何が起きたか
Microsoftは今週の月例更新「Patch Tuesday」で、Windows・Office・Windows Serverなど複数の製品にまたがる570件のセキュリティ脆弱性を一度に修正しました。これは同社として過去最多の規模です。第一報はセキュリティ研究者Brian Krebs氏の「Krebs on Security」が報じました。
このうち少なくとも2件は、Microsoftが把握する前に攻撃者が悪用していたゼロデイ脆弱性です。1つはWindows Serverに影響し、権限の限られた一般ユーザーからシステム管理者へと権限を奪取できるもの。もう1つはファイル共有サーバSharePointに関するもので、CISA（米サイバーセキュリティ・インフラ庁）は攻撃者がこれを悪用して組織へ侵入していると警告していました。
なぜ「過去最多」なのか
注目すべきは件数そのものよりも、その理由です。Microsoftは今回の1週間前のブログ投稿で、今後の月例更新の件数がこれまでより大幅に増える見込みだと予告していました。理由は、社員が未発見のバグを見つけるためにAIを活用しているためです。同社のPavan Davuluri氏は「AIが防御側の問題発見を助けることで、顧客は各リリースに含まれるセキュリティ更新の量が増えるのを目にすることになる」と述べています。
眠っていたコードが掘り起こされる
セキュリティ研究者は、サイバーセキュリティに特化した高度なAIモデルを使い、ソースコードの中に何年も眠っていた脆弱性を掘り起こし始めています。Windowsのコードの一部は数十年前にさかのぼり、人手のレビューでは見つけきれなかった欠陥が今、AIによって次々と表面化しています。つまり「更新件数の急増」は品質悪化ではなく、検出能力の飛躍を意味します。同時にそれは、攻撃側も同じAIで同じコードを探せることの裏返しでもあります。
💼 事業会社視点：これは自社にどう効くか
更新件数が過去最多になるという事実は、情報システム部門を持たない、あるいは片手間で運用している事業会社ほど重い意味を持ちます。受託開発・SaaS事業者は、自社が抱える古いコード（特に長年動き続けているレガシー資産）が、AIによって攻撃者側から先に精査される前提で棚卸しを急ぐべきです。「今まで指摘されなかった＝安全」はもう通用しません。
EC事業者にとっては、SharePointやWindows Serverのように社内共有・認証基盤が狙われた点が示唆的です。権限昇格型のゼロデイは、一度侵入されれば決済・顧客データまで一気に到達します。経営者・事業責任者が今動くべきは3点です。第一に、月例パッチの適用を「担当者任せ」から適用SLAを定めた業務プロセスへ格上げすること。第二に、CISAのKEV（悪用が確認された脆弱性）カタログを監視対象に組み込むこと。第三に、更新件数の増加を見越し、検証・適用にかかる工数を予算・人員計画に織り込むことです。AIは防御と攻撃の双方を加速させます。適用の速さそのものが、これからの競争条件になります。