🔒 Microsoftが重大なセキュリティ更新を公開：130件の脆弱性を修正

2025年7月9日、Microsoftは今月のPatch Tuesday更新を公開し、合計130件のセキュリティ脆弱性に対処しました。このうち10件が「緊急（Critical）」と評価されています。更新の対象は、SQL Server、Windows、Office（Word、PowerPoint、Excel）など、Microsoftの主要製品にまたがっています。

これらの脆弱性のうち、PCI DSS準拠との関連が特に深いのがCVE-2025-49719（CVSSスコア：7.5）です。これはMicrosoft SQL Serverにおける情報漏えいの脆弱性であり、権限のない攻撃者が未初期化メモリを読み取り、パスワードや暗号鍵などの機微な情報を取得できるおそれがあります。

Rapid7のプリンシパルソフトウェアエンジニアであるAdam Barnett氏によれば、攻撃者がただちに意味のあるデータを取得できるとは限らないものの、巧妙な操作により暗号鍵などの重要な情報を抽出できる可能性があるとしています。

Action1のプレジデントであるMike Walters氏は、本脆弱性がSQL Serverのメモリ管理における入力検証の不備に起因し、未初期化メモリへのアクセスを許すものである可能性を指摘しています。これにより、認証情報、接続文字列、その他の機微な情報が漏えいするおそれがあります。影響を受けるコンポーネントには、SQL ServerエンジンおよびOLE DBドライバーを使用するアプリケーションが含まれます。

⚠️ セキュリティ専門家からの強い推奨：

システム管理者およびITチームは、広範な悪用のリスクを防ぐため、ただちに本更新を適用すべきです。とりわけMicrosoft SQL Serverを運用している組織では重要です。

出典：The Hacker News · Krebs on Security

#Microsoft #CyberSecurity #PatchTuesday #InfoSec #VulnerabilityManagement #PCI #SQLServer #WindowsSecurity

【安律国際 セキュリティ教室】

📌 CVSSとは？

CVSSは Common Vulnerability Scoring System（共通脆弱性評価システム）の略称です。報告された脆弱性を標準化された再現性のある方法で評価し、順位付けするための仕組みであり、このスコアにより、組織はさまざまなセキュリティリスクへの対応の優先順位を決められます。

CVSSは、脆弱性の深刻度に基づいて0から10のスコアを算出します。10が最も深刻であり、脆弱性の悪用のしやすさ、機密性・完全性・可用性への潜在的影響、攻撃の複雑さといった要素を考慮します。