マイクロソフト「パッチチューズデー」とは？月例更新の仕組みと重要性を徹底解説

パッチチューズデー（Patch Tuesday）とは、マイクロソフトがWindowsやOfficeなどの自社製品に向けて更新プログラムを配信する日を指す非公式な呼称です。2003年以降、同社はこのスケジュールを忠実に守り続けてきました。他のソフトウェアと同様に、Windowsにもさまざまな脆弱性が存在し、マイクロソフトはその修正を毎月火曜日に公開しています。

マイクロソフトのパッチチューズデーの仕組み

新たなセキュリティ脆弱性やバグが発見されるたびに、マイクロソフトの開発チームは修正プログラムを作成します。これらの更新は、毎月第2火曜日（米国時間）に大型アップデートとしてリリースされます。「ホットフィックス」「ゼロデイ脆弱性への対応」「エクスプロイト」といった言葉を耳にしたことがある方も多いでしょう。

マイクロソフトがパッチを一括して提供するのには理由があります。第一に、パッチ配布のコスト削減につながること。第二に、IT管理者にとって「この時期に更新が来る」という予測可能性をもたらすことです。リリースノートを確認すれば、事前に対策を講じることができます。ただし、深刻度の高い脆弱性の場合は、リリースノートの公開が遅れることもあります。また、更新が火曜日に配信されることで、IT管理者には週末前に問題発生時の復旧や報告を行う十分な時間が確保できるというメリットもあります。

興味深いことに、多くの企業は自社のセキュリティ更新をマイクロソフトの月次サイクルに合わせています。一部の製品がWindows Update経由で更新されるのは、Microsoft Updateと連携しているためです。

パッチチューズデーの更新はどれほど重要か

答えは「極めて重要」です。これらの更新の大部分はセキュリティ修正であるため、ランサムウェアやリモートコード実行を許すバグによってPC内のデータが破壊されるリスクを避けたいなら、累積更新プログラムはできるだけ早くインストールしましょう。セキュリティ更新は、更新を一時停止していても脅威となるため配信されます。

なお、これらの更新はサポート対象のWindowsバージョン、またはWindows 7のような旧バージョンについて有料サポート契約を結んでいる環境にのみ提供されます。古いバージョンのWindowsや、サポート終了済みのWindows 10機能更新を使い続けると、ゼロデイ攻撃を受ける危険性があります。Windows 10以降、マイクロソフトは18ヶ月以上前のバージョンに対して強制的に更新を適用する方針を採っています。

パッチチューズデーのスケジュール

通常は毎月第2火曜日（米国時間）に配信されますが、第4火曜日に配信されたケースも知られています。また、タイムゾーンによっては水曜日に届く場合もあります。パッチチューズデーの更新は、準備が整い次第、一般ユーザー向けにもすぐ提供されます。一方、企業向けには通知が送られ、各自のスケジュールに応じて適用タイミングを選択できます。

マイクロソフトは家庭ユーザー向けにセキュリティ更新を準備でき次第リリースする一方、法人顧客は月次の更新サイクル（「Windows Update for Business」と呼ばれます）に従います。

脆弱性の情報が公表されることもあります。その内容が重大な場合、マイクロソフトはセキュリティ更新を即座に展開することがあります。

マイクロソフトは、パッチチューズデーのスケジュールを一覧できる専用ページを公式サイトで公開しています。

エクスプロイト・ウェンズデー（Exploit Wednesday）とは

多くの場合、マイクロソフトはパッチのリリースノートを公開しています。これは攻撃者にとって「何が修正されたのか」を明確に示す情報となり、「エクスプロイト・ウェンズデー」と呼ばれる現象につながります。これは非公式な用語で、パッチチューズデーの更新を攻撃者が分析・テストすることを指します。これにより、エクスプロイト開発者はそれまで非公開だった脆弱性を即座に悪用できるようになります。つまり、火曜日の更新を後回しにすると、かえってリスクが高まるのです。

変化する世界にパッチチューズデーは対応できるのか

エクスプロイト・ウェンズデーや攻撃件数の増加といった状況から、ひとつの疑問が浮かびます――この仕組みは今後も通用するのでしょうか？ 運用は継続可能ですが、更新の品質にはより高い精度が求められます。セキュリティパッチが新たな問題を引き起こせば、それは諸刃の剣となります。IT管理者はアップグレードできず、そのままセキュリティの脅威にさらされることになるからです。

実際、2019年10月のパッチ更新では、政府の貨物追跡システムに不具合が発生しました。この問題を解決するため、更新を取り除く必要がありました。

報告された脆弱性への修正は可能な限り早く展開すべきですが、その管理はマイクロソフトにとっても企業にとっても大きな課題となっています。

マイクロソフトが時代とともにどう進化し、パッチチューズデーにどのような変化がもたらされるのか、それは時間だけが知るところです。