【緊急】Microsoft 6月パッチ総点検：認証不要RCEの実リスクと対応優先度ガイド

【緊急】Microsoft 6月パッチ総点検：認証不要RCEの実リスクと対応優先度ガイド

① 過去最大規模の更新、その中の「見逃せない脆弱性」

2026年6月のMicrosoft月例更新（いわゆる「パッチチューズデー」）は、約200件の脆弱性が修正される過去最大級のリリースとなりました。うち「Critical」評価は数十件にのぼり、特に認証不要で悪用可能なリモートコード実行（RCE）脆弱性が複数含まれています。

セキュリティベンダー各社（Trend Micro、Impress Watchなど）は共通して警告しています。

攻撃者が認証なしで任意コードを実行可能な脆弱性が存在する。早期対応が被害防止の分かれ目。

特に注目すべきは、HTTP.sysやDHCP Clientなど、ネットワーク経由で自動拡散し得る“ワーム化リスク”を伴う脆弱性群です。本記事では、これらの中から「今すぐ行動が必要」な項目を整理し、IT管理者が取るべき優先対応をガイドします。

② 「認証不要RCE」とは何か：攻撃シナリオで理解する

認証不要RCE（Remote Code Execution）とは、ユーザー認証や操作なしに攻撃者が任意のコードを実行できる脆弱性を指します。つまり、パッチ未適用のPCやサーバがネットワーク上に存在するだけで感染・侵入が起こる可能性があります。

想定される攻撃経路

• HTTP.sys脆弱性（例：CVE-2026-47291） 攻撃者が細工したHTTPリクエストを送信するだけでIIS（Webサーバ）上で任意コードを実行可能。公開サーバを踏み台にワーム感染が拡大。
• DHCP Client脆弱性（例：CVE-2026-XXXX） 社内ネットワーク内で悪意あるDHCPレスポンスを返すだけで端末が感染。社内LAN全体への横展開が短時間で発生する恐れ。

これらは「ユーザー操作不要」で発生するため、従来の教育やフィッシング対策では防げません。通信が届くこと自体が危険という点が最大の特徴です。

③ 優先度マトリクス：CVE別リスクと対応推奨度

※CVE番号・内容はMicrosoft公式情報を必ず確認してください。

④ 自社環境での影響確認チェックリスト

注意：HTTP.sys脆弱性は、IISを有効化していなくても一部サービスが利用している場合があります。構成全体を確認しましょう。

⑤ 安全なパッチ適用の進め方（検証〜展開手順）

1. テスト環境での検証とバックアップ取得：互換性・動作確認、システムイメージバックアップを実施。
2. WSUS／Intuneによる段階的展開：限定グループに先行適用し、問題なければ全社展開。
3. ロールバック手順の事前確認：Microsoft公式手順を参照。
4. 適用後の監視：イベントビューアのエラーログ（例：Event ID 1001, 7031）を確認。

⑥ 経営層への報告に使えるリスク要約（1枚資料化の例）

リスクマトリクス（重大度×影響範囲）を1枚にまとめると、非技術層にも直感的に伝わります。

⑦ 継続的な脆弱性管理のポイント

• 脆弱性スキャンツール：Qualys、Tenable、Microsoft Defender Vulnerability Managementなどを定期使用。
• CSIRT／情報システム部門の連携：月例パッチ進捗を定例化し見える化。
• 自動化ツール導入：WSUS＋PowerShellで自動展開を構築。

⑧ まとめ：今すぐ確認すべき3つのステップ

1. 影響システムを洗い出す：HTTP.sys／DHCP使用環境を優先。
2. 優先度マトリクスに基づき計画を立てる：影響大のサーバは即対応。
3. 経営層と共有し迅速に意思決定：「認証不要RCE」は待てば安全ではない。