米国土安全保障省サイバーセキュリティ・インフラストラクチャーセキュリティ庁(CISA: Cybersecurity and Infrastructure Security Agency)は10月8日(米国時間)、「Microsoft Releases October 2024 Security Updates｜CISA」において、MicrosoftがWindowsなど複数の製品の脆弱性に対処するためのセキュリティ更新プログラムをリリースしたと伝えた。

修正された脆弱性は117件に上り、すでに攻撃への利用が確認されている脆弱性も2件含まれている。これら脆弱性を放置すると、遠隔から任意のコードを実行されたり、管理者権限を奪われるなどの攻撃を受けたりする危険性がある。

○脆弱性に関する情報

脆弱性に関する情報は次のページにまとまっている。

2024 年 10 月のセキュリティ更新プログラム - リリース ノート - セキュリティ更新プログラム ガイド - Microsoft

Security Update Guide - Microsoft

Security Update Guide - Microsoft

○悪用が確認されている2件を含む4件の重大な脆弱性

修正された脆弱性のうち、すでに悪用が確認されている脆弱性は次のとおり。

CVE-2024-43572 - Microsoft 管理コンソールにリモートコード実行(RCE: Remote Code Execution)の脆弱性(CVSSスコア: 7.8)

CVE-2024-43573 - Windows MSHTMLプラットフォームになりすましの脆弱性(CVSSスコア: 6.5)

悪用が確認されていないものの、深刻度が緊急(Critical)に分類されている脆弱性は次のとおり。

CVE-2024-38124 - Windows Netlogonに特権昇格の脆弱性(CVSSスコア: 9.0)

CVE-2024-43468 - Microsoft Configuration Managerにリモートコード実行の脆弱性(CVSSスコア: 9.8)

○ただちにアップデートを

セキュリティアップデートの対象となる製品は多岐にわたる上、脆弱性の一部は深刻度が緊急（Critical）に分類されており注意が必要。

MicrosoftはすでにWindows Updateなどを通じて修正プログラムの配信を行っている。該当する製品を使用している場合は、内容を確認するとともに迅速にアップデートを適用することが望まれる。