Microsoft製品の脆弱性対策｜IPAが緊急情報を掲載

独立行政法人情報処理推進機構（IPA）は2026年10月14日、Microsoft製品の脆弱性対策について「緊急」の重要なセキュリティ情報を掲載しました。Microsoftも10月のセキュリティ更新プログラムを公開しており、対象製品を利用している企業は早期に更新状況を確認する必要があります。

今回の情報では、Windowsの脆弱性CVE-2026-96951について、Microsoftが実際の攻撃で悪用されていることを確認しています。脆弱性を悪用されると、アプリケーションの異常終了や、攻撃者によるPCの制御などにつながるおそれがあります。

1．なぜ「緊急」とされているのか

IPAの「重要なセキュリティ情報」では、影響度の高い問題が公開され、悪用した攻撃が行われている場合などに「緊急」として注意喚起されます。今回のMicrosoft製品に関する情報では、悪用が確認された脆弱性が含まれているため、早期の対策が求められています。

ただし、すべてのWindowsやOffice製品が同じ脆弱性の影響を受けるという意味ではありません。製品の種類やバージョンによって対象範囲が異なるため、MicrosoftとIPAの公式情報で確認することが重要です。

まず、社内で利用しているWindows、Officeなどの製品とバージョンを把握しましょう。そのうえで、Windows Updateや組織の更新管理システムを通じて、10月のセキュリティ更新プログラムが適用されているか確認します。

Windows Updateは通常、自動で更新をダウンロード・インストールする設定になっています。ただし、自動更新が有効でも、端末の状態や管理ポリシーなどによって適用状況が異なる場合があります。「自動更新だから大丈夫」と判断せず、実際の適用結果を確認しましょう。

更新後に再起動が必要となる場合もあります。業務システムへの影響を確認し、必要に応じて利用者への周知や作業時間の調整を行ってください。

社内PCの台数、Windowsのバージョン、Officeなどの利用製品を確認します。営業所や在宅勤務用PC、持ち出し端末も対象から漏れないようにしましょう。端末管理を外部の会社に委託している場合は、委託先にも確認を依頼します。

Microsoftの公式情報で対象製品と更新内容を確認し、必要なセキュリティ更新プログラムを適用します。更新管理を行っている企業は、管理担当者が配信状況を確認し、適用が完了していない端末があれば対応を進めてください。

更新を実施しただけで終わらせず、端末が正常に起動するか、業務アプリケーションが利用できるか、更新が正しく適用されたかを確認します。適用できない端末が残っている場合は、理由を把握し、更新管理の担当者と対応を検討しましょう。

社内に専任のIT担当者がいない企業では、PCの設定や更新管理を外部の保守会社に任せている場合があります。その場合は、対象端末への更新適用状況、適用できていない端末の有無、今後の対応予定を確認するとよいでしょう。

確認するときは、担当者が回答しやすいように、対象端末の一覧や管理台数を示し、更新済みか未適用かを確認します。自社で状況を把握しておくことで、更新漏れや管理の抜けを減らせます。

脆弱性対策の基本は、メーカーが提供する更新プログラムを適用し、システムを適切な状態に保つことです。それでも、事故が発生した場合に備え、端末の復旧手順や連絡体制、業務を継続するための代替手段も整理しておきましょう。

事業継続の備えについては、サイバー事故に備える事業継続計画と復旧訓練も参考になります。万一の事故に備え、復旧の手順や担当者を平時に確認しておくことが重要です。

サイバー保険についても、補償対象となる事故や費用、免責金額、支払限度額などは契約内容によって異なります。中小企業向けサイバー保険の基本と実務上の確認事項や、サイバー保険を比較するときの確認ポイントも確認し、自社の備えを整理しておきましょう。

IPAは10月14日、Microsoft製品の脆弱性対策を「緊急」として掲載しました。Windowsの脆弱性CVE-2026-96951では悪用が確認されているため、対象製品を利用している企業は、社内PCの更新状況を早急に確認しましょう。

まずは端末と製品の洗い出し、更新プログラムの適用、適用結果の確認から始められます。更新管理を委託している場合も、任せきりにせず、対応状況を把握しておくことが大切です。

本記事は一般的な情報提供を目的としています。対象製品や修正内容は変更される可能性があるため、IPAおよびMicrosoftの最新の公式情報をご確認ください。