Microsoft、9月の月例更新で悪用済みのゼロデイ脆弱性2件を修正

Microsoft は米国時間の2026年9月8日、自社製品の脆弱性を修正する9月の月例セキュリティ更新プログラムを公開しました。対象は、Windows 11（v26H1、v25H2、v24H2、v23H2）や Windows Server、 Microsoft Office、Microsoft Exchange など多岐にわたります。今回修正された脆弱性のうち、「CVE-2026-85880」と「CVE-2026-81963」の2件は、修正プログラムが公開される前から、すでに悪用されていたことが確認されています。

確認された悪用の手口としては、システム内の権限管理を不当に回避して高い実行権限を奪い取るというものです。攻撃者が何らかの方法で端末内に入り込んだあと、この2件の脆弱性を使って管理者権限を奪うとされています。

今回の2件は、Windows の更新機能と、プログラム同士がやりとりする内部の仕組みにそれぞれ不備があったことが原因とされています。この不備を悪用すると、権限の低い一般ユーザーやプログラムであっても、管理者権限へ不正に昇格できてしまうとのことです。