概要：Windowsグラフィックの深刻な脆弱性
セキュリティ研究者が、Windowsグラフィックコンポーネントに存在する危険な脆弱性を特定しました。この脆弱性により、攻撃者は細工された画像ファイル1つを利用して、システムを完全に制御することが可能になります。この問題はCVE-2025-50165として追跡されており、CVSSスコアは9.8と、最高レベルの深刻度を示しています。
脆弱性の詳細と攻撃手法
Zscaler ThreatLabzが2025年5月に発見したこの重大な脆弱性は、ほぼすべてのWindowsアプリケーションで画像を処理するコアライブラリであるwindowscodecs.dllに存在します。この脆弱性は、悪意のあるJPEG画像を介したリモートコード実行（RCE）を可能にします。
攻撃者は、破損した画像をMicrosoft Officeファイルなどの標準的なドキュメントに埋め込むことができます。被害者がドキュメントを開くと、Windowsは脆弱なグラフィックライブラリを通じて画像を自動的に処理し、ユーザーの追加操作なしにエクスプロイトがトリガーされます。これにより、攻撃者は任意のコードを実行し、侵害されたシステムを完全に制御することができます。
この攻撃は、WindowsがJPEGファイルを処理する際に発生する信頼されていないポインタのデリファレンスを悪用します。研究者たちは、ヒープスプレイング技術とReturn-Oriented Programming（ROP）を組み合わせることで、確実な任意のコード実行が可能であることを実証しました。攻撃は、メールの添付ファイル、悪意のあるウェブサイト、または生産性向上ドキュメントに埋め込まれた画像を介して配信される可能性があり、悪意のあるコンテンツが標準の画像ファイルとして認識されるため、一般的なセキュリティ警告を回避します。
影響を受ける製品と緊急パッチ
Microsoftは、この問題に対処するため、2025年8月12日に緊急セキュリティアップデートをリリースしました。パッチが適用されていないシステムは、深刻なリスクに直面します。
影響を受けるWindowsのバージョンは以下の通りです：
- Windows Server 2025: 脆弱なバージョン 10.0.26100.4851 → 修正済みバージョン 10.0.26100.4946
- Windows 11 Version 24H2 (x64): 脆弱なバージョン 10.0.26100.4851 → 修正済みバージョン 10.0.26100.4946
- Windows 11 Version 24H2 (ARM64): 脆弱なバージョン 10.0.26100.4851 → 修正済みバージョン 10.0.26100.4946
- Windows Server 2025 (Server Core): 脆弱なバージョン 10.0.26100.4851 → 修正済みバージョン 10.0.26100.4946
グラフィックコンポーネントの広範な使用を考慮すると、この脆弱性は特に企業環境全体で非常に危険です。
推奨される対策
Windowsユーザーおよび管理者は、直ちに上記のパッチ適用済みバージョンをインストールする必要があります。単にアプリケーションを更新するだけでは不十分であり、脆弱なwindowscodecs.dllファイルを置き換えるためにWindowsオペレーティングシステム自体にパッチを適用することが必須です。
直ちにパッチを適用できない組織向けには、厳格なメールフィルタリングとウェブコンテンツスキャンを実装することで、露出を減らすことができます。セキュリティチームは、疑わしい画像ファイルを監視し、信頼されていないソースからのJPEG添付ファイルをブロックすることを検討すべきです。Zscalerは、顧客向けの追加防御として、この脆弱性に対する保護をセキュリティプラットフォームに展開しています。
結論
CVSSスコア9.8のこの脆弱性CVE-2025-50165は、影響を受けるすべてのWindows環境にとって極めて重大なリスクを提示します。潜在的な悪用に対する最も効果的な防御策は、迅速なパッチ適用であると強く勧告されています。