Patch Tuesday（パッチチューズデー）とは？日本時間と2026・2027年の日程、Microsoftゼロデイへの対応順

Patch Tuesday（パッチチューズデー）は、Microsoftが毎月第2火曜日に公開する月例のセキュリティ更新です。公開は米国太平洋時間の10時なので、日本では水曜日の2時（米国の夏時間中）か3時（標準時の期間）になります。この記事では2026年と2027年の日程を日本時間で示したうえで、MSRC（Microsoft Security Response Center）の公開データを集計して、ゼロデイが月例パッチのどこに現れるのか、1,000件を超える月例をどの順番で当てればよいのかを整理します。

まとめ：Patch Tuesdayの日程とゼロデイ対応の要点

• 公開は米国太平洋時間の第2火曜10時。日本時間では水曜2時（3月第2日曜〜11月第1日曜の米国夏時間中）か3時です。1日が水曜日の月は日本時間で「第3水曜」になります。
• 2026年の残りは11月11日（水）と12月9日（水）で、米国の夏時間が11月1日に終わるのでどちらも3時です。2027年は1月13日（水）3時が最初で、9月15日と12月15日が第3水曜です。
• MSRCがゼロデイとして扱うのは、更新ガイドで「Exploited: Yes」（悪用を確認済み）または「Publicly Disclosed: Yes」（修正前に詳細が公開済み）になった脆弱性です。
• 2025年7月〜2026年10月に悪用確認済みとされた26件のうち、深刻度「緊急」は3件だけでした。5件は月例日以外に公開されています。深刻度や月例日だけを基準にすると取りこぼします。
• 2026年10月の月例はMicrosoft採番のCVEが1,408件で、今回集計した2025年7月以降で最多でした。悪用確認済みはWindowsシェルのCVE-2026-96951の1件です。
• 件数で優先度を決められなくなったため、MSRCは10月に、同じ環境の問いを共有するCVEをまとめる「risk cohorts」を試行案として示しました。

Patch Tuesdayの公開日時と日本時間

Microsoft LearnのWindows monthly updates explainedは、月例のセキュリティ更新を「Second Tuesday of each month, typically published at 10:00 AM Pacific Time (PST/PDT)」と説明しています。同じページは、呼び名としてPatch Tuesday、Update Tuesday、B week release（月の第2週のリリース）を併記しています。Office、SQL Server、Exchange、SharePointなどオンプレミス製品の修正も同じ日に出ます。

2026年の公開日一覧（日本時間）

MSRCの日本チームは毎年11月ごろに翌年の公開予定日を発表しており、2026年分は2025年11月15日の投稿に載っています。米国の夏時間は2026年は3月8日〜11月1日で、この期間は日本時間の2時、それ以外は3時です。

2027年の公開予定日（日本時間）

2027年分のMSRC公式スケジュールは2026年10月31日時点で未発表です。次の表は「第2火曜」の規則と米国の夏時間（2027年は3月14日〜11月7日）から計算した予定で、公式発表が出たらそちらを優先してください。

「日本では第2水曜」と覚えると、1日が水曜日の月にずれます。社内の作業カレンダーには「第2火曜の翌日」で登録するのが確実です。3月は米国の夏時間開始が第2日曜なので、2027年のように月例日が先に来る年は3時のままです。

月例以外に出る更新：プレビューと帯域外（OOB）

同じMicrosoft Learnのページは、月例以外の更新を2種類挙げています。1つは第4週に出る任意の「非セキュリティプレビュー」（D week release）で、翌月の月例に入る修正を先に試すためのものです。もう1つが帯域外（Out-of-band、OOB）更新で、直近に見つかった問題や脆弱性を月例を待たずに直します。悪用が進んでいるゼロデイは、このOOBで出ることがあります。MSRCのスケジュール投稿は、新着と更新の通知をセキュリティ更新プログラムガイドのプロファイル登録かRSSで受け取るよう案内しており、OOBを当日に知るにはこのどちらかを設定しておきます。

