Malwarebytesで主席マルウェア情報アナリストを務めるジェローム・セグーラ氏によると、今回のWindowsゼロデイ脆弱性は権限昇格の脆弱性だという。

　「Flashのゼロデイ脆弱性とWindowsのゼロデイ脆弱性は異なるものだが、両者を併用することによって確実にユーザーを攻撃できる。攻撃者は、最初にFlashの脆弱性を利用してWebブラウザを攻撃することによって、サンドボックスから脱出する。その後で、権限昇格を可能にするWindowsの脆弱性を利用するのだ」とセグーラ氏は説明する。

　Microsoftは、GoogleがMicrosoftとAdobeに脆弱性を通知してからわずか10日後に問題を公表したことを批判している。「Googleが述べた攻撃シナリオは、10月26日にリリースされたAdobe Flashのアップデートを導入することで十分対処可能だ。この脆弱性を狙った攻撃は『Windows 10 Anniversary Update』上では全く効果がない」とMicrosoftは主張している。

　Core Securityの上席セキュリティ研究員、ウイリス・マクドナルド氏によると、Adobeが脆弱性を修正したことは「Windowsの権限昇格脆弱性への対策とは無関係だ」という。

　「Microsoftは『Google Chrome』と『Microsoft Edge』の両ブラウザには脆弱性がないと指摘することによって、この問題への関心をそらそうとしている」とマクドナルド氏は語る。「両ブラウザに脆弱性がないのは、『Windows 10』が備えるWin32kシステムコール緩和機能を利用するからだ。だがWin32kシステムコール緩和機能を利用しないユーザーモードアプリケーションはwin32k.sysの呼び出しを行うことができ、脆弱性を悪用する可能性がある」（同氏）

　Lastlineで製品・ビジネス開発を担当するブライアン・レイング副社長もマクドナルド氏と同意見だ。

　「この攻撃は、Flashのアップデートを適用するだけでは完全に防げない。攻撃者が他のゼロデイ脆弱性を利用することによって、Windows脆弱性を攻撃する可能性が極めて高いからだ」とレイング氏は指摘する。「私の経験からいえば、権限昇格を許す脆弱性には最優先で対処すべきだ。攻撃者はその脆弱性を悪用するための新たな手段を探し続けるからだ」（同氏）

　コンサルティング会社Rendition InfoSecの創業者ジェイク・ウィリアムズ氏は「これはユーザーモードアプリケーションからアクセスできるカーネルモードゼロデイ脆弱性だ。Microsoftにとって最悪のシナリオだ」と述べている。

　FireMonのポール・カラタユッド最高技術責任者（CTO）によると、攻撃緩和要因に基づいて脆弱性のリスクを評価するのは危険だという。

　「Microsoftは、Flashをアップデートすることで攻撃を緩和できるとしている。だがこれは、Flashが正しくアップデートされることを前提としている。攻撃シナリオに注目するのは重要だが、それは危険なことでもある。脅威をモデル化する際にさまざまな前提を設ける必要があるからだ。システムのパッチ適用は完全か、サードパーティー製アプリケーションのパッチ適用は完全か、といったことだ」とカラタユッド氏は語る。

責任転嫁？

　今回の問題についてMicrosoftは、「FlashとWindowsのゼロデイ脆弱性を利用して特定のユーザーをターゲットとした小規模スピア型攻撃を引き起こしたのは、ロシア政府の資金援助を受けたAPT（Advanced Persistent Threat：持続的標的型攻撃）グループ」だと主張している。このグループは、「STRONTIUM」「FANCY BEAR」「APT28」「Sofacy」などとも呼ばれている。

　カラタユッド氏は、大抵のユーザーにとっては、こうした責任追及は何の役にも立たず「状況を混乱させるだけだ」と批判する。

　「この状況でMicrosoftがフォーカスすべきはカーネルだ。ロシア政府云々という情報はほとんど意味がない。既知の脆弱性が存在すれば、攻撃者の数は短期間で急増する。スクリプトキディ（訳注：技術レベルが低く、 他人が作成したツールを使って攻撃を行うハッカー）が使うツールのアップデートもすぐにこうした脆弱性に対応し、あっという間に広がる」（カラタユッド氏）

　マクドナルド氏によると「Microsoftは自分たちが状況を把握し、攻撃を監視していたように見せかけるために、Sofacyグループに責任を転嫁しようとしたのかもしれない」という。

　「SofacyはFlashとWindowsのゼロデイ脆弱性を利用して、特定の個人や組織を狙って攻撃してきたことで知られている。CVE-2016-7855（訳注： Flashの脆弱性）を悪用した責任をSofacyに押し付けることによって、Microsoftは攻撃規模をこのグループおよび彼らが狙っているターゲットだけに限定しているのだ。だがこれは、権限昇格の脆弱性を修正するパッチを待ち望んでいる企業にとって何の慰めにもならない。他の攻撃者も、この弱点を利用する方法を発見するロードマップを手に入れたに等しいからだ」とマクドナルド氏は語る。