIvanti Connectに関するVolexityの報告Secure; CVE-2026-111357およびCVE-2026-118527に関するIvantiのセキュリティアドバイザリ。
7. Onapsis、SAPセキュリティパッチデー、2026年11月。
8. アドビのセキュリティ情報（APSB26-191、-189 など）。
9. Mozilla、MFSA 2026-125（Firefox 160）。
10. Citrix CTX697191；SonicWall SNWLID-2026-0014；Barracudaのセキュリティアドバイザリ；CVE-2024-27834およびAPT29に関するThe Hacker Newsの記事。
11. AIによって発見された脆弱性と悪用率に関するVulnCheck。

調査方法。 件数には、CVRFにおいてマイクロソフトが「影響度」評価を付与したCVEを含み、再公開されたサードパーティのCVE 267件は除外している。 MicrosoftのCVSSおよびエクスプロイト成熟度値は、CVRFに基づきベンダーによって割り当てられたものです。サードパーティのCVSSは、CISAが公表していない場合、NVDまたは当該ベンダーから取得しています。EPSSは予測モデルであり、報告されるのみで、確認済みの悪用事例のランク付けには一切使用されません。今月は、データ抽出時点で1,095件のMicrosoft CVEのうち1件のみがスコア付けされていたため、Microsoftの表には含まれていません。 優先度マトリックスの対象範囲は、主流のエンタープライズソフトウェアに限定されています。基礎となるデータセットは、10月8日から11月10日までの間に悪用が確認された43件のCVEすべて、および当該サイクルに含まれるすべてのベンダーを網羅しています。悪用状況は、CISAのKEVおよびベンダー自身の確認に基づいており、サードパーティの主張に基づくものではありません。

2026年11月11日時点のデータ。 CISA KEVおよびEPSSは継続的に更新されており、マイクロソフトは公開後にCVRFを改訂しています。ここに記載されている数値は、11月11日の改訂版および同日午前時点のカタログを反映したものです。緩和策のガイダンスは一般的なものであり、各脆弱性の公表された特性に基づいて作成されています。これは、お客様の環境でのテストに代わるものではありません。