2026年7月のMicrosoft月例更新、情シスが優先すべき重大脆弱性まとめ

トップ/記事一覧/2026年8月のMicrosoft月例更新、約400件中いま危ないのは2件

まとめ2026年7月15日公開本日更新

この記事のポイント

毎月のMicrosoft月例更新（Patch Tuesday）から、企業の情シスが今月まず当てるべき重大脆弱性だけを日本語でまとめる月イチ更新ページです。2026年7月は、オンプレ版SharePoint Serverにログイン不要の乗っ取り2件（各9.8）が最優先。Exchange・Active Directory・DHCP・SQL Serverの遠隔コード実行も要対応。製品別の早見表付き。

このページは、毎月のMicrosoftの定例セキュリティ更新（通称Patch Tuesday、月例更新）から、企業の情報システム担当者が「今月まず何を当てるべきか」だけを日本語でまとめる、月イチ更新のページです。全件を網羅するのではなく、悪用の危険が高く、対象が広く、対応を後回しにできないものに絞って優先度を付けます。ブックマークして毎月ご確認ください。

今回は2026年8月分（8月11日公開）です。件数は集計元によって割れており、Tenableは398件、SecurityWeekは421件、BleepingComputerは約400件と報じています。いずれにせよ400件前後という、近年でも大きい月です。

今月まず優先すべきものは2つあります。ひとつはログイン不要でネットワーク越しに乗っ取られるDNSサーバーの穴（危険度9.8）。もうひとつはすでに実際の攻撃で使われている権限昇格の穴（危険度7.0）で、米政府は8月25日を対処期限に設定しました。数字は後者のほうが低いのに優先度が並ぶ理由は、本文で説明します。

今月（2026年8月）まず当てるべきもの

優先度は、「悪用にログインが要るか」「対象製品が社内でどれだけ使われているか」「すでに攻撃が始まっているか」で判断しています。危険度の数字順には並べていません。数字が9.8でも、その機能を入れていない組織には関係がなく、数字が7.0でも実際に攻撃されているなら先に当てるべきだからです。

優先度	製品	管理番号	危険度	ログイン	状況
最優先	Windows DNS サーバー	CVE-2026-62878	9.8	不要	悪用なしただし自動増殖の懸念
最優先	Windows全般（通信の土台部分）	CVE-2026-68820	7.0	要（低権限）	実際に攻撃中期限8月25日
高	SharePoint Server （オンプレ版）	CVE-2026-65665 ほか計29〜30件	8.8	要	悪用なし連鎖で無認証化の指摘
高	Exchange Server （オンプレ版）	CVE-2026-62911	—	要	競技会で実証済み
条件付きで高	Windows展開サービス（WDS）	CVE-2026-62893	9.8	不要	この役割を入れている場合のみ
中	Windows DHCP サーバー	CVE-2026-62823	8.8	不要	同じ社内網からのみ到達可

最優先その1：DNSサーバーの未認証乗っ取り（CVE-2026-62878・9.8）

今月の筆頭はこれです。CVE-2026-62878、危険度9.8。Windows Serverに載っているDNSサーバー機能に、ログインを一切必要とせず、ネットワーク越しに命令を実行できる穴があります。仕組みは「スタックベースのバッファオーバーフロー」（CWE-121）で、想定より長いデータを送り込んで処理を乗っ取る古典的な型です。

DNSは、社内の端末が「このサーバーの名前は、どのアドレスか」を聞きに行く先です。社内のほぼ全端末が、常時、自動的に通信している相手であり、ドメインコントローラー上で動いていることも珍しくありません。Zero Day Initiativeは今月の解説でこれを「ワーム化しうる（wormable）」と評し、最優先で検証・展開するよう名指ししています。ワーム化とは、乗っ取ったサーバーが次のサーバーを自動的に攻撃して、人の手を介さずに広がっていく状態のことです。

