Microsoft 2025年10月のパッチチューズデー、6件のゼロデイと172件の脆弱性を修正

本日はMicrosoftの2025年10月のパッチチューズデーであり、6件のゼロデイ脆弱性を含む172件の脆弱性に対するセキュリティ更新プログラムが含まれています。

今回のパッチチューズデーでは、8件の「重大」な脆弱性にも対応しており、そのうち5件はリモートコード実行脆弱性、3件は特権昇格脆弱性です。

BleepingComputerがパッチチューズデーのセキュリティ更新について報告する際、Microsoftが本日リリースしたもののみをカウントしています。そのため、今月初めに修正されたAzure、Mariner、Microsoft Edge、およびその他の脆弱性は含まれていません。

特筆すべきは、Windows 10が本日サポート終了を迎えることであり、これがMicrosoftがこの長寿なオペレーティングシステムに対して無償のセキュリティ更新を提供する最後のパッチチューズデーとなります。

Windows 10でセキュリティ更新を継続して受け取るには、一般ユーザーは1年間の拡張セキュリティ更新プログラム（ESU）に、企業は最大3年間の契約に申し込むことができます。

今月のパッチチューズデーでは、Windows SMB ServerとMicrosoft SQL Serverにおける2件の公開済みゼロデイ脆弱性が修正されています。Microsoftはゼロデイ脆弱性を、公式な修正が提供されていない状態で公開または積極的に悪用されているものと定義しています。

Microsoftは、管理者権限の取得に悪用されていたAgere Modemドライバーを削除しています。

「Microsoftは、サポートされているWindowsオペレーティングシステムに標準搭載されているサードパーティ製Agere Modemドライバーに脆弱性が存在することを認識しています」とMicrosoftは説明しています。

「これはltmdm64.sysドライバーの今後の削除に関するお知らせです。このドライバーは10月の累積更新プログラムで削除されました。」

Microsoftは、このドライバーを削除すると関連するFaxモデムハードウェアが機能しなくなると警告しています。

Microsoftは、この脆弱性をFabian Mosch氏とJordan Jay氏に帰属しています。

CVE-2025-59230 – Windowsリモートアクセス接続マネージャー特権昇格の脆弱性

Microsoftは、SYSTEM権限の取得に悪用されていたWindowsリモートアクセス接続マネージャーの脆弱性を修正しました。

「Windowsリモートアクセス接続マネージャーの不適切なアクセス制御により、認証済みの攻撃者がローカルで特権を昇格させることが可能です」とMicrosoftは説明しています。

Microsoftは、攻撃者がこの脆弱性を悪用するには「準備または実行において一定の労力を要する」と述べています。

この脆弱性は、Microsoft Threat Intelligence Center（MSTIC）およびMicrosoft Security Response Center（MSRC）に社内で帰属されています。

Microsoftは、IGEL OSにおけるセキュアブートバイパスの修正も追加しました。

「IGEL OS 11以前では、igel-flash-driverモジュールが暗号署名を適切に検証しないため、セキュアブートをバイパスできます。最終的に、未検証のSquashFSイメージから細工されたルートファイルシステムをマウント可能です」とMicrosoftは説明しています。

この脆弱性はZack Didcott氏によって発見され、GitHubの解説で公開されました。

Microsoftは、メモリ整合性に影響を与える可能性のあるAMDの脆弱性の修正に取り組んでいます。

「CVE-2025-0033は、Secure Encrypted Virtualization – Secure Nested Paging（SEV-SNP）を使用するAMD EPYCプロセッサの脆弱性です。これはReverse Map Table（RMP）初期化時の競合状態に関係し、悪意のあるまたは侵害されたハイパーバイザーがRMPエントリをロック前に変更できる可能性があり、SEV-SNPゲストメモリの整合性に影響を及ぼす可能性があります。この問題は平文データや秘密情報を露出させるものではなく、悪用にはハイパーバイザーの特権制御が必要です」とMicrosoftは説明しています。

「Azure Confidential Computing製品全体で、ホストの侵害を防ぐために複数のセキュリティガードレールが設けられており、分離、整合性検証、継続的な監視を組み合わせています。すべてのホスト操作は監査・承認済みの管理経路に従い、管理者アクセスは厳格に制御・制限・記録されています。これらの保護により、ホストの侵害や不正なメモリ操作のリスクが低減され、Azureホスト上の機密ワークロードや顧客VMの機密性と整合性が確保されます。」

Microsoftは、この脆弱性に対するAzure Confidential Computing（ACC）のAMDベースクラスタ向けのセキュリティ更新はまだ完了していないと述べています。顧客には、展開可能になり次第、Azure Service Health Alertsを通じて通知されます。

この脆弱性は、昨日AMDにより公開され、ETH ZurichのBenedict Schlueter氏、Supraja Sridhara氏、Shweta Shinde氏によって発見されました。

これは上記のCVE-2025-24990と類似の脆弱性であり、こちらも公開されているようです。

Microsoftは、この脆弱性がすべてのWindowsバージョンに影響し、モデムが使用されていなくても悪用可能であることを改めて強調しています。

「サポートされているすべてのWindowsバージョンは、モデムが実際に使用されていなくても、この脆弱性の悪用に成功した場合に影響を受ける可能性があります」とMicrosoftは説明しています。

このCVEは研究者には帰属されていません。

CVE-2025-2884 – Cert CC: TCG TPM2.0リファレンス実装におけるCVE-2025-2884範囲外読み取りの脆弱性

Microsoftは、TPMの情報漏洩やサービス拒否につながる可能性のあるTCG TPM 2.0の脆弱性を修正しました。

「CVE-2025-2884は、CG TPM2.0リファレンス実装のCryptHmacSignヘルパー関数における、署名方式と署名鍵アルゴリズムの検証不足による範囲外読み取りの脆弱性に関するものです」とMicrosoftは説明しています。

「CERT/CCはこれを代理でCVE化しました。Windowsのドキュメント化された更新プログラムには、この脆弱性に対応するCG TPM2.0リファレンス実装の修正が含まれています。詳細はCVE-2025-2884をご参照ください。」

この脆弱性はTrusted Computing Group（TCG）と匿名研究者に帰属され、TCGはこの解説で公表しました。

以下は2025年10月のパッチチューズデー更新で解決された脆弱性の全リストです。

各脆弱性の詳細説明や影響を受けるシステムについては、こちらの完全レポートをご覧ください。

翻訳元: https://www.bleepingcomputer.com/news/microsoft/microsoft-october-2025-patch-tuesday-fixes-6-zero-days-172-flaws/