マイクロソフト、2025年10月のパッチ・チューズデーで6件のゼロデイと172件の欠陥を修正

.crit { font-weight:bold; color:red; } .article_section td { font-size: 14px!important; }.

本日は、マイクロソフト社の10月2025年パッチ・チューズデーであり、6件のゼロデイ脆弱性を含む172件の欠陥に対するセキュリティアップデートが含まれている。

今回のパッチ・チューズデーでは、8件の「クリティカル」な脆弱性にも対処しており、そのうち5件はリモート・コード実行の脆弱性、3件は特権昇格の脆弱性である。

各脆弱性カテゴリーにおけるバグの数は以下の通り：

• 80 特権昇格の脆弱性
• 11 セキュリティ機能バイパス脆弱性
• 31 リモート・コード実行の脆弱性
• 28 情報漏えいの脆弱性
• 11 サービス拒否の脆弱性
• 10 スプーフィング脆弱性

パッチ・チューズデーのセキュリティ更新プログラムについて報告する際、マイクロソフトが本日リリースしたもののみをカウントしている。したがって、不具合の数には、Azure、Mariner、Microsoft Edge、および今月初めに修正されたその他の脆弱性は含まれていません。

注目すべきは、ウィンドウズ10が本日サポート終了を迎えることで、マイクロソフトが由緒あるOSに無料のセキュリティ更新プログラムを提供する最後のパッチ・チューズデーとなることだ。

Windows 10のセキュリティ更新プログラムを継続的に受け取るには、消費者は1年間の延長セキュリティ更新プログラム（ESU）に、企業は合計3年間申し込むことができる。

本日リリースされたセキュリティ更新プログラム以外の更新プログラムについては、Windows 11 KB5066835およびKB5066793の更新プログラムについての記事をご覧ください。

10月のパッチチューズデーに6つのゼロデイ

今月のパッチ・チューズデーでは、Windows SMB ServerおよびMicrosoft SQL Serverにおける、一般に公開されている2つのゼロデイ欠陥が修正される。マイクロソフトでは、公式な修正プログラムが提供されていないゼロデイ欠陥は、一般に公開されているか、または積極的に悪用されていると分類しています。

悪用された3つのゼロデイとは

CVE-2025-24990– Windows Agere モデムドライバに特権昇格の脆弱性

マイクロソフトは、管理者権限を得るために悪用されたAgereモデムドライバーを削除している。

「マイクロソフト社は、サポートされているWindowsオペレーティングシステムにネイティブで同梱されているサードパーティ製Agereモデムドライバーの脆弱性を認識している」とマイクロソフト社は説明している。

“これは、ldmdm64.sys ドライバの削除に関するお知らせです。このドライバは10月の累積アップデートで削除されました。”

マイクロソフト社は、このドライバを削除すると、関連するFaxモデムハードウェアが機能しなくなることを警告している。

マイクロソフト社は、この欠陥はファビアン・モッシュとジョーダン・ジェイによるものだとしている。

CVE-2025-59230– Windows リモートアクセス接続マネージャの特権昇格の脆弱性

マイクロソフト社は、SYSTEM権限を得るために悪用されたWindowsリモートアクセス接続マネージャの不具合を修正した。

「Windowsリモートアクセス接続マネージャの不適切なアクセス制御により、許可された攻撃者がローカルで特権を昇格させることができる」とマイクロソフト社は説明している。

マイクロソフト社によると、攻撃者がこの欠陥を悪用するためには、「準備や実行に、ある程度測定可能な労力を費やす」必要があるという。

この脆弱性は、マイクロソフト脅威インテリジェンスセンター（MSTIC）とマイクロソフト・セキュリティ・レスポンス・センター（MSRC）に内部的に起因している。

CVE-2025-47827– MITRE CVE-2025-47827: 11 以前の IGEL OS におけるセキュアブートバイパス

マイクロソフトは、IGEL OSのセキュアブートバイパスに対する修正を追加した。

「11以前のIGEL OSでは、igel-flash-driverモジュールが暗号署名を不適切に検証するため、Secure Bootがバイパスされる可能性があります。最終的には、検証されていないSquashFSイメージから、細工されたルートファイルシステムをマウントすることができます」とマイクロソフト社は説明している。

「MITREはこのCVEを彼らのために作成した。文書化されたWindowsアップデートには、この脆弱性に対処するIGEL OSのアップデートが組み込まれています。詳細については、セキュリティアップデートガイドが業界パートナーによって割り当てられたCVEをサポートするを参照してください。”

この欠陥はZack Didcottによって発見され、GitHubの書き込みで公開された。

一般に悪用されている欠陥は以下の通り：

CVE-2025-0033– AMD CVE-2025-0033：SNP 初期化中の RMP 破壊

マイクロソフト社は、メモリの整合性に影響を及ぼす可能性のあるAMD社の欠陥の修正に取り組んでいる。

「CVE-2025-0033 は、Secure Encrypted Virtualization – Secure Nested Paging (SEV-SNP) を使用する AMD EPYC プロセッサにおける脆弱性です。この脆弱性には、リバースマップテーブル（RMP）初期化時の競合状態が関与しており、悪意のあるハイパーバイザーや侵害されたハイパーバイザーが、RMPエントリーをロックされる前に変更できる可能性があり、SEV-SNPゲストメモリの整合性に影響を与える可能性があります。この問題を悪用するには、ハイパーバイザーの特権制御が必要です。

「Azure Confidential Computing製品全体では、ホストの侵害を防ぐために、隔離、完全性の検証、継続的な監視を組み合わせた複数のセキュリティガードレールが設けられています。すべてのホスト操作は、監査および承認された管理経路に従い、管理者アクセスは厳格に制御、制限、および記録されます。これらの保護を組み合わせることで、ホストの侵害や不正なメモリ操作のリスクを低減し、機密ワークロードと顧客のVMがAzureホスト上で機密性と完全性を維持できるようにします。”

