Microsoft、AI活用拡大で「Patch Tuesday」の大規模化が続くと予告：「Microsoftユーザーは基本対策の徹底を」

Microsoftは、毎月のPatch Tuesdayの規模が今後も大きくなると予告した。AIによる脆弱性発見の加速が背景にあり、ユーザー側にはより迅速な対応が求められるとしている。

[＠IT]

　Microsoft Security Response Center（MSRC）は2026年5月12日（米国時間）、Patch Tuesdayの規模が今後も大きくなると予告した。2026年5月のホットパッチ提供月リリースとしては大きい部類であり、こうした傾向は当面続くとしている。

脆弱性発見のペースが劇的に加速　Patch Tuesdayの大規模化が定常化する理由

　Microsoft全体の脆弱（ぜいじゃく）性報告件数は数年にわたり着実に増加している。自動化ツールが成熟し、調整された開示プログラム（Coordinated Disclosure Programs）への研究者の参加も広がった。

　Microsoftのエンジニアおよび広範なセキュリティコミュニティーの双方が、数年前には実用的でなかった頻度と精度でAIを活用してソフトウェアを調査するようになっている。

先進的AIモデルが発見を加速

　「先進的なAIモデルは脆弱性発見の重要な要素であり、その速度を高めている」とMicrosoftは説明している。コードパスや構成について、手作業のレビューだけでは到達できない速度と一貫性で推論できるという。検証ワークフローに自動化を追加することで、深刻度や再現性をより速く評価でき、エンジニアリングチームに届く時点で品質が高く、対応に着手しやすい。一方で、人間の開発者とセキュリティ研究者は引き続き中心的な役割を担い続けるという。

2026年5月はMicrosoft発見比率が上昇　AI駆動スキャン体制を活用

　Microsoftによれば、2026年5月のリリースで対処した問題のうち、これまでの月と比較してMicrosoft自身が発見したものの比率が上昇した。多くはエンジニアリングチームと研究チームにおけるAI投資・調査を通じて発見されたもので、Microsoftが新たに導入した複数モデルによるAI駆動のスキャンシステム（multi-model AI-driven scanning harness）も活用されたという。外部研究者がAIと協力して発見したものも一定数含まれており、いずれもMSRCの検証・優先順位付け・開示の同じワークフローを経て処理された。

Patch Tuesday配信の間隔は維持　緊急対応の頻度には注意

　大規模なリリースが常態化したとしても、更新の提供方法や判断基準は一貫している。オンプレミスソフトウェアについては、引き続きPatch Tuesdayを定例のリリースサイクルとしており、PaaSおよびSaaSクラウドサービスは、ほとんどの場合ユーザー側の操作なしで継続的にアップデートされる。

　定例外リリースは、正当な理由がある場合に限って実施されるが、脆弱性発見の規模が拡大するにつれて、即座に対応する必要が生じるケースが増えることをユーザーは想定しておく必要がある。

　現時点では、バグの深刻度基準や修正の必要性を判断するための基準を変更する予定はない。ただし、状況の変化に応じて継続的に評価を続ける。深刻度については、セキュリティアップデートガイドに記載された全てのシグナルを基に、実環境への影響や悪用可能性を考慮して判断を継続する方針だ。

Microsoftがユーザーに求めるアクション

　Microsoftは2026年5月のリリースを受けてユーザーに以下のアクションを求めている。

サポート対象のOS、製品、パッチを最新の状態に保つ

　サポート対象のOS、製品、パッチについて、適用の速度と一貫性を見直す。件数ではなく、脆弱性の露出度と影響に基づいてトリアージ（優先順位付け）する。CVSS（共通脆弱性評価システム）に加えて、Security Update Guideが公開する「Exploitability Index」（悪用可能性指標）、公開エクスプロイトコードの有無、観測された悪用状況も活用する。

不要な攻撃対象領域（アタックサーフェス）を削減する

　インターネット公開システムを減らし、設定のセキュリティを厳格化し、旧式の認証方式を廃止する。

ID管理を強化する

　MFA（多要素認証）を導入し、特権アカウントを分離する。厳格なアクセス制御を徹底し、ID管理の体制を強固なものにする。

環境を分割（セグメンテーション）する

　小さな脆弱性が存在しても、攻撃者の影響範囲を抑える障壁を構築する。

検知と対応への投資を進める

　検知と封じ込めの速度は、パッチ適用の速度と同等に重要となる。

　「パッチ適用の基本的な原則は変わっていない。変化しているのは、その適用ペースだ。この変化に対応できる組織こそが、今後の展開に有利な立場に立つことができる」と、Microsoftは結論付けている。