対象はWindows Server 2012以降と広く、8月12日時点で実際の攻撃は確認されていません。だからこそ、始まる前に当て切るべきものです。同月にはDNS関連でCVE-2026-62817（8.8）、CVE-2026-62820（8.1）も修正されています。DNSサーバーを自社で運用しているなら、今月はここから手を付けてください。

最優先その2：唯一「すでに攻撃されている」穴（CVE-2026-68820・7.0）

今月修正された約400件のうち、実際の攻撃が確認されているのはこの1件だけです。CVE-2026-68820、危険度は7.0。Windowsが通信を扱うために内部で使っている土台部分（WinSock向けのドライバ）に、解放済みのメモリを再び使ってしまう欠陥（CWE-416）がありました。

悪用にはすでにその端末上で何かを実行できる状態が前提です。つまり単体でいきなり乗っ取られる種類ではありません。ただし成立するとその端末の最高権限（SYSTEM）を取られます。侵入の「入口」ではなく、入った後に全部を握るための「昇格」に使われる穴です。米政府CISAは8月11日にこれを実際に攻撃が確認された脆弱性のリストへ追加し、政府機関の対処期限を8月25日としました（このリストの最新の登録状況はこちらで追えます）。

誰が使っているかも公表されています。セキュリティ企業Check Pointの分析によれば、北朝鮮系の攻撃集団が偽の求人を装って標的に近づく手口で使っていました。狙われたのは防衛・航空宇宙が中心で、フランス・ドイツ・インド・ブラジルの組織が挙がっています。同社の観測では、実際に攻撃対象になっていたのはWindows 11の最新世代（ビルド26100／26200）でした。

ひとつ、読む側が混乱しやすい点があります。Microsoftの公式情報では、この脆弱性の評価に「悪用は実証されていない」を意味する記号が付いたままになっています。実際に攻撃されていると同社自身が認めているのにです。Zero Day Initiativeもこの矛盾を指摘しています。数字や記号ではなく「悪用済みか」の表示を見て判断してください。

高：SharePointは今月も29〜30件、無認証にする「連鎖」の指摘あり

オンプレ版SharePoint Serverは、今月も29件（Tenable集計）から30件（SecurityWeek集計）が修正されました。うち最重要とされるのは3件で、CVE-2026-65665だけが乗っ取り（RCE）、残るCVE-2026-62827とCVE-2026-64921は権限昇格です。いずれも8.8で、悪用にはログインが要ります。

注意したいのは組み合わせです。Rapid7の研究によると、今月修正されたCVE-2026-63520（8.1）を、7月に修正済みの認証すり抜け（CVE-2026-55040）と連鎖させると、ログイン不要の乗っ取りが成立します。ただしこれは競技会向けの研究成果で、8月12日時点で実際の攻撃は確認されていません。7月分をまだ当てていない組織ほど危険という形なので、月をまたいだ積み残しがないかを確認してください。

なお、7月に大きく報じられたCVE-2026-50522（実際の攻撃あり）は別系統です。あちらは認証用の鍵を盗まれるため、更新を当てただけでは不十分で、鍵の入れ替えまで必要でした。詳細はSharePoint脆弱性の解説記事にまとめています。

条件付きで高：Windows展開サービス（CVE-2026-62893・9.8）

数字だけ見ると今月の最大級です。CVE-2026-62893、危険度9.8、ログイン不要。ただし対象はWindows展開サービス（WDS）という役割を入れているサーバーだけです。WDSは、社内のパソコンをネットワーク経由で一斉にセットアップするための機能で、Windows Serverに既定で入っているものではありません。

穴があるのは、この機能が使うTFTPという古い転送方式の部分です。TFTPには認証の仕組みがなく、UDPの69番ポートで待ち受けます。もっとも、この番号を社外から通している組織はまずありません。Zero Day Initiativeも「境界では塞がれているはずだが、社内での横移動には十分使える」という位置づけで説明しています。

