最近の脆弱性 › CVE-2025-59287

Microsoft Windows の安全でないデシリアライズの脆弱性（CVE-2025-59287）

この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。

基本情報（データから表示）

CVE番号	CVE-2025-59287
製品	Microsoft Windows
深刻度（CVSS）	9.8 緊急CVSS v3.1 NVD に登録された、他の機関（開発元など）による評価詳細（ベクター） `CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H`
KEVへの追加日	2025-10-24
米国政府機関の対応期限	2025-11-14
ランサムウェアでの悪用	不明（確認されていない）
弱点の種類（CWE）	CWE-502

何が起きた

Windows Server の更新配布の仕組みである WSUS（Windows Server Update Service）に、外から届いたデータを安全か確かめないまま復元（デシリアライズ）してしまう弱点が見つかりました。Microsoft によると、ログインしていない攻撃者が細工したデータを送ると、サーバー上で任意の（攻撃者が好きに選べる）プログラムを実行できるおそれがあります。NVD の評価では、離れた場所からネットワーク経由で、権限なしで、利用者の操作なしに悪用できます。CISA は実際の悪用を確認し、KEV に掲載しています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

WSUS サーバーの役割を有効にしている Windows Server を使う組織が対象です。Microsoft の情報では、Windows Server 2012、Windows Server 2012 R2、Windows Server 2016、Windows Server 2019、Windows Server 2022、Windows Server 2022, 23H2 Edition (Server Core installation)、Windows Server 2025 が影響を受けます。WSUS サーバーの役割は初期状態では有効になっておらず、有効にしていないサーバーはこの弱点の影響を受けません。

何をすればいい

Microsoft は 2025年10月23日に定例外の更新プログラム（例: Windows Server 2025 は KB5070881、Windows Server 2019 は KB5070883）を出しており、これを入れて再起動します。ホットパッチの仕組みに登録しているサーバーは、2025年10月24日に出た単独の更新を入れます。すぐに更新できない場合は、WSUS サーバーの役割を無効にするか、サーバー自身のファイアウォールでポート 8530 と 8531 への受信通信を止めます。これらの回避策は、更新を入れ終わるまで元に戻さないでください。あわせて Microsoft の公式の案内を確認してください。

やることチェックリスト

10月23日の定例外更新を入れて再起動する
更新できなければWSUSの役割を無効にする
ポート8530と8531の受信をサーバー側で遮断する

用語メモ

WSUS: Windows Server Update Service の略で、社内の Windows パソコンやサーバーに更新プログラムをまとめて配る仕組みです。
デシリアライズ: 保存や送信のために変換したデータを、プログラムで使える元の形に戻す処理です。中身を確かめずに行うと、攻撃に使われることがあります。
ホットパッチ: 動いているシステムを止めずに修正を当てる更新の方法です。

元データ（英語・CISA KEV より）

Microsoft Windows Server Update Service (WSUS) Deserialization of Untrusted Data Vulnerability

概要

Microsoft Windows Server Update Service (WSUS) contains a deserialization of untrusted data vulnerability that allows for remote code execution.

推奨対応

Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.