Windows Server 2022の2026年7月アップデートで不具合【7/16更新】

📋 改訂履歴

※本アップデートは公開から日が浅いため（2026年7月14日配信／本記事執筆時点で2日後）、今後コミュニティ側から追加の不具合報告が寄せられる可能性があります。続報が入り次第、改訂履歴に追記します。

📋 今月（2026年7月）のWindows Server 2022 更新プログラム

※本記事はWindows Server 2022（KB5099540）を主対象としていますが、比較のため同時配信された他バージョンのKBも参考として掲載しています。

✅ KB5099540 の主な新機能・修正（参考情報）

KB5099540は前月（KB5094128）からの既知の問題対応に加え、以下の新機能・セキュリティ強化を含みます。

• 🔐 セキュアブート証明書の対象拡大：高信頼デバイスへの新証明書（Windows UEFI CA 2023）配信対象をさらに拡大
• ✅ [修正] Office COM/OLE Automation破損：前月（KB5094128）適用後にサードパーティ製アプリがOLE AutomationでOfficeを起動できなくなる不具合を修正
• ✅ [修正] OneDriveショートカットが管理者モードで機能しない：エクスプローラーを管理者権限で実行した際にOneDriveのショートカットが動作しない不具合を修正
• ✅ [修正] ごみ箱の削除確認ダイアログの内部ファイル名表示：完全削除時の確認ダイアログに内部管理ファイル名が表示される不具合を修正
• 🛡️ Microsoft Defender for Identity（MDI）のNTLM監査強化：NTLM認証に関するイベント捕捉を強化し、ID関連の脅威検知を改善
• 🔑 AD FS Distributed Key Manager（DKM）コンテナのACL強化 要注意：実際に悪用が確認されたゼロデイ脆弱性CVE-2026-56155への対応。監査モードを本更新で導入、2026年10月に自動是正へ移行予定（詳細は不具合⑤）
• 🌐 Windows Failover Clusterの信頼性向上：クラスター仮想IPアドレスのSkipAsSource設定を正しく構成し、DNSレコードの正確性とネットワーク通信の安定性を改善
• 🔒 リモートデスクトップ（RDP）のセキュリティ強化：信頼済みRDP発行者の証明書にSHA-2サムプリントのサポートを追加。SHA-1は後方互換のためのみ維持され、将来的に廃止予定
• 🛠️ 206件超のセキュリティ脆弱性を修正（詳細は本記事末尾の補足情報を参照。過去最大規模のPatch Tuesdayとなりました）

📌 この記事の内容

1. 不具合①：一部環境でBitLockerの回復キー入力を求められる（初回再起動時）
2. 不具合②：サードパーティ製TDIトランスポートを利用するアプリが動作しなくなる
3. 不具合③：WSUSの同期エラー詳細が表示されない（継続中の既知の問題）
4. 不具合④：一部のキーボードショートカットが反応しなくなる場合がある
5. 運用上の重要な変更：AD FS の DKM コンテナACL自動監査・是正機能（ゼロデイ対応） 要対応
6. ✅ 前月から解消された既知の問題
7. まとめ・対処法一覧
8. 補足情報：2026年7月のPatch Tuesdayについて

条件（すべて満たす場合のみ発生）

1. OSドライブでBitLockerが有効になっている
2. グループポリシー「ネイティブUEFIファームウェア構成用のTPMプラットフォーム検証プロファイルを構成する」が構成されており、検証プロファイルにPCR7が含まれている（または同等のレジストリキーが手動設定されている）
3. システム情報（msinfo32.exe）で「セキュアブートの状態のPCR7バインド」が「実行不可能」と表示される
4. デバイスのセキュアブート署名データベース（DB）に「Windows UEFI CA 2023」証明書が存在し、2023年署名のWindowsブートマネージャーが既定になる対象となっている
5. デバイスがまだ2023年署名のWindowsブートマネージャーで動作していない

