ニュース

攻撃報告のあるゼロデイ脆弱性は5件～Microsoft、2025年5月の「Windows Update」を実施

CVE番号ベースで75件にとどまるも、注意を要するものは多め

樽井秀人

2025年5月14日 09:11

2025年5月のパッチチューズデー

　米Microsoftは5月13日（現地時間）、すべてのサポート中バージョンのWindowsに対し月例のセキュリティ更新プログラムをリリースした（パッチチューズデー）。現在、「Windows Update」や「Windows Update カタログ」などから入手可能。Windows以外の製品も含め、今月のパッチではCVE番号ベースで75件（サードパーティーのものも含めれば82件）の脆弱性が新たに対処されている。

　このうち、すでに悪用が確認されているゼロデイ脆弱性は、以下の5件。深刻度の評価はいずれも「Important」にとどまるものの、できるだけ早い対処が必要だ。

CVE-2025-30400：Microsoft DWM Core ライブラリの特権の昇格の脆弱性
CVE-2025-30397：スクリプトエンジンのメモリ破損の脆弱性
CVE-2025-32709：WinSock 用 Windows Ancillary Function Driver の特権の昇格の脆弱性
CVE-2025-32701：Windows 共通ログファイルシステムドライバーの特権の昇格の脆弱性
CVE-2025-32706：Windows 共通ログファイルシステムドライバーの特権の昇格の脆弱性

　また、悪用は確認されていないものの、手法が公になっている脆弱性が2件ある。深刻度の評価はいずれも「Important」。

CVE-2025-26685：Microsoft Defender for Identity のスプーフィングの脆弱性
CVE-2025-32702：Visual Studio のリモートでコードが実行される脆弱性

　深刻度が最高の「Critical」と評価された脆弱性は、以下の11件。

CVE-2025-29827：Azure Automation の特権の昇格の脆弱性
CVE-2025-29813：Azure DevOps Server の特権の昇格の脆弱性
CVE-2025-29972：Azure Storage リソースプロバイダーのスプーフィングの脆弱性
CVE-2025-47732：Microsoft Dataverse のリモートコード実行に対する脆弱性
CVE-2025-33072：Microsoft msagsfeedback.azurewebsites.net の情報漏えいの脆弱性
CVE-2025-30377：Microsoft Office のリモートコードが実行される脆弱性
CVE-2025-30386：Microsoft Office のリモートコードが実行される脆弱性
CVE-2025-47733：Microsoft Power Apps の情報漏えいの脆弱性
CVE-2025-29833：Microsoft Virtual Machine Bus (VMBus) Remote Code Execution Vulnerability
CVE-2025-29966：リモートデスクトップクライアントのリモートでコードが実行される脆弱性
CVE-2025-29967：リモートデスクトップクライアントのリモートでコードが実行される脆弱性

Windows 10/11およびWindows Server 2016/2019/2022

　最大深刻度は「緊急」（リモートでコードが実行される）。「Windows 11」では「スマートフォン連携」（Phone Link）アプリを統合した［スタート］画面や「エクスプローラー」の新しいホーム画面が段階的に展開される。

　また、「Windows 11 バージョン 24H2」では「リコール」（Recall）、「クリックで実行」（Click To Do）、セマンティックインデックスを用いた「Windows Search」などのロールアウトも開始される（リコールとクリックで実行はプレビュー機能）。「Copilot+ PC」のポテンシャルをようやく引き出せるようになる重要なアップデートだ。