2025年7月1日、MicrosoftはChromiumベースのMicrosoft Edgeに関する2件の高深刻度脆弱性を修正した最新版（v138.0.3351.65）をリリースしました。
このうち1件（CVE-2025-6554）はすでに実際に悪用されているゼロデイ脆弱性であり、もう1件（CVE-2025-49713）は特定の誘導操作によりリモートコード実行（RCE）が可能となるものです。
CVE-2025-6554：V8エンジンにおける「型の混乱」脆弱性（Zero-Day）
CVE-2025-6554は、Google ChromeとMicrosoft Edgeが共通で利用するJavaScriptエンジン「V8」に起因する「型の混乱」（type confusion）脆弱性です。攻撃者は細工されたHTMLコンテンツを読み込ませることで、メモリの境界を不正に操作し、任意のメモリアドレスへの読み書きが可能になります。
この脆弱性はすでに標的型攻撃で利用されており、特に国家支援を受けた攻撃者による可能性が指摘されています。
CVE-2025-49713：Microsoft Edge固有のRCE脆弱性
CVE-2025-49713は、Microsoft Edge固有の脆弱性で、「型の混乱」によるRCEの危険性を含んでおり、CVSSスコアは8.8と評価されています。
この脆弱性は、ユーザーが細工されたリンクをクリックする、あるいは不正な添付ファイルを開くなどの操作を通じて、攻撃者が任意のコードを被害者のマシン上で実行できるというものです。
Microsoftによれば、「この攻撃は、認証されたクライアントがリンクをクリックすることで、認証されていない攻撃者がRCEを実行する」というシナリオです。つまり、メールやSNSを介したフィッシング手法による社会的誘導が前提となっています。
緊急対応を推奨
両脆弱性ともに、悪用されるとマルウェアのインストールや資格情報の窃取、社内ネットワーク内への横展開といった深刻な被害に繋がる可能性があります。
Microsoftはユーザーに対し、Edgeの最新版への即時アップデートを強く推奨しています。
最新版（v138.0.3351.65）では、CVE-2025-6554とCVE-2025-49713の両方に対する修正が適用済みです。
また、ChromeやBrave、VivaldiなどChromiumベースの他ブラウザでも同様の更新が進行中です。
参照
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2025-49713
関連記事
オランダ、Broadcom/VMwareへ2年間の継続サポートを義務付け判決-ライセンス変更がセキュリティと可用性に与える影響とは？
カナダ、安全保障上の理由で、中国の監視カメラメーカー Hikvisionの国内事業停止を命令
イギリス政府、ハッカーやランサムウェア グループへの身代金 支払いの禁止を発表
FortinetのFortiSOAR / FortiWebに新たな認証関連の脆弱性(CVE-2025-59808／CVE-2025-64471)
総務省がIIJへ行政指導、サイバー攻撃による情報漏洩で再発防止策を要請
SonicWall「SMA1000」シリーズに深刻なSSRF 脆弱性(CVE-2025-40595)
Cisco ISEに高深刻度のDoS 脆弱性（CVE-2025-20343）
Notepad++のアップデータに深刻な脆弱性、更新プロセスを乗っ取られマルウェアが配布される恐れ(CVE-2023-40031)
Microsoftへの不満からゼロデイ 脆弱性を連続公開-BitLockerバイパス「YellowKey」と権限昇格「GreenPlasma」のPoCが公開。既にサイバー攻撃に悪用
