Windows Update・月例パッチとは？図解でわかりやすく解説

パソコンを閉じようとしたら「更新してシャットダウン」。急いでいるときに限って出てきて、イラッとした経験、ありますよね。

あの更新の正体が「月例パッチ」です。2026年10月には、1回の更新で直した脆弱性が約1,400件にのぼり、「過去最多」と報じられました。

個人なら「更新ボタンを押す」で終わる話。でも会社になると、何百台、何千台のパソコンに、壊さずに当てる「仕事」になります。この記事では、その裏側を図解します。ヘルプデスクや、キッティング（会社のパソコンを使える状態に設定して配る仕事）から働き始める人なら、早い段階で関わることが多い話です。

月例パッチとは？いつ出る？

月例パッチは、Microsoftが毎月決まった日にまとめて出す修正プログラムです。Windowsだけでなく、OfficeやEdge、サーバー製品なども対象になります。

公開日は、毎月第2火曜日（米国時間）。日本では時差の関係で、その翌日の水曜日に届きます。英語では「Patch Tuesday（パッチチューズデー）」と呼ばれていて、世界中の情報システム担当者がこの日を意識して動いています。

月に1回にまとめるのは、受け取る側のため。毎日バラバラに修正が出たら、会社は検証も展開も追いつきません。「この日に来る」と決まっているから、計画を立てられるわけです。

2026年10月の月例パッチは何がすごかったのか

2026年10月の月例更新（日本時間10月14日）は、とにかく量が桁外れでした。

※ 件数は集計によって1,407件〜1,413件と差があります。「緊急」はMicrosoft独自の深刻度評価です。CVSSの点数による区分（9.0以上＝緊急）とは別の物差しなので、件数がそのまま一致するわけではありません。

注目は、すでに攻撃に使われている脆弱性の修正も含まれていたこと。攻撃者が先に知っている穴なので、「来月まとめて当てよう」は通用しません。こういう月は、会社の情報システム部門（通称「情シス」）にとって忙しい1ヶ月になります。

→ 「CVE」「CVSS」の意味：脆弱性・CVE・CVSSとは？図解でわかりやすく解説

会社のパッチ当ての1ヶ月

会社では、月例パッチが出てから全台に行き渡るまでに、だいたいこんな流れをたどります。

配る作業そのものは、1台ずつ手でやるわけではありません。MicrosoftのWSUSやIntune（会社のパソコンやスマホをまとめて管理するクラウドのサービス）といった管理ツールを使って、「この部署のパソコンに、この日から配る」と設定します。なおWSUSはMicrosoftが今後の機能追加をしない方針を発表していて、今はIntuneのようなクラウド型へ移りつつあります。月末に当たっていないパソコンが見つかったら、電源が入っていない、ネットにつながっていない、などの原因を一つずつ潰していきます。

→ Intuneが出てくる話：M365（Microsoft 365）とは？インフラ視点で図解解説

なぜ一気に全台に当てないのか

「穴があるなら、すぐ全部に当てればいいのに」。そう思いますよね。でも会社では、それが一番こわいんです。

理由は、パッチが原因で別のトラブルが起きることがあるから。まれにですが、「更新したら業務アプリが起動しない」「プリンターで印刷できない」といった不具合が出ます。全社の1,000台に一斉に当てて、全員の印刷が止まったら？ 会社の仕事が止まります。

小さく試して、広げる。不具合が出ても、被害は一部の部署だけで済みます。ただし、遅すぎると今度は攻撃に間に合わない。「早く当てたい」と「壊したくない」の綱引きをうまくさばくのが、パッチ管理の腕の見せどころです。

もうひとつ大事なのが、サポートが終わったWindowsには月例パッチが届かないこと（有償の延長サポートを契約している場合を除く）。たとえばWindows 10は2025年10月14日にサポートが終了しました。穴が見つかってもふさがれないので、会社ではサポート中のバージョンへの入れ替えが進みます。この入れ替え作業も、キッティングの大きな仕事のひとつです。

ヘルプデスク・キッティングの仕事との関係

未経験からIT業界に入る人の多くが、ヘルプデスクやキッティングからスタートします。月例パッチは、その両方にがっつり関わります。

月例パッチのあとは、ヘルプデスクへの問い合わせが増えることもよくあります。「再起動したら直りました」で終わるものもあれば、パッチが原因の不具合を最初に見つけるのがヘルプデスク、ということもあります。現場の異変に一番早く気づける場所なんです。

→ ヘルプデスクとは？仕事内容を図解でわかりやすく解説

→ キッティングとは？仕事内容を図解でわかりやすく解説

よくある質問

月例パッチとは何ですか？

Microsoftが毎月決まった日に公開する、WindowsやOfficeなどの修正プログラムのまとめです。見つかった脆弱性（セキュリティの穴）や不具合をふさぐためのもので、Windows Updateを通じて配られます。

月例パッチはいつ公開されますか？

原則として毎月第2火曜日（米国時間）に公開されます。日本では時差の関係で、その翌日の水曜日になります。英語では「Patch Tuesday（パッチチューズデー）」と呼ばれます。深刻な問題がある場合は、この日を待たずに臨時の更新が出ることもあります。

会社のパソコンは、なぜすぐに全部アップデートしないのですか？

まれに、更新が原因で業務アプリが動かなくなるなどの不具合が起きるためです。会社では、まず一部のパソコンで試し（検証）、問題がないことを確かめてから、範囲を広げて全台に配る（段階展開）のが一般的です。

2026年10月の月例パッチはどのくらいの規模でしたか？

報道によると、2026年10月の月例更新では、CVE番号のついた脆弱性が約1,400件修正されました。集計によって1,407件〜1,413件と数え方に差がありますが、初めて1,000件を超え、過去最多と報じられています。Microsoftの評価で「緊急」のものも70件以上あり、すでに悪用が確認された脆弱性も含まれていました。

サポートが終わったWindowsはどうなりますか？

サポートが終了したWindowsには、原則として月例パッチが届かなくなります。たとえばWindows 10は2025年10月14日にサポートが終了しました。新しい穴が見つかってもふさがれないため、会社ではサポート中のバージョンへの入れ替えが進められます。

パッチ管理は誰の仕事ですか？

会社の情報システム部門や、そこを支えるインフラエンジニア・ヘルプデスクの仕事です。配信の設定、検証、展開状況の確認、更新後の不具合の問い合わせ対応までを分担して担います。

まとめ

月例パッチは、毎月第2火曜日（日本は翌水曜）に届く修正のセット。個人なら更新ボタンひとつですが、会社では「検証して、少しずつ広げて、全台を確認する」という1ヶ月がかりの仕事になります。

その最前線にいるのが、ヘルプデスクやキッティング、運用保守のエンジニアです。

今日できることをひとつ。スマホの「設定」から、ソフトウェアアップデートの画面を開いてみてください（iPhoneなら「一般」→「ソフトウェアアップデート」）。そこに出てくる「セキュリティ」の文字も、中身は月例パッチと同じ「穴をふさぐ修正」です。Windowsのパソコンがあれば「設定 → Windows Update → 更新の履歴」で、今月入った更新が見られます。5分で、この記事の話が自分ごとになります。

→ インフラエンジニアの全体像：未経験からインフラエンジニアになるには？完全ロードマップ

村上悠司（むらかみ ゆうじ）

株式会社キャリアハブ 代表取締役。外資系IT企業でのセールス経験約10年を経て、未経験エンジニアの育成に特化したSES企業を設立。