Microsoftがゼロデイとして扱う条件：ExploitedとPublicly Disclosed

MSRCのセキュリティ更新プログラムガイドは、CVEごとに「Publicly Disclosed」と「Exploited」の2つのフラグを付けています。MSRCのFAQによると、前者は更新の公開前に脆弱性が公表されていればYes、後者は更新の公開前に悪用されていればYesです。報道が「今月のゼロデイはN件」と書くときは、このどちらかがYesのCVEを数えています。2026年10月の「ゼロデイ3件」も、悪用確認済み1件（CVE-2026-96951）と公開済み2件（.NET FrameworkのCVE-2026-108398とMessagePack-CSharpのCVE-2026-92707）の合計です。

3つ目の指標がExploitability Index（悪用可能性指標）です。MSRCは次の4段階で定義しています。

Exploitedのフラグは公開後に書き換わることがあります。2026年7月のCVE-2026-58644（SharePointのリモートコード実行）は、修正自体は6月の更新に入っていたのにCVEが6月のリリースから漏れていました。7月14日にCVEを公開した翌日の15日に、Exploitability Index・Exploitedフラグ・CVSSベクターを訂正しています。公開日に一覧を見て終わりにせず、翌週にもう一度フラグを確認する手順を入れておくと、こうした後出しの「悪用あり」を拾えます。CVEやCVSSの基本は脆弱性の種類とCVE・CVSSの仕組みとCVSSスコアの見方と計算方法で解説しています。

2025年7月〜2026年10月のゼロデイ26件を集計した結果

MSRCはCVRF API（api.msrc.microsoft.com/cvrf/v3.0、認証不要）で月ごとの全CVEを機械可読な形で公開しています。2026年10月31日に2025年7月〜2026年10月分を取得し、Microsoftが採番したCVEのうち初回公開日が月例日と同じものを数えました。

2026年の月別CVE件数と深刻度・悪用状況

「悪用確認済み」は各月のCVRF文書でExploited: YesになっているCVEで、月例日以外に追加されたものを含みます。2025年7月〜12月は月57〜167件で推移していました。CVRF文書にはAzure Linux向けのLinuxカーネルのCVEやEdge向けのChromiumのCVEも同居しており、2026年10月の文書は全体で3,345件あります。採番機関がMicrosoftのものだけに絞らないと、件数が倍以上に膨らみます。9月の「緊急」は10月4日の取得時点で113件でしたが、その後の改訂で112件になりました。深刻度も公開後に動くので、社内報告には取得日を添えます。

月例CVE件数が集計条件と取得日で変わる理由

10月の件数は媒体ごとに違います。CVRF文書で数えると、Microsoft採番で月例日に公開されたものが1,408件、同じ日に公開されたGitHub採番（MessagePack-CSharpなどのオープンソース部品）が3件あり、合わせるとBleepingComputerの見出しの1,411件と同じ数になります。一方、10月30日時点のリリースノートの冒頭は「This release consists of the following 1468 Microsoft CVEs」で、月例日の後に追加されたCVEも含んでいます。9月も同じで、973件のうち9件は「Customer Action Required: No」（クラウド側で修正済みで、利用者の作業は不要）でした。これを除いた964件がTenableの報じた件数です。どの数字を社内報告に使うにしても、採番機関・公開日・利用者の作業要否のどれで絞ったかを添えないと、前月比が意味を持ちません。

10月に悪用確認済みとされたWindowsシェルのCVE-2026-96951は、Windows 2026年10月の月例更新：CVE-2026-96951の修正KBとビルド確認スクリプトで、OS別の修正KBと適用状況の確かめ方を扱っています。11月に悪用確認済みとされたOutlookのなりすましCVE-2026-124194は、Microsoft 2026年11月の月例更新：Outlookの悪用済みCVE-2026-124194と修正版の確認方法で、チャネル別の修正ビルドと判定スクリプトをまとめています。

