Microsoftは米国時間2月12日、2月の月例セキュリティパッチ（いわゆる「Patch Tuesday」）を公開した。今回の月例パッチでは、「Microsoft Edge」から「Azure IoT SDK」までを含むさまざまな製品の77件のセキュリティホールが修正されている。
修正された中でもっとも重大な問題は「Internet Explorer」に存在するゼロデイ脆弱性だ。同社によれば、この脆弱性はすでに悪用されているという。
同社は、このIEのゼロデイ脆弱性（CVE-2019-0676）について、「攻撃者がこの脆弱性の悪用に成功した場合、ディスク上のファイルの有無をテストできる可能性があります」と説明している。
今回は、ほかにも多くの重大な脆弱性が修正されている。
まず、リモートから任意のコードを実行される可能性がある、Server Message Block（SMB）の脆弱性が2件修正されている。SMBは、2017年に世界中に爆発的に広がったランサムウェアである「WannaCry」や「NotPetya」でも悪用されたサービスだ。
これらのバグ（CVE-2019-0630およびCVE-2019-0633）ではSMBの認証はバイパスされないため、前述のランサムウェアで使用された攻撃コード「EternalBlue」ほど深刻ではないが、SMBのクライアントサーバ通信の保護に簡単なパスワードしか使用していない企業では危険だ。
また、各バージョンの「Windows Server」に組み込まれているDHCPサーバコンポーネントにも、リモートからコードを実行される可能性がある脆弱性（CVE-2019-0626）が存在する。
Microsoftによれば、脆弱性を持つDHCPサーバに特別に細工されたDHCPパケットを送信することによって、Windows Serverがハイジャックされる可能性がある。Windows Serverは企業ネットワークの重要なITインフラを構成していることが多いため、この脆弱性が悪用されると、甚大な被害が発生しかねない。
さらに同社は、「PrivExchange」として知られている脆弱性（CVE-2019-0686）も修正した。
1月末には、すでにPrivExchangeの概念実証コードが公開されている。このコードを利用すれば、「Microsoft Exchange 2013」以降に存在するバグを利用して、ハッキングされた電子メールアドレス1つから、社内のドメインコントローラーの管理者まで特権を昇格させることができる。
Microsoftは今回のパッチ公開以前にも、2月5日にこの脆弱性に関するセキュリティアドバイザリ（ADV190007）を公開し、システム管理者がサーバを攻撃から守るための緩和策を提供している。
このほかに同社は、2月12日に2つ目のセキュリティアドバイザリ（ADV190006）を公開している。このアドバイザリは、Active Directoryサーバのフォレストの信頼を悪用する新たな種類の攻撃を緩和する方法を説明するものだ。
この記事は海外CBS Interactive発の記事を朝日インタラクティブが日本向けに編集したものです。