正直に書くと、この役割を入れていない組織にとっては関係のない9.8です。逆に、社内のキッティングをWDSで回している組織にとっては最優先になります。まず「うちはWDSを使っているか」を確認してください。なお、Microsoftはこの機能の段階的な縮小を進めており、Windows Server 2022以降では従来のやり方での一括展開がサポート外になっています。この機会に使い続けるかどうか自体を見直す価値もあります。

中：DHCPサーバー、Exchange、そのほか

端末にIPアドレスを配るWindows DHCPサーバー（CVE-2026-62823・8.8）にも乗っ取りの穴があります。ログインは不要ですが、攻撃元が同じ社内ネットワークの中にいる必要があります（インターネット越しには届きません）。悪用されやすさの評価は情報源によって割れており、Tenableは高め、Microsoft寄りの整理では低めと見ています。優先度としては中程度です。

オンプレ版Exchange Serverでは、CVE-2026-62911がハッキング競技会で実際に成立が実証された権限昇格として報告されています。認証をすり抜けてメールボックスを乗っ取る経路です。メール基盤を自社で持っている組織は、今月分に含めて当ててください。

このほか、公開はされているが悪用は確認されていない穴が2件あります。他人の設定情報を読み込ませて管理者権限を取るCVE-2026-62832（7.8）と、コンテナ関連のドライバを改ざんできるCVE-2026-72971（5.5）です。どちらも通常の月例適用で構いません。

個人で使っている場合は、Windows Updateだけで足ります

ここまでは企業のサーバー運用の話です。自宅や個人のパソコンなら、Windows Updateを当てて再起動すれば終わりです。今月唯一実際に攻撃されているCVE-2026-68820も、まず攻撃者があなたの端末上で何かを動かせている状態が前提なので、インターネット越しにいきなり乗っ取られる種類ではありません。

Windows 11の24H2／25H2をお使いなら、今月の更新はKB5121003（ビルド26100.9168／26200.9168）です。累積更新なので再起動が必要です。加えて、端末の起動時の安全確認に使う証明書の入れ替えが順次進んでおり、機種によっては再起動がもう1回発生することがあります。異常ではありません。

Windows 10については、通常のサポートが2025年11月14日で終了しています。今月の更新（KB5120249）が届くのは延長サポートに登録している場合のみです。届かない場合は、更新が来ないこと自体が問題なので、Windows 11への移行を検討してください。

不具合については、8月12日時点でMicrosoftの公式ページに「このアップデートに関する既知の問題は現時点で確認されていません」と記載されています。7月分ではDell製の一部機種で電源まわりの不具合が出ましたが、8月分では同種の報告は出ていません。ただし公開翌日の時点なので、大規模な環境では数日置いてから展開する判断も妥当です。

自分の組織に当てはまるか、製品別の早見表

「うちに関係あるのはどれか」を製品ごとに整理しました。使っている製品の行だけ確認してください。オンプレミス（自社運用）のサーバーがある組織ほど、対応の優先度が上がります。

使っていたら	今月（8月）の対応	優先度
Windows DNSサーバー	今月分を最優先で適用（未認証・自動増殖の懸念）	最優先
Windows端末・サーバー（全般）	8月25日までに適用（唯一の実悪用・権限昇格）	最優先
オンプレ版SharePoint	今月分を適用 7月分の積み残しも確認	高
オンプレ版Exchange	今月分を適用	高
Windows展開サービス（WDS）	該当サーバーに適用使い続けるかも見直す	入れていれば最優先
Windows DHCPサーバー	該当サーバーに適用	中
Windowsの端末のみ	Windows Updateを適用再起動まで確認	通常
Microsoft 365 クラウドのみ	端末の更新のみ（サーバー対応は不要）	通常

クラウド（Microsoft 365／SharePoint Online／Exchange Online）だけを使っている組織は、サーバー側の脆弱性対応は不要です。Microsoftが更新を担うためです。対応が必要なのは、あくまで自社でサーバーを立てて運用しているオンプレミス製品です。

