マイクロソフトは2025年10月25日、Windows Server Update Service（WSUS）に存在する脆弱性CVE-2025-59287に対し、緊急の帯域外アップデートを公開した。
これは、同月提供の月例パッチでの修正が不完全であったためである。この脆弱性はCVSSスコア9.8のリモートコード実行（RCE）の欠陥で、攻撃者に悪用されていることが確認されている。
サイバーセキュリティ企業のHorizon3やHuntressの研究者らが攻撃活動を観測しており、後者はポート8530および8531を標的としていると報告した。
これを受け、米サイバーセキュリティ・社会基盤安全保障庁（CISA）は本脆弱性をKEVカタログに追加した。研究者のBatuhan Erは、脆弱性の原因が安全でないオブジェクトのデシリアライズにあると指摘している。
From: 
Microsoft Issues Emergency Patch for Critical Windows Server Bug
【編集部解説】
マイクロソフトがWindows ServerのコンポーネントであるWSUS（[translate:Windows Server Update Service]）の脆弱性に対し、一度修正パッチを公開したにもかかわらず、再度「緊急パッチ」をリリースするという異例の事態が発生しました。
これは単なる技術的な問題ではなく、私たちのデジタル社会の根幹を支える「信頼の連鎖」に関わる深刻な警告と言えるでしょう。
今回問題となっているWSUSは、組織内の多数のコンピューターに対し、更新プログラムを一元的に管理・配布するための司令塔の役割を担っています。もし攻撃者がこの司令塔を乗っ取ることができれば、正規のアップデートに見せかけた悪意のあるプログラムを組織全体に送り込むことが可能になります。これは、近年増加している「ソフトウェアサプライチェーン攻撃」の典型的な手口であり、その影響は計り知れません。
脆弱性の技術的な核心は、「安全でないオブジェクトのデシリアライズ」という古典的ともいえる問題にあります。これは、外部から送られてきたデータを無防備にシステム内で展開してしまう行為に似ています。送られてきた荷物の中身を十分に確認せずに開けてしまい、実は危険物が仕掛けられていた、という状況を想像していただくと分かりやすいかもしれません。特に今回は、古くから問題が指摘されてきた「BinaryFormatter」という仕組みが関わっており、改めてレガシーな技術がもたらすリスクが浮き彫りになりました。
マイクロソフトが一度目のパッチで問題を完全に解決できなかったという事実は、この脆弱性の根深さを示唆しています。そして、その修正の隙を突いて、既に攻撃者が活動を開始しているという報告が、事態の緊急性を物語っています。攻撃者は、インターネットに公開されているサーバーを常に探しており、デフォルト設定のままになっているシステムは格好の標的となります。
今回の件は、システム管理者だけの問題ではありません。企業のセキュリティ体制が、いかに迅速かつ正確に対応できるかを問われています。そして私たちユーザーも、利用しているサービスやシステムの裏側で、このような攻防が繰り広げられていることを知っておく必要があります。これは、進化し続けるテクノロジーと、それを悪用しようとする脅威との終わらない戦いの一幕なのです。対象となるシステムの管理者の皆さんは、ただちにマイクロソフトの勧告を確認し、緊急パッチの適用を強く推奨します。
【用語解説】
CVE (Common Vulnerabilities and Exposures)
個々のセキュリティ脆弱性を一意に識別するための世界共通の識別子である。CVE-2025-59287は今回の[translate:Windows Server Update Service]（[translate:WSUS]）の脆弱性を指す。
CVSS (Common Vulnerability Scoring System)
脆弱性の深刻度を評価するための共通の指標である。スコアは0から10.0で表され、数値が高いほど深刻度が高いことを示す。今回9.8と評価されており、極めて深刻な脆弱性であることがわかる。
RCE (translate:Remote Code Execution)
遠隔地のコンピューターから任意のプログラム（コード）を実行させることができてしまう攻撃手法、またはその脆弱性のことである。システムを完全に掌握される危険性がある。
デシリアライズ (translate:Deserialization)
データを送受信や保存のために変換した状態（シリアライズ）から、元のオブジェクト構造に復元する処理のことである。この復元プロセスに不備があると、悪意のあるデータを復元してしまい、攻撃に悪用されることがある。
PoC (translate:Proof of Concept)
「概念実証」と訳される。脆弱性が実際に悪用可能であることを示すための、実証用のコードや手法のことである。PoCが公開されると、攻撃者がそれを参考に悪用を試みるため、危険性が高まる。
帯域外パッチ (translate:Out-of-band patch)
定期的なアップデートサイクル（マイクロソフトの場合は月例の[translate:Patch Tuesday]）とは別に、緊急で提供される修正プログラムのことである。
サプライチェーン攻撃
ソフトウェアやハードウェアが開発され、利用者に届くまでの連鎖（サプライチェーン）のいずれかの段階を標的とする攻撃手法である。正規の配布経路が悪用されるため、被害が広範囲に及ぶ危険性がある。
KEVカタログ (translate:Known Exploited Vulnerabilities Catalog)
米国サイバーセキュリティ・社会基盤安全保障庁（CISA）が管理する、実際に悪用が確認されている脆弱性のリストである。米国連邦政府機関は、このリストに追加された脆弱性に対して期限内に対応することが義務付けられている。
【参考リンク】
マイクロソフト (Microsoft)（外部）
本件の当事者である、ソフトウェアやクラウドサービスなどを開発・提供する世界的なテクノロジー企業である。
Windows Server（外部）
マイクロソフトが開発するサーバーOS。WSUSはWindows Serverの機能の一つとして提供される。
CISA (Cybersecurity and Infrastructure Security Agency)（外部）
米国のサイバーセキュリティと重要インフラの防護を所管する連邦政府機関。KEVカタログを管理する。
Horizon3.ai（外部）
今回の脆弱性の悪用について警告を発したサイバーセキュリティ企業。自律的なペネトレーションテストのプラットフォームを提供。
Huntress（外部）
中小企業向けのマネージドセキュリティプラットフォームを提供する企業。今回の攻撃活動を観測・報告した。
【参考記事】
Microsoft rereleases security update for CVE-2025-59287（外部）
マイクロソフトによる公式の脆弱性情報。CVSSスコア9.8や影響製品、修正版の再リリースについて記載。
Microsoft releases Windows Server emergency updates for critical WSUS RCE flaw（外部）
BleepingComputerによる報道。WSUSの脆弱性に対する緊急アップデートについて技術的な詳細を解説。
【編集部後記】
今回のニュースは、システムの「司令塔」がいかに重要で、同時に狙われやすい場所であるかを教えてくれます。皆さんの会社では、PCのアップデートはどのように管理されていますか？普段あまり意識しないかもしれませんが、実はこうした仕組みが私たちの安全を守っています。
この機会に、ご自身の働く環境のセキュリティ対策について、少しだけ関心を向けてみてはいかがでしょうか。そこから新しい発見や対話が生まれるかもしれません。
