「KB5120994をインストールした直後なのに、KB5123607が追加で配信された」「Hotpatchなのに更新プログラムが2本あるのは異常なのか」と戸惑う管理者もいるでしょう。
結論として、対象となるWindows 11 Hotpatch端末では正常な配信動作です。2026年8月のHotpatch更新プログラムであるKB5120994を先に適用し、その後、該当する一部の端末へスタンドアロンのセキュリティ更新プログラムKB5123607が自動配信されます。Hotpatchへの再登録やIntuneポリシーの変更は必要ありません。対象端末では、両方の更新が正常に完了したことを確認してください。(Microsoft Learn)
Hotpatch端末にKB5123607が続けて入る理由
KB5123607は、KB5120994の再配信やインストール失敗のやり直しではありません。
Microsoftは2026年8月のセキュリティリリースで、一部のHotpatch登録端末に対し、通常のHotpatchとは別のスタンドアロンセキュリティ更新プログラムを提供しました。対象端末では、次の順序で処理されます。
- 2026年8月のHotpatchであるKB5120994をインストールする
- KB5120994の適用後、対象端末にKB5123607が提供される
- KB5123607を自動的にダウンロードして適用する
Microsoftは、この2段階の処理がHotpatch対応端末で自動的に行われるため、IT管理者や利用者による特別な操作は不要と案内しています。(Microsoft Learn)
| 項目 | KB5120994 | KB5123607 |
|---|---|---|
| 役割 | 2026年8月のWindows Hotpatch | 一部端末向けの追加セキュリティ更新 |
| 対象 | Hotpatchに登録されたWindows 11 Enterprise 24H2／25H2 | そのうち更新が必要と判定された一部の端末 |
| 配信順序 | 先にインストール | KB5120994の後にインストール |
| 配信方法 | Windows Update／Microsoft Updateから自動配信 | Windows Update／Microsoft Updateから自動配信 |
| Microsoft Updateカタログ | 提供なし | 提供なし |
| WSUS | 提供なし | 提供なし |
| 再起動 | Hotpatchとして原則不要 | KB5123607自体は不要 |
KB5120994とKB5123607は、どちらもMicrosoft UpdateカタログやWSUSから個別に展開する形式ではありません。Windows UpdateまたはMicrosoft Updateを通じて自動適用されます。(マイクロソフトサポート)
KB5123607で修正される内容
KB5123607は、セキュリティ上の脆弱性へ対処するために、通常のHotpatchとは分けて提供されたスタンドアロン更新プログラムです。
Microsoftのサポート情報では、次の脆弱性が関連付けられています。
- CVE-2026-6726
- CVE-2026-66804
Microsoftは、これらのセキュリティ修正を提供するため、KB5123607をスタンドアロンのセキュリティ更新プログラムとして配信すると説明しています。一方、通常のHotpatchへ含めず別パッケージにした詳細な技術的理由までは公開していません。(マイクロソフトサポート)
2026年9月3日時点で、MicrosoftはKB5123607に関する既知の問題を公表していません。ただし、「既知の問題なし」は、すべての企業環境で不具合が起きないことを保証するものではありません。業務アプリ、認証、暗号化、VPNなど、組織固有の機能は通常どおり監視する必要があります。(マイクロソフトサポート)
管理者が行うべき対応
KB5123607が表示された場合、基本対応は現在のHotpatch構成を維持したまま、自動インストールの完了を確認することです。
Hotpatchの再登録やポリシー変更は行わない
KB5123607をインストールしても、端末がHotpatchの対象から外れることはありません。
次のような操作は不要です。
- Hotpatchポリシーから端末を一度除外する
- 品質更新ポリシーを作り直す
- デバイスグループを再割り当てする
- Windows Autopatchへ端末を再登録する
- Hotpatchを無効化してから再度有効化する
Microsoftは、スタンドアロン更新プログラムのインストール後もHotpatch登録が維持され、再登録やポリシー変更は必要ないと明記しています。(Microsoft Learn)
KB5120994とKB5123607を別々に確認する
