Windows11 KB5124008、悪用済み2件は9月22日が期限

画像出典: ぱくたそ

Windows Updateの再起動を先送りにしたまま、数日経ってしまう。よくあることです。ただ2026年9月8日(米国時間)配信の更新は、すでに実際の攻撃で使われている脆弱性を2件ふさぐもので、性格が少し違います。

一方で「入れたら壊れた」という報告も確かに出ています。正直なところ、どちらの話も本当です。ここでは、危険の中身と不具合の範囲を切り分けて、手元のPCでどう判断すればいいかを整理します。

KB5124008とは？どの更新プログラムを入れればいい？

KB番号は、Microsoftが配信する修正プログラム1つずつに付いている管理番号です。9月8日(米国時間)に配信された月例更新は、使っているWindowsのバージョンによって番号が分かれます。

GadgetHacksの公表データをもとに作成

上の表は、バージョンごとに1つずつ対応するKB番号を並べたものです。番号を覚える必要はありません。設定 > Windows Update から「更新プログラムのチェック」を押せば、自分の環境に合うものが自動で選ばれます。「通知に出ている番号が、話題になっているあの更新かどうか」を確かめるためのものだと思ってください。表にある4つのKBはいずれも、後述する悪用済みの脆弱性2件を修正しています。

なお今回の月例更新で修正された脆弱性は、集計元によって966〜974件と幅がありますが、いずれにせよ過去最多レベルの規模です。ただし件数の多さ自体は、そのまま危険度の高さを意味しません。問題はその中身の2件です。

悪用が確認された脆弱性2件は、どのくらい危険？

セキュリティの世界では、修正プログラムが出る前から実際の攻撃に使われている欠陥をゼロデイ脆弱性と呼びます。今回はこれが2件含まれていました。どちらもCVSSスコア(危険度を10点満点で表す国際的な指標)は7.8、重要度は「Important」です。

CVE-2026-81963(Windows Update Stack)

Windows Update の処理部分にある「リンク追従(link following)」の欠陥です。リンク追従とは、ファイルの実体ではなく「別の場所への近道」を指す特殊なファイル(ショートカットに近いもの)を、プログラムがたどってしまうことを指します。攻撃者がこの近道を細工しておくと、本来は触れないはずのシステム領域のファイルを書き換えさせられます。これを突かれると、SYSTEM権限 — Windowsの中で最も強い、OS自身と同じ権限 — まで一気に昇格できます。現行のWindows 11各バージョンとWindows Server 2025が対象です。

米国のサイバーセキュリティ機関CISAは、この脆弱性を「既知の悪用された脆弱性(KEV)」カタログに登録し、連邦政府機関に2026年9月22日までの対応を義務付けました。政府機関に期限を切って命令するのは、実際の被害が確認されている案件に限られます。

CVE-2026-85880(Windows ALPC)

ALPC(アプリ同士がWindows内部でやり取りするための仕組み)にある権限昇格の欠陥です。こちらは古いWindows 10系統やWindows Serverの旧ブランチにも影響が及びます。

ここで大事な区別が1つあります。どちらも「インターネット越しにいきなり乗っ取られる」種類ではありません。攻撃者がまず何らかの形で手元のPCに足がかり — 怪しいソフトを実行させる、フィッシングで入り込む — を得たうえで、そこからSYSTEM権限まで駆け上がるための道具です。

だから「リンクを踏んでいないから大丈夫」ではなく、他の侵入手口と組み合わさった瞬間にPCの完全掌握まで一直線になる、という位置づけで捉えるのが正確です。家の玄関の鍵ではなく、家に入られた後に金庫まで開いてしまう欠陥、と言えば近いかもしれません。

不具合が報告されているのに、入れて大丈夫？

ここが判断の分かれ目でしょう。報告を整理すると、実は方向が逆の2種類が混ざっています。

9月更新が「直す側」の不具合

2026年8月27日配信のプレビュー更新(KB5120998)以降、Windows 11 24H2/25H2の一部端末で壁紙が真っ黒になる・マウス設定がリセットされるという不具合が起きていました。これは9月8日のKB5124008以降で解消済みと発表されています。

つまりこの点については、心配して更新を止めているほうが不具合を抱え続ける状態になります。同じく、ARM版デバイスでTeamsや新Outlookが起動しない・突然終了する問題(8月11日以降の更新で発生)も、9月更新で修正されました。

