Windows Updateは「3日以内」が推奨？WSUS廃止に伴う運用管理はどうする？

2026年7月、Microsoftは品質更新プログラムを「3日以内」に適用することを推奨する新たな展開ガイダンスを公表しました。

その背景には、AIを悪用した攻撃の高度化・高速化があります。一方で、多くの企業が更新管理に使ってきたWSUS（Windows Server Update Services）は非推奨（廃止方針）となり、従来通りの運用は見直しを迫られています。

本記事では、情シス担当者に向けてWindows Updateの適用「3日以内」が求められる背景と、更新管理の見直し方を解説します。

Windows Updateは「3日以内」が推奨に。Microsoftの新指針とは

Microsoftは2026年7月、品質更新プログラムを「3日以内」に適用するよう推奨する新たな展開ガイダンスを公表しました。これは、すべての企業に課される一律の義務ではなく、深刻化する脅威に対応するための推奨・目安として示されたものです。

2026年7月、Microsoftが更新プログラムの展開ガイダンスを改定

Microsoftが2026年7月に公表した新しい推奨値は、次の3点です。

• 品質更新の延期期間：3日未満
• 適用期限（Deadline）：0～1日
• 猶予期間（Grace Period）：最大2日

これまで一般的だった、検証期間を確保するためにパッチの適用を数週間延期する運用を見直し、より短期間で更新プログラムを適用することを推奨する内容です。

出典：Microsoft Mechanics Blog

SCS評価制度が求める「14日以内」適用との関係

サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）では、ベンダーが「重大（Critical）」「高リスク（High Risk）」と示す脆弱性や、CVSS基本値7.0以上の脆弱性を修正するアップデートについて、リリースから14日以内に適用するよう求めています。

全端末を3日以内に更新するのが難しい場合は、まず情シス部門や検証用端末などのパイロット層（先行して更新を適用する端末グループ）へ3日以内に展開を始めます。業務アプリなどに問題がないことを確認したうえで、14日以内に全社への適用を完了させる2段階の運用が、現実的な目標になります。3日以内の展開開始はMicrosoftの推奨に、14日以内の全社完了はSCS評価制度の基準に沿った考え方です。

出典：経済産業省 サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）

関連記事：サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）とは？★3・★4の違いと対応ポイントを解説

なぜ「3日以内」に？背景にあるリスク

「3日以内」が求められる背景には、AIの悪用によって、脆弱性の公開から攻撃までの時間が劇的に短くなっている現実があります。加えて、パッチが未適用の機器を突いた被害も国内で実際に起きています。

AIの悪用で「脆弱性公開から攻撃まで数時間」に短縮

従来は、パッチ公開から攻撃が広がるまで、数週間単位の猶予があるとされていました。しかし現在は、AIや自動化技術の発展により、脆弱性の公開から、分析・攻撃コードの作成を経て実際の攻撃に至るまでが数時間単位に縮まるケースもあり、修正対象となる脆弱性の数も急増しています。2026年7月の月例更新では622件、8月421件、9月は974件と、大規模な更新が続いています。最多を更新した9月では、うち114件の深刻度が「緊急」に分類されました。（※）数週間の延期を前提とした対応では追いつかず、迅速な更新適用が重要です。

※集計方法により件数は異なる

パッチ未適用が実際の被害につながっている

警察庁「令和7年（2025年）におけるサイバー空間をめぐる脅威の情勢等について」によると、ランサムウェア被害で侵入経路とされたVPN機器などについて、有効回答71件のうち40件（約56％）で未適用のセキュリティパッチがありました。Windows端末に限らず、既知の脆弱性の放置が侵入を許している実態がうかがえ、迅速なパッチ適用の重要性を裏づける結果となっています。

出典：警察庁 令和7年におけるサイバー空間をめぐる脅威の情勢等について

これまでの運用管理ツール「WSUS」は非推奨に

WSUS（Windows Server Update Services）とは、Windows Serverに標準搭載されている更新プログラムの配信管理機能です。

多くの企業がWindows Updateの管理にWSUSを利用

追加のライセンス費用をかけずに導入できるため、社内ネットワーク上のクライアントPC（Windows 10/11）とサーバー（Windows Server）に対し、管理者が承認した更新プログラムを一括配信・制御できる点が特長です。回線負荷を抑えながら効率的に更新管理ができ、多くの国内企業で長年利用されています。

