Windowsの10月更新で「悪用が確認された」脆弱性が修正。社内PCと業務システムで発注者が確認したい5つのこと

2026年10月17日2026年10月19日

2026年10月14日、IPA（情報処理推進機構）が「Microsoft 製品の脆弱性対策について（2026年10月）」を公表しました。今回の更新のなかに、すでに悪用が確認されている脆弱性（CVE-2026-96951）が含まれていることが、注意喚起の中心です。

「Windowsの更新は担当者が入れているはず。でもうちの業務システムは更新して動かなくならない？誰が確認しているのか分からない…」

先に結論をお伝えします。Windows自体の更新は、基本的に「今すぐ入れる」側に倒すのが安全です。そのうえで発注者が確認すべきは、更新そのものではなく、「業務システムが更新後も動くかを確かめる役割を、誰が持っているか」です。この記事では、2026年10月時点の公表情報をもとに、発注者が開発会社・情シス担当に確認したい5つのことを整理します。

ニュースの要点（2026年10月時点）

IPAの注意喚起の内容は次のとおりです。

📰 出典：IPA「Microsoft 製品の脆弱性対策について（2026年10月）」（2026年10月14日公表）

Microsoftが2026年10月分のセキュリティ更新プログラムを公開した
修正された脆弱性のうち、Windowsシェルのセキュリティ機能の回避に関する脆弱性（CVE-2026-96951）は、Microsoftが悪用を確認している
IPAは、悪用が確認されているため早急に対策するよう呼びかけている
脆弱性を悪用されると、アプリケーションが異常終了したり、パソコンを乗っ取られたりするおそれがある
対策は、Windows Updateなどでセキュリティ更新プログラムを適用すること。更新の管理を行っている組織は、Microsoftの公開情報を確認して速やかに配布する。更新によっては再起動が必要になる

※ 本記事は上記の公表時点（2026年10月）の情報に基づきます。深刻度のスコアや影響を受ける製品の一覧など、IPAのページに載っていない詳細は、Microsoftの公式情報（Security Update Guide）で確認してください。

発注者にとって何が変わるか、変わらないか

変わること

「悪用が確認されている」更新は、月例の定期作業ではなく期限を切って優先的に入れる対象になります。
社内のWindowsパソコンや、Windows上で動く業務システム（Windowsサーバー、Excelマクロ、Access、クライアントサーバー型の業務ソフトなど）を持つ会社では、更新の適用と動作確認の段取りを急ぐ必要があります。

変わらないこと

毎月の更新は例年どおり行われます。慌てて業務システムを作り直す話ではありません。
更新の適用そのものは、ほとんどの場合、Windows Updateで自動的に行われます。

筆者の見解として、更新を止めておくことのリスク（乗っ取り・情報漏えい）は、更新後に一部のソフトが動かなくなるリスクより大きくなりやすいと考えます。ただし、どのパソコン・サーバーを・いつ・誰が更新しているかが決まっていない会社ほど、判断が遅れます。

今やるべきこと／様子見でいいこと

今やるべきこと

社内のパソコンでWindows Updateが最新になっているか、情シス担当（または兼任の方）に確認する
更新を自動で入れていないパソコン・サーバー（業務システム専用機、工場や店舗の端末など）がないか洗い出す
業務システムを開発・保守している会社に、「今月の更新で影響が出ないか」を問い合わせる

様子見でいいこと

「システムの全面刷新」や「OSそのものの入れ替え」の検討。今回の更新だけを理由に急ぐ必要はありません（OSのサポート期限の話は別の判断です）

発注者が確認したい5つのこと

1. 更新を入れる担当は誰か

「情シスが入れているはず」「ベンダーが入れているはず」と、お互いに思い込んでいるケースがあります。パソコンは社内、業務システムの動くサーバーは開発会社のように、範囲ごとの担当を一覧にしておきましょう。

2. 更新を止めている端末はないか

動作確認が済むまで更新を止めている端末は、悪用が確認された脆弱性があるまま放置されがちです。止めている理由と、いつまで止めるかを明確にします。

3. 更新後に業務システムが動くかを、誰がいつ確かめるか

更新後の動作確認は、保守契約の範囲に入っている場合と、別料金の場合があります。契約書の「保守の範囲」を確認しましょう。

4. 更新で困ったときの連絡先と対応時間

更新後に印刷できない、取り込みが止まるなどの不具合が出たとき、誰に・いつまでに連絡すれば対応してもらえるかを事前に決めておきます。

5. 戻せるか（バックアップ）

大きな更新の前は、業務データと設定のバックアップが取れているか、戻す手順があるかを確認します。

発注者向けチェックリスト

☐ 社内のWindowsパソコンの更新状況を、担当者から報告してもらった
☐ 更新を止めている端末・サーバーの一覧と、止めている理由を確認した
☐ パソコンと業務システムで、更新の担当者を分けて把握している
☐ 保守契約に「OS更新後の動作確認」が含まれているか確認した
☐ 更新後に不具合が出たときの連絡先と対応時間を決めた
☐ 更新前のバックアップと、戻す手順があることを確認した

開発会社・情シス担当への質問例

「今月のWindows更新（悪用が確認された脆弱性の修正を含む）を、うちの業務システムの環境に適用しても問題ないか確認できますか？いつまでに回答をもらえますか？」
「OSの更新後の動作確認は、現在の保守契約に含まれていますか？含まれない場合の費用はどのくらいですか？」
「更新を適用していないパソコン・サーバーはありますか？ある場合の理由と、適用の予定日を教えてください」
「更新で不具合が出たときの連絡先、対応時間、元に戻す手順を教えてください」
「今後、毎月の更新を誰がどのタイミングで適用するか、運用ルールとして文書にしてもらえますか？」