Microsoft製品の脆弱性に緊急対応を｜悪用確認されたWindowsの欠陥と企業の対策

「Windowsの更新は、自動更新に任せているから大丈夫」――。

そう考えている企業も多いのではないでしょうか。しかし、ソフトウェアの脆弱性が悪用されると、パソコンや業務システムの安全性に影響が及ぶ可能性があります。

2026年10月14日、情報処理推進機構（IPA）は、Microsoft製品の脆弱性対策について「緊急」の注意喚起を公表しました。Microsoftも10月のセキュリティ更新プログラムを公開し、Windowsの脆弱性「CVE-2026-96951」について、更新プログラムの公開前から悪用が確認されていたと説明しています。

今回は、このニュースのポイントと、中小企業が確認しておきたいセキュリティ対策を解説します。

1．何が起きた？Microsoft製品の脆弱性に緊急の注意喚起

Microsoftは2026年10月13日（米国時間）、同社製品の脆弱性を修正する月例セキュリティ更新プログラムを公開しました。

IPAは翌14日、更新プログラムの適用を呼びかける注意喚起を公表しています。

今回、特に注意したいのが「CVE-2026-96951」と呼ばれるWindowsシェルのセキュリティ機能バイパスの脆弱性です。Microsoftは、この脆弱性が更新プログラムの公開前から悪用されていたことを明らかにしています。

セキュリティ機能が回避されると、通常は警告や制限によって防がれる操作が成立してしまう可能性があります。脆弱性の具体的な影響や対象製品については、Microsoftの公式情報で確認することが重要です。

なお、今回の注意喚起は特定の企業だけを対象としたものではありません。Microsoft製品を利用している企業は、自社の環境が影響を受けるか確認する必要があります。

2．なぜソフトウェアの脆弱性を放置すると危険なのか？

脆弱性とは、ソフトウェアやシステムに存在するセキュリティ上の弱点です。攻撃者に悪用されると、情報の窃取、不正な操作、セキュリティ機能の回避などにつながる場合があります。

企業のパソコンには、メール、顧客情報、会計データ、社内文書など、業務に欠かせない情報が保存されていることがあります。

もし、脆弱性を悪用されて端末やアカウントに被害が及べば、情報漏えいや業務停止、復旧作業などの負担が発生する可能性があります。

特に注意したいのは、更新プログラムが公開された後も、すべての端末にすぐ適用されるとは限らないことです。自動更新を設定していても、端末の電源が入っていない、再起動が保留されている、管理設定に問題があるなどの理由で、更新が完了していない場合があります。

3．中小企業が今すぐ確認したい5つの対策

① Windows Updateの適用状況を確認する

まずは社内で利用しているWindowsパソコンについて、更新プログラムが適用されているか確認しましょう。

自動更新を有効にしている場合でも、更新が保留されていたり、再起動が必要な状態になっていたりすることがあります。更新履歴やWindows Updateの画面を確認し、必要な更新を適用してください。

② 社内のパソコンを洗い出す

会社が管理しているパソコンだけでなく、在宅勤務用の端末や、拠点に置かれた端末なども確認対象にします。

どの端末が使われているのか、誰が管理しているのか、更新状況をどこで確認できるのかを整理しておくと、緊急時にも対応しやすくなります。

③ Microsoft製品の公式情報を確認する

今回の注意喚起に限らず、脆弱性の対象製品や必要な更新プログラムは、製品や利用環境によって異なる場合があります。

Microsoftのセキュリティ更新情報やIPAの注意喚起を確認し、自社で利用している製品が対象となるかを調べましょう。業務への影響が大きいシステムについては、必要に応じてシステム管理者や保守会社にも確認してください。

④ メールやクラウドの認証対策も見直す

ソフトウェアの更新に加えて、会社のメールやクラウドサービスのアカウント管理も重要です。

多要素認証を設定する、パスワードを使い回さない、管理者権限を必要最小限にするなど、複数の対策を組み合わせましょう。

脆弱性対策だけで、フィッシングやアカウント乗っ取りなど、すべてのサイバー攻撃を防げるわけではありません。

⑤ 更新後の動作とバックアップを確認する

業務システムへの影響が心配な場合は、利用環境に応じて更新手順や動作確認の方法を整理しておきましょう。

また、万が一システム障害やサイバー攻撃が発生した場合に備え、重要なデータのバックアップが取得できているか、実際に復旧できるかも確認しておくことが大切です。

4．「自動更新だから安心」とは限らない

自動更新は、セキュリティ対策を進めるうえで重要な仕組みです。しかし、自動更新を有効にしているだけで、すべての端末が常に最新の状態になるとは限りません。

更新が適用されていない端末や、長期間使用されていない端末が社内に残っている場合もあります。

そのため、企業では更新を自動化するだけでなく、適用状況を定期的に確認する運用が重要です。端末の管理台帳を整備し、更新の遅れている端末を把握できるようにしておくと、対応漏れを減らしやすくなります。

専門のIT担当者がいない企業でも、パソコンの管理担当者を決め、更新状況を確認する日を定めることから始められます。

5．サイバー保険で確認しておきたいこと

脆弱性を悪用したサイバー攻撃によって、情報漏えいやシステム障害などが発生すると、原因調査、システム復旧、外部専門家への相談などの費用が生じる可能性があります。

サイバー保険は、契約内容によって、対象となる事故の調査費用や復旧費用、第三者への損害賠償責任などを補償する場合があります。ただし、すべての費用や損害が補償されるわけではありません。

確認しておきたいのは、次の点です。

• サイバー事故の調査費用や復旧費用が補償対象となるか
• 情報漏えいなどによる第三者への損害賠償責任がどのように補償されるか
• 支払限度額や免責金額がどう設定されているか
• 事故発生時の通知期限や、費用を支出する前の承認条件があるか

保険に加入しているからといって、脆弱性への対策や更新作業が不要になるわけではありません。技術的な対策を進めるとともに、万が一の事故に備えて補償内容を確認しておきましょう。

なお、保険金の支払可否は、実際の事故状況と契約条件によって判断されます。具体的な補償範囲については、加入中の契約内容を保険会社や代理店に確認することが大切です。

6．まとめ――更新状況の確認を後回しにしない

2026年10月、Microsoftは製品の脆弱性を修正するセキュリティ更新プログラムを公開し、Windowsの脆弱性「CVE-2026-96951」では、更新プログラム公開前からの悪用が確認されています。

企業では、Windows Updateの適用状況を確認し、社内で使用している端末を洗い出したうえで、必要な更新を進めることが重要です。

さらに、多要素認証、アクセス権限の管理、バックアップ、緊急時の対応手順などもあわせて見直しておきましょう。

サイバー攻撃への備えは、特別なセキュリティ製品を導入することだけではありません。日々使用しているパソコンやソフトウェアを適切な状態に保つことも、大切な対策の一つです。

※本記事は2026年10月14日時点の公開情報をもとにした一般的な情報提供です。対象製品や必要な更新プログラムは、MicrosoftおよびIPAの最新情報をご確認ください。保険の補償内容や支払可否は、商品・約款・特約・個別の契約条件によって異なります。