悪用確認済み26件の深刻度分布と優先順位判断の限界

期間中に悪用確認済みとされた26件（Microsoft採番25件と、MITRE採番でIGELのSecure Boot回避であるCVE-2025-47827の1件）の内訳は、権限昇格12件、セキュリティ機能のバイパス6件、なりすまし3件、リモートコード実行2件、サービス拒否2件、情報漏えい1件です。Microsoftの深刻度が「緊急」だったのはCVE-2025-53770（SharePoint、ToolShell）、CVE-2026-42897（Exchange）、CVE-2026-58644（SharePoint）の3件だけで、CVSS 9.0以上も2件です。残りの多くはCVSS 7.8・深刻度「重要」のローカル権限昇格でした。10月のCVE-2026-96951もCVSS 8.8の「重要」です。

悪用確認済み26件のうち23件は「緊急」以外であり、深刻度だけでは対応の優先度を判断できません。権限昇格の脆弱性は、フィッシングなどで端末に入った攻撃者が次の段階に進むために使われます。CVE-2026-96951のようなセキュリティ機能のバイパスも、メールやダウンロードで届いたファイルの警告（Webのマーク）を外して侵入の入口を作る部品です。単独では「重要」でも、侵入の連鎖ではこうした部品が攻撃の成否を分けます。

月例日以外に公表された悪用確認済みCVEの5件

26件のうち5件は、初回公開日が月例日ではありませんでした。

• CVE-2025-53770（SharePoint Server）：2025年7月19日（土）に公開
• CVE-2026-21509（Microsoft Office）：2026年1月26日に公開
• CVE-2026-42897（Exchange Server）：2026年5月14日に公開
• CVE-2026-41091、CVE-2026-45498（Microsoft Defender）：2026年5月19日に公開

MSRCのTom Gallagher氏は2026年5月12日の投稿で「customers should be prepared for more frequent cases where out-of-band updates require immediate attention」と書いています。月例日を待つ運用に加えて、OOBが出たときに当日中に影響を判断できる窓口が要ります。Exchangeの件はCVE-2026-42897の修正SUと緩和策の外し方で個別に扱っています。

2026年に月例パッチが急増した理由：AIによる脆弱性発見

件数が増えた原因について、Microsoftは2つの公式発信をしています。Gallagher氏の2026年5月12日の投稿は、件数が「trending larger for some time」と見通したうえで、5月のリリースではMicrosoft社内で見つかった割合が前月までより高く、その多くは新しい「multi-model AI-driven scanning harness」を含むAIの取り組みで見つかったと説明しました。同じ投稿は、修正が必要かどうかの判断基準（bug bar）は変えていないとも明記しています。

2026年7月9日にはWindows Experience BlogでPavan Davuluri氏が、Windowsのコードベースの走査にMDASH（multi-model agentic scanning harness）を使っていると書きました。同じ投稿には「customers will see a higher volume of security updates included in each security release」とあります。7月の571件、9月の973件、10月の1,408件はこの見通しどおりの推移で、10月は1か月で2025年7月〜12月の6か月分（計602件）の2倍を超えました。

運用への影響は、件数の多さそのものより「件数で緊急度を測れなくなった」ことにあります。Gallagher氏も同じ投稿で「Triage by exposure and impact, not raw count」と勧めています。AIによる発見が攻撃側でも進んでいる点はAI製ゼロデイ攻撃の手口と防御策、AIモデルによる大量発見の事例はClaude Mythosによる脆弱性1万件超の発見と企業の初動を参照してください。

SharePoint ToolShell（CVE-2025-53770）の帯域外対応

OOBで出たゼロデイの対応手順は、2025年7月のToolShellが典型例です。MSRCの「Customer guidance for SharePoint vulnerability CVE-2025-53770」の改訂履歴をもとに時系列を整理しました。

影響を受けたのはオンプレミスのSharePoint Serverだけで、Microsoft 365のSharePoint Onlineは対象外でした。MSRCが示した手順は、更新を当てることに加えて、AMSI（Antimalware Scan Interface）を有効にして可能ならFull Modeにすること、そして更新またはAMSI有効化の後にASP.NETのマシンキーをローテーションしてIISを再起動することです。マシンキーの更新を省くと、修正前に盗まれた鍵で侵入され続けるおそれがあります。