🔧 対処法（Microsoft公式案内・推奨は方法1）

方法1：更新プログラムを適用する前にグループポリシー構成を見直す（推奨）

1. グループポリシーエディター（gpedit.msc）またはグループポリシー管理コンソールを開く
2. 「コンピューターの構成」→「管理用テンプレート」→「Windowsコンポーネント」→「BitLockerドライブ暗号化」→「オペレーティングシステムドライブ」に移動
3. 「ネイティブUEFIファームウェア構成用のTPMプラットフォーム検証プロファイルを構成する」を「未構成」に設定
4. 対象デバイスで gpupdate /force を実行してポリシー変更を反映
5. C:ドライブでBitLockerが有効な場合、manage-bde -protectors -disable C: を実行して一時停止
6. 続けて manage-bde -protectors -enable C: を実行して再開（Windowsが選択する既定のPCRプロファイルにバインドが更新されます）

方法2：すでに回復画面が表示された場合

account.microsoft.com/devices/recoverykey、またはActive Directory/Azure ADに保存されている回復キーを使用してサインインしてください。企業環境では、事前にドメイン管理者へ回復キーの所在を確認しておくことを推奨します。

方法3：組織全体で事前監査を行う（IT管理者向け）

更新プログラムの展開前に、対象デバイス群のBitLocker関連グループポリシーでPCR7が明示的に含まれていないか、また msinfo32.exe でPCR7バインド状態を確認することを強く推奨します。恒久的な解決策は将来のWindows更新で提供される予定です。

🔍 影響を受けているか確認する方法

イベントビューアーの「Windows ログ」→「システム」で、イベントID AFD 16003「An unregistered TDI provider (\Driver<Name>) was detected」が記録されていないか確認してください。このイベントは再起動サイクルごとに1回のみ記録されます。

🔧 対処法（Microsoft公式案内）

方法1：TDIトランスポートを更新・置き換える（推奨・恒久対応）

影響を受けているサードパーティ製ドライバーのベンダーに問い合わせ、TDIインターフェースに正しく登録される最新版へアップデートしてください。

方法2：レジストリで検証レベルを一時的に緩和する（暫定対応）

レジストリ HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\AFD\Parameters の AfdTdiUnknownProviderValidationLevel（REG_DWORD）を以下の値に設定することで、動作への影響度を調整できます。

注意：検証レベルを0または1に下げることは、あくまで「ベストエフォート」の緩和策であり、システムは依然として脆弱な状態のままです。Microsoftは検証レベルを2（既定値）以上に保ち、対象のサードパーティ製TDIトランスポートを正しく登録されるバージョンへ更新・置き換えることを推奨しています。レジストリ変更前には必ずバックアップを取得してください。

💡 関連情報：今回はWSUS自体の別の脆弱性も修正

今回のKB5099540では、WSUSサーバーに対する未認証の攻撃者がサービス拒否（DoS）状態を引き起こせる脆弱性 CVE-2026-50328（CVSS 7.5・重要度「重要」）も修正されています。WSUSサーバーの役割を持つすべてのマシン（ダウンストリーム・切断環境のWSUSサーバーを含む）で、本更新の速やかな適用が推奨されます。

🔧 対処法

方法1：イベントログや周辺情報から間接的に原因を調査する

WSUSコンソール上でエラー詳細が確認できない場合は、イベントビューアー、IISのログ、プロキシ設定、上流サーバーとの接続状況など、周辺情報から間接的に原因を切り分けてください。

方法2：恒久対応を待つ

この制限は意図的な一時対応であるため、現時点でユーザー側での回避策はありません。今後のセキュリティ更新での改善状況を継続して確認してください。

🔧 対処法

方法1：影響を受けているアプリを再起動する（多くの場合これで解消）

ショートカットが反応しなくなったアプリを一度終了し、再度起動してください。

方法2：解消しない場合はフィードバックを送信する

再起動しても改善しない場合は、Feedback Hubアプリから問題を報告してください。

これは「不具合」ではなく、実際に悪用が確認された権限昇格の脆弱性（CVE-2026-56155）に対するセキュリティ強化です。ただし、環境によっては構成の見直しが必要になるため、AD FSを運用している管理者は必ず内容を確認してください。

