Microsoft Power Pages の脆弱性（CVE-2025-24989）

何が起きた

Microsoft のクラウドサービス Power Pages に、アクセス制御（誰が何をしてよいかの管理）の不備が見つかり、実際の悪用が確認されています。ログインしていない攻撃者が、ネットワーク経由で権限を引き上げ、利用者登録の制限をすり抜けられる可能性があります。被害者の操作は必要ありません。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Microsoft Power Pages でサイトを作っている組織です。Microsoft によると、影響を受けた利用者にはすでに通知が送られており、通知を受けていなければこの弱点の影響はありません。影響を受けるバージョンは、このデータからは不明です。

何をすればいい

Microsoft によると、この弱点はサービスの側ですでに対策されています。Microsoft から通知を受けた場合は、その案内に沿って、サイトが悪用されていないかの点検と後始末をしてください。あわせて Microsoft の公式の案内（セキュリティ更新プログラムガイド）を確認してください。

やることチェックリスト

• Microsoft からの通知が届いていないか確かめる
• 通知があれば、案内に沿ってサイトを点検する
• 悪用の跡があれば、案内に沿って後始末をする

用語メモ

アクセス制御 用語集で見る

利用者ごとに、見てよい情報やできる操作を決めて管理するしくみのことです。

クラウドサービス

自分のパソコンに入れずに、インターネット経由で事業者のサーバーを使うサービスのことです。

権限 用語集で見る

システムの中で、どんな操作をしてよいかという許可のことです。