2024年9月、WSUSの廃止方針が発表

Microsoftは2024年9月、WSUSを非推奨（将来的な廃止方針）とすることを発表しました。ただし、すぐに使えなくなるわけではなく、Windows Server 2025のサポート期間中は、引き続き利用できる見込みです。今後は新機能が追加されないため、将来を見据えて計画的に移行の検討を始めることが望まれます。

関連記事：Windows Server Update Services（WSUS）廃止による影響と代替ツールの選び方

WSUSの代わりとなる更新管理ツールは？

これまではWSUSでクライアントとサーバーをまとめて管理できましたが、今後の移行先は「クライアント」と「サーバー」で役割を分けて考える必要があります。主な移行先は次のとおりです。

• クライアント更新管理：Windows Update for Business（現：Windows Update client policies）、Microsoft Intune、Windows Autopatch
• サーバー更新管理：Azure Update Manager

クライアント更新管理の移行先は「Microsoft Intune」がおすすめ

Microsoft Intuneとは、クラウド経由で社内外にある多様な端末を一元管理できるエンドポイント管理サービスです。

Microsoft Intuneでできること

Intuneはクラウド型のため、テレワーク環境の端末に対しても更新ポリシーを適用できます。「更新リング」により、端末グループごとに段階的な配信も可能です。WSUSの直接の後継ではありませんが、クライアントの更新管理をクラウドで行う際の有力な移行先として、MicrosoftもIntuneなどの活用を推奨しています。

Windows Autopatchでさらに自動化可能

Windows Autopatchは、Microsoft Intune内で構成する自動化機能で、Intuneとは別の独立した製品ではありません。Autopatchを使うと、更新リングの設計、段階展開、稼働監視、問題検知時の展開停止までを自動化できます。さらに、再起動なしで保護を有効にする「ホットパッチ」にも対応しています。Microsoft 365 E3/E5やBusiness Premiumなど対象のライセンスを保有していれば、追加のライセンス費用なしで着手できる点もメリットです。

サーバーの更新管理には「Azure Update Manager」

WSUSでサーバーも管理していた場合、Windows Serverの移行先にはAzure Update Managerが推奨されます。Azure上に加え、オンプレミスや他社クラウドのサーバーも一元管理でき、WSUSを残したまま段階的に移行できます。

なお、Azure Update Manager自体は追加料金なしで利用できますが、オンプレミスや他クラウドのサーバーを管理するには、対象サーバーにAzure Connected Machine エージェントをインストールしてAzure Arc対応サーバーに接続する必要があります。（Arc接続サーバーは有償）

Intune移行で「3日以内・14日以内」に対応しやすくなる

IntuneやAutopatchを活用すると、「3日以内の一次展開・14日以内の全社完了」というスピード感に対応しやすくなります。主な理由は次の3つです。

• 段階配信の自動化：配信スケジュールを端末グループ別に自動で制御
• 未適用端末の可視化と遠隔適用：適用状況の把握と、未適用端末への個別適用
• 条件付きアクセス：未更新の危険な端末から社内リソースへのアクセスを自動で遮断

なお、これらを機能させるには、社内環境に合わせた運用設計やポリシー設定が前提となります。

WSUS廃止後の更新管理・Intuneのご相談はＪＢサービスへ

「WSUSの非推奨化に伴い、何から手をつければ良いか分からない」「3日以内に適用できる運用体制を整えたい」という情シス担当者の方は、ぜひＪＢサービスにご相談ください。

ＪＢサービスでは、Microsoft Intuneへの移行に向けた要件定義から運用設計、適切なポリシー設定、導入後の運用支援までをトータルでサポートしています。更新リングの設計やWindows Autopatchの活用など、自社環境に合わせた更新管理の仕組み作りを支援します。

ＪＢサービス Microsoft Intune導入支援サービス

まとめ

2026年7月に示された「3日以内」という新しい展開ガイダンスは、AIの悪用によるサイバー脅威の高速化に対応するための指針です。国内でも、パッチ未適用の機器を狙った被害が後を絶ちません。まずは「3日以内の一次展開・14日以内の全社完了」という2段階の目標を置き、WSUSの非推奨化も見据えて体制を見直しましょう。クライアント管理はMicrosoft Intune（およびWindows Autopatch）、サーバー管理はAzure Update Managerへと役割を分けて移行を進めることで、安全かつ効率的な更新体制を構築できます。