Microsoft Windows の脆弱性（CVE-2024-30040）

何が起きた

Windows の MSHTML プラットフォームに、セキュリティ機能を回避される弱点が見つかり、実際に悪用が確認されています。Microsoft によると、Microsoft 365 と Microsoft Office が危険な COM や OLE の部品から利用者を守るための仕組みを、すり抜けられてしまいます。攻撃はネットワーク経由で、ログインは不要ですが、利用者に細工したファイルを扱わせる必要があります。Microsoft は、悪用に成功すると利用者の権限で任意のコードを実行されるおそれがあるとしています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Windows 10、Windows 11、Windows Server 2016、Windows Server 2019、Windows Server 2022 で、2024年5月の更新プログラムを入れていないものが対象です。対象のバージョンの詳しい一覧は、Microsoft のセキュリティ更新プログラムガイドに載っています。

何をすればいい

Windows Update で2024年5月以降の更新プログラムを入れてください。例えば Windows 11 Version 23H2 は KB5037771、Windows 10 Version 22H2 は KB5037768 で修正されています。Microsoft によると、攻撃者はメールやチャットで細工したファイルを送り、利用者に保存させて操作させようとします。知らない相手から届いたファイルは開いたり操作したりせず、メーカー（Microsoft）の公式の案内も確認してください。

やることチェックリスト

• Windows Update で最新の更新プログラムを入れる
• KB5037771 などの更新が入っているか確かめる
• 知らない相手からのファイルを開かないようにする

用語メモ

MSHTML 用語集で見る

Windows に組み込まれている、Web ページなどの HTML を読み込んで表示するための部品です。

OLE 用語集で見る

文書の中に別のアプリのデータや部品を埋め込んで使うための、Windows の仕組みです。

任意のコード 用語集で見る

攻撃者が好きに選べるプログラムのことです。実行されると、パソコンを思いどおりに操作されるおそれがあります。