Microsoftの2026年7月パッチ火曜日：569件の修正、ID基盤（AD FS）とERP（Dynamics）を直撃した月です

今日の深掘りポイント

• 569件という異例の規模。ゼロデイ悪用が少なくとも2件含まれ、優先度の見極めとロールアウト計画の巧拙がそのままリスクに直結します。
• アイデンティティ境界の要であるActive Directory Federation Services（AD FS）の特権昇格（CVE-2026-56155）が悪用事例あり。トークンサイン用証明書にまで踏み込まれると、Golden SAML的な長期潜伏を許す温床になります。
• ERP/会計中枢のMicrosoft Dynamics NAV／Dynamics 365 Business Centralにリモートコード実行（CVE-2026-55944, CVSS 9.8）。業務停止・データ改ざん・サプライチェーン波及の“直結点”です。
• 初動は「外部公開・ID・ERP」の三点に絞って緊急適用。代替統制はAD FSの証明書・設定の監査強化と、Business Centralの境界防御（公開停止・WAF一時強化・IP制限）です。
• 数の暴力に呑まれないために、プロダクト別のエクスポージャ棚卸しと、ゼロデイ／RCE／ID境界の順でリスクベースに並べ替えることが肝になります。

はじめに

今月のパッチ火曜日は、マイクロソフトが公表したCVEが569件に達し、月例として前例のない規模感になりました。さらに少なくとも2件のゼロデイ悪用が確認され、対象製品もOSからID基盤、業務アプリまで横断しています。現場は「すべてを今すぐ」は不可能です。だからこそ“どこから、どれを、どう止血するか”——優先度設計と代替統制の当て方が、今月はいつにも増して勝負どころになります。

一次情報として、MSRCの月例リリースノートと、技術ブログの集計を必ず突き合わせてください。MSRCのリリースノートは今月の全件・各CVEの悪用有無を確認するための起点になり、Tenableの月例まとめは重要CVEの把握と傾向分析に役立ちます。

• Microsoft Security Update Guide「2026-Jul」リリースノート（一次情報）MSRC Release Note 2026-Jul
• Tenableによる月例まとめ（重要CVEの指摘と悪用状況の整理）Tenable: Microsoft’s July 2026 Patch Tuesday addresses 569 CVEs

深掘り詳細

事実関係（ソースに基づく整理）

• 総数・内訳
  • 2026年7月は計569件のCVEに対処。Tenableは今月を「過去最大規模」と位置付けています［参考: Tenable］。
  • 深刻度の内訳（クリティカル/重要/中程度）はTenableの集計で56/510/3と整理されています［参考: Tenable］。
• ゼロデイ悪用
  • ゼロデイ悪用が少なくとも2件（CVE-2026-56155およびCVE-2026-56164）と整理されています。56155はAD FSの特権昇格で、実際の悪用が報告されています［参考: Tenable, MSRCリリースノートで各CVEのExploitation欄を確認推奨］。
• 注目CVE
  • CVE-2026-56155（AD FS Privilege Escalation）: アイデンティティ基盤に直結。CVSSは7台後半と報じられ、悪用事例あり［参考: Tenable, MSRC］。
  • CVE-2026-55944（Dynamics NAV / Dynamics 365 Business Central RCE）: CVSS 9.8。業務中枢（会計/受発注/在庫）に到達できるため事業影響が大きい［参考: Tenable, MSRC］。

注: ゼロデイ2件のうちCVE-2026-56164は製品詳細が限られているため、一次情報（MSRC）で自社該当性を必ず確認してください。

インサイト（ここから先は編集部の分析です）

• 「ID境界 × ゼロデイ悪用」の意味
  • AD FSはオンプレ認証・SAML発行の要。ここが特権昇格で破られると、発行トークンの信頼鎖に攻撃者が紛れ込めます。とりわけトークンサイン/復号鍵にアクセスされると、いわゆる“Golden SAML”型でクラウド含む広域の恒久的横展開が可能になります。検知が難しく、証明書ローテーションやフェデレーション設定監査まで視野に入れるべきフェーズです。
• 「ERP RCE × サプライチェーン」の意味
  • Dynamics NAV/Business CentralのRCEは、単体のサーバ侵害に留まりません。財務データ改ざんや発注・支払フローの乗っ取り、取引先への偽装請求、在庫異常を起点とした実物流の混乱など、デジタルとリアルが密結合する“意図せぬ物理影響”に繋がりやすいのが特徴です。
• 「数の暴力」への処方箋
  • 今月はEoP（特権昇格）とRCEが大勢を占める構成です。全件を深刻度順に並べるのではなく、「外部公開×RCE」「ID境界×EoP」「業務中枢×RCE」の三象限でまず緊急群を抜き出し、次に“悪用観測あり”と“悪用可能性が高い構成（例：公開/認証前/無認証エンドポイント）”をハイライトするリスクベース運用が有効です。加えて、今月のように母数が膨張したときこそ、資産台帳の正確さとタグ付け（公開有無、ビジネスクリティカル度、ID境界関連）が、スピードの差を決めます。

