早急な対応が必要：Windows 10/11の脆弱性（CVE-2021-36934）

2021年7月23日、Microsoft Windowsの更新に伴い、CVSSスコア7以上の高リスクの脆弱性（CVE-2021-36934）が発生しました。本脆弱性は、システムフォルダ内のファイルに対するアクセス制御が緩いことに起因します。一般ユーザー権限を持つ攻撃者が重要なシステムファイルを読み取り、システム上の全ユーザーのパスワードを取得して管理者権限を奪取できる可能性があります。

検証の結果、現在影響を受けるのは主にWindows 10およびWindows 11ですが、Microsoftが公表した情報によれば、Windows 10 1809以降のバージョンはいずれも影響を受けます。

PCI DSS準拠の観点から見ると、本脆弱性のCVSSスコアはNVDデータベースにおいて7.8であり、高リスクの脆弱性と位置付けられます。加盟店およびサービスプロバイダは、カードデータ環境の準拠状態とセキュリティを維持するため、本脆弱性の低減を最優先事項として扱うべきです。

安律国際は、以下の対策を提案します。環境内のすべてのWindowsホストについてユーザーアクセスを制限し検証すること、公式パッチのリリースを注視し、PCI DSS要件6.2に従いリリースから1か月以内にパッチ適用を完了すること、そしてパッチ適用がまだ行えない場合には、公式の回避策として当該ファイルへのアクセスを制限し、ボリュームシャドウコピーサービス（VSS）のシャドウコピーを削除したうえで、バックアップ運用への影響を評価することです。

参考資料：Microsoft Security Response Center — CVE-2021-36934