概要
Microsoft は 2026年7月14日（現地時間）、月例セキュリティ更新プログラム（Patch Tuesday）を公開した。今月は 571件 の脆弱性に対応しており、そのうち 57件がCritical（緊急）、2件はすでに悪用が確認されたゼロデイ脆弱性だ。情シス担当者は本稿を参考に、優先度を整理して速やかにパッチを適用してほしい。
1. 今月の概要
2026年7月14日（パッチチューズデー）、Microsoft は合計 571件の脆弱性 に対応したセキュリティ更新プログラムを公開した。
| 重要度 | 件数 |
|---|---|
| Critical（緊急） | 57件 |
| Important（重要） | 511件 |
| Moderate（警告） | 3件 |
| 合計 | 571件 |
影響種別で見ると、リモートコード実行（RCE）が 145件、権限昇格が 250件 と特に多い。情報漏洩は 100件、サービス拒否（DoS）は 35件、セキュリティ機能バイパスが 17件、なりすましが 16件、メモリ関連が 8件となっている。
CVSSv3 スコアの分布では、7.0 以上が 428件（うち 9.0 以上は 18件）と深刻度が高い脆弱性が多数含まれる。
対応製品は Windows・Office・SharePoint Server・SQL Server・Exchange Server・Azure・Microsoft Defender for Endpoint など幅広い範囲に及ぶ。
2. 悪用済みゼロデイ：CVE-2026-56155（AD FS 権限昇格）
| 項目 | 内容 |
|---|---|
| CVE 番号 | CVE-2026-56155 |
| 製品 | Active Directory フェデレーションサービス（AD FS） |
| 脆弱性種別 | 権限昇格（Elevation of Privilege） |
| 深刻度 | Important（重要） |
| CVSS 3.1 スコア | 7.8（Base） / 7.2（Temporal） |
| CVSS ベクター | CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
| 悪用状況 | 悪用確認済み（Exploitation Detected） |
| 弱点分類 | CWE-1220（アクセス制御の粒度不足） |
| 発見者 | Jeremy Kingston・Scott Clark（Microsoft DART） |
攻撃の仕組み
AD FS のアクセス制御の粒度が不十分なことに起因する脆弱性だ。ローカルにアクセス権限を持つ攻撃者（標準ユーザー権限）が、この脆弱性を悪用することで 管理者権限を取得できる。
攻撃は「ローカル（AV:L）」「複雑さ低（AC:L）」「低権限ユーザーが必要（PR:L）」「ユーザー操作不要（UI:N）」という特性を持つ。組織内部の標準ユーザーアカウントが既に侵害されていた場合、このゼロデイを踏み台にドメイン管理者へ権限昇格される恐れがある。
Microsoft DART（Detection and Response Team）が発見・報告しており、すでに実際の攻撃での悪用が確認されている点が特に深刻だ。
対象 KB 番号
| 対象 OS | KB 番号 |
|---|---|
| Windows Server 2012 / 2012 R2 | KB5099444 / KB5099445 |
| Windows Server 2016 / Windows 10 1607 | KB5099535 |
| Windows Server 2019 / Windows 10 1809 | KB5099538 |
| Windows Server 2022 | KB5099540 |
| Windows Server 2025 | KB5099536 |
3. 悪用済みゼロデイ：CVE-2026-56164（SharePoint Server 権限昇格）
| 項目 | 内容 |
|---|---|
| CVE 番号 | CVE-2026-56164 |
| 製品 | Microsoft SharePoint Server |
| 脆弱性種別 | 権限昇格（Elevation of Privilege） |
| 深刻度 | Moderate（警告） |
| CVSS 3.1 スコア | 5.3（Base） / 4.9（Temporal） |
| CVSS ベクター | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N |
| 悪用状況 | 悪用確認済み（Exploitation Detected） |
| 弱点分類 | CWE-306（重要機能への認証欠如） |
| 発見者 | Jayson Frost（Mandiant）、Genwei Jiang（Google Cloud/FLARE OTF）、匿名 |