脅威シナリオと影響

以下は編集部の仮説に基づくシナリオです。実際の手口はMSRCや各社のIRレポートを継続確認してください。

• シナリオA：AD FS特権昇格（CVE-2026-56155）を足がかりにした長期潜伏
  • 想定フロー
    1. 既存の初期侵入（VPNクレデンシャル窃取や端末の別脆弱性悪用）からAD FSサーバに到達
    2. 脆弱性を用いた特権昇格でAD FSサービス権限を奪取
    3. トークンサイン/復号証明書や設定にアクセスし、SAMLトークン偽造の準備
    4. クラウド/オンプレのSP（Service Provider）へ横展開、目立たない時間帯にデータ収集・窃取を継続
  • 参考ATT&CKマッピング（例）
    • Initial Access: Valid Accounts（T1078）, Phishing（T1566）
    • Privilege Escalation: Exploitation for Privilege Escalation（T1068）
    • Credential Access: OS Credential Dumping（T1003）
    • Defense Evasion: Modify Authentication Process（T1556）
    • Impact/Persistence: Forge Web Tokens – SAML Tokens（T1606.002）
    • Lateral Movement: Remote Services（T1021）
• シナリオB：Dynamics NAV/Business Central RCE（CVE-2026-55944）からの財務・取引データ改ざん
  • 想定フロー
    1. 公開エンドポイントやリバースプロキシを経由してRCEを発動
    2. サービスアカウント権限でERPサーバ上にペイロード展開
    3. ERPアプリ層からDB層へ横展開、仕訳/得意先/支払指図の抽出・改ざん
    4. 取引先連絡へのなりすましや偽請求書送付で現金化
  • 参考ATT&CKマッピング（例）
    • Initial Access: Exploit Public-Facing Application（T1190）
    • Execution: Command and Scripting Interpreter（T1059）
    • Discovery: Query Registry / System Information（T1012/T1082）
    • Lateral Movement: Remote Services（T1021）
    • Collection: Exfiltration Over C2 Channel（T1041）
• 事業影響の勘所
  • ID側（AD FS）は「見えない侵害期間」が長期化しやすく、後追いの証跡確認・証明書ローテーション・信頼関係再構築で復旧工数が膨張します。
  • ERP側（Dynamics）は「業務目に見える停止/誤動作」の即時性が高く、決算・出荷・請求などクリティカルイベントのカレンダーと衝突すると、金額換算の損害が跳ね上がります。

セキュリティ担当者のアクション

• 0〜24時間（初動）
  • 資産棚卸しの即時更新：AD FS稼働有無、Dynamics NAV/Business Centralのバージョン/公開状況、外部公開Windowsサーバの一覧を確定します。
  • 緊急適用の優先付け：ゼロデイ悪用が報告されたCVE（CVE-2026-56155/56164）と、CVSSが極めて高いRCE（CVE-2026-55944）を最優先にパッチ適用します［MSRC/Tenable参照］。
  • 代替統制（暫定措置）
    • AD FS：外部公開の一時停止やアクセス元のIP制限、管理プレーン（PowerShell/GUI）への多要素・ジャンプホスト強制。証明書・フェデレーション設定の変更有無を監査し、異常があれば直ちにローテーションを計画します。
    • Dynamics：外部公開の停止、WAF/リバプロでの厳格化（メソッド/ペイロード制限）、管理インターフェースの閉塞、バックアップの整合性確認。
• 24〜72時間（展開フェーズ）
  • インターネット向き/ID境界/ERPの三群に分けて段階的に適用。EDRのリアルタイム保護を“高”に、ASR（Attack Surface Reduction）やスクリプト抑止ポリシーを強化します。
  • 検知強化：AD FSサーバ上の認証/証明書操作/設定変更のログを収集・相関（SIEM/Defender for Identity等）。Dynamicsのアプリ監査ログとDB操作ログの横持ちで改ざん痕跡を探知します。
• 7日以内（平準化）
  • クリティカル/重要をリスクベースで消化。ラボ/パイロット/本番の三段階リングでロールアウトし、既知の競合（AV/EDR/ドライバ/業務アプリ）を事前検証します。
  • ベンダ連携：MS以外のアドオン（ERP拡張、認証プラグイン、バックアップ・AV）との互換性確認と最新ビルド追随。
• 侵害兆候がある場合の追加措置
  • AD FS：トークンサイン/復号証明書のローテーション、信頼関係（RPT/Claim Rules）の精査、不要なフェデレーションの撤去。Golden SAML想定でクラウドSP側のトークン検証強化を一時的に実施します。
  • Dynamics：直近バックアップからのリカバリ手順をドライラン。決算/支払フローのダブルチェック導入、取引先への注意喚起（偽請求）を先手で打ちます。
• 運用KPIの見直し
  • 「悪用観測CVEのSLA（例：72時間以内適用）」「外部公開RCEの適用遅延中央値」「ID境界ノードのパッチ適用率」を今月の特別KPIとして週次で追い、来月以降の恒常運用に組み込みます。

参考情報

• Microsoft Security Update Guide – Release Notes: July 2026（一次情報。各CVEの悪用状況と影響製品はここで最終確認を）https://msrc.microsoft.com/update-guide/releaseNote/2026-Jul
• Tenable Blog – Microsoft’s July 2026 Patch Tuesday addresses 569 CVEs（今月の規模・注目CVE・悪用状況の整理に有用です）https://www.tenable.com/blog/microsofts-july-2026-patch-tuesday-addresses-569-cves-cve-2026-56155-cve-2026-56164

今月は「数」だけを見ると圧倒されますが、外部公開・ID・ERPの三点で“抜き出して捌く”と道が見えます。読者のみなさんの現場で、優先度設計と代替統制の巧みな組み合わせが、一日でも早い安心に繋がりますように。これからも、一次情報に根差した実務視点で伴走していきます。