Microsoftは2025年3月のパッチチューズデーにおいて、合計57件のセキュリティ脆弱性を修正した。その中には、すでに攻撃に悪用されている6件を含む7つのゼロデイ脆弱性が含まれており、特にWindows NTFSやVHD関連の問題が深刻視されている。

修正された脆弱性の内訳として、リモートコード実行（RCE）23件、権限昇格23件、情報漏洩4件などが挙げられ、6件の「重大」な欠陥にも対応が行われた。企業や個人ユーザーにとっては、攻撃のリスクを軽減するため、迅速なアップデートの適用が求められる。

加えて、Google、Cisco、Fortinetなど他のベンダーも同時期にセキュリティ更新を発表しており、3月のパッチリリースは広範囲に及ぶ影響を及ぼしている。特にMicrosoftのアップデートは、ゼロデイ脆弱性を含むことから、セキュリティ関係者の注目を集めている。

Microsoftが修正したゼロデイ脆弱性の詳細と影響

2025年3月のパッチチューズデーで修正された7つのゼロデイ脆弱性のうち、6件はすでに攻撃に悪用されていた。これらの脆弱性は主にWindows NTFSやVHD関連の問題に集中し、特にCVE-2025-24985では、特定のVHDファイルをマウントすることで攻撃者がコードを実行できる危険性が指摘されている。

リモートコード実行（RCE）や権限昇格といった重大な脆弱性が含まれており、影響は企業システムだけでなく個人ユーザーにも及ぶ。これらの脆弱性の修正は、情報漏洩や権限昇格のリスクを軽減するものの、すでに攻撃が行われている点を考慮すると、ゼロデイ脆弱性の迅速な対応が依然として求められる。

特にWindows NTFSに関連するCVE-2025-24991やCVE-2025-24993は、ヒープベースのバッファオーバーフローを悪用した攻撃が可能とされ、企業が業務用デバイスを管理する上で無視できない問題となる。また、Microsoft Accessに関するCVE-2025-26630は、メモリ管理の不備によるリモートコード実行のリスクをはらんでおり、特別に細工されたファイルを開くことで攻撃が成立する。

プレビューウィンドウ経由での実行は不可とされているが、セキュリティ意識の低いユーザーが誤って開封する可能性は否定できない。こうした脆弱性の発覚は、企業のIT部門が定期的にパッチ管理を徹底する必要性を改めて浮き彫りにしている。

Microsoftの脆弱性対応と企業に求められる対策

Microsoftは、ゼロデイ脆弱性を含む57件の脆弱性修正を発表したが、企業のIT管理者にとって最も重要なのは、これらの脆弱性がどのように悪用される可能性があるかを正しく理解し、適切な対応を講じることである。今回のゼロデイ脆弱性の多くはWindowsのファイルシステムや管理ツールに関するものであり、VHDファイルやMMCコンソールの扱いには特に注意が必要となる。

企業が取るべき対策として、まず第一に重要なのは迅速なパッチ適用である。特に、CVE-2025-24983のような権限昇格の脆弱性は、攻撃者がシステム管理者権限を取得する可能性を持つため、修正プログラムの適用を遅らせることは極めて危険である。加えて、社内のセキュリティポリシーを見直し、未承認の外部デバイス接続を制限することも有効な手段となる。

また、エンドユーザーの意識向上も欠かせない要素である。CVE-2025-26630のようなMicrosoft Accessの脆弱性は、悪意のあるファイルを開くことで攻撃が成立するため、従業員が不審なファイルを開かないよう教育することが求められる。

さらに、多層的な防御策として、EDR（Endpoint Detection and Response）や脆弱性スキャンツールの活用を進めることで、未然にリスクを低減することが可能となる。ゼロデイ攻撃の頻度が増している中、単にMicrosoftのパッチを適用するだけでは不十分である。

脆弱性が悪用される前に、企業は包括的なセキュリティ対策を講じる必要があり、OSの更新だけでなく、ネットワーク監視や権限管理の見直しといった幅広い対応が求められる。

他社のセキュリティアップデートと広がる影響

Microsoftの3月パッチチューズデーと並行して、他の主要ベンダーも脆弱性の修正を進めている。GoogleはAndroidのLinuxカーネルドライバーに関するゼロデイ脆弱性を修正し、CiscoはWebExの認証情報漏洩リスクに対応した。Fortinetも複数の製品でセキュリティ更新を行い、企業ネットワークの安全性を確保する動きを見せている。

こうした動きから、ゼロデイ脆弱性が特定のOSやソフトウェアの問題に留まらず、業界全体に広がるリスクとなっていることが浮き彫りになっている。特に、クラウド環境やリモートワークが一般化する中、企業が利用する多様なプラットフォームが攻撃対象となる可能性は高まっている。

VMware ESXiやCisco Small Businessルーターなど、クラウドインフラやネットワーク機器の脆弱性も企業の運用に直接影響を与える要因となる。今後、企業が求められるのは、単に1つのベンダーのパッチを適用するだけでなく、使用しているすべてのソフトウェアやネットワーク機器に対して継続的な監視と更新を行うことである。

サプライチェーン攻撃が増加する中で、各企業が導入しているシステムの脆弱性を可視化し、包括的なセキュリティ戦略を立てることが不可欠となる。Microsoftのパッチチューズデーは、企業が自社の脆弱性管理を見直す機会を提供するが、それだけでは十分ではない。多層的な防御を前提としたセキュリティ対策が、今後ますます求められることになるだろう。

Source：BleepingComputer