2026年7月のWindows Update、脆弱性570件超で過去最多に――何をすべきか

「また更新通知か」と後回しにしていませんか

Windowsやスマホの更新通知が来るたびに、「後で」とスヌーズしてしまう。多くの人に心当たりのある習慣だと思います。しかし2026年7月の月例更新については、この「後回し」がいつも以上にリスクを伴う内容でした。

過去最多、570件超の脆弱性を一斉修正

Microsoftは2026年7月14日(現地時間)、Windows・Office・SharePoint・Active Directory フェデレーション サービス(AD FS)などを対象とした月例セキュリティ更新を公開しました。ITmediaの報道によると、修正された脆弱性は約570件にのぼり、これは前月(2026年6月・208件)の約3倍という異例の規模です。内訳は、権限昇格254件(全体の約44%)、リモートコード実行145件(約25%)、情報漏えい102件、サービス拒否35件、セキュリティ機能回避17件、スプーフィング16件と報じられており、深刻度が最高の「Critical(緊急)」と評価されたものだけでも59件にのぼるとされています。

特に急ぐべき2つの脆弱性

今回、公開前からすでに悪用が確認されているゼロデイ脆弱性が2件含まれています。JPCERT/CC(コーディネーションセンター)によると、対象は「CVE-2026-56155」(AD FSの特権昇格の脆弱性)と「CVE-2026-56164」(SharePoint Serverの特権昇格の脆弱性)です。いずれも米サイバーセキュリティ・インフラストラクチャセキュリティ庁(CISA)の「悪用が確認された脆弱性(KEV)」カタログにも登録されており、AD FSやオンプレミスのSharePoint Serverを運用している組織は、直ちに更新プログラムを適用することが強く推奨されています。

なぜここまで規模が拡大したのか

以前の記事で、Microsoftが「更新プログラムを3日未満で全展開する」という新基準を打ち出した背景として、AI技術による脆弱性悪用の高速化を紹介しました。今回の過去最多という規模も、同じ流れの延長線上にあるといえます。あるセキュリティ情報サイトの報道では、MicrosoftのセキュリティレスポンスセンターでVPを務める人物が、AIを活用した検査によって、これまでよりもはるかに注意深く、かつ頻繁にソフトウェアを検査できるようになっていると説明したと伝えられています。防御側がAIで脆弱性を見つける速度が上がるほど、公表される脆弱性の件数そのものも増えていく、という構造がうかがえます。皮肉なことに、AIによって「守りやすくなる」と同時に「直すべき箇所も一気に増える」という、悩ましい二面性が見えてきます。

まとめると

今回の月例更新は、件数の多さそのものよりも、「実際に悪用されている脆弱性が含まれている」という点が重要です。パソコンの更新通知が来ている場合は、先延ばしにせず、早めに再起動・適用を済ませておくことをおすすめします。