Windows Server 2025の2026年7月アップデートで不具合【7/24更新】

📋 改訂履歴

※本記事は2026年7月24日時点の情報に基づいています。今後、公式認定や新たな不具合報告があり次第、随時追記・更新を行う予定です。

📋 今月（2026年7月）のWindows Server 更新プログラム

※本更新には6月23日配信の月例プレビュー版（KB5094125／オプション更新）の内容も含まれています。今回の7月Patch Tuesdayでは、Windows全体で570件前後（報道により差あり）のセキュリティ脆弱性が修正されたと報じられており、過去最多規模とされています。

✅ KB5099536 の主な修正・変更点（参考情報）

• ✅ 6月不具合の修正 OLE自動化を介したサードパーティ製アプリのOffice起動失敗を修正：6月のKB5094125適用後に発生していた不具合を解消
• ✅ 6月不具合の修正 File Explorer（OneDrive）の不具合を修正：管理者権限でエクスプローラーを実行した際にOneDriveショートカットが機能しなくなる問題を解消
• ✅ 6月不具合の修正 「ごみ箱」削除確認ダイアログの表示不具合を修正：完全削除時に内部管理ファイル名が表示される問題を解消
• 🐳 Hyper-V分離のWindowsコンテナー起動性能を改善：Microsoft Container Registry（MCR）経由で提供される最新のコンテナーベースイメージ（nanoserver・servercore・windowsservercore）に反映
• 🔐 TLS 1.3にハイブリッドPQC（耐量子暗号）鍵交換のサポートを追加：従来方式と耐量子アルゴリズムを組み合わせた複合的な暗号形式にも対応
• 📜 イベントログサービスの信頼性を改善：マニフェストで構成されたカスタムログチャンネルへイベントを転送するイベントコレクターサーバーでの安定性が向上
• 🌐 共有ネットワークリソースへの接続の信頼性を改善：NetUseAdd関数などが使用する未認証（nullセッション）接続を含め、より安定的に動作
• 🖥️ システムの応答停止・グラフィックスカーネルドライバーのメモリリークを修正：グラフィックス処理を伴う仮想マシンのパフォーマンスが向上し、サインインの安定性にも寄与
• 🔒 Secure Boot証明書の自動配信対象をさらに拡大（2023年証明書チェーンへの移行を継続）
• 🖥️ 🆕 7/24追加 RDP（リモートデスクトップ）のセキュリティを強化：信頼済みRDP発行元の証明書サムプリントについてSHA-2形式のサポートが追加されました（SHA-1は後方互換のためのみ維持され、将来的に廃止予定）。あわせて、グループポリシーを使って.rdpファイルのセキュリティ設定を管理するための新しいガイダンスも公開されており、フィッシング対策としてIT管理者はSHA-256以降への移行が推奨されています。

📌 この記事の内容

1. 不具合①：AD FSのDKMコンテナーACLに関する権限昇格の脆弱性（悪用確認済みゼロデイ）
2. 不具合②：BitLocker保護回避の脆弱性（一般公開・物理アクセス前提）
3. 不具合③：TDIトランスポート登録の強制による古いソフトのネットワーク切断
4. 不具合④：ホットキー処理変更によるキーボードショートカットの一時的な無反応
5. 継続中の既知の問題⑤：WSUSの同期エラー詳細が表示されない（継続中）
6. 継続中の既知の問題⑥：絵文字パネルのGIF機能が利用できない（サーバーでは7月時点も継続の可能性）
7. 注意点⑦：Hotpatch（再起動不要更新）対象環境での再起動が必要（7月はベースライン月）
8. 注意点⑧：Hyper-Vの重大な権限昇格の脆弱性（仮想化ホストの優先パッチ対象）
9. 注意点⑨：boot.stl欠落によるデプロイメディアの起動失敗（0xc0430001）
10. 🆕 不具合⑩（未確認情報）：MegaRAID CacheCade環境での起動不良報告（Microsoft未確認）
11. まとめ・対処法一覧

💡 重要：累積更新の適用だけでは不十分

今回のKB5099536を適用してAD FSサービスを再起動すると、システムがDKMコンテナーのACLを起動時（起動後およそ1分後）および24時間ごとに自動チェックし、不適切な設定を検出した場合はAD FSの管理イベントログにイベントID 1132を記録するようになります（監査モード）。ただし、実際にACLを是正するための強化手順は、別途Microsoft公式文書「CVE-2026-56155: AD FS Distributed Key Manager container ACL hardening」（KB5121391）に従って実施する必要があります。通常の月例更新プログラムの適用だけで自動的に是正されるわけではない点にご注意ください。

🆕 7/24追記：是正の仕組みとタイムラインについて

KB5121391で示されているACL是正は、以下の段階的な仕組みで運用されます。

• 監査モード（既定）：KB5099536適用後、AD FSサービス起動時および24時間ごとにDKMコンテナーACLを自動チェックし、不備があればイベントID 1132（以降、関連イベントとして1133・1134も）を記録。この段階ではACLへの変更は自動的には行われません。
• オプトインでの自動是正：レジストリキーRemediateDkmAclを「1」に設定すると、検出された不適切なACLをMicrosoftのガイダンスに沿って自動的に是正できます（「0」に設定すると自動是正を明示的に無効化）。
• 強制適用の期限：このレジストリキーを設定していない環境では、2026年10月13日以降、更新プログラムにより不適切なACLが自動的に是正される予定です。事前に本番環境でのテストを済ませておくことが推奨されます。

