マイクロソフト、2025年12月の「Windows Update」を実施：57件の脆弱性を修正、特に「CVE-2025-62221」のゼロデイ脆弱性に注意
2025年12月9日、マイクロソフトは定例の月例セキュリティ更新プログラム「Windows Update」をリリースしました。今回のアップデートは、Windowsをはじめとする複数の製品に影響する合計57件の脆弱性を修正しています。その中でも、CVE-2025-62221と呼ばれるWindows Cloud Files Mini Filter Driverに存在する権限昇格のゼロデイ脆弱性が特に注目されています。
「CVE-2025-62221」ゼロデイ脆弱性の概要と影響
CVE-2025-62221は、Windows 10以降のすべてのサポートされているエディションに影響を与える特権の昇格（Privilege Escalation）脆弱性です。この脆弱性を悪用されると、攻撃者が不正にシステム権限を取得できる可能性があります。既に悪用事例が確認されており、CVSS（脆弱性の深刻度指標）スコアは7.8と高めに評価されています。
この脆弱性は「Windows Cloud Files Mini Filter Driver」というWindowsのコンポーネントに存在し、クラウドファイルの管理に直接関わる部分の権限を不正に昇格させることが可能です。企業などの管理されたIT環境で特に影響が大きいとされ、個人向けのWindows HomeやProエディションでは影響がやや限定的です。ただし、迅速なアップデート適用が推奨されています。
その他のゼロデイ脆弱性と注目ポイント
- CVE-2025-54100：PowerShellのリモートコード実行脆弱性。今回のアップデートでInvoke-WebRequestコマンドにセキュリティ警告プロンプトが追加され、悪用防止策が強化されました。
- CVE-2025-64671：JetBrains向けGitHub Copilotのリモートコード実行脆弱性。
これら3件のゼロデイを含め、マイクロソフトは今回のパッチで全57件の脆弱性修正を行っています。脆弱性の大部分は「重要（Important）」以上の深刻度であり、早急な適用が必要です。
Office製品群およびOutlookの致命的な脆弱性
特にMicrosoft OfficeおよびOutlookでは、深刻度最高の「Critical」と評価されたリモートコード実行の脆弱性が3件修正されました。
- CVE-2025-62554：Microsoft Officeリモートコード実行脆弱性
- CVE-2025-62557：Microsoft Officeリモートコード実行脆弱性
- CVE-2025-62562：Microsoft Outlookリモートコード実行脆弱性
これらの脆弱性は、攻撃者にシステム上で任意のコードを実行される恐れがあり、業務でOffice製品を使用している環境では特に注意が必要です。ユーザーはすみやかに最新のセキュリティ更新プログラムの適用を行うべきです。
Windows Server、SharePoint、Exchange Serverの脆弱性修正
Windows Server（2025、2022、2019、2016各バージョン）にも複数の重要な脆弱性が修正されています。特に、Windows Server 2025向けのKB5072033は注目です。
また、Microsoft SharePointではリモートコード実行が可能な4件の重要な脆弱性（CVE-2025-62555、CVE-2025-62558、CVE-2025-62559、CVE-2025-62562）が、Exchange Serverでは特権昇格およびなりすましを可能にする2件（CVE-2025-64666、CVE-2025-64667）が修正されています。
更新プログラム適用の注意点と対策
12月の更新プログラムは2025年内最後のパッチとなる見込みで、多くの脆弱性が雪だるま式に修正されるため、年内に必ず適用しておきたいところです。特に、Windows 10 バージョン 22H2はサポートが終了しており、ESU（拡張セキュリティ更新プログラム）に加入していないと更新が受けられないため注意が必要です。
また、PowerShellの一部コマンドで警告プロンプトが追加されたため、スクリプトが一時停止するなどの影響が出る可能性もあります。管理者は事前に動作確認を行い、業務影響を最小限に抑える対策も検討してください。
まとめ：ユーザー・管理者への呼びかけ
今回の「Windows Update」では、CVE-2025-62221をはじめとした3件のゼロデイ脆弱性と多数の重要脆弱性が含まれており、迅速な対応が求められます。特に企業システムを対象とした脆弱性が多いため、IT管理者は速やかに更新プログラムを適用し、影響を受けるソフトウェアやサービスの動作確認を行うことが重要です。
一般ユーザーに対しても、自動更新が有効になっている場合は早期に適用されるため、更新通知を見逃さないようにしてください。未知の攻撃による被害を防ぐため、安全な環境維持に努めましょう。
