2024年4月配信のWindows 11アップデート（KB5055523）により、システムドライブに突如出現した「inetpub」フォルダの扱いを巡り混乱が広がっていたが、Microsoftはこのフォルダがセキュリティ脆弱性（CVE-2025-21204）への対策として意図的に設置されたものであると明かした。

この脆弱性は、シンボリックリンクを悪用し本来許可されないディレクトリへのアクセスを可能にするもので、攻撃者がローカル権限を不正に昇格させる恐れがある。inetpubフォルダは、IISの保護メカニズムを通じてこの挙動を封じる鍵となっており、ユーザーが誤って削除した場合には再生成が必要となる。

Microsoftは、削除後の対処手段としてIISの手動有効化と再起動による復元手順を案内しており、これを怠れば深刻なセキュリティリスクが残る可能性があると警告している。

CVE-2025-21204の脆弱性とinetpubフォルダの役割

2024年4月に公開されたWindows 11の更新プログラムKB5055523は、セキュリティ強化を目的とした重要なパッチであった。特に注目されるのが、CVE-2025-21204として登録された脆弱性への対応である。

この脆弱性は、シンボリックリンクと呼ばれるリダイレクト機能を用いて、通常はアクセスが制限されているシステムディレクトリへの不正なアクセスを許すものである。攻撃者がこの手法を用いれば、ローカル権限を不正に昇格させる可能性があることから、深刻なリスクが指摘されている。

Microsoftは、Internet Information Services（IIS）の一部である「inetpub」フォルダを活用することで、こうした不正リンクの追跡を制限し、攻撃経路の遮断を図っている。

このフォルダには、アクセス制御やリンク追跡を抑制する機能が含まれており、表面上は空であってもパッチの挙動に密接に関連している。ユーザーがこれを不要な残骸と誤認し削除してしまえば、保護機能が損なわれる可能性がある。

こうした状況を踏まえれば、「inetpub」フォルダは単なる一時ファイルや視覚的なノイズではなく、明確な防御機能を備えたセキュリティ機構の一部と捉えるべきである。更新のたびに出現する見慣れないファイルであっても、意図を理解せずに削除する行為は、システム全体の安全性に影響を及ぼす恐れがあると認識される必要がある。

システム保護の誤解とMicrosoftの責任範囲

「inetpub」フォルダの出現がユーザーに混乱を招いた一因は、Microsoftがこの変更を事前に十分に通知していなかった点にある。KB5055523の適用後、ユーザーは何の説明もなくシステムドライブに現れたこのフォルダを不審に感じた。

フォルダが表面上空であり、既存のディレクトリ構成と異なる位置に現れたことから、一部ではマルウェアやシステム異常を疑う声も出た。こうした不安から、削除を選択したユーザーが続出した事態は、決してユーザー側の過失だけに帰すべきではない。

Microsoftが後に公開したナレッジベースでは、「inetpub」フォルダがCVE-2025-21204への対策として導入されたことが明らかにされたが、それは混乱の発生からかなりの時間を経た後のことであった。仮に初期の段階でパッチ内容に明記され、フォルダの役割について公式なアナウンスが行われていれば、削除による保護機構の損失は避けられた可能性が高い。

また、再生成の手順がIISの有効化と再起動という比較的手間のかかる工程を必要とする点も、企業ユーザーにとっては運用上の懸念事項となる。特に、セキュリティポリシーが厳格な環境下では、IISの導入そのものが制限されている場合も想定される。このように、重要な機能の実装と可視化を巡っては、今後もMicrosoft側の説明責任とユーザー側の慎重な対応が求められる。

Source：Laptop Mag