Microsoft Windows の安全でないデシリアライズの脆弱性（CVE-2025-59287）

何が起きた

Windows Server の更新配布の仕組みである WSUS（Windows Server Update Service）に、外から届いたデータを安全か確かめないまま復元（デシリアライズ）してしまう弱点が見つかりました。Microsoft によると、ログインしていない攻撃者が細工したデータを送ると、サーバー上で任意の（攻撃者が好きに選べる）プログラムを実行できるおそれがあります。NVD に登録された Microsoft の評価では、離れた場所からネットワーク経由で、権限なしで、利用者の操作なしに悪用できます。CISA は実際の悪用を確認し、KEV に掲載しています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

WSUS サーバーの役割を有効にしている Windows Server を使う組織が対象です。Microsoft の情報では、Windows Server 2012、Windows Server 2012 R2、Windows Server 2016、Windows Server 2019、Windows Server 2022、Windows Server 2022, 23H2 Edition (Server Core installation)、Windows Server 2025 が影響を受けます。WSUS サーバーの役割は初期状態では有効になっておらず、有効にしていないサーバーはこの弱点の影響を受けません。

何をすればいい

Microsoft は 2025年10月23日に定例外の更新プログラム（例: Windows Server 2025 は KB5070881、Windows Server 2019 は KB5070883）を出しており、これを入れて再起動します。ホットパッチの仕組みに登録しているサーバーは、2025年10月24日に出た単独の更新を入れます。すぐに更新できない場合は、WSUS サーバーの役割を無効にするか、サーバー自身のファイアウォールでポート 8530 と 8531 への受信通信を止めます。これらの回避策は、更新を入れ終わるまで元に戻さないでください。あわせて Microsoft の公式の案内を確認してください。

やることチェックリスト

• 10月23日の定例外更新を入れて再起動する
• 更新できなければWSUSの役割を無効にする
• ポート8530と8531の受信をサーバー側で遮断する

用語メモ

WSUS

Windows Server Update Service の略で、社内の Windows パソコンやサーバーに更新プログラムをまとめて配る仕組みです。

デシリアライズ 用語集で見る

保存や送信のために変換したデータを、プログラムで使える元の形に戻す処理です。中身を確かめずに行うと、攻撃に使われることがあります。

ホットパッチ

動いているシステムを止めずに修正を当てる更新の方法です。