Set-SPMachineKey -WebApplication https://portal.example.local
Update-SPMachineKey -WebApplication https://portal.example.local
iisreset.exe

先頭の2コマンドはSharePoint管理シェルで各Webアプリケーションに対して実行し、キーの展開後にファーム内の全サーバーでiisreset.exeを実行します。AMSIを有効にできない場合、MSRCは最新のセキュリティ更新を適用するまで、サーバーをインターネットから切り離すことを検討するよう推奨していました。SharePointは2026年7月にも悪用済みの脆弱性が2件（CVE-2026-56164、CVE-2026-58644）あり、KEVの期限はどちらも追加から3日でした。オンプレミスのSharePointを社外に公開している組織は、月例とは別に監視対象として扱う必要があります。SharePoint OnlineとOneDriveの違いはSharePointでできること・OneDriveやTeamsとの違いを参照してください。

1,000件超のCVEを含む月例更新の適用優先順位

CISA BOD 26-04の判定軸と社内ルールへの応用

Windowsの月例は累積更新なので、CVEごとに別々のパッチを当てるわけではありません。決めるのは、どの端末・サーバーから先に当てるかと、検証に何日かけてよいかです。優先順位の基準として使いやすいのが、米国CISAが2026年6月10日に出した拘束的運用指令BOD 26-04「Prioritizing Security Updates Based on Risk」です。KEVを作ったBOD 22-01（2021年11月3日）と、インターネット公開システムの修正期限を定めたBOD 19-02を廃止して1本にまとめました。対象は米国の連邦文民行政機関ですが、判定軸は日本の企業でもそのまま使えます。

BOD 26-04は4つの問いで期限を決めます。資産がインターネットに公開されているか、CVEがKEVに載っているか、攻撃の偵察・武器化・配送・悪用の4段階を安定して自動化できるか、悪用による技術的影響がTotal（完全制御）かPartial（部分制御）か、の4つです。Table 1の主な組み合わせは次のとおりです。

このほか、公開資産でKEV外の組み合わせは14日か60日、非公開資産でKEV外かつ自動化可能なものは60日です。期限はKEVへの追加などの事実が変わるたびに引き直され、システムをインターネットから外せば「公開資産」がNoになります。ただしKEV掲載・自動化可能・完全制御の組み合わせは、非公開資産でも3日のままです。

KEVのMicrosoft製品は2026年10月30日版で390件あり、先の26件は全件がKEVに入っていました。うち19件はCVEの公開と同じ日に追加されています。10月のCVE-2026-96951も10月13日に追加され、期限は3日後の10月16日でした。社内ルールに写すなら、まずKEV掲載の有無で分け、次にインターネット公開の有無で分けるのが現実的です。「緊急」「重要」の深刻度は、この2つで同順位になったものの並べ替えに使います。

MSRCが10月に示したrisk cohortsの使いどころ

KEVに載らない残りの1,000件超をどう扱うかについて、MSRCは10月13日にUsing risk cohorts to prioritize security updatesを公開しました。risk cohortは「同じ環境の問いで評価できるCVEのまとまり」で、原因やCVSSが違っても、例えば「RD Gatewayを社外に公開しているか」という1つの答えで多数のCVEの重みが決まる、という考え方です。投稿は10月の月例を例に15のまとまりを示しました。

MSRCはこれを正式な分類ではなく試行案と位置づけ、更新プログラムガイドにも表示していません。各まとまりの数字も本文の別の箇所とずれており（RDPは表で65件、本文の解説で64件）、確定した集計として扱うものではありません。使い方は、まとまりごとの問いに1回だけ答えて記録し、そのうえで悪用の有無・深刻度・ユーザー操作の要否で個別のCVEを並べ替える、という順序です。KEV掲載と悪用確認済みは、まとまりの答えに関係なく先に当てます。

