Microsoft 2025年12月の月例パッチで3件のゼロデイと57件の脆弱性を修正

本日はMicrosoftの2025年12月の月例パッチ（Patch Tuesday）で、実際に悪用されているもの1件と、公開済みゼロデイ脆弱性2件を含む、合計57件の脆弱性が修正されました。

今回の月例パッチでは、リモートでコード実行が可能になる「重大（Critical）」な脆弱性も3件修正されています。

各脆弱性カテゴリごとの件数は以下のとおりです。

• 特権昇格の脆弱性：28件
• リモートコード実行の脆弱性：19件
• 情報漏えいの脆弱性：4件
• サービス拒否（DoS）の脆弱性：3件
• なりすまし（Spoofing）の脆弱性：2件

BleepingComputerが月例パッチのセキュリティ更新を報じる際は、本日Microsoftから公開されたもののみをカウントしています。そのため、この件数には、今月初めに修正されたMicrosoft Edge（15件の脆弱性）およびMarinerの脆弱性は含まれていません。

本日公開された非セキュリティ更新の詳細については、Windows 11 KB5072033 & KB5071417 累積更新プログラムに関する専用記事をご覧ください。

3件のゼロデイ、そのうち2件は悪用確認済み

今月の月例パッチでは、実際に悪用されている1件と、公開済みのゼロデイ脆弱性2件が修正されています。

Microsoftは、ゼロデイ脆弱性を、公式な修正が提供されていない段階で公開されている、または実際に悪用されている欠陥として定義しています。

実際に悪用されているゼロデイは次のとおりです。

CVE-2025-62221 – Windows Cloud Files Mini Filter Driver の特権昇格の脆弱性

Microsoftは、Windows Cloud Files Mini Filter Driver に存在する、実際に悪用されている特権昇格の脆弱性にパッチを適用しました。

「Windows Cloud Files Mini Filter Driver における use-after-free により、認証済みの攻撃者がローカルで特権を昇格させることができます」とMicrosoftは説明しています。

Microsoftによると、この欠陥を悪用することに成功した攻撃者は、SYSTEM 権限を取得できるとのことです。

Microsoftは、この脆弱性を Microsoft Threat Intelligence Center (MSTIC) および Microsoft Security Response Center (MSRC) に帰属していますが、どのように悪用されたかについては共有していません。

公開済みゼロデイ脆弱性は次のとおりです。

CVE-2025-64671 – GitHub Copilot for Jetbrains のリモートコード実行の脆弱性

Microsoftは、攻撃者がローカルでコマンドを実行できてしまう、公開済みの GitHub Copilot の脆弱性にパッチを適用しました。

「Copilot におけるコマンドで使用される特殊要素の不適切な無害化（『コマンドインジェクション』）により、認証されていない攻撃者がローカルでコードを実行できてしまいます」とMicrosoftは説明しています。

Microsoftによると、この脆弱性は信頼されていないファイルや MCP サーバーに対するクロス・プロンプト・インジェクションを通じて悪用される可能性があります。

「信頼されていないファイルや MCP サーバーに対する悪意あるクロス・プロンプト・インジェクションを介して、攻撃者は、ユーザーのターミナルの自動承認設定で許可されているコマンドに追加のコマンドを付け足すことで、さらなるコマンドを実行できる可能性があります」とMicrosoftは続けています。

Microsoftは、この脆弱性を、最近「IDEsaster: A Novel Vulnerability Class in AI IDEs」レポートの一環としてこの欠陥を公開した Ari Marzuk に帰属しています。

CVE-2025-54100 – PowerShell のリモートコード実行の脆弱性

Microsoftは、Invoke-WebRequest を使用してWebページを取得した際に、そのページに埋め込まれたスクリプトが実行されてしまう可能性のある PowerShell の脆弱性にパッチを適用しました。

「Windows PowerShell におけるコマンドで使用される特殊要素の不適切な無害化（『コマンドインジェクション』）により、認証されていない攻撃者がローカルでコードを実行できてしまいます」とMicrosoftは説明しています。

Microsoftは、PowerShell が ‘Invoke-WebRequest’ を使用した際に警告を表示し、コード実行を防ぐためにユーザーへ -UseBasicParsing の追加を促す変更を行いました。

Security Warning: Script Execution Risk
Invoke-WebRequest parses the content of the web page. Script code in the web page might be run when the page is parsed.
      RECOMMENDED ACTION:
      Use the -UseBasicParsing switch to avoid script code execution.
      Do you want to continue?
For additional details, see [KB5074596: PowerShell 5.1: Preventing script execution from web content](https://support.microsoft.com/help/5072034).

Microsoftは、この脆弱性を、Justin Necke、DeadOverflow、Pēteris Hermanis Osipovs、Anonymous、Melih Kaan Yıldız、および Osman Eren Güneş を含む多数の研究者に帰属しています。

他社からの最近のアップデート

2025年12月にアップデートやアドバイザリを公開した他のベンダーには、次のようなものがあります。

• Adobe は、ColdFusion、Experience Manager、DNG SDK、Acrobat Reader、Creative Cloud Desktop 向けにセキュリティアップデートを公開しました。
• Fortinet は、複数製品向けにセキュリティアップデートを公開しており、その中には重大な FortiCloud SSO ログイン認証バイパスの脆弱性も含まれています。
• Google は、2件の実際に悪用されている脆弱性への修正を含む、Android の12月のセキュリティ情報を公開しました。
• Ivanti は、Ivanti Endpoint Manager におけるスコア 9.6/10 の保存型 XSS 脆弱性の修正を含む、2025年12月の Patch Tuesday アップデートの一環としてセキュリティパッチを公開しました。
• React は、React Server Components における重大な RCE 脆弱性に対するセキュリティアップデートを公開しました。React2Shell と名付けられたこの脆弱性は、現在攻撃で広く悪用されています。
• SAP は、SAP Solution Manager におけるスコア 9.9/10 のコードインジェクション脆弱性の修正を含む、複数製品向けの12月のセキュリティアップデートを公開しました。

2025年12月の月例パッチ セキュリティアップデート

以下は、2025年12月の月例パッチで解決された脆弱性の完全な一覧です。

各脆弱性の詳細な説明と影響を受けるシステムにアクセスするには、こちらの完全レポートをご覧ください。