10月のWindows更新は入っていますか｜外から来たファイルの警告をすり抜ける脆弱性で、会社が確認すること

インターネットから入手したファイルやメールの添付を開くと、Windowsは「発行元を確認できません」といった警告を出したり、Officeのマクロを止めたりします。外から来たファイルに付く「印」を見て、安全側に動いているからです。この仕組みはダウンロードしたExcelのマクロが動かない・PDFに警告が出るに書きました。

この印の守りを、すり抜けられてしまう脆弱性が見つかりました。Microsoftは2026年10月13日の月例更新で修正し、実際の攻撃に使われていたことも認めています。

やることは難しくありません。10月の更新が、すべてのパソコンに入っているかを確認する。それだけです。ただ、現場で見ていると「更新したつもり」のパソコンは意外と残ります。この記事では、確かめ方を短くまとめます。内容は2026年11月5日の公開時点のものです。

何が起きたのか

項目	内容
脆弱性の番号	CVE-2026-96951
どの部分か	Windows Shell（ファイルの操作などを担当する部分）
何が起きるか	外から来たファイルに対する守りが効かなくなる
深刻度	10点満点で8.8
悪用	確認済み（Microsoftが認め、米国CISAも10月13日に悪用の一覧へ追加）
修正	米国時間10月13日の月例更新。10月26日にEdgeも対象に追加

この脆弱性だけで、パソコンが勝手に乗っ取られるわけではありません。Microsoftの説明では、攻撃者は細工したファイルをメールやメッセージで送りつけますが、ファイルを開くよう無理やりさせることはできません。誰かが開いたときに成立します。

報道によると、届く経路にはメール、チャット、ダウンロードのほか、TeamsやSlackのような仕事用のツールも挙げられています。攻撃の詳しい手口は公表されていません。

なぜ会社として気にする必要があるのか

怖いのは、いつもの注意が働かなくなることです。

場面	修正前の守り	すり抜けられると
外から来たファイルを開く	開く前に警告が出ることがある	警告が出ないまま開いてしまう
Officeのファイルを開く	読み取り専用の表示で開くことがある	その守りが効かないことがある
ファイルを実行する	Windowsが実行を止めることがある	止まらないことがある

「警告が出なかったから大丈夫だろう」と考えてしまう人は多いはずです。だから、この件は社員の注意力の問題にしないで、更新で片づけるのが正解です。

確認すること：パソコンの更新

対象はWindows 10、Windows 11、Windows Serverです。確認の手順は次のとおりです。

1. キーボードのWindowsキーを押しながらRキーを押す
2. 出てきた欄に winver と入れてEnterキーを押す
3. 「OSビルド」の数字を、下の表と比べる

使っているWindows	これ以上なら修正済み
Windows 11 26H2	26300.9711
Windows 11 25H2	26200.9711
Windows 11 24H2	26100.9711
Windows 11 23H2	22631.7652
Windows 11 26H1	28000.3231
Windows 10 22H2	19045.7807

表にない版を使っているときは、保守業者に確認してください。数字が小さければ、更新が入っていません。「設定」の「Windows Update」で更新を確認し、再起動まで済ませてください。更新は、再起動して初めて完了するものが多くあります。電源を切らずにスリープだけで使っているパソコンは、更新が途中で止まりがちです。

サーバーは、手順を決めて保守業者に任せてください。Windows Server 2025なら 26100.33650、2022なら 20348.5761、2019なら 17763.9376 が目安です。

もうひとつ：Edgeの更新

10月26日に、Microsoftは対象にEdgeを追加しました。Edgeは、バージョン 154.0.4258.62 以上が修正版です。

Edgeの右上の「…」から「設定」を開き、「Edgeについて」を選ぶと、バージョンの確認と更新ができます。開いたままで何日も閉じていない場合は、一度閉じて開き直してください。

更新が入らないパソコンは、どんなものか

現場でよく問題になるのは、次の4つです。

パソコン	起きていること	やること
電源を切らない、再起動しない	更新が「再起動待ち」のまま	再起動する
更新を止める設定にしている	止めた理由を誰も覚えていない	止めっぱなしにしない
Windows 10のまま	サポートが終わっていて、延長の対象外なら修正が届かない	買い替えや移行を決める
たまにしか使わないパソコン	使う日にしか更新されない	電源を入れて更新する

特に見落としやすいのは、経理の専用機や、現場の持ち出し用ノートです。毎日使うパソコンだけ見て「全部終わった」としないでください。

更新で業務ソフトが止まるのが心配で止めている場合は、1台で先に試してから広げる形がおすすめです。止めたままにするのが、いちばん危ない選択です。

更新が終わるまで、社内に伝えること

全部のパソコンの更新が終わるまでは、次の3つを社内に伝えておくと安心です。

• 心当たりのないファイルは開かない。警告が出なかったことを、安全の理由にしない
• 急がせるメールや、見覚えのない請求書の添付は、送り主に電話などの別の手段で確かめる
• メールだけでなく、TeamsやSlackなどで届いたファイルも同じように扱う

メールの見分け方はそのメール、本物ですかにまとめています。もし開いてしまったあとに様子がおかしければ、LANケーブルを抜く話のとおり、まず線を抜いて、保守業者に連絡してください。

11月の更新も忘れずに

次の月例更新は、米国時間の11月10日、日本では11月11日の見込みです。Windowsの更新は、新しいものに前の月の修正が含まれる形が基本なので、11月分が入れば10月分も一緒に片づくのが普通です。確認は、上の表の数字以上になっているかどうかで構いません。

毎月の更新を「気づいた人がやる」にしていると、同じことを毎月繰り返します。月に1回、日を決めて、全台の更新が済んでいるかを見る形にしておくと楽になります。

まとめ

• 外から来たファイルへの守りをすり抜ける脆弱性（CVE-2026-96951）が、実際の攻撃に使われていた
• 成立するのは、誰かがファイルを開いたとき。ただし、警告が出ないことがある
• 対策は10月の月例更新。全台の再起動まで確認する
• Edgeも 154.0.4258.62 以上にする
• 再起動していない、更新を止めている、たまにしか使わないパソコンを見落とさない

保守業者に送る文面

そのまま送っていただいてかまいません。

Windowsの脆弱性 CVE-2026-96951（2026年10月の月例更新で修正、悪用が確認済み）について確認させてください。当社のパソコンとサーバーに、10月以降の更新が適用され、再起動まで済んでいるでしょうか。Edgeも 154.0.4258.62 以上になっているでしょうか。適用できていない機器があれば、台数と対応の予定を教えてください。

出典

• Microsoftのセキュリティ更新ガイド（CVE-2026-96951）
• Help Net Securityの解説