Microsoftは、Windows Active Directoryドメインサービスに存在するアクセス制御の欠陥「CVE-2025-29810」について公表した。攻撃者が既に低権限を持っている場合、ネットワーク経由でシステムレベルの特権を奪取できる恐れがある。

CVSSスコア7.5に分類され、影響範囲は機密性・完全性・可用性すべてに及ぶ。技術的難度が高いため悪用事例は報告されていないが、潜在的な影響の大きさから緊急性は高い。
Microsoftは大部分のシステムに対し修正パッチを提供済みだが、Windows 10の一部バージョンは未対応であり、今後の更新提供に注視する必要がある。

脆弱性「CVE-2025-29810」が示すActive Directoryの構造的課題

今回明らかとなった「CVE-2025-29810」は、Windows Active Directoryドメインサービスにおけるアクセス制御の不備が原因とされる。これはCWE-284に分類される典型的な設計上の欠陥であり、低権限のユーザーでもネットワーク経由で特権昇格が可能となる構造的問題を露呈した。CVSSスコアは7.5とされ、「重要」に分類されたが、その評価以上に注目すべきは、影響が認証・可用性・完全性のすべてに及ぶ点である。すなわち、単なる権限の逸脱にとどまらず、ドメイン全体の支配権奪取へと直結し得る。

攻撃成功には高い技術的知識が必要とされるものの、Microsoft自身が詳細な技術情報をあえて非公開にした背景には、脅威の現実味が潜んでいる。発見者であるセキュリティ研究者Matthieu Buffetの報告は、調整型脆弱性開示（Coordinated Vulnerability Disclosure）によってMicrosoftに伝えられ、4月のPatch Tuesdayで修正に至った。しかし、Windows 10の一部バージョンには未対応であり、導入環境によっては依然としてリスクが内在している状態だ。

この事実が意味するのは、Active Directoryという企業IT基盤の中核的存在が、内部からの脅威に脆弱であるということである。高度な攻撃者が既にネットワーク内部に侵入しているケースにおいて、この脆弱性は最後の防壁を突破させる扉となり得る。表面上のセキュリティ対策だけでなく、構造的脆弱性の解消こそが、次のサイバー攻撃への備えとして不可欠となる。

複雑性ゆえに軽視されるリスクと企業の判断の難しさ

Microsoftがこの脆弱性を「悪用の可能性は低い」と評価する根拠には、攻撃の実行に高度な前提条件が求められる点がある。すなわち、攻撃者はあらかじめ対象ネットワークへのアクセス権限を獲得しており、かつ内部構造を十分に把握していなければならない。CVSSベクターにおける「攻撃複雑性＝高（AC:H）」という評価が示す通り、手順も煩雑で、即座に悪用される危険は小さいとされている。

しかし、これは決して安心材料とはならない。内部侵入者、あるいは水面下で長期潜伏する高度持続的脅威（APT）にとって、このような構造的脆弱性は極めて有用である。ユーザー操作を必要としない点（UI:N）は、一般的なフィッシングやマルウェアとは異なり、セキュリティ教育やエンドポイント保護では防ぎきれない。また、Microsoftによる詳細な技術情報の非公開は、攻撃の敷居を上げる意図がある一方で、企業側のリスク評価や影響分析を困難にしている面も否定できない。

Dr. Jane Marshallが「企業環境にとって重大なリスク」と評したように、Active Directoryを中核に据える環境では、その脆弱性がもたらす波及効果は計り知れない。パッチ適用の遅延は、想定外の被害へと直結しかねない。多くの企業が、攻撃難度の高さを理由に対応を後回しにする傾向にあるが、脆弱性の性質上、そうした判断は結果的に最も危険な選択肢となる可能性を含んでいる。特に未パッチのWindows 10環境を抱える組織においては、今後のアップデート提供動向を注視しつつ、代替策による補完も急務である。

Source：Cyber Security News