Patch Tuesday Microsoft Update CVD 2003-2026（パッチチューズデー）
Microsoft Patch Tuesday 2003-2026 (差別化: 既存セキュリティアップデート総論と異なりMS定例配信文化軸)。Patch Tuesday (Microsoft 2003/10開始・第2火曜日 PST午前10時・MS Windows+Office+Azure月次セキュリティ修正)+Update Tuesday・Microsoft Security Response Center MSRC・Severity Rating: Critical+Important+Moderate+Low・Coordinated Vulnerability Disclosure CVD (Disclosure→Patch→Public・90日標準Google Project Zero)・Bulletin Format: MS-XX-XXX→2017以降CVE+KB番号 (KB Knowledge Base)・Out-of-Band Patch (緊急臨時)・Patch Now+Patch Now Tag 緊急度・代表大型: MS08-067 Conficker (2008/10)+MS17-010 EternalBlue (2017/3 NSA Leak)+CVE-2020-0688 Exchange+CVE-2020-1472 Zerologon+ProxyLogon 2021/3+PrintNightmare 2021/7+Follina 2022/6+CVE-2024-30040 Office・Out-of-cycle: WannaCry 2017/5+Log4Shell 2021/12・Wednesday=「Exploit Wednesday」皮肉用語・2026年Microsoft Defender自動Patch+Windows Update+WSUS Replacement Microsoft Connected Cache Intune・¥0 標準。
概要
Patch Tuesday（パッチ・チューズデイ）は、2003年10月にMicrosoftが開始した月次セキュリティ更新配信の名称である。毎月第2火曜日にPST午前10時にWindows、Office、Azureなどの主要製品に対して脆弱性修正パッチを一括配信し、Microsoft Security Response Center（MSRC）が管理する。CVD（Coordinated Vulnerability Disclosure）プロセスにより、脆弱性が公開されてからパッチが提供されるまでのサイクルは平均90日で、Google Project Zeroの基準に合わせている。パッチは「MS-XX-XXX」形式のバレットイン番号（例：MS17-010）で識別され、CVE番号とKB（Knowledge Base）記事番号が付与される。
主な特徴・仕組み
| 特徴 | 内容 | 数値 |
|---|---|---|
| 配信頻度 | 毎月第2火曜日 | 12回/年 |
| 対象製品 | Windows 10, Windows Server 2019, Office 365, Azure AD, Microsoft Defender ATP | 5製品以上 |
| Severity Rating | Critical, Important, Moderate, Low | 4レベル |
| Out‑of‑Band Patch | 緊急時に即時配信 | 1〜3件/年 |
| Patch Now タグ | 重要度に応じた即時適用 | 0〜5 |
| MSRC 反応時間 | Critical: <24h | 24h以内 |
| パッチサイズ | 0.5 MB〜3 MB | 1.2 MB平均 |
| 配信方式 | Windows Update, WSUS, Microsoft Connected Cache, Intune | 4方式 |
| 2025‑26 方向性 | Defender 自動 Patch, WSUS 置換, AI 優先化 | 3新機能 |
| 監査ログ | 変更履歴、適用状況 | 100%記録 |
具体例・対応製品（テーブル）
| 脆弱性 | 発生日 | パッチ ID | 影響製品 | Severity |
|---|---|---|---|---|
| MS08‑067 (Conficker) | 2008‑10‑21 | MS08‑067 | Windows 2000/XP/2003 | Critical |
| MS17‑010 (EternalBlue) | 2017‑03‑14 | MS17‑010 | Windows 2008/2012/2016/10 | Critical |
| CVE‑2020‑0688 (Exchange) | 2020‑10‑07 | MS20‑073 | Exchange Server 2013/2016/2019 | Critical |
| CVE‑2020‑1472 (Zerologon) | 2020‑12‑08 | MS20‑074 | Windows Server 2016/2019 | Critical |
| CVE‑2021‑44228 (Log4Shell) | 2021‑12‑10 | MS21‑076 | Java‑basedアプリ, Azure Functions | Critical |
| CVE‑2022‑30190 (Follina) | 2022‑06‑01 | MS22‑079 | Office 365, Windows 10 | Important |
| CVE‑2024‑30040 (Office) | 2024‑04‑15 | MS24‑082 | Office 365, Windows 11 | Important |
| PrintNightmare (CVE‑2021‑34527) | 2021‑07‑02 | MS21‑080 | Windows 10/Server 2019 | Critical |
| ProxyLogon (CVE‑2021‑31207) | 2021‑03‑15 | MS21‑075 | Exchange Server 2013/2016/2019 | Critical |
| WannaCry (Out‑of‑Cycle) | 2017‑05‑12 | MS17‑010 + MS17‑015 | Windows 7/2008 | Critical |
選び方・注意点
- 対象製品の確認 – 企業が利用しているWindows/Office/Azureのバージョンがパッチ対象かを事前にチェックする。
- Severity で優先度決定 – Critical と Important のパッチは即時適用を推奨。Moderate/Low はリスク評価に応じてスケジュール化。
- Out‑of‑Band パッチの活用 – 緊急脆弱性に対しては、Out‑of‑Band パッチを優先的に適用し、業務停止リスクを最小化。
- 自動 Patch の設定 – 2025‑26 年度以降、Microsoft Defender の自動 Patch 機能を有効にすると、管理負荷が低減。
- WSUS 置換の検討 – WSUS の管理が煩雑な場合は、Microsoft Connected Cache と Intune への移行を検討。
関連用語との違い
- Patch Tuesday：定期的な月次配信。
- Update Tuesday：同様に月次更新だが、機能追加や改善も含む。
- CVD (Coordinated Vulnerability Disclosure)：脆弱性公開からパッチ提供までのプロセス。Patch Tuesday は CVD の一部である。
- Exploit Wednesday：攻撃者が脆弱性を悪用するタイミングを揶揄した俗称。Patch Tuesday と直接関係はない。
よくある質問 (FAQ)
Q1. Patch Tuesday の配信時間はいつですか？
A1. PST 午前10時（米西海岸時間）で配信され、UTC では午前18時です。
Q2. Out‑of‑Band パッチはどのように取得できますか？
A2. MSRC の公式サイトで「Out‑of‑Band」セクションを確認し、対象 KB をダウンロード。WSUS では「Out‑of‑Band」フィルタを有効化。
Q3. 2026 年に予定されている Defender 自動 Patch とは何ですか？
A3. Microsoft Defender for Endpoint が自動で脆弱性情報を取得し、適切なパッチを推奨・適用する機能。管理者は設定のみで、パッチ適用が自動化される。
まとめ
Patch Tuesday は Microsoft が2003 年に導入した月次セキュリティ更新配信の枠組みであり、CVD に基づく脆弱性情報の迅速な修正を実現している。2025‑26 年度に入ってからは Defender の自動 Patch、WSUS の置換、AI 優先化など、運用効率とリスク低減を両立する新機能が追加され、企業はより迅速かつ安全に更新を管理できるようになっている。パッチ適用の優先度を Severity で判断し、Out‑of‑Band パッチを活用しつつ、最新の自動化ツールを導入することで、脆弱性リスクを最小限に抑えることが可能である。