原題: Patch Tuesday, October 2025 ‘End of 10’ Edition
マイクロソフト、Windows 10最終アップデートで172件の脆弱性を修正
マイクロソフトはWindows 10向けの最後のセキュリティアップデートとして、合計172件の脆弱性を修正しました。その中には、実際に攻撃で悪用されている2件のゼロデイ脆弱性も含まれており、Windows 10ユーザーにとって重要な更新となっています。
主要なポイント
- ゼロデイ脆弱性の修正：サードパーティ製モデムドライバー「Agere Modem」に関する脆弱性（CVE-2025-24990）と、リモートアクセス接続マネージャー（RasMan）の権限昇格脆弱性（CVE-2025-59230）が修正されました。特にAgere Modemドライバーは問題のあるドライバーが完全に削除されています。
- Microsoft Officeのリモートコード実行脆弱性：プレビューペインを悪用する脆弱性（CVE-2025-59227、CVE-2025-59234）により、ユーザーがファイルを開かなくても攻撃が成立する可能性があります。
- Windows Server Update Service（WSUS）の重大脆弱性：認証不要でリモートコード実行が可能な脆弱性（CVE-2025-59287）が発見され、早急なパッチ適用が推奨されています。
- Windows 10のサポート終了と今後の選択肢：Windows 10のサポート終了に伴い、有料のExtended Security Updates（ESU）プログラムやLinux系OSへの移行が提案されています。
技術的な詳細や背景情報
今回修正されたゼロデイ脆弱性の一つ、CVE-2025-24990は、20年以上Windowsにバンドルされてきた「Agere Modem」ドライバーに起因します。実際の攻撃を受けたことから、マイクロソフトはこのドライバーをWindowsから完全に削除しました。
もう一つのゼロデイ、CVE-2025-59230はRasManサービスの権限昇格脆弱性です。RasManはVPNやダイヤルアップ接続を管理する重要なサービスであり、過去数年にわたり頻繁に修正対象となっていましたが、今回初めて野生環境で悪用されました。
WSUSの脆弱性（CVE-2025-59287）は、認証されていない攻撃者がネットワーク経由で悪意あるデータを送信し、逆シリアル化の脆弱性を突いてリモートコード実行を可能にします。WSUSは特権ファイルを更新する信頼されたサービスであるため、攻撃成功時にはOS全体の制御を奪われるリスクが高いです。
Microsoft Officeの脆弱性は、メールのプレビューペインを悪用するもので、ユーザーがファイルを開かなくてもリモートコードが実行されるため、特に注意が必要です。
影響や重要性
今回のアップデートは、Windows 10にとって最後の公式セキュリティパッチであり、今後は新たな脆弱性に対する修正が提供されません。これにより、Windows 10ユーザーはセキュリティリスクが高まる可能性があります。
特にゼロデイ脆弱性や認証不要で攻撃可能なWSUSの脆弱性は、悪用されるとシステム全体の乗っ取りや情報漏洩につながるため、早急な対応が求められます。
また、Microsoft Officeのプレビューペイン脆弱性は、メールを介した標的型攻撃のリスクを高めるため、企業や個人ユーザーともに注意が必要です。
Windows 10のサポート終了に伴い、ESUプログラムを利用した延長サポートや、Linuxなどの代替OSへの移行検討も重要な選択肢となっています。
まとめ
マイクロソフトはWindows 10の最終アップデートで172件もの脆弱性を修正し、特に2件のゼロデイ脆弱性の修正は重大な意味を持ちます。Windows 10ユーザーは今後のセキュリティリスクを考慮し、可能な限り早急にアップデートを適用することが重要です。
また、Windows 11への移行が難しい場合は、有料のExtended Security Updates（ESU）プログラムの利用や、Linux系OSへの乗り換えも検討すべきでしょう。特にLinux Mintは初心者にも扱いやすく、Microsoft Office形式のファイルも扱えるためおすすめです。
最後に、アップデート適用後に問題が発生した場合は、コミュニティや専門家に相談しながら対応を進めることを推奨します。
