マイクロソフト、2025年9月の月例パッチで81件の脆弱性に対処（CVE-2025-55234、CVE-2025-54910他）

佐々山 Tacos

2025.09.10

9月10日：サイバーセキュリティ関連ニュース

マイクロソフト、2025年9月の月例パッチで81件の脆弱性に対処（CVE-2025-55234、CVE-2025-54910他）

BleepingComputer – September 9, 2025

マイクロソフトが2025年9月の月例セキュリティ更新プログラムにおいて、ゼロデイ脆弱性CVE-2025-55234およびCVE-2024-21907を含む81件の脆弱性に対処している。

マイクロソフトは公式パッチが利用可能になる前に開示または悪用された脆弱性をゼロデイに分類しているが、9月の月例パッチではすでに公に開示されていた以下2件のゼロデイを修正した。

CVE-2025-55234：Windows SMBにおける特権昇格の脆弱性。SMBサーバーが構成次第ではリレー攻撃に晒される恐れがあるというもので、攻撃者が悪用を成功させた場合、リレー攻撃の実行が可能となりユーザーは特権昇格攻撃の対象となる可能性がある。脆弱性がどの研究者によって発見されたものなのかや、どこでこの脆弱性に関する情報が開示されていたのかは明かされていない。CVSS（v3.1）スコアは8.8、深刻度は「Important（重要）」の評価。
CVE-2024-21907：Microsoft SQLサーバーの一部に含まれるNewtonsoft.Jsonにおける、例外的な状態の処理に関する脆弱性。細工されたデータがJsonConvert.DeserializeObject メソッドに渡されることで実行スタックオーバーフローエラーが引き起こされる可能性があるというもので、同ライブラリの使用状況次第では、認証されていないリモートの攻撃者がDoS状態を引き起こすことができるようになる恐れがあるとされる。2024年に開示された脆弱性で、CVSS（v3）スコアは7.5。

マイクロソフトは上記のほか、深刻度が「Critical（緊急）」に分類される以下の脆弱性も修正している。

CVE-2025-55236：グラフィックスカーネルにおけるリモート実行の脆弱性。
CVE-2025-55226：グラフィックスカーネルにおけるリモート実行の脆弱性。
CVE-2025-53800：Windows Graphics コンポーネントにおける特権昇格の脆弱性。
CVE-2025-54910：Microsoft Officeにおけるリモートコード実行の脆弱性。
CVE-2025-53799：Windows イメージングコンポーネントにおける情報開示の脆弱性。
CVE-2025-54918：Windows NTLMにおける特権昇格の脆弱性。
CVE-2025-55224：Windows Hyper-Vにおけるリモートコード実行の脆弱性。
CVE-2025-55228：Windows Graphics コンポーネントにおけるリモートコード実行の脆弱性。

Adobe、ColdFusionとCommerceのCriticalな脆弱性に対処（CVE-2025-54261、CVE-2025-54236）

SecurityWeek – September 9, 2025

Adobeは2025年9月9日、同社の9製品における複数の脆弱性に対するパッチをリリース。これには、ColdFusionおよびCommerceにおける「Critical」評価の脆弱性CVE-2025-54261およびCVE-2025-54236が含まれる。

CVE-2025-54261は、すべてのプラットフォーム上のColdFusion 2021、2023、2025に影響を与えるパストラバーサルの脆弱性。悪用された場合、任意のファイルシステム書き込みに繋がる恐れがある。Adobeはこの脆弱性が実際の攻撃で悪用された認識はないとしているものの、優先度スコアを最高の「1」としており、可及的速やかに対処すべき脆弱性であることが示唆されている。なおColdFusionの脆弱性が攻撃で悪用されることは少なくなく、最近では2024年12月に別の任意のファイルシステム書き込みの脆弱性CVE-2024-20767の悪用が報告されていた。

同日に修正されたCommerceおよびMagento Open Sourceにおける重大な脆弱性CVE-2025-54236は、不適切な入力確認（CWE-20）に起因するもの。認証されていない攻撃者に悪用され、セキュリティ機能のバイパスを可能にする恐れがあるとされる。オランダのEコマースセキュリティ企業Sansecのフォレンジックチームによると、「SessionReaper」と呼ばれるこの脆弱性はアカウント乗っ取りを可能にし得るだけでなく、特定の条件下では認証されていない攻撃者によるリモートコード実行も許すことがあり得るのだという。Sansecはまた、「先週Adobeのパッチが誤って流出した」ために悪意あるアクターたちがすでにエクスプロイトコード開発に着手している可能性があるとも主張。早急なパッチ適用を呼びかけている。

上記のほか、AdobeはAcrobat Reader、Premiere Pro、Substance 3D Viewer、Experience Manager（AEM）、Dreamweaver、Substance 3D Modelerにおける深刻度の高い脆弱性も複数修正。これらは、悪用された場合任意のコード実行やセキュリティ機能のバイパスを可能にする恐れがある。加えて、Acrobat Reader、AEM、After Effectsにおける深刻度が低〜中程度の脆弱性数件も修正されている。