ニュース

ゼロデイ多数、比較的大規模～Microsoft、2025年10月の「Windows Update」を実施

「Windows 10」「Office 2016」「Office 2019」などサポート終了製品多し、注意

樽井秀人

2025年10月15日 07:05

Microsoft、2025年10月の「Windows Update」「Microsoft Update」を実施

　米Microsoftは10月14日（現地時間）、すべてのサポート中バージョンのWindowsに対し月例のセキュリティ更新プログラムをリリースした（パッチチューズデー）。現在、「Windows Update」や「Windows Update カタログ」などから入手可能。Windows以外の製品も含め、今月のパッチではCVE番号ベースで177件（サードパーティーのものを含めると195件）の脆弱性が新たに対処されている。

　このうち、すでに悪用が確認されているゼロデイ脆弱性は3件。

CVE-2025-47827：IGEL OS 11 以前のセキュアブートバイパス
CVE-2025-24990：Windows Agere モデムドライバーの特権昇格の脆弱性
CVE-2025-59230：Windows Remote Access Connection Manager の特権昇格の脆弱性

　深刻度の評価は「Important」にとどまるが、できるだけ早い対処が望ましい。

　すでに攻撃手法が明らかになっており、いつ悪用されてもおかしくない脆弱性は、以下の3件。

CVE-2025-0033：AMD CVE-2025-0033: SNP 初期化中の RMP の破損
CVE-2025-2884：Cert CC: CVE-2025-2884 TPM2.0 リファレンス実装における境界外読み取りの脆弱性
CVE-2025-24052：Windows Agere モデムドライバーの特権昇格の脆弱性

　深刻度の評価は、AMD CPUの仮想化セキュリティ機能「SEV-SNP」におけるメモリページ破損の脆弱性「CVE-2025-0033」が「Critical」。リストにあるほかの2件は「Important」と評価されている。

　深刻度が最高の「Critical」と評価された脆弱性は、以下の16件（前述のAMD脆弱性を除く）。「Office」や「Microsoft 365 Copilot」、「Windows Server Update Service」（WSUS）などに影響する。

CVE-2025-59292：Azure Compute Gallery の特権昇格の脆弱性
CVE-2025-59218：Azure Entra ID に存在する特権昇格の脆弱性
CVE-2025-59246：Azure Entra ID に存在する特権昇格の脆弱性
CVE-2025-55321：Azure Monitor Log Analytics のスプーフィングの脆弱性
CVE-2025-59247：Azure PlayFab の特権昇格の脆弱性
CVE-2025-59291：Confidential Azure Container Instances の特権昇格の脆弱性
CVE-2025-59272：Copilot のスプーフィングの脆弱性
CVE-2025-59286：Copilot のスプーフィングの脆弱性
CVE-2025-59252：Microsoft 365 Copilot のスプーフィングの脆弱性
CVE-2025-59236：Microsoft Excel のリモートでコードが実行される脆弱性
CVE-2025-59227：Microsoft Office のリモートコードが実行される脆弱性
CVE-2025-59234：Microsoft Office のリモートコードが実行される脆弱性
CVE-2016-9535：MITRE CVE-2016-9535: LibTIFF ヒープバッファオーバーフローの脆弱性
CVE-2025-59271：Redis Enterprise の特権昇格の脆弱性
CVE-2025-49708：Microsoft Graphics コンポーネントの特権昇格の脆弱性
CVE-2025-59287：Windows Server Update Service (WSUS) のリモートでコードが実行される脆弱性

　なお、今月は「Windows 10」「Office 2016」「Office 2019」を筆頭に、サービス終了やサポート終了を迎える製品が多くある。これらの製品に対するセキュリティパッチの提供は今後なくなるので、利用の継続はセキュリティリスクが高い。後継バージョンや代替製品への移行をできるだけ早く済ませるべきだ。