Microsoftのパッチチューズデー、63件の欠陥に対応、うち1件は実際に悪用されたゼロデイ

Microsoftは、基盤システムおよび主要製品に影響を与える63件の脆弱性に対応し、その中には実際に悪用されたゼロデイも含まれていると、最新の月例セキュリティアップデートで発表しました。

ゼロデイ脆弱性 — CVE-2025-62215 — はWindowsカーネルに影響し、攻撃の複雑性が高いためCVSSスコアは7.0と評価されています。Microsoftによると、攻撃者がシステム権限を取得できる可能性があるものの、攻撃にはレースコンディションを成立させる必要があるとのことです。Microsoftは、悪用の範囲についてこれ以上の詳細は明らかにしていません。

このレースコンディションは、他のものよりも信頼性の高いレースコンディションが存在することを示しているため注目に値すると、Trend MicroのZero Day Initiativeの脅威認識責任者であるDustin Childs氏はブログ投稿で述べています。複数の同時プロセスがエラーを引き起こすよう設計された脆弱性のレースコンディションは、しばしば悪用を困難にします。

「このようなバグは、マルウェアによるコード実行バグと組み合わせて、システムを完全に乗っ取るために使われることが多い」とChilds氏は付け加えています。

Action1の社長兼共同創設者であるMike Walters氏によると、CVE-2025-62215の機能的なエクスプロイトは存在するものの、公開された概念実証はリリースされていないとのことです。「悪用は複雑ですが、実際に機能するエクスプロイトが野生で観測されているため、熟練した攻撃者が標的型攻撃で確実に武器化できることから、緊急性が高まっています」と同氏はメールで述べています。

Immersiveの主任サイバーセキュリティエンジニアであるBen McCarthy氏によると、低権限のローカルアクセスを持つ攻撃者が、特別に作成されたアプリケーションを実行することでレースコンディションを引き起こすことができるとのことです。「目的は、複数のスレッドを同期されていない方法で共有カーネルリソースと相互作用させ、カーネルのメモリ管理を混乱させて同じメモリブロックを2回解放させることです」と同氏はメールで述べています。

今月公開された中で最も深刻な欠陥は、CVE-2025-60724で、Microsoft Graphics Componentに影響するリモートコード実行の脆弱性であり、CVSSスコアは9.8ですが、Microsoftはこの脆弱性が悪用される可能性は低いとしています。

Microsoftは今月、悪用される可能性が高いとされる5件の欠陥を警告しており、その中にはWindows Ancillary Function Driver for WinSockに影響する3件の脆弱性 — CVE-2025-60719、CVE-2025-62213、CVE-2025-62217 — も含まれており、これらのCVSSスコアは7.0です。

カーネルモードドライバーはWindowsにとって基本的なものであり、このコンポーネントの欠陥は本質的に高リスクであるとMcCarthy氏は述べています。

「Windowsのネットワーク関連機能と密接に結びついているため、Windowsエコシステム内の多くのアプリケーションにとって侵入口となる可能性があります。過去にも、このカーネルモードドライバーで武器化された脆弱性が多数存在しました」と同氏は付け加えています。

今月対応された脆弱性の全リストは、Microsoftのセキュリティレスポンスセンターで確認できます。