この方法が効かないのは、資産台帳が無く「RD Gatewayを公開しているか」に即答できない組織です。その場合はまとまりで対象を除外せず、管理対象端末への月例更新を進めながら、未管理資産の棚卸しと配信対象への登録を並行して進めます。社外から見えている資産の棚卸しや診断を外部に任せる場合は、脆弱性診断・セキュリティ診断のような支援を使えます。脆弱性管理を継続的な露出管理として組み直す考え方はCTEMの5段階と企業の導入判断で扱っています。

配信手段の選び方：Autopatch・ホットパッチ・WSUS・ESU

Windows Autopatchのホットパッチ要件と再起動の周期

ホットパッチは、対象のセキュリティ更新を再起動なしで適用する仕組みです。対応環境にはWindows Server 2025、Windows Server 2022 Datacenter: Azure Edition、適格ライセンスを持つWindows 11端末などがあります。Windows 11ではWindows Autopatchでの管理が前提で、24H2以降の端末で、Windows 11 Enterprise E3/E5、Microsoft 365 F3、Microsoft 365 Business Premiumなどのライセンスが必要です。再起動を伴うベースライン更新は四半期ごと（1月・4月・7月・10月）に出て、その他の月は、最新ベースラインを適用し、VBSを有効にした端末など、所定の要件を満たす端末がホットパッチを受け取ります。2026年10月14日（日本時間）の月例がベースラインだったので、11月と12月はホットパッチ月、次のベースラインは2027年1月13日（日本時間）です。ただしセキュリティ上の理由で予定外のベースライン更新が出ることもあると注記されています。

WSUSの非推奨化

MicrosoftはWindows Server Update Services（WSUS）の非推奨化を2024年9月に発表しました。Windows IT Pro Blogの説明では、新機能への投資と機能要望の受け付けを止める一方で、既存の機能は残し、WSUS経由の更新配信も続けるとしています。新規の配信基盤では、クライアントはIntuneとAutopatch、サーバーはAzure Update Managerを候補にします。

Windows 10の拡張セキュリティ更新（ESU）

Windows 10の通常チャネルの最終版22H2は2025年10月14日にサポートが終了し、以降のOSセキュリティ更新にはESUへの登録が必要です。LTSC/LTSBは別のサポート期限に従います。法人向けはボリュームライセンスで初年度1台61米ドル、価格は毎年倍になり、最長3年です。1年目は2026年10月13日（米国時間）の月例で終わり、続ける場合は2年目（2027年10月12日まで）の購入が要ります。Windows 365、Azure Virtual Desktop、Azure仮想マシンなどで動くWindows 10はESUが追加費用なしで付きます。個人向けは、PCの設定の同期、Microsoft Rewardsの1,000ポイント、30米ドル相当額（適用される税金は別）の一括購入のいずれかで登録でき、MicrosoftのESU案内ページでは提供期限が2027年10月12日です。2027年10月の月例が個人向けの最終回になります。ESUの登録が漏れた端末には、月例の修正もゼロデイの修正も届きません。

CVRF APIによる月例公開CVEの集計と表示例

報道の件数を待たずに、月例日の翌朝に自社で一覧を作れます。次のPythonスクリプトはCVRF APIから指定月の文書を取得し、Microsoft採番で月例日に公開されたCVEを数えて、悪用確認済みと緊急のものを先頭に出します。Python 3の標準ライブラリだけを使い、APIキーは不要です。コードをmsrc_month.pyとして保存し、python3 msrc_month.py 2026-Octで実行します。月例日以外に公表されたCVEは除外し、表示は先頭5件に限定しています。

import json, sys, urllib.request

month = sys.argv[1] if len(sys.argv) > 1 else "2026-Oct"
req = urllib.request.Request(
    f"https://api.msrc.microsoft.com/cvrf/v3.0/cvrf/{month}",
    headers={"Accept": "application/json"})
doc = json.load(urllib.request.urlopen(req))
pt = doc["DocumentTracking"]["InitialReleaseDate"][:10]

def note(v, t):
    return next((n["Value"] for n in v.get("Notes", []) if n.get("Type") == t), "")

def threat(v, t):
    return " ".join(x["Description"].get("Value", "") for x in v.get("Threats", []) if x.get("Type") == t)