🔧 管理者が今すぐ行うべきこと

ステップ1：AD FSサーバー全台に本更新（またはそれ以降）を適用する

適用後、サービス起動から1分後、以降24時間ごとに自動監査が実行されます。

ステップ2：イベントID 1132の有無を確認する

1132が記録されている場合、DKMコンテナのACLが期待される安全な状態と一致していません。

ステップ3：監査期間中に是正をオプトインする（推奨）

ファーム内の任意の1台のAD FSサーバーで、レジストリキー HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\ADFS の RemediateDkmAcl（DWORD）を 1 に設定してください。設定後、最大24時間で次回の検出サイクル時に是正が実行されるか、AD FSサービスを再起動すると早く実行されます。

重要：是正成功時はイベント1135に従前のACL（SDDL形式）が記録されます。万一の互換性問題に備え、是正直後にこのSDDLをファイルへ保存しておくことを強く推奨します。

ステップ4：2026年10月13日の自動是正（強制モード）に備える

2026年10月の更新以降は、レジストリキーを設定していなくても既定で自動是正が実行されるようになります（RemediateDkmAcl = 1 と同等の挙動）。互換性の問題で自動是正を止めたい場合のみ、同キーを 0 に設定してオプトアウトできますが、その場合はDKMコンテナが脆弱な状態のまま残る点に留意してください。なお、Windows Server 2012／2012 R2では自動是正は適用されないため、手動でのACL是正が必要です。

• ✅ [Apps] サードパーティ製アプリからOffice（Word/Excel/PowerPoint/Accessなど）がOLE Automation経由で起動できない：KB5094128適用後に発生していた問題で、KB5099540で修正済み
• ✅ [File Explorer] 管理者モードでOneDriveのショートカットが機能しない：エクスプローラーを管理者権限で実行した際にOneDriveショートカットが動作しない問題を修正
• ✅ [Recycle Bin] 完全削除の確認ダイアログに内部ファイル名が表示される：$Rから始まる内部管理ファイル名が表示される表示上の問題を修正（ファイル自体への実害はもともとありませんでした）

過去最大規模のセキュリティ更新となりました。2026年7月のPatch Tuesdayは、Microsoft史上最大級の脆弱性修正件数となっています。集計方法により報道機関ごとに差があり、BleepingComputer・TechRepublic・Cyberpressは570件、Zero Day Initiative（Security Affairs経由）は621件、MalwarebytesとRapid7は622件と報告しています（いずれもMicrosoft Edge/Chromiumの修正約468〜480件は含まない集計）。いずれにせよ、前月（2026年6月・206件）から3倍規模へ急増しており、Microsoftが導入したAI支援の脆弱性発見システムが一因とされています。

ゼロデイ脆弱性は3件、うち2件は実際に悪用が確認されています。

• CVE-2026-56155（AD FS 権限昇格・実際に悪用確認済み）：本記事の不具合⑤で詳説した、DKMコンテナACL強化の対象となった脆弱性です
• CVE-2026-56164（SharePoint Server 権限昇格・実際に悪用確認済み）：Windows Server 2022上でSharePoint Serverを運用している場合は特に優先度高く対応してください
• CVE-2026-50661（BitLocker セキュリティ機能バイパス・公開済みだが悪用は未確認）：物理アクセスを伴う攻撃で暗号化ドライブへのアクセスを許す可能性がある脆弱性です

このほか、Windows Server 2022環境に関連するものとして、Hyper-VのVMSwitchにおける権限昇格の脆弱性（CVE-2026-57092、CVSS 9.9）、Cloud Files Mini Filter Driverの使用後解放（Use-After-Free）による権限昇格（CVE-2026-58536）なども今回のKB5099540で修正されています。

セキュアブート証明書の更新に伴う注意点：今回を含む今後数か月のWindows更新では、一部の環境でセキュアブート証明書の更新処理に伴い、インストール中に通常より1回多く再起動が発生する場合があります。事前に周知しておくと安心です。

サポートライフサイクルについて：Windows Server 2022のメインストリームサポートは2026年10月13日に終了予定です。延長サポート（セキュリティ更新のみ提供）は2031年10月14日まで継続します。メインストリーム終了後は新機能・非セキュリティ修正・無償技術サポートが提供されなくなるため、次期バージョンへの移行計画を早めに検討することを推奨します。