国内では、JPCERT/CCが8月12日に注意喚起を出し、IPAも重要度「緊急」として至急の適用を呼びかけています。どちらもCVE-2026-68820を名指ししています。

そもそもMicrosoftの月例更新（Patch Tuesday）とは

Microsoftは毎月第2火曜日（日本時間では水曜の未明〜午前）に、WindowsやOffice、各種サーバー製品のセキュリティ修正をまとめて公開します。これがPatch Tuesday、日本語では「月例更新」と呼ばれるものです。まとめて出すことで、企業側が計画的に検証・適用しやすくする狙いがあります。

各修正には、深刻度を示す指標「CVSS」（10点満点）と、Microsoft独自の悪用可能性の評価が付きます。危険度の数字だけでなく、「ログインが要るか（未認証か）」「実際に攻撃が始まっているか」「その製品が社内でどれだけ中枢にあるか」をあわせて見ると、当てる順番を判断しやすくなります。このページでは、その判断をあらかじめ済ませた形で優先度を提示しています。

なお、実際に攻撃が確認された脆弱性は、米政府機関CISAが「悪用中の脆弱性リスト（KEV）」として公開しています。日本語で追える最新の悪用状況はCISA KEV ダッシュボード（日本語版）にまとめているので、月例更新とあわせて確認すると、優先順位がさらに明確になります。

毎月の当て方、運用の勘どころ

月例更新を安全かつ確実に回すための基本を整理しておきます。毎月同じ手順で回せる体制を作ることが、結局いちばんの防御になります。

まず、優先度で二段構えにすること。ログイン不要で乗っ取られる穴や、すでに悪用が始まっている穴は、検証を待たずに先行して当てる。それ以外は通常の検証フローに乗せる。全部を同じ速度で回そうとすると、いちばん危ないものの適用が遅れます。次に、オンプレのサーバー製品を台帳で把握しておくこと。SharePoint・Exchange・AD・SQLといった中枢サーバーは、どこに何の版があるかを普段から一覧化しておくと、今月のような月に即座に対象を絞り込めます。

適用の仕組みは、端末はWindows UpdateやMicrosoft Intune、サーバー群はWSUSやWindows Server Update関連の仕組みでまとめて配るのが一般的です。適用後は再起動やサービスの再開まで確認し、「配信済み」で止めず「反映済み」まで見届けてください。そして、当てたあともすでに侵入されていないかの点検を忘れないこと。悪用が始まっている穴では、更新は「これ以上入られない」ための対策であって、「すでに入られていないこと」を保証するものではありません。

更新履歴

このページは、毎月のMicrosoft月例更新にあわせて内容を更新します。過去分の要点も、ここに簡潔に残していきます。

▸2026年8月（8月11日公開）：総数は集計元により398〜421件。実際の攻撃が確認されたのは1件だけで、Windowsの通信基盤の権限昇格CVE-2026-68820（7.0）。北朝鮮系の集団が偽求人を装う手口で悪用しており、CISAは8月25日を対処期限に設定。数字の最大はDNSサーバーの未認証乗っ取りCVE-2026-62878（9.8、ワーム化の懸念）で、悪用は未確認。ほかにWindows展開サービスのCVE-2026-62893（9.8・役割を入れている場合のみ）、SharePoint 29〜30件、Exchange CVE-2026-62911。7月修正のCVE-2026-55040と今月のCVE-2026-63520を連鎖させると無認証乗っ取りになるとの研究あり（実悪用なし）。
▸2026年7月：オンプレ版SharePoint Serverに未認証の乗っ取り2件（CVE-2026-50522／58644、各9.8）が最優先。Exchange・Active Directory・DHCP・SQL Serverの遠隔コード実行（各8.8・要低権限）も要対応。総数は100件超。［7月15日追記］SharePointの権限昇格CVE-2026-56164と、AD FSのCVE-2026-56155がCISA KEV（悪用中）に追加。RDP（CVE-2026-56190）・MSMQ（CVE-2026-50447）の未認証RCEも同月修正。