2025年4月8日、Microsoftは同社のサービスに存在する126件の脆弱性を公開した。すでに悪用が確認されたものも含まれている。特に危険性の高い脆弱性と、取るべき対処を紹介する。
Microsoftは2025年4月8日（現地時間）、月例アップデートを配布した。126件の脆弱（ぜいじゃく）性に対処するパッチ（修正プログラム）が含まれる。Microsoftは今回対処した脆弱性のリストを公開している。脆弱性の危険度を10段階で示す「CVSSスコア」における最大値は「8.8」で、10件が該当する。「緊急」と評価されたのは11件だ。ほとんどはOS「Windows」の脆弱性だが、オフィススイート「Microsoft Office」関連の脆弱性も18件存在する。すでに悪用が確認されたもの、手作業での対処が必要なものなど、要注意の脆弱性を取り上げる。
不正利用が明らかになったゼロデイ脆弱性（修正プログラムが提供される前の脆弱性）は以下の通り。
この脆弱性は、WindowsおよびサーバOS「Windows Server」に関係する。2025年4月9日（現地時間）には、32bit版と「x64」ベースの「Windows 10」向けパッチが公開された。
物理的に、もしくはリモートアクセスツール経由でローカルマシンにアクセスできる攻撃者は、Windowsの標準ユーザーアカウントを使ってエクスプロイト（脆弱性悪用プログラム）を使用できる。
セキュリティベンダーIvanti Softwareのプロダクトマネジメント部門のバイスプレジデントを務めるクリス・ゴエトル氏は警鐘を鳴らす。「この脆弱性を悪用すると、『System』（システム）アカウントへと昇格でき、そのマシンを掌握できる。今回公表された中で最もリスクの高い脆弱性と言えるだろう」
Microsoftは「Storm-2460」と呼ばれるランサムウェア（身代金要求型マルウェア）集団による悪用を確認したと発表した。米国、ベネズエラ、スペイン、サウジアラビアの組織が被害に遭ったという。標的システムに侵入したStorm-2460は、この脆弱性を利用してシステム権限を取得し、ペイロード（マルウェアの実行を可能にするプログラム）を展開してファイルの暗号化に成功した。
リストには、Microsoftのセキュリティ更新プログラムを適用するだけでは不十分な脆弱性も含まれている。以下の3件には追加の手作業が必要だ。
「今回、Microsoftはパッチが問題を引き起こすことを懸念して、インストールだけでは有効化されないものを含めている。ユーザーによる手動の有効化が必要だ」（ゴエトル氏）
各脆弱性の詳細と有効化の手順は以下の通り。
Windows Serverに関係する脆弱性だ。Windows Server搭載のドメインコントローラー（認証サーバ）で、ログイン試行に対して適切な認証が行われず、攻撃者が権限を昇格させる危険がある。攻撃の複雑さ、および攻撃に必要な権限について、Microsoftは低いと評価している。
「認証をパスした攻撃者は、通信する二者間に割り込む『中間者攻撃』（MITM）や、他人になりすましたりデータを偽造したりする『スプーフィング攻撃』によって、この脆弱性を悪用できる。不正なKerberosメッセージをクライアントに送信して、認証サーバになりすますことも可能だ」。Microsoftはそう書いている。
Microsoftによると、CVE-2025-26647への対処は3段階で行われ、今回の更新プログラムはその第1段階に該当する。4月8日の更新プログラムを適用すると、ログインを試みるデバイスの証明書をチェックする動作が追加されるが、自動で実行されるわけではない。有効化にはレジストリキーの設定が必要だ。設定すれば、チェックを実行して不適合な証明書を検出したり、ログインを拒否したりできるようになる。
2025年7月8日（現地時間）以降に配布予定の更新プログラムでは、証明書の確認がデフォルトで強制されるようになる予定だ。レジストリキーの設定により、必要に応じて監査モードに戻すことも可能だという。2025年10月14日（現地時間）以降に配布予定の更新プログラムでは、レジストリキーの変更が不可能になるとされている。
この脆弱性はWindowsおよびWindows Serverに関係する。2025年4月9日（現地時間）にWindows 10向けのパッチも公開された。「アプリケーションの互換性に関するリスクを軽減するため、この脆弱性に対処する修正プログラムはデフォルトでは無効になっている。管理者は必要に応じてレジストリキーを設定して有効化できる」とMicrosoftは述べている。
WindowsおよびWindows Serverに関係する脆弱性だ。CVE-2025-21197の場合と同じく、アプリケーションの互換性に関する問題を避けるため、デフォルトでは無効になっている。手動で有効化する手順は、Microsoftの公式サイトに載せられている。有効化すれば、ファイルシステムへのアクセス時のチェックが強化され、権限のないユーザーがファイルパスを閲覧できなくなる。
Microsoftは2024年、システム更新ツール「Windows Server Update Services」（WSUS）のサポートを2025年4月に終了すると発表していたが、今回この計画を延期すると発表した。同社によると、インターネットに接続していないデバイスについてユーザーから寄せられた問い合わせを受け、計画を変更したという。
MicrosoftはWSUSのサポート終了を延期したが、WSUSの代替手段としてデバイス管理ツール「Microsoft Intune」や自動更新ツール「Windows Autopatch」の採用を検討するよう推奨している。
（翻訳・編集協力：編集プロダクション雨輝）
米国Informa TechTargetの豊富な記事の中から、最新技術解説や注目分野の製品比較、海外企業のIT製品導入事例などを厳選してお届けします。
Copyright © ITmedia, Inc. All Rights Reserved.
いまさら聞けない「仮想デスクトップ」と「VDI」の違いとは
遠隔のクライアント端末から、サーバにあるデスクトップ環境を利用できる仕組みである仮想デスクトップ（仮想PC画面）は便利だが、仕組みが複雑だ。仮想デスクトップの仕組みを基礎から確認しよう。
「サイト内検索」＆「ライブチャット」売れ筋TOP5（2025年5月）
今週は、サイト内検索ツールとライブチャットの国内売れ筋TOP5をそれぞれ紹介します。
「ECプラットフォーム」売れ筋TOP10（2025年5月）
今週は、ECプラットフォーム製品（ECサイト構築ツール）の国内売れ筋TOP10を紹介します。
「パーソナライゼーション」＆「A／Bテスト」ツール売れ筋TOP5（2025年5月）
今週は、パーソナライゼーション製品と「A／Bテスト」ツールの国内売れ筋各TOP5を紹介し...
ITmediaはアイティメディア株式会社の登録商標です。
