ゼロデイ脆弱性が3件も…！Windowsユーザーが直ちに対策すべきこと（ライフハッカー・ジャパン）

Windowsユーザーの皆さん、今月も「あの時期」がやってきました。マイクロソフトが月例のセキュリティ更新プログラム、いわゆる「パッチチューズデー」を公開しましたが、今月は少々警戒レベルを上げたほうがよさそうです。 今回のアップデートでは、開発者が修正パッチを出す前に攻撃手法が公になってしまっている「ゼロデイ脆弱性」が3件も含まれています。

Bleeping Computerの報告によると、今月の更新で修正される不具合は全部で56件にのぼります。 数が多いため、主な内訳をリストアップしてみました。 特権昇格の脆弱性： 28件 リモートコード実行（RCE）の脆弱性： 19件（うち3件は「緊急」レベル） 情報漏洩の脆弱性： 4件 サービス拒否（DoS）の脆弱性： 3件 なりすましの脆弱性： 2件 ちなみに、この数字にはMicrosoft EdgeやMariner向けの更新は含まれていません。これだけでも、今回の修正範囲がいかに広いかがわかります。。

さて、今回の核心部分です。特に注意が必要なのが、以下の3つの脆弱性です。 1. すでに攻撃が確認されている「CVE-2025-62221」 これが最も厄介なものです。Windows Cloud Files Mini Filter Driverにおける「特権昇格」の脆弱性で、詳細な手口は明かされていないものの、すでに実際の攻撃（野放し状態での悪用）が確認されています。 もし悪用されると、攻撃者にシステム（SYSTEM）権限を奪われる恐れがあります。このミニフィルターは、OneDriveのようなクラウドアプリがファイルシステムにアクセスするために使われる機能ですが、ここが弱点になっていたわけです。 2. GitHub Copilotを使う開発者は要注意「CVE-2025-64671」 ここからは、すでに情報は公開されているものの、修正パッチが当たったものです。Jetbrains向けGitHub Copilotにおけるリモートコード実行の脆弱性が修正されました。 信頼できないファイルやMCPサーバーにおける「クロスプロンプトインジェクション」を通じて悪用される可能性があります。 Krebs on Securityによると、AI（LLM）を騙して、ユーザーの自動承認設定に悪意ある命令を紛れ込ませることができるとのこと。 3. PowerShellのスクリプト実行リスク「CVE-2025-54100」 最後はPowerShellに関するものです。Webページに埋め込まれたスクリプトを「Invoke-WebRequest」を使って取得した際に、意図せず実行されてしまう可能性があるというバグです。

少し専門的な話が続きましたが、結論として私たちがすべきことはシンプルです。 スタートメニューから設定を開き、Windows Updateを確認すること。 「後で通知する」を選びたくなる気持ちはわかりますが、今回ばかりはコーヒーを淹れている間にサクッと再起動まで済ませてしまうのが、あなたのPCとデータを守る最善策と言えるでしょう。 Source: Bleeping Computer