Microsoft 2025年11月のパッチチューズデー、ゼロデイ1件と63件の脆弱性を修正

本日はMicrosoftの2025年11月パッチチューズデーであり、63件の脆弱性に対するセキュリティ更新プログラムが含まれています。その中には、実際に悪用されているゼロデイ脆弱性が1件含まれています。

今回のパッチチューズデーでは、4件の「重大」な脆弱性も修正されています。そのうち2件はリモートコード実行脆弱性、1件は権限昇格、もう1件は情報漏洩の脆弱性です。

各脆弱性カテゴリのバグ数は以下の通りです：

• 権限昇格の脆弱性：29件
• セキュリティ機能バイパスの脆弱性：2件
• リモートコード実行の脆弱性：16件
• 情報漏洩の脆弱性：11件
• サービス拒否（DoS）の脆弱性：3件
• なりすましの脆弱性：2件

BleepingComputerがパッチチューズデーのセキュリティ更新を報告する際、本日Microsoftからリリースされたもののみをカウントしています。そのため、今月初めに修正されたMicrosoft EdgeやMarinerの脆弱性は含まれていません。

本日はまた、Windows 10の最初の拡張セキュリティ更新（ESU）でもあります。サポートが終了したオペレーティングシステムをまだ利用している場合は、Windows 11へのアップグレード、またはESUプログラムへの登録を強く推奨します。

プログラムへの登録で問題が発生している方のために、Microsoftは本日登録を妨げるバグを修正する臨時アップデートをリリースしました。

本日リリースされた非セキュリティ更新について詳しく知りたい場合は、Windows 11 KB5066835およびKB5066793の更新や、Windows 10 KB5068781拡張セキュリティ更新に関する専用記事をご覧ください。

パッチチューズデーの更新で遅延や見落とし、優先順位付けの問題に直面している場合は、12月2日のAction1とのウェビナーにご参加ください。最新のパッチ管理で迅速なパッチ適用とリスク低減を実現する方法をご紹介します。

1件の実際に悪用されたゼロデイ

今月のパッチチューズデーでは、Windowsカーネルの実際に悪用されたゼロデイ脆弱性1件が修正されています。

Microsoftはゼロデイ脆弱性を、公式な修正が提供されていない状態で公に公開または実際に悪用されているものと定義しています。

悪用されたゼロデイは以下の通りです：

CVE-2025-62215 – Windowsカーネル権限昇格の脆弱性

Microsoftは、WindowsデバイスでSYSTEM権限を取得するために悪用されていたWindowsカーネルの脆弱性を修正しました。

「Windowsカーネルにおける共有リソースの不適切な同期（競合状態）により、認証済みの攻撃者がローカルで権限を昇格できる」とMicrosoftは説明しています。

この脆弱性は、攻撃者が競合状態を制することでSYSTEM権限を取得できる必要があります。

Microsoftは、この脆弱性をMicrosoft Threat Intelligence Center（MSTIC）およびMicrosoft Security Response Center（MSRC）に帰属させていますが、どのように悪用されたかについては公表していません。

他社による最近のアップデート

2025年11月にアップデートやアドバイザリを公開した他のベンダーは以下の通りです：

• Adobeは、InDesign、InCopy、PhotoShop、Illustrator、Substance 3D、Pass、Adobe Format向けにセキュリティ更新をリリースしました。
• Ciscoは、Cisco ASA、Unified Contact Center、Identityサービスなど複数製品向けにパッチをリリースしました。Ciscoは今月、過去の脆弱性を悪用した新たな攻撃が発見されたことも警告しています。
• expr-evalの開発者は、JavaScriptライブラリの重大なRCE脆弱性を修正するパッチをリリースしました。
• Fortinetは、FortiOSの中程度の深刻度の権限昇格脆弱性に対するセキュリティアップデートをリリースしました。
• Googleは、2件の脆弱性修正を含むAndroidの11月セキュリティ情報を公開しました。
• Ivantiは、2025年11月パッチチューズデーの一環としてセキュリティパッチをリリースしました。
• runCは、攻撃者がDockerやKubernetesコンテナから脱出できる脆弱性を修正するセキュリティアップデートをリリースしました。
• QNAPは、7件のゼロデイ脆弱性を修正するセキュリティアップデートをリリースしました。これらはPwn2Own Ireland 2025ハッキングコンテストでNASデバイスをハッキングするために悪用されました。
• SAPは、複数製品向けに11月のセキュリティアップデートをリリースしました。その中には、SQL Anywhere Monitorのハードコード認証情報脆弱性（10/10）の修正も含まれています。
• Samsungは、25件の脆弱性修正を含む11月のセキュリティアップデートをリリースしました。

2025年11月パッチチューズデーのセキュリティ更新一覧

以下は、2025年11月パッチチューズデーで解決された脆弱性の全リストです。

各脆弱性の詳細説明や影響を受けるシステムについては、こちらの完全レポートをご覧ください。