9月更新後に新たに報告されている不具合

見ていただくと分かるとおり、いずれも環境依存です。光るキーボードやAMDのグラフィックカードを使っていない、File Historyも使っていない — という多くの人にとっては、影響しない可能性が高い報告です。

安全に適用するにはどうすればいい？

結論としては、多くの人にとって更新を見送るリスクのほうが、更新で不具合を踏むリスクより大きい月です。そのうえで、万一のときに戻せる形にしてから進めます。

1. バックアップと復元ポイントを作るFile Historyが失敗するという報告があるので、それだけに頼らず、外付けドライブへ大事なファイルを手動でコピーしておくと確実です。復元ポイントは「システムのプロパティ」から作成できます。
2. 周辺機器のドライバとRGB制御ソフトを最新にするゲーム応答なしの問題は周辺機器起因の報告が出ているため、更新前にメーカー製ユーティリティを最新化しておくと回避しやすくなります。
3. Windows Updateから適用する設定 > Windows Update > 更新プログラムのチェック、で最新の累積更新を適用します。時間に余裕のあるタイミングで再起動まで済ませてください。
4. 更新後に動作確認をするARMデバイスでTeams・新Outlookを使っている方は起動を確認。AMD GPU環境の方はクラッシュの有無を、File Historyを使っている方はバックアップが完走するかを一度見ておきます。
5. 異常があれば10日以内に戻す設定 > システム > 回復 から「以前のビルドに戻す」が使えます。利用できるのは更新から10日以内なので、様子見をするなら期限を意識してください。

すぐに更新できない事情があるときは

仕事の締切中でPCを止められない、といった事情はあるものです。その場合、今回の2件が「まずローカルに足がかりを取られてから効く」タイプであることが手がかりになります。

心当たりのない添付ファイルを開かない、配布元の不明なソフトを実行しない。この基本を徹底することで、更新を当てるまでの空白期間のリスクはかなり抑えられます。ただしこれは時間稼ぎであって、代わりにはなりません。作業が落ち着いたら早めに当ててください。

CISAが期限とした9月22日は、連邦機関向けの義務であって一般利用者の締切ではありません。ただし危険度を測る目安としては使えます。バックアップを取ってから、まとまった時間のある日に再起動まで終える — その程度の段取りで足ります。「知ってから決める」ための材料は、これでひととおり揃いました。

よくある質問

KB5124008はどのWindowsに配信される更新ですか？

Windows 11 24H2および25H2向けの累積更新プログラムで、2026年9月8日(米国時間)に配信されました。Windows 11 26H1はKB5124012、23H2はKB5122880、サポート対象のWindows 10はKB5122878が対応する更新です。設定 > Windows Update から「更新プログラムのチェック」を実行すれば、環境に合うものが自動的に選ばれます。

2026年9月の更新で修正された、悪用済みの脆弱性は何件ですか？

2件です。CVE-2026-81963(Windows Update Stackの権限昇格)とCVE-2026-85880(Windows ALPCの権限昇格)で、いずれもCVSSスコア7.8、重要度はImportantです。どちらも攻撃者がローカルアクセスを得た状態からSYSTEM権限まで昇格するタイプで、リモートから単体で乗っ取られるものではありません。

更新すると壁紙が黒くなる不具合が起きると聞きましたが本当ですか？

逆で、2026年9月の更新はその不具合を修正する側です。壁紙が真っ黒になる・マウス設定がリセットされる問題は2026年8月27日配信のプレビュー更新(KB5120998)以降に発生していましたが、9月8日のKB5124008以降で解消済みと発表されています。ただしコミュニティでは9月更新後の黒いデスクトップを報告する声も別途あり、こちらはMicrosoft公式の既知問題リストとは別ソースの未確認情報です。

更新後に不具合が出たら元に戻せますか？

設定 > システム > 回復 にある「以前のビルドに戻す」機能で、更新から10日以内であれば以前の状態に戻せます。10日を過ぎるとこの方法は使えなくなるため、様子を見る場合も期限を意識してください。あわせて更新前に復元ポイントの作成と、外付けドライブへの手動バックアップをしておくと安心です。

※記事で使用した内容・数値は変更される場合があります。最新情報は公式サイトをご確認ください。