Microsoft Windows の型の取り違えの脆弱性（CVE-2025-30397）

何が起きた

Windows の Scripting Engine（Web ページのプログラムを動かす部品）に、データの種類を取り違えてしまう弱点が見つかりました。実際に悪用されたことが確認されており、CISA の KEV に掲載されています。攻撃者はネットワーク経由で、ログインなしに悪用できますが、利用者が細工された URL をクリックする必要があります。Microsoft によると、攻撃が成功するには、対象のパソコンで Microsoft Edge が Internet Explorer モードで使われるように準備されている必要があります。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Windows 10、Windows 11、Windows Server 2008 から Windows Server 2025 までの、2025年5月の更新プログラムを入れていないパソコンやサーバーが対象です。たとえば Windows 11 Version 24H2 では、ビルド 10.0.26100.4061 より前が影響を受けます。

何をすればいい

Windows Update で、2025年5月以降のセキュリティ更新プログラムを入れてください。Windows 10 Version 22H2 なら KB5058379、Windows 11 Version 24H2 なら KB5058411 が対象の更新です。ほかのバージョンについては、Microsoft のセキュリティ更新プログラムガイドで公式の案内を確認してください。更新が済むまでは、知らない相手から届いたリンクを開かないようにしてください。

やることチェックリスト

• Windows Update で2025年5月以降の更新を入れる
• Windows 11 Version 24H2 は KB5058411 を入れる
• 知らない相手から届いたリンクを開かないようにする

用語メモ

Scripting Engine

Web ページなどに書かれた小さなプログラム（スクリプト）を読み取って動かす部品です。

Internet Explorer モード

Microsoft Edge の中で、古い Internet Explorer 向けのページを表示するための機能です。

URL

Web ページなどの場所を表す文字列で、リンクの行き先になります。