マイクロソフトの今月のパッチ一括配信には、先週、同社および連邦当局が一連の警告で注意を呼びかけた、オンプレミスのMicrosoft Exchangeサーバーに影響する脆弱性が含まれています。マイクロソフトは最新のセキュリティアップデート（火曜日）で、この脆弱性が実際に悪用された事例はないとしつつ、欠陥（CVE-2025-53786）の悪用可能性を「より高い」と指定しました。
当局が深刻な警告を発したにもかかわらず、多くの組織がこの高深刻度の脆弱性に対する既存のパッチを一斉に適用していません。Shadowserverのスキャンによると、月曜日の時点で28,000台以上のMicrosoft Exchangeサーバーが未修正のままでした。
サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）がすべての連邦機関に対し、既存のホットフィックスで対象サーバーを更新し、旧式のExchangeサーバーを切断するための期限は月曜日に終了しました。
マイクロソフトは今月のセキュリティアップデートで、同社のさまざまなエンタープライズ製品、クラウドサービス、基盤となるWindowsシステムに影響する111件の脆弱性に対応しました。今回の公開には、Microsoft Exchange Serverに影響する4つの追加の欠陥も含まれています。
このセキュリティアップデートはまた、オンプレミスのMicrosoft SharePointサーバーのゼロデイ脆弱性を狙った攻撃の連続の直後にリリースされました。これらの攻撃により、400以上の組織が実際に侵害され、エネルギー省、国土安全保障省、保健福祉省なども含まれていました。
これらのゼロデイ（CVE-2025-53770およびCVE-2025-53771）は、以前に公開された脆弱性（CVE-2025-49706およびCVE-2025-49704）の亜種であり、マイクロソフトは先月のセキュリティアップデートでこれらに対応していました。
マイクロソフトは、今月のアップデートに含まれる脆弱性のいずれも現時点で積極的に悪用されていないと述べています。しかし、研究者らはWindows Kerberosに影響する権限昇格の脆弱性CVE-2025-53779について、実際に機能するエクスプロイトコードが存在するためゼロデイと説明しています。
「マイクロソフトはこの欠陥を『悪用の可能性は低い』かつ『中程度』の深刻度と評価していますが、Kerberosのようなコア認証コンポーネントにおけるパストラバーサル問題と、その潜在的な高い影響度の組み合わせは懸念されます」とAction1社の社長兼共同創設者であるMike Walters氏はメールで述べています。「高い権限が必要であることが誤った安心感を生むかもしれませんが、こうした権限を持つアカウントは分散型IT環境では一般的です。一度侵害されれば、すぐにドメイン全体の乗っ取りにつながる可能性があります。」
最も深刻な脆弱性は、CVE-2025-53767で、Azure OpenAIに影響する最大深刻度の欠陥です。Azure OpenAIはOpenAIの大規模言語モデルへのアクセスを提供するクラウドベースのプラットフォームです。さらに、CVSSスコア9.8の重大なリモートコード実行脆弱性が2件あり、CVE-2025-53766はWindows GDI+、CVE-2025-50165はMicrosoft Graphics Componentにそれぞれ影響します。
Microsoft Graphics Componentの脆弱性は、その高い評価とあらゆる環境での広範な利用から、脅威グループを引き付ける可能性があります。「攻撃ベクトルは非常に広範であり、特別に細工されたJPEG画像をオペレーティングシステムが処理する際に脆弱性が発動します」とImmersive Labsのリードサイバーセキュリティエンジニア、Ben McCarthy氏はメールで述べています。
「つまり、画像を表示するあらゆるアプリケーション――メールクライアントによるプレビュー生成やインスタントメッセージアプリでの写真表示、埋め込み画像付きのオフィス文書に至るまで――が攻撃の入口となり得るのです」とMcCarthy氏は付け加えました。
今月のセキュリティアップデートに含まれるその他の重大な脆弱性には、Azure Portalに影響するCVE-2025-53792、リモートデスクトップサーバーに影響するCVE-2025-50171が含まれます。
今月マイクロソフトが修正したCVEのうち、ほぼ5件に2件は権限昇格の脆弱性であり、TenableのシニアスタッフリサーチエンジニアSatnam Narang氏は「コード実行バグよりも侵害後の脆弱性が増加傾向にある」とメールで述べています。
マイクロソフトの月例セキュリティ修正には、Microsoft OfficeおよびスタンドアロンのOffice製品に影響する17件の脆弱性が含まれています。今月対応された脆弱性の全リストは、Microsoftのセキュリティレスポンスセンターで確認できます。
翻訳元: https://cyberscoop.com/microsoft-patch-tuesday-august-2025/