対象端末では、KB5120994だけでなく、KB5123607まで正常に完了していることを確認します。
確認時は、次の3点を分けて記録すると判断しやすくなります。
| 確認項目 | 見る内容 |
|---|---|
| KB5120994 | インストール成功になっているか |
| KB5123607 | 対象端末でインストール成功になっているか |
| 再起動保留 | 別の更新プログラムによる再起動要求が残っていないか |
KB5123607はKB5120994の適用後に提供されるため、2本が同時刻に完了するとは限りません。KB5120994が成功した直後にKB5123607が「保留」「ダウンロード中」「インストール中」と表示されても、直ちに異常とは判断しないでください。(マイクロソフトサポート)
端末側でインストール結果を確認する方法
Windows 11端末では、次の手順で確認できます。
- 「設定」を開く
- 「Windows Update」を選択する
- 「更新の履歴」を開く
- 「品質更新プログラム」の一覧を確認する
- KB5120994とKB5123607を探す
- それぞれが正常にインストールされているか確認する
KB5123607が見つからない場合でも、その端末が直ちに更新失敗とは限りません。MicrosoftはKB5123607の配信対象を、一部のHotpatch登録端末に限定しています。適用対象ではない端末には配信されない可能性があります。(Microsoft Learn)
端末ごとの判断では、次のように整理すると分かりやすくなります。
| 端末の状態 | 判断と対応 |
|---|---|
| 両方とも成功 | 対応完了 |
| KB5120994成功、KB5123607処理中 | 正常な順次配信の可能性が高い。ネットワーク接続を維持する |
| KB5120994成功、KB5123607なし | 配信対象外の可能性がある。すぐに失敗扱いしない |
| KB5123607が失敗 | エラーコード、更新履歴、ログを確認する |
| KB5120994も失敗 | 先行更新が未完了のため、KB5120994側から調査する |
| 標準の累積更新が配信された | 一時的にHotpatch対象外となっている可能性を確認する |
Hotpatchの前提条件を満たしていない端末には、Hotpatchの代わりに標準の最新累積更新プログラムが提供されます。この場合も既存の更新リング設定は維持されます。代表的な確認項目は、最新ベースラインの適用状況やVBSの有効状態です。(Microsoft Learn)
IntuneでHotpatchの適用状況を確認する方法
Windows Autopatchで管理している場合は、Intune管理センターのHotpatch品質更新レポートを利用できます。
確認経路は次のとおりです。
- Intune管理センターを開く
- 「レポート」を選択する
- 「Windows Autopatch」を開く
- 「Windows品質更新プログラム」を選択する
- 「レポート」タブを開く
- 「Hotpatch品質更新プログラム」を選択する
このレポートでは、ポリシーごとに「最新」「Hotpatch」「最新ではない」「進行中」「準備ができていない」などの端末数を確認できます。レポートデータは約4時間ごとに更新されるため、端末側でインストールが完了していても、Intuneへの反映に時間差が生じることがあります。(Microsoft Learn)
実務では、次のように使い分けると判断を誤りにくくなります。
- 全体の展開状況はIntuneのHotpatch品質更新レポートで確認する
- 特定端末のKB番号はWindows Updateの更新履歴で確認する
- エラー端末はIntuneの状態、端末のエラーコード、Windows Updateログを突き合わせる
KB5123607では再起動が必要か
KB5123607は、デバイスを再起動せずにインストールされ、修正が有効になるとMicrosoftが案内しています。(マイクロソフトサポート)
ただし、同じ時期に配信されるすべての追加更新が再起動不要という意味ではありません。
特に、PlutonセキュリティプロセッサがTPMとして構成されている一部のWindows 11 Enterprise 24H2／25H2端末には、KB5123273が追加配信される場合があります。KB5123273は再起動が必要です。(Microsoft Learn)
そのため、再起動通知が表示された場合は、KB5123607だけを見て判断せず、更新履歴に次のような別更新が含まれていないか確認してください。
- KB5123273
- 標準の累積更新プログラム
- セキュアブート関連の更新
- ドライバーやファームウェア更新
- 保留中だった過去の更新プログラム
KB5123607はビルド番号だけで判定しない
KB5123607の適用確認では、winverに表示されるOSビルド番号だけを基準にしない方が安全です。
