Microsoftの10月のパッチチューズデーは、同社がこれまでにリリースした中で最大のセキュリティ更新プログラムと言われている。Dark Readingによると、このリリースにはありがたくない驚きが含まれている。ゼロデイ脆弱性、セキュリティバイパス、そして未認証のリモートコード実行（RCE）の欠陥である。自宅でWindowsを使っている人も、職場でマシンを管理している人も、これは速やかにインストールする価値のある更新プログラムだ。

このガイドでは、これらの用語の意味、なぜ重要か、そしてどのように保護を得るかを説明する。

10月のパッチチューズデー更新プログラムの内容

情報源のレポートは、懸念すべき2つのカテゴリーを強調している。セキュリティバイパスと未認証のRCEである。同じリリースを扱った他のメディアのレポートでは、欠陥の総数は172件とされている。これらのメディアは、更新プログラムに含まれるゼロデイの数、および悪用が確認されたゼロデイの数について意見が分かれている。ゼロデイは4件とも6件とも言われ、一部の要約では2件が活発に悪用されているとしている。数え方は出版物によって異なるため、自分のシステムにとって権威あるリストについてはMicrosoft自身のセキュリティ更新ガイドを確認してほしい。

このリリースは、更新プログラムの報道によれば、Windows 10のサポート終了と時期が重なっている。そのため、このバージョンをまだ使い続けている人にとっては注目すべき月である。

主要な用語の意味は以下のとおりである。

  • ゼロデイ： 修正プログラムが利用可能になる前に公に知られ、または悪用される脆弱性。防御側には事前の猶予がまったくなかった。
  • セキュリティバイパス： 攻撃者を阻止するはずの保護、たとえば信頼できないコードやアクセスをブロックするための安全策を、攻撃者が回避できるようにする欠陥。
  • 未認証のRCE： 攻撃者が先にログインすることなく、標的のシステム上でコードを実行できる欠陥。盗んだパスワードが不要であるため、最も深刻な種類のバグの一つである。

未パッチのシステムが危険な理由

Microsoftがパッチを公開すると、攻撃者はそれを調べて何が修正されたかを突き止めることができる。これにより、まだ更新されていないマシンを標的にするためのロードマップが攻撃者に与えられる。パッチのリリースから自分のインストール日までの間が、システムが最もさらされる期間である。

未認証のRCEには特に注意を払うべきである。脆弱なコンポーネントにどのように到達できるかによっては、攻撃者はユーザーを騙して何かをさせる必要がない場合がある。セキュリティバイパスも組み合わせると危険である。攻撃者はバイパスを別の欠陥と連鎖させることで、わずかな足がかりをマシンの完全な制御に変えることができる。

これほど大規模な更新プログラムには実務上の帰結もある。1回のリリースに非常に多くの修正が含まれるため、それを飛ばすコストはいつもより高い。1回のサイクルを逃すだけで、一度に多くの穴が開いたままになるからだ。

10月のパッチチューズデー更新プログラムをインストールする方法

ほとんどの家庭ユーザーにとって、手順は簡単である。

  1. 設定を開き、Windows Updateに移動する。
  2. 更新プログラムのチェックを選択する。
  3. 提供されたものをすべてダウンロードしてインストールし、求められたら再起動する。多くの修正は再起動後にのみ有効になる。
  4. その後、Windows Updateに戻り、最新の状態であると報告されることを確認する。

今後の月に遅れを取らないようにするには、自動更新をオンにする。Windows Updateで、更新プログラムが一時停止されていないことを確認し、利用可能になり次第最新の更新プログラムを取得するオプションを有効にすることを検討してほしい。作業していないときに再起動が行われるよう、アクティブ時間を設定しよう。

複数のマシンを管理している場合は、まず小さなグループで更新プログラムをテストし、その後すばやく展開する。未認証のRCEは、攻撃者がシステムにリモートから到達できる場所で最も危険であるため、インターネットに面したサーバーや機密データを扱うシステムを優先しよう。

まだWindows 10を使っている場合は、自分のデバイスがWindows 11へのアップグレード、またはMicrosoftが提供する延長セキュリティ更新のオプションの対象になるかどうかを確認してほしい。サポートされていないオペレーティングシステムを実行していると、将来の脆弱性が修正されないままになる可能性がある。

これがあなたにとって意味すること

パニックになる必要はないが、待つべきでもない。実際のリスクはあなたの環境によって異なる。

  • 家庭ユーザー： 今週中に更新プログラムをインストールして再起動する。自動更新がほとんどを処理するが、実際に行われたことを確認しよう。
  • リモートワーカー： 仕事用のノートPCはしばしば自宅のネットワーク上にあり、更新プログラムを逃すことがある。自分のものが最新であることを確認しよう。
  • 中小企業： 奥の事務所にある古いものも含め、すべてのWindowsマシンのリストを作り、それぞれに更新プログラムが適用されていることを確認しよう。
  • Windows 10ユーザー： サポート終了により長期的なリスクが変わるため、今のうちに今後の道筋を計画しよう。

VPNはパッチ適用の代わりにはならない。通信を暗号化するが、オペレーティングシステムの脆弱性を修正するものではない。パッチ適用とVPNは異なる問題に対処するものであり、どちらにせよパッチは必要である。

重要なポイント

10月のパッチチューズデーリリースは大規模で、ゼロデイ、セキュリティバイパス、未認証のRCEが含まれている。重要な手順はシンプルである。

  • Windows Updateを開き、利用可能なものをすべてインストールし、再起動する。
  • システムが最新の状態であると報告されることを確認する。
  • 自動更新をオンにして、来月も保護されるようにする。
  • 自分のソフトウェアに該当する正確な脆弱性について、Microsoftのセキュリティ更新ガイドを確認する。
  • Windows 10を使っている場合は、アップグレードまたは延長サポートの計画を決める。

この10月のパッチチューズデー更新プログラムを適用するのに数分を費やすことで、攻撃者が最初に試みる可能性が最も高い隙間をふさぐことができる。今日実行し、残りは自動更新に任せよう。