パッチの優先順位は「乗っ取りにつながる種類」から：悪用された脆弱性の 78%
Microsoft が 1999 年〜2026 年 9 月公表の CVE 約 38.3 万件と、実際に悪用された 2,056 件（約 0.5%）を比べると、悪用された側の 78% が RCE・認証回避・ローカル権限昇格など、システムの乗っ取りにつながる種類だった。
数字で見る偏り（全 CVE → 悪用された CVE）
- 操作不要のサーバー側 RCE：20% → 37%
- ローカル権限昇格：11% → 18%
- ファイルを開くなど操作が要るクライアント側 RCE：4% → 13%
- XSS：15% → 4%、DoS：16% → 7%
- OS・システムのコード：23% → 41%
使い方（優先順位の付け方）
- まずサーバー側 RCE・認証回避・権限昇格を、重要サーバーとネットワーク機器から当てる。修正までの中央値は Windows PC で約 2 週間なのに、Windows Server は 1 カ月超、Linux サーバーと macOS アプリは 10 週超、ネットワーク機器は 1 年超。遅れているのは守るべき側。
- 次に、止まると致命的な資産への DoS と、特権 ID の悪用につながる認証情報・秘密情報の漏えい。
- 「RCE」と分類されても実環境では DoS 止まりのこともある。実証された影響と悪用可能性（KEV 掲載、PoC 公開）で確かめる。
- 公表から KEV 掲載までは 2026 年公表分で平均 20 日、中央値 3 日。VulnCheck の集計では 2025 年に初めて悪用が確認された 884 件の約 29% が公表当日以前に悪用されている。KEV に載るのを待ってからでは遅い場合がある。