Microsoftの2026年7月のPatch Tuesdayは記録的な570件のセキュリティ脆弱性を修正したが、同日にHiveLegacyと名付けられた新しいWindowsのゼロデイ脆弱性が開示され、研究者はさらなる攻撃を可能にする「強力なプリミティブ」であると述べている。
HiveLegacyの脆弱性は、以前にMicrosoftシステムを標的としたLegacyHiveゼロデイを公開したのと同じ脅威アクターによって開示された。研究者らはこれを、より危険なエクスプロイトの構成要素となる可能性がある、コアWindowsコンポーネントの特権昇格の欠陥であると特徴づけた。この開示は、今年に入ってWindowsの脆弱性を着実に公開し続けている、同一の連続的な脅威提供者からのものと思われる。
7月のPatch Tuesday自体はMicrosoftの歴史の中で最大であり、同社の製品エコシステム全体で570件のCVEを修正した。そのうち、254件が特権昇格の脆弱性、145件がリモートコード実行の欠陥、102件が情報漏洩の問題、35件がサービス拒否のバグ、17件がセキュリティ機能バイパス、16件がなりすましの欠陥であった。59件の脆弱性がCritical（重大）の深刻度評価を受けた。
2件のゼロデイ脆弱性は、パッチが利用可能になる前に活発に悪用されていた。CVE-2026-56155は、Active Directory Federation Services（AD FS）の特権昇格の欠陥であり、認証された攻撃者が管理者レベルに昇格することを可能にする。CVE-2026-56164はMicrosoft SharePoint Serverに影響を与え、重要な機能に対する認証の欠如により、権限のないリモート特権昇格が可能になる。Microsoftは、SharePointの欠陥に対する緩和策として、完全リクエストボディスキャンモードでのAntimalware Scan Interfaceの有効化を推奨している。
3つ目のゼロデイ脆弱性CVE-2026-50661は、公に開示されたがまだ悪用されていないBitLockerのセキュリティ機能バイパスであり、デバイスに物理的にアクセスできる攻撃者が暗号化データを読み取ることを可能にする。
Microsoftは、前例のない脆弱性の量を、最近展開したAIを活用した脆弱性発見システムに一部起因していると述べている。このシステムはWindowsのコードベースを積極的にスキャンして欠陥を探す。同社は2026年の最初の7か月間で1,308件の脆弱性を修正しており、2025年の同時期のほぼ2倍である。
セキュリティ専門家は、AIによって加速されたバグ発見、外部研究者による積極的な開示ペース、そして毎月リリースされるパッチの膨大な量の組み合わせが、企業のセキュリティチームにとって運用上の課題を生み出していると警告している。アップデートを遅らせることは、現在では著しく大きなリスクを伴う。
ソース：Ars Technica；CyberPress；TechRepublic
雅子 訳