マイクロソフト、ゼロデイとして悪用されるWindows LNKの欠陥を密かに「緩和」：CVE-2025-9491

佐々山 Tacos

2025.12.04

2025年12月4日：サイバーセキュリティ関連ニュース

マイクロソフト、ゼロデイとして悪用されるWindows LNKの欠陥を密かに「緩和」：CVE-2025-9491

BleepingComputer – December 3, 2025

マイクロソフトは、複数の国家型アクターやサイバー犯罪グループに悪用されているWindows LNKのゼロデイ脆弱性CVE-2025-9491を、2025年11月のアップデートで密かに「緩和」していたという。ACROS Securityが報告した。

CVE-2025-9491は2025年3月にトレンドマイクロが発見した脆弱性で、「Windowsがショートカット（.lnk）ファイルの内容をWindowsのUI上で表示する方法に関連する脆弱性」と説明されている。ショートカットファイル（.lnkファイル）は「ターゲット（ファイルのリンク先）」フィールドにコマンドライン引数を埋め込むことが可能なファイル形式であることから、攻撃者にとって魅力的な手段になっている。Windowのファイルのプロパティ画面にはターゲット（リンク先）フィールドが表示され、ユーザーはターゲットを確認することができるものの、表示されるのは最初の260文字のみだった。このため、悪意あるアクターはスペースなどの空白文字を多用することで、悪性コードをユーザーの目に触れない形で埋め込むことが可能となっていた。

トレンドマイクロは、この脆弱性が「既に2017年の時点で悪用されていた」ことが調査により明らかになったと述べた上、Evil Corp、Bitter APT（TA397）、APT37、APT43（Kimsuky）、Mustang Panda（Earth Preta）、SideWinder、RedHotel、Konniを含む11組の国家支援型グループおよびサイバー犯罪グルーオプにより広く悪用されていたと報告した。

それでも3月の時点でマイクロソフトは「即時対応の基準には満たない」としてすぐには修正対象とせず、「対処を検討する」と述べるに留めていた。しかし10月のArctic Wolf Labsのブログ記事により、9月から10月にかけて中国の国家支援型グループとされるMustang Pandaが同脆弱性を悪用していたことが報告されており、脆弱性の影響がその後も継続していたことが明らかになっている。

マイクロソフトは11月のアドバイザリにおいてもCVE-2025-9491を脆弱性とはみなさないとの見解を表明していたものの、ACROS SecurityのCEOであり0patchの共同創設者であるMitja Kolsek氏は、同社がこの欠陥を軽減するための試みを行っていたことを発見。具体的には11月の更新プログラムでLNKファイルが密かに変更され、この更新プログラムをインストールしたユーザーは、LNKファイルのプロパティを開いた際に、ターゲットフィールドの最初の260文字だけでなく、すべての文字を確認できるようになったという。

ただ、LNKファイルに追加された悪意のある引数が削除されることはなく、ターゲットフィールドの文字列が260文字を超えるLNKファイルであっても、開封時にユーザーに警告が表示されることはない。このため同社による変更は必ずしも「修正」であるとは言えないとされており、ACROS Securityは0patchのユーザー向けに、この2点をカバーした非公式パッチをリリースしているとのこと。

米アリゾナ州司法長官、顧客データを盗んだとしてTemuを提訴

SecurityWeek – December 3, 2025

米アリゾナ州のクリス・メイズ司法長官は12月3日、顧客のデータを盗み取った疑いでTemuおよび親会社のPDDホールディングスを提訴することを発表。同様の訴訟を提起したケンタッキー州、ネブラスカ州、アーカンソー州に続いた。

Temuは、中国のEコマース大手PDDホールディングスが運営する安価なオンラインマーケットプレイス。メイズ司法長官によれば、Temuのアプリは低価格商品の品質について顧客を騙している上、顧客から同意を得ることなく大量の機微データを収集しているという。収集される機微なデータの例としては、GPSデータや、顧客の携帯電話上にインストールされたほかのアプリのリストなどが挙げられている。

メイズ長官は記者会見において、「病院の診察室、公共図書館、政治イベント、友人宅」まで、このアプリはユーザーが訪れる場所をどこであっても追跡できると指摘。「プライバシー侵害の範囲は膨大であり、アリゾナ州でこれまでに見受けられた中でも最も深刻なアリゾナ州消費者詐欺防止法違反の可能性があると判断した」と述べた。

アリゾナ州の捜査当局によるフォレンジック調査の結果、Temuアプリのコードには専門家がマルウェアまたはスパイウェアと認定する部分が確認され、ユーザーのモバイル端末からデータを不正に流出させつつ、その行為を隠蔽する機能を有していることが判明したという。さらに調査では、Temuプラットフォームの前身バージョンで既に禁止されていたコードが「広範囲にわたり」アプリ内に存在することも明らかになったとされる。

メイズ長官は州民に対し、Temuのアカウントを削除し、アプリをアンインストールして、デバイスにマルウェアが存在しないかスキャンを実施するよう促した。