Microsoftは、Azure Confidential Computing（ACC）のAMDベースのクラスタにおけるこの脆弱性に対するセキュリティアップデートはまだ完了していないとしている。アップデートが導入可能になった時点で、Azure Service Health Alertsを通じて顧客に通知される。

この欠陥は昨日AMDが公表したもので、チューリッヒ工科大学のベネディクト・シュルーター、スープラジャ・スリダラ、シュウェタ・シンデによって発見された。

CVE-2025-24052– Windows Agere モデムドライバに特権昇格の脆弱性

これは、上述のCVE-2025-24990と同様の欠陥であり、同様に公開されているようだ。

マイクロソフト社は、この欠陥はウィンドウズの全バージョンに影響し、欠陥を悪用するためにモデムを使用する必要はないと繰り返している。

「サポートされているWindowsのすべてのバージョンは、モデムがアクティブに使用されていなくても、この脆弱性の悪用に成功すると影響を受ける可能性がある」とマイクロソフト社は説明している。

このCVEはどの研究者にも帰属しない。

CVE-2025-2884– 認証 CC: CVE-2025-2884 TCG TPM2.0 リファレンス実装における境界外読み出しの脆弱性

マイクロソフトは、TPMの情報漏洩やサービス拒否につながる可能性のあるTCG TPM 2.0の不具合を修正した。

「CVE-2025-2884は、CG TPM2.0リファレンス実装のCryptHmacSignヘルパー関数の脆弱性に関するもので、署名スキームと署名キーのアルゴリズムが検証されていないため、Out-of-Bounds readの脆弱性がある」とマイクロソフトは説明している。

「CERT/CC は、この CVE を彼らのために作成した。文書化された Windows アップデートには、この脆弱性に対処する CG TPM2.0 リファレンス実装の更新が組み込まれています。詳細については、CVE-2025-2884 を参照してください。”

この欠陥は、Trusted Computing Group（TCG）と匿名の研究者によるものとされている。TCGはこの記事で欠陥を公表している。

他社の最新情報

2025年10月にアップデートや勧告を発表した他のベンダーは以下の通り：

• アドビは、各種製品のセキュリティアップデートをリリースした。
• Cisco は 、Cisco IOS、Cisco Unified Communications Manager、Cyber Vision Center のパッチをリリース。
• Draytekは、複数の Vigor ルーターモデルにおける事前認証 RCE の欠陥に対するセキュリティアップデートをリリースした。
• Gladinet は、CentreStack のゼロデイが悪用され、サーバーに侵入されたとして、顧客に警告を発している。
• Ivanti は、Ivanti Endpoint Manager Mobile (EPMM) と Ivanti Neurons for MDM のセキュリティアップデートをリリースした。
• オラクルは、積極的に悪用された2つのE-Business Suiteのゼロデイに対するセキュリティ更新プログラムを、非常にわかりにくい形でリリースした。
• Redisは、最大深刻度のRCE脆弱性を修正するセキュリティアップデートをリリースした。
• SAPは 、Netweaverの最大重大度のコマンド実行の欠陥の修正を含む、複数の製品の10月のセキュリティアップデートをリリースした。
• Synacor は、Zimbra Collaboration Suite のゼロデイを悪用してデータを盗む セキュリティアップデートをリリースした。

2025年10月パッチ・チューズデー・セキュリティ・アップデート

以下は、2025年10月のパッチ・チューズデー・アップデートで解決された脆弱性の全リストである。

各脆弱性の完全な説明と、それが影響するシステムにアクセスするには、ここで報告書の全文を見ることができる。

.ia_ad { background-color：#width: 95%; max-width: 800px; margin: 15px auto; border-radius: 8px; border：1px solid #d6ddee; display: flex; align-items: stretch; padding: 0; overflow: hidden; }：0; overflow: hidden; } .ia_lef { flex: 1; max-width: 200px; height: auto; display: flex; align-items: stretch; } .ia_lef a { display: flex; width: 100%; height: 100%; } .ia_lef a img { width: 100%; height: 100%; object-fit: cover; border-radius: 8px 0 0 8px; margin: 0; display: block; } .ia_rig { flex: 2; padding：display: flex; flex-direction: column; justify-content: center; } .ia_rig h2 { font-size: 17px !important; font-weight: 700; color：#line-height: 1.4; font-family：margin: 0 0 14px 0; } .ia_rig p { font-weight: bold; font-size: 14px; margin: 0 0 clamp(6px, 2vw, 14px) 0; } .ia_button { background-color：#border：1px solid #3b59aa; color: black; text-align: center; text-decoration: none; border-radius: 8px; display: inline-block; font-size: 16px; font-weight: bold; cursor: pointer; padding：width: fit-content; } .ia_button a { text-decoration: none; color: inherit; display: block; } @media (max-width: 600px) { .ia_ad { flex-direction: column; align-items: center; } .ia_lef { max-width: 100%; } .ia_lef a img { border-radius: 8px 8px 0 0; } .ia_rig { padding：15px;
width: 100%;
}

.ia_button {
width: 100%;
margin: 0px auto;
}
}

今年のセキュリティ検証イベント：Picus BASサミット

Breach and Attack Simulation Summitに参加して、セキュリティ検証の未来を体験してください。一流の専門家から話を聞き、AIを搭載したBASが侵害と攻撃のシミュレーションをどのように変革するかをご覧ください。

セキュリティ戦略の未来を形作るイベントをお見逃しなく。

今すぐ登録