ニュース

Microsoft、Windowsの更新プログラムを公開。Googleが公表したゼロデイ脆弱性に対処

更新プログラムを受け取ったらなるべく早い適用を

Windowsの月例更新プログラムが公開

 米Microsoft Corporationは8日(米国時間、以下同)、Windowsの月例更新プログラムを公開した。このアップデートでは、Googleが先月31日公表していたWindowsカーネルのゼロデイ脆弱性が修正されているという。

 本脆弱性は「Windows Vista」から「Windows 10 Anniversary Update」までのすべてのバージョンに存在し、最悪の場合ローカルでの特権昇格が引き起こされ、Webブラウザーのサンドボックス機構の回避などに悪用される恐れがある。Microsoftが“STRONTIUM”と呼んでいるハッカー集団により、スピアフィッシング(特定の人物へ標的を限定してパスワードなどの詐取を行う手法)攻撃へ悪用されていることが確認されため、脆弱性の一刻も早い修正を促す目的でGoogleが公表していた。

 Microsoftによると、このスピアフィッシング攻撃を成功させるには、まず「Adobe Flash Player」に存在する脆弱性(CVE-2016-7855)を突く必要がある。この脆弱性は先月26日にAdobeが緊急公開したアップデートですでに修正されているので、「Adobe Flash Player」が最新版へ更新されていれば防止することができる。

 また、「Windows 10 Anniversary Update」のカーネルコンポーネントには新しい緩和策が実装されており、もしWindowsカーネルの脆弱性を悪用した攻撃を受けても、それを防止できるという。

 さらに、それすらも突破されて特権の昇格が成功し、システムにバックドアがインストールされてしまっても、「Microsoft Edge」ならば“コード整合性ポリシー(信頼できるコードであるかを事前にチェックする仕組み)”によって実行をブロックすることが可能。「Internet Explorer」といった他のWebブラウザーに関しても、Windows 10のセキュリティ機能“デバイス ガード(Device Guard)”で防止が可能だ。

 とはいえ、すでに修正プログラムが提供されている脆弱性をわざわざ放置しておく理由はない。更新プログラムを受け取ったら、なるべく早く適用することをお勧めする。また、古いバージョンのWindowsを利用している場合は、最新のセキュリティ技術が盛り込まれているWindows 10へのアップグレードも検討したい。