画像: マイクロソフト
昨日は9月のPatch Tuesdayで、Microsoftは80件の新たな脆弱性に対処するセキュリティ更新プログラムを提供しました。
マイクロソフトはWindowsとOfficeの脆弱性8件を「重大」に分類しましたが、いずれもまだ実環境で攻撃に利用されたことはありません。残念ながら、マイクロソフトはセキュリティ更新ガイドにおいて、これらのセキュリティ脆弱性に関する詳細情報をほとんど提供していません。
次回のパッチ火曜日は2025年10月14日に予定されています。これは、Windows 10のサポート終了日でもあるため、お早めにご対応ください！今後の選択肢についてご確認ください。
重大なWindowsの脆弱性
多数の脆弱性（今回は 58 件）は、Microsoft が現在もセキュリティ更新プログラムを提供しているさまざまな Windows バージョン（Windows 10、Windows 11、Windows Server）に分散しています。
Windows 7と8.1はセキュリティアップデートの提供が終了しているため、脆弱性は依然として残っています。現在もこれらのバージョンをご利用で、システム要件を満たしている場合は、セキュリティアップデートの受信を継続するために、できるだけ早くWindows 11に切り替えてください。
Microsoftは、Windowsのセキュリティ脆弱性7件を「重大」に分類しました。これには、リモートコード実行（RCE）の脆弱性4件が含まれます。これらの重大脆弱性のうち5件はグラフィックコンポーネントに存在します。感染した画像ファイル（例えばウェブサイトから読み込んだもの）を開くだけで、悪意のあるコードが実行される恐れがあります。CVE-2025-53799のデータ漏洩脆弱性は、悪用されても作業メモリのごく一部しか露出されないという点で際立っています。なぜこの脆弱性が「重大」に分類されているのかは依然として不明です。
MicrosoftはHyper-Vのセキュリティ脆弱性5件を修正しました。そのうち1件（CVE-2025-55224）は深刻度「重大」に分類されています。その他の脆弱性は権限昇格（EOP）に関するものです。NT LAN ManagerのCVE-2025-54918も、深刻度「重大」に分類されるEOPの脆弱性です。ユーザー権限を持つ攻撃者は、ネットワーク経由でシステム権限を取得できます。この脆弱性は単純なため、標的型攻撃に悪用される可能性があります。
その他のWindowsの脆弱性
最も高い脆弱性スコアを持つ脆弱性は、ハイパフォーマンスコンピューティング（HPC）パックのCVE-2025-55232です。攻撃者はユーザーアカウントなしでリモートからコードを挿入し、自身で実行できる可能性があります。そのため、この脆弱性はHPCネットワーク内でワーム化される可能性があります。原則として、この脆弱性は既にセキュリティ保護されているハイパフォーマンスコンピュータのクラスターにのみ影響します。マイクロソフトはTCPポート5999をブロックすることを推奨しています。
マイクロソフトは、ルーティングとリモート アクセス サービス（RRAS）の脆弱性を今月10件修正しました。これは先月の12件から減少しています。今回はRCE（リモートコード実行）脆弱性が2件のみで、残りはデータ漏洩です。いずれも高リスクに分類されています。Windows ファイアウォール サービスでは、高リスクとされるEOP（リモートコード実行）脆弱性が6件修正されました。ユーザー権限を持つ攻撃者は、これらの脆弱性を悪用してローカル システム アカウントの権限を取得し、悪意のあるコードを実行する可能性があります。
Officeの重大な脆弱性
Microsoftは、Office製品ファミリにおける16件の脆弱性を修正しました。この中には、12件のリモートコード実行（RCE）脆弱性が含まれています。これらのRCE脆弱性の1つ（CVE-2025-54910）は、プレビューウィンドウが攻撃ベクトルとなる可能性があるため、「緊急」と分類されています。つまり、ユーザーがクリックしたり開いたりしなくても、感染したファイルがプレビューに表示されるだけで攻撃を受ける可能性があるということです。
Microsoftは、その他のOfficeの脆弱性を高リスクに分類しています。これらの脆弱性では、エクスプロイトコードが発動するには、ユーザーが感染したファイルを開く必要があります（「Open to Own」）。Excelだけでも、修正されたRCE脆弱性は8件あります。
ブラウザのセキュリティアップデート
Edge 140.0.3485.54の最新セキュリティアップデートは9月5日にリリースされ、Chromium 140.0.7339.81をベースとしています。このアップデートでは、Chromiumの複数の脆弱性とEdge固有の脆弱性が修正されています。その後、Googleは新たなセキュリティアップデートをリリースしており、Microsoftは今週後半に対応を迫られることになります。
この記事はもともと当社の姉妹誌 PC-WELT に掲載され、ドイツ語から翻訳およびローカライズされました。
著者: Frank Ziemann、PCWorld寄稿者
フランク・ジーマンは2005年から姉妹サイトPC-WELTでフリーランスライターとして活動し、ニュースやテストレポートを執筆しています。主なテーマはITセキュリティ（マルウェア、ウイルス対策、セキュリティギャップ）とインターネット技術です。
