Microsoftが定例パッチで2件のゼロデイと81件の脆弱性を修正|セキュリティと脆弱性のニュース-セキュリティ対策 Lab

投稿日時: 2025年09月11日更新日時: 2025年09月11日

2025年9月のMicrosoftは定例パッチ（Patch Tuesday）で、81件の脆弱性を修正しました。

内訳は権限昇格41件、RCE（リモートコード実行）22件、情報漏えい16件、DoS 3件、偽装1件、機能バイパス2件となります。

ゼロデイ脆弱性について

今回のゼロデイのひとつCVE-2025-55234（Windows SMB 権限昇格）は、設定次第でリレー攻撃の足掛かりとなり得る問題です。Windowsは既にSMB署名とEPA（拡張保護）での堅牢化設定を備えていますが、互換性への影響もあるため、Microsoftは監査モードでの事前確認を推奨しています（本更新以降、監査が有効に）

もう1件はCVE-2024-21907（Newtonsoft.Jsonの例外処理不備）で、SQL Serverが内包するライブラリ更新によりDoSリスクを低減します。

いずれも悪用は未確認という位置づけです。

また別の脆弱性でｓが、Microsoft HPC PackのRCE（CVE-2025-55232）です。

この脆弱性はCVSS 9.8と高く、未認証・ユーザー操作不要でコード実行に至る可能性が指摘されています。Microsoftの悪用可能性は低いとしていますが、横展開やワーム化の懸念あります。

また、NTLMの権限昇格（CVE-2025-54918）は低複雑度で狙われやすいと分析されています。