2026年9月3日時点で、MicrosoftのKB5123607ページには表記の差があります。検索結果やページタイトルではOSビルド26100.9165／26200.9165と表示される一方、記事本文の見出しでは26100.9106／26200.9106と表示されています。(マイクロソフトサポート)
このため、管理台帳では次の情報を記録する方法が確実です。
- KB番号
- インストール結果
- インストール日時
- Windows Updateのエラーコード
- Intune上の更新状態
- 再起動保留の有無
「ビルド番号が想定値に変わらない」という理由だけで、KB5123607が失敗したと判断するのは避けてください。まずWindows Updateの更新履歴にKB5123607が記録されているかを確認します。
KB5123607が失敗する場合の切り分け
KB5123607のインストールが繰り返し失敗する場合は、Hotpatchポリシーを変更する前に、次の順序で確認します。
KB5120994の成功を確認する
KB5123607はKB5120994のインストール後に提供されます。先行するKB5120994が失敗、保留、ロールバックの状態であれば、まずKB5120994側の問題を解消します。(マイクロソフトサポート)
Windows Updateの再スキャンを行う
端末を電源と安定したネットワークへ接続し、「設定」からWindows Updateの確認を実行します。
Intune管理端末では、端末側の同期も行い、ポリシーと更新情報を再取得します。一度の失敗だけで端末をグループから外したり、Hotpatchを無効化したりしないことが重要です。
エラーコードとログを保存する
更新コンポーネントの初期化やキャッシュ削除を始める前に、エラーコードとログを保存します。
管理者権限のPowerShellで次のコマンドを実行すると、Windows UpdateのETLログを読み取り可能なWindowsUpdate.logへ変換できます。
Get-WindowsUpdateLog更新プログラムのインストール処理を詳しく確認する場合は、次のCBSログも対象になります。
%SystemRoot%\Logs\CBS\CBS.logGet-WindowsUpdateLogで生成されるログは実行時点の静的コピーです。追加のインストール試行後に最新情報を確認する場合は、再度コマンドを実行してください。(Microsoft Learn)
手動パッケージを探し続けない
KB5123607はMicrosoft UpdateカタログとWSUSでは提供されていません。そのため、カタログ検索で見つからないこと自体は異常ではありません。
Windows Update経由で繰り返し失敗する場合は、次の情報を揃えてMicrosoftサポートへ問い合わせる方が効率的です。
- 対象端末のWindows 11バージョンとエディション
- CPUアーキテクチャ
- KB5120994のインストール状態
- KB5123607のエラーコード
- WindowsUpdate.log
- CBS.log
- Intune上のHotpatch状態
- 発生端末数と正常端末数
KB5123607対応で避けたい判断ミス
KB5123607への対応では、次の操作を安易に行わないようにします。
- 更新プログラムが2本表示されたことを重複配信と判断する
- KB5120994をアンインストールする
- Hotpatchポリシーを削除して作り直す
- Windows Autopatchへ端末を再登録する
- KB5123607がない端末を一律に未更新と判定する
- Microsoft UpdateカタログやWSUSで手動配布しようとする
- OSビルド番号だけで適用成否を決める
Microsoftが案内している基本方針は、対象端末でKB5120994とKB5123607の自動適用を完了させ、既存のHotpatch登録とポリシーを維持することです。(Microsoft Learn)
KB5120994後のKB5123607は正常な追加配信
KB5120994の後にKB5123607が表示されても、Hotpatchの設定異常や更新の重複ではありません。
対象となるWindows 11 Enterprise 24H2／25H2端末では、KB5120994を先に適用し、その後にKB5123607を適用する2段階の更新として処理されます。管理者が行うべきことは、Hotpatchの再登録やポリシー変更ではなく、両方の更新結果を確認することです。
KB5123607が処理中であれば自動適用を待ち、失敗している場合はKB5120994の状態、エラーコード、Windows Updateログを確認します。配信されていない端末については、限定対象の更新であることを踏まえ、直ちに未更新と判定しないようにしてください。
コメント