rows = []
for v in doc["Vulnerability"]:
    first = min((r["Date"][:10] for r in v.get("RevisionHistory", [])), default="")
    if note(v, 8) != "Microsoft" or first != pt:
        continue
    exploited = "Exploited:Yes" in threat(v, 1)
    critical = "Critical" in threat(v, 3)
    rows.append((exploited, critical, v["CVE"], note(v, 7), v["Title"]["Value"]))

print(f"{month} (公開日 {pt}) Microsoft採番のCVE: {len(rows)}件")
print(f"  緊急: {sum(r[1] for r in rows)}件 / 悪用確認済み: {sum(r[0] for r in rows)}件")
for r in sorted(rows, reverse=True)[:5]:
    print(("悪用 " if r[0] else "     ") + ("緊急 " if r[1] else "     "), r[2], r[3])

2026年10月31日に「2026-Oct」を指定して実行した結果です。

2026-Oct (公開日 2026-10-13) Microsoft採番のCVE: 1408件
  緊急: 77件 / 悪用確認済み: 1件
悪用       CVE-2026-96951 Windows Shell
     緊急  CVE-2026-97814 Windows Text Shaping
     緊急  CVE-2026-97780 Microsoft Office Excel
     緊急  CVE-2026-97778 Microsoft Office Excel
     緊急  CVE-2026-97776 Microsoft Office Excel

Notesの種別は、8が採番機関、7が製品タグ、6が「Customer Action Required」です。製品タグごとに件数を数えれば、risk cohortsのような自社用のまとまりを作る下地になります。実際の運用では種別6がNoのものと自社で使っていない製品タグを除外し、KEVのJSONと突き合わせて期限を付けます。Exploitedのフラグは公開後に変わるため、月例日の翌週にもう一度実行して差分を見ます。

よくある質問

パッチチューズデーは日本時間ではいつですか？

米国太平洋時間の第2火曜10時なので、日本時間では翌日の水曜日です。米国の夏時間（3月第2日曜〜11月第1日曜）は2時、それ以外の期間は3時になります。1日が水曜日の月は日本時間で第3水曜になります。

2026年・2027年のパッチチューズデーはいつですか？

2026年の残りは日本時間で11月11日3時と12月9日3時です。2027年は規則から計算すると1月13日、2月10日、3月10日、4月14日、5月12日、6月9日、7月14日、8月11日、9月15日、10月13日、11月10日、12月15日（いずれも水曜）です。2027年分のMSRC公式スケジュールは例年11月ごろに出ます。

ゼロデイ脆弱性とはどういう状態を指しますか？

修正が出る前に悪用されているか、詳細が公開されている脆弱性です。MSRCの更新ガイドでは「Exploited: Yes」または「Publicly Disclosed: Yes」で見分けられます。2025年7月〜2026年10月には、Exploited: YesのCVEが26件ありました。

Patch Tuesday以外の日にセキュリティ更新が出ることはありますか？

あります。帯域外（OOB）更新として、悪用が進んでいる脆弱性の修正が月例日を待たずに出ます。2025年7月20日・21日のSharePoint（CVE-2025-53770）や2026年1月26日のOffice（CVE-2026-21509）がその例です。

Windows 10にはいつまで月例パッチが届きますか？

Windows 10の通常チャネルの最終版22H2は2025年10月14日にサポートが終了しました。LTSC/LTSBは別の期限に従います。22H2でOSセキュリティ更新を受け続けるにはESUへの登録が必要で、法人向けは2028年10月までの最長3年、個人向けは2027年10月12日までです。

関連記事

• Windows 2026年10月の月例更新：CVE-2026-96951の修正KBとビルド確認スクリプト
• CVE-2026-42897とは？Exchange OWAの悪用済みXSSと修正SU・緩和策の外し方【2026年10月】
• AI製ゼロデイ攻撃とは｜従来型攻撃との違い・手口・実例と防御策【2026年】
• 脆弱性とは？種類・CVE/CVSSの仕組みと発見から修正までの実務を解説
• CTEMとは？脆弱性管理との違い・5つの段階と企業の導入判断を解説