また、CISA（米国土安全保障省サイバーセキュリティ・インフラセキュリティ庁）は本脆弱性をKEV（悪用が確認された脆弱性）カタログに追加しており、米連邦政府機関向けの是正期限は2026年7月28日とされています。民間環境でも同水準の緊急性を持って対応することが推奨されます。

🔧 対処法

方法1：まずKB5099536を適用し、AD FSサービスを再起動する

監視機能（監査モード）を有効化するため、まずは通常の月例更新を適用してください。

方法2：KB5121391のガイダンスに沿ってDKMコンテナーのACLを強化する

Microsoft公式サポート文書「CVE-2026-56155: AD FS Distributed Key Manager container ACL hardening」の手順に従い、DKMコンテナーのアクセス制御リストを是正してください。手動での是正が難しい場合は、レジストリキーRemediateDkmAclを「1」に設定してオプトインの自動是正を有効化する方法もあります。

方法3：イベントID 1132を監視する

AD FSの管理イベントログでイベントID 1132が記録されていないか定期的に確認し、不適切なACL設定が検出された場合は速やかに是正してください。

方法4：2026年10月13日の自動是正期限までに対応方針を決める

手動是正・オプトイン自動是正のいずれも設定しない場合、10月13日以降は更新プログラムによって強制的に是正が行われます。運用への影響を避けるため、事前に検証環境での動作確認をおすすめします。

🔧 対処法：KB5099536（またはWindows 11/10向けの対応する7月更新）を適用してください。BitLockerで保護されたドライブを運用している端末は優先的に更新することを推奨します。

🔧 対処法：システムイベントログでAFD関連のイベントID 16003が記録されていないか確認し、該当ソフトウェアのベンダーに最新版の提供状況を確認してください。詳細はMicrosoft公式サポート文書「Third-party TDI transports might stop working after installing Windows security updates released on or after July 14, 2026」を参照してください。

🔧 対処法：多くの場合、影響を受けたアプリを再起動することで解消します。改善しない場合は、Feedback Hubから報告してください。

🔧 対処法：現時点では明確な回避策は提供されていません。WSUSの同期エラーの原因調査が必要な場合は、詳細なエラー情報が得られない前提で、イベントログや他の診断手段と組み合わせて調査を行う必要があります。Microsoftからの機能復旧の発表を引き続き確認してください。

🔧 対処法：業務への影響は軽微とみられますが、絵文字パネルのGIF機能を利用する場面がある場合は、今後のWindows Server更新での修正提供を待つ必要があります。Microsoftは将来の更新で解決に取り組むとしています。

💡 なお、2026年6月には「YellowKey」（CVE-2026-45585）と呼ばれる脆弱性の公開を受けて、一部のHotpatch対象環境で計画外のベースライン更新が発生していました。7月の計画済みベースラインは、この6月の計画外対応とは独立して予定通り実施されるものです。Hotpatchを運用するチームは、保守ウィンドウのスケジューリング時に本ベースライン月の再起動を織り込んでおくことをおすすめします。

🔧 対処法：KB5099536の適用を優先的に計画し、特に複数テナントのゲストVMをホストしている環境では速やかな展開をおすすめします。

🔧 対処法：Microsoft公式の「Update WinPE」スクリプトを利用するか、デバイスのWindows\Boot\EFIフォルダーからboot.stlファイルを手動でインストールメディアへコピーしてください。

💡 未確認情報として慎重に扱ってください

本項目は現時点でMicrosoftが公式に認定した不具合ではなく、単一のコミュニティ投稿に基づく情報です。過度に恐れる必要はありませんが、該当ハードウェア構成の物理サーバーについては、次回のパッチ適用サイクル（2026年8月11日予定の月例更新）までに、テスト環境での事前検証を行うことをおすすめします。

🔧 対処法：LSI MegaRAID 9361系コントローラーでCacheCadeを有効化している物理サーバーについては、KB5099536の適用を一律に見合わせる必要はありませんが、本番環境への展開前にオフラインでの起動確認・ストレージ検証を行う独立した展開リングを設けることを検討してください。仮想マシンや他のストレージ構成のサーバーは、通常どおりのリング展開で問題ないとみられます。Microsoftの公式な既知の問題ページを引き続き確認してください。

📝 補足情報

今回のPatch Tuesdayでは、AD FSの脆弱性（CVE-2026-56155）に加え、Microsoft SharePoint Serverの権限昇格の脆弱性（CVE-2026-56164）についても実際の悪用が確認されています。オンプレミスでSharePoint Serverを運用している場合は、Windows Server本体の更新とあわせて、SharePoint側のセキュリティ更新の適用状況も確認してください。

本アップデートに先立ち、Microsoft Defenderの権限昇格の脆弱性「RoguePlanet」（CVE-2026-50656）が2026年7月8日付で緊急パッチにより修正されています。Windows Serverも対象で、定義更新の仕組みで自動的に適用されるため、通常は特別な操作は不要です。

Microsoft公式のリリースノートでは、本記事更新時点（2026年7月24日）でKB5099536について、WSUSの同期エラー詳細非表示の件を除き、公式な既知の問題としては新たに掲載されたものはありません。ただし、上記の通りAD FSに関する追加対応が必要な脆弱性など、通常の累積更新の適用だけでは完結しない項目が含まれているため、特にID基盤（AD FS）やHyper-Vを運用する環境では、事前に公式文書を確認した上での計画的な対応をおすすめします。

🆕 7/24追加 なお、LSI MegaRAID 9361系コントローラー＋CacheCade構成の物理サーバーで起動不良が発生したとするコミュニティ報告（未確認情報）についても、本記事の不具合⑩に追記しています。あわせてご確認ください。