【CVE-2026-96951】Windows悪用済み脆弱性の対処法3ステップ｜今すぐ更新プログラムを適用すべき理由
「10月のWindows更新、急いで入れる必要はある？」と迷っている方に向けて、結論から先にお伝えします。
結論｜CVE-2026-96951の対処はWindows Updateを今すぐ適用すること
答えは「はい、まだなら今日中に適用してください」です。2026年10月の月例更新で修正されたCVE-2026-96951は、Microsoftが実際の攻撃での悪用を確認した脆弱性です。
IPA（情報処理推進機構）も2026年10月14日付で「被害拡大のおそれがある」として、至急の適用を呼びかけています。
| 項目 | 内容（2026-10-20時点） |
|---|---|
| 脆弱性 | CVE-2026-96951（Windowsシェル セキュリティ機能のバイパス） |
| 悪用状況 | Microsoftが悪用の事実を確認済み |
| 深刻度 | 「重要」 |
| 対処 | 2026年10月のセキュリティ更新プログラムを適用する |
| 緊急度の目安 | 米CISAが定めた連邦機関向けの対応期限（2026年10月16日）はすでに経過 |
対処そのものは「設定を開く→更新プログラムのチェック→インストールして再起動」の3ステップで終わります。以下で、理由と手順を順に説明します。
CVE-2026-96951とは？悪用済みと公表された脆弱性の中身
IPA・Microsoftが「悪用の事実を確認済み」とした脆弱性
Microsoftは2026年10月13日（米国時間）に月例のセキュリティ更新プログラムを公開しました。修正されたCVE（脆弱性ごとに付く共通の識別番号）は1,400件を超えています。
窓の杜によると、そのうち実際の悪用が確認されたのはCVE-2026-96951の1件のみです。IPAの注意喚起でも、CVE番号を挙げて案内されているのはこの脆弱性だけでした。
悪用されると何が起きるのか（Mark of the Webの保護回避）
Windowsは、インターネットからダウンロードしたファイルに「Mark of the Web（MOTW）」という目印を付けます。
この目印があると、開く前に警告が出たり、Officeファイルが保護ビュー（編集できない安全な表示モード）で開いたりします。
CVE-2026-96951が悪用されると、この保護を回避されるおそれがあります。つまり、危険なファイルを開いても、本来出るはずの警告が出ない可能性があるということです。
なぜWindows更新を「至急」適用すべきなのか
実際の攻撃で悪用され、CVSS 8.8と報じられている
CVSSは脆弱性の深刻さを0〜10で表す指標です。Security Affairsは、CVE-2026-96951のCVSSスコアを8.8と報じています。
同記事では、悪用に認証（ログインなど）は不要とされています。なお、これらの数値はMicrosoft公式ページで直接は確認できていません。最新情報はMSRCの該当ページで確認してください。
CISAのKEVに登録され、対応期限はすでに過ぎている
米CISA（サイバーセキュリティ・インフラセキュリティ庁）は、2026年10月13日付でこの脆弱性を「悪用が確認された脆弱性カタログ（KEV）」に追加しました。連邦機関向けの対応期限は2026年10月16日です。
公開からわずか3日での対応を求めた計算になります。一般の利用者に期限を守る義務はありませんが、緊急度の目安になります。2026-10-20時点で、この期限からすでに4日が過ぎています。
「ファイルを開かせる」手口と組み合わされやすい
この脆弱性の悪用には、細工したファイルを利用者に開かせるなどの操作が必要とされています。そのため、メールの添付ファイルや偽のダウンロードと組み合わされるリスクがあります。
攻撃者や攻撃キャンペーンの詳細は、Microsoftも公表していません。公開された実証コード（PoC）の有無も日々変わりうるため、「まだ大丈夫」と様子を見るより先に更新するのが確実です。
Windows更新を至急適用する方法（確認と3ステップ）
2026年10月の更新プログラムを適用済みか確認する
まず「設定」→「Windows Update」を開き、「更新の履歴」で下の表のKB番号（更新プログラムの管理番号）が入っているかを確認します。見つかれば適用済みです。
| 対象OS | KB番号 | 適用後のOSビルド | 公開日 |
|---|---|---|---|
| Windows 11 version 26H2 | KB5127648 | 26300.9711 | 2026年10月13日 |
| Windows 11 version 25H2 | KB5127648 | 26200.9711 | 2026年10月13日 |
| Windows 11 version 24H2 | KB5127648 | 26100.9711 | 2026年10月13日 |
| Windows 10 22H2（ESUに登録済みの場合） | KB5126657 | 19045.7807 | 2026年10月13日 |
| Windows 10 Enterprise LTSC 2021 | KB5126657 | 19044.7807 | 2026年10月13日 |
出典はMicrosoft公式のKB5127648のページとBleepingComputerです（2026-10-20時点）。
Windows 10 22H2は一般向けサポートが終了しているため、ESU（拡張セキュリティ更新プログラム）に登録していない場合、このKB5126657は届きません。
その場合は自分がESU対象外だったと分かる、という位置づけで表を見てください。詳しくは次の見出しで説明します。
KB5127648の公式ページには「This update provides security improvements.」とだけあり、修正したCVEの一覧は載っていません。
CVEごとの対応はMicrosoft Security Update Guideで確認できます。
手動で更新プログラムを確認・適用する3ステップ
未適用なら、Microsoft公式サポートの手順で手動適用します（Windows 11の場合）。
- 「スタート」→「設定」を開く（Windowsキー＋Iでも開けます）
- 左メニューの「Windows Update」を選び、「更新プログラムのチェック」を押す
- 更新が見つかったら「今すぐインストール」を選び、求められたら再起動する
再起動するまで適用が完了しないことがあります。作業中のファイルを保存してから、その日のうちに再起動しましょう。
更新が来ない・適用できない場合の対処法
「更新プログラムのチェック」で見つからないとき
次の順に確認してから、もう一度「更新プログラムのチェック」を押してください。
- 再起動待ちの更新が残っていないか（一度再起動する）
- ストレージ（Cドライブ）の空き容量が不足していないか
- インターネットに接続できているか
Windows 10・Windows 11 24H2を使っている場合
Windows 10 22H2は一般向けサポートが終了しています。セキュリティ更新を受け取り続けるには、拡張セキュリティ更新プログラム（ESU）への登録が必要です。
更新が届かない場合は、まずESUの登録状況を確認してください（登録手順は本記事では扱いません）。確認方法はMicrosoft公式サポートの案内を参照してください。
また、窓の杜の報道によると、Windows 11 version 24H2のHome/Proエディションは、2026年10月の更新が最後のサポート対象です。以降も更新を受け取れるよう、新しいバージョンへの更新を検討しましょう。
それでも解決しないとき
上記を試しても適用できない場合は、Microsoft公式のWindows Updateサポートページの案内に沿って、トラブルシューティングやサポートへの問い合わせを進めてください。
まとめ
CVE-2026-96951は、Microsoftが悪用を確認済みで、IPAも至急の適用を呼びかけている脆弱性です。
対処はWindows Updateで2026年10月の更新プログラムを適用するだけです。まだなら、この記事を閉じる前に「更新プログラムのチェック」を押してください。
自動更新をオフにしない、再起動を後回しにしない
今回のように、更新の公開から数日で悪用への対応が求められることがあります。自動更新は有効のままにし、再起動の通知が出たら早めに応じましょう。
見覚えのないファイルを安易に開かない
更新を適用しても、知らない相手からの添付ファイルやダウンロードしたファイルを開くリスクはゼロになりません。「警告が出ないから安全」と過信せず、出どころの分からないファイルは開かない習慣をつけましょう。