攻撃の仕組み
SharePoint Server の重要機能に対する認証チェックが欠如しており、認証なし・ユーザー操作なしでネットワーク経由から攻撃が可能だ。攻撃者はこの脆弱性で SharePoint 上の整合性（Integrity）を改ざんできる。
攻撃ベクターが「ネットワーク（AV:N）」「認証不要（PR:N）」「ユーザー操作不要（UI:N）」であるため、インターネットに露出した SharePoint Server は特に注意が必要だ。
Microsoft は緩和策として AMSI（Antimalware Scan Interface）の有効化 を推奨している。AMSI を SharePoint・IIS ワーカープロセスのメモリスキャンに統合し、Request Body Scan モードを「Full」に設定することで POST ボディのペイロードを検出できる。
対象製品と KB 番号
| 対象製品 | KB 番号 |
|---|---|
| SharePoint Server Subscription Edition | KB5002882 |
| SharePoint Server 2019 | KB5002883 |
| SharePoint Enterprise Server 2016 | KB5002891 |
注: SharePoint Server 2016 と SharePoint Enterprise Server 2016 は同一の KB が適用される。
4. 影響範囲と対象製品
今月の更新プログラムは以下の製品・サービスに対応している：
- Windows 10 / 11 / Server 系（2012〜2025）
- Microsoft Office（Word・Excel・PowerPoint・Outlook など）
- SharePoint Server（2016・2019・Subscription Edition）
- SQL Server
- Exchange Server
- Azure 関連サービス
- Microsoft Defender for Endpoint
- Visual Studio など開発関連ツール
Critical 評価の 57件には RCE 系が多く含まれ、サーバー環境・クライアント環境ともに広く影響する。CVSS 9.0 以上の 18件は特に優先してレビューすべき対象だ。
5. 推奨対応手順
最優先（今すぐ対応）
Windows Update を実行
Windows Server 管理者は WSUS またはグループポリシーで配信・適用状況を確認する。Windows 10/11 クライアントは「設定 → Windows Update → 更新プログラムの確認」から適用する。AD FS を運用している場合（CVE-2026-56155）
対象 OS の KB を適用し（上表参照）、適用後に AD FS サービスの動作を確認する。SharePoint Server を運用している場合（CVE-2026-56164）
対象製品の KB を適用（KB5002882 / KB5002883 / KB5002891）した後、AMSI 統合を有効化して Request Body Scan モードを「Full」に設定する。
参考: SharePoint Server の AMSI 統合設定
追加対応
インターネット公開 SharePoint の侵害確認
SharePoint Server をインターネットに公開している場合、ログを確認して不審な POST リクエストがないかを調査する。CVSS 9.0 以上の 18件を優先的にレビュー
MSRC セキュリティ更新プログラムガイドで Critical / CVSS 9.0 以上にフィルタリングし、自社環境での影響を評価する。WSUS / Intune でのパッチ配信状況を確認
社内端末への適用が完了しているか、管理ツールのレポートで確認する。
6. まとめ・YJK からのコメント
2026年7月の Microsoft 月例パッチは 571件と非常に多く、特に AD FS と SharePoint Server のゼロデイ（CVE-2026-56155・CVE-2026-56164）はすでに攻撃者に悪用されている。これらの製品を運用している組織は今すぐパッチ適用を開始してほしい。
AD FS ゼロデイは組織内の標準ユーザーから管理者権限への昇格を可能にするため、内部からの攻撃拡大（ラテラルムーブメント）に直結する。SharePoint ゼロデイはネットワーク経由・認証不要で悪用できるため、インターネット公開環境では特に危険だ。
YJK では月次パッチ適用の計画策定から緊急パッチ対応まで、情シス担当者の負荷を軽減するサポートを提供している。パッチ管理に課題を感じている場合はお気軽に相談してほしい。