チェック・ポイント・リサーチ、Microsoft Windowsの新たな脆弱性6件を発見

チェック・ポイント・ソフトウェア・テクノロジーズ株式会社
WindowsカーネルのRustベースコンポーネントで初めて発見された脆弱性など、重大なセキュリティリスクを招く脆弱性に警鐘

サイバーセキュリティソリューションのパイオニアであり、世界的リーダーであるチェック・ポイント・ソフトウェア・テクノロジーズ（Check Point(R) Software Technologies Ltd.、NASDAQ：CHKP、以下チェック・ポイント）の脅威インテリジェンス部門であるチェック・ポイント・リサーチ（Check Point Research、以下CPR）は、Microsoft Windowsにおける新たな脆弱性6件を発見し、詳細を発表しました。チェック・ポイントはMicrosoftに情報提供を行い、Microsoftは8月12日火曜日、これらの脆弱性に対するパッチの最終版をリリースしました。

概要
- CPRはMicrosoft Windowsの新たな脆弱性6件を発見しました。そのうち1件は、影響が広範囲に及ぶ可能性のある「クリティカル」な脆弱性であることが明らかになっています。
- これらの脆弱性は、システム全体のクラッシュや、任意のコード実行を可能にする原因となるほか、ネットワーク上での機密データ漏洩につながる可能性があります。
- チェック・ポイントは責任ある情報開示プロセスに従い、これらの脆弱性についてMicrosoftに非公開で報告しました。最終的なパッチは、8月12日にリリースされました。

- チェック・ポイントのお客様は、これらの脆弱性に対する悪用の試みを積極的に検出・ブロックするセキュリティソリューションによってすでに保護されています。


CPRが発見した6件の脆弱性のうち1件はクリティカルと評価されて特に重大性が高く、システム全体のクラッシュや、攻撃者による悪意あるコードの実行を可能にし、ビジネス運営に現実的なリスクをもたらします。

また別の1件は、WindowsカーネルのRustベースコンポーネントにおいて初めて発見された脆弱性である可能性が高く、現代のソフトウェアにおけるメモリの安全性の限界と課題に関する重要な疑問を提起しています。

チェック・ポイントはこの発見を受け、Microsoftのすべてのユーザーの皆様が、8月のアップデートを直ちに適用されることを強く推奨します。チェック・ポイントのお客様は、これらの脅威を検出・ブロックする当社のセキュリティソリューションですでに保護されています。

脆弱性の詳細分析
CPRは、Microsoft Windowsにおける脆弱性6件を特定し、その深刻度はクリティカルから中程度に及んでいました。以下では、そのうち最も重要な3件が持つ潜在的な影響と重要性を解説するとともに、その他の脆弱性についても概要をお伝えします。

1. RustベースのWindowsカーネルコンポーネントの脆弱性 - システムクラッシュリスクの原因
CPRは、Microsoftの基盤オペレーティングシステム層であるWindowsカーネルのRustベースコンポーネントにおいて、初めて明らかになった可能性が高いセキュリティ脆弱性を発見しました。この脆弱性は、システム全体のクラッシュの原因となる可能性があり、強制的なハードリブートを招き、ユーザーを瞬時にオフラインにする可能性があります。

Rustは、ソフトウェアセキュリティにおいて長らく課題となっていたメモリバグを防ぐ能力があることから、高く評価されており、システム安全性の向上を目的としてWindowsに導入されました。今回発見された脆弱性はRustが根本的な問題を検出したことで明らかになりましたが、Rustは問題を適切に封じ込めるのではなく、システム全体にわたる障害を引き起こしました。

このリスクは、従業員規模が大きい、またはリモートからの労働力を持つ組織にとって重大です。攻撃者はこの欠陥を悪用することで、企業全体にわたり、多数のコンピューターを同時にクラッシュさせることができます。この結果、広範囲にわたる混乱と、多額の損失を招くダウンタイムにつながる可能性があります。

今回の発見は、複雑なソフトウェア環境でシステムの整合性を維持するためには、Rustのような高度なセキュリティ技術を使用している場合にも、継続的な警戒と積極的なパッチ適用が不可欠であることを強調しています。

2. 任意のコード実行を可能にするメモリ破損につながる脆弱性
その他の脆弱性のうち2件は、悪用の可能性が高いことから特に懸念されます。うち1件は深刻度がクリティカルに分類され、8月12日にパッチがリリースされました。

これらの脆弱性は「CVE-2025-30388」および「CVE-2025-53766」として追跡されています。攻撃者はこれらを悪用することで、影響を受けるシステム上で任意のコードを実行できます。これは攻撃者にとって、事実上、いかなる悪意あるソフトウェアも実行できるようになることを意味します。リモート制御ツールのインストールや、その他の被害をもたらす攻撃の開始も可能なことから、完全なシステム侵害につながる可能性があります。

特別な細工を施されたファイルのやり取りも攻撃ベクトルに含まれます。ユーザーがこのファイルを開くか、または処理することで脆弱性が引き起こされ、攻撃者は制御が可能になります。

3. その他のメモリ破損および情報漏えいを招く脆弱性
残る3件の脆弱性もメモリ破損に関わりますが、結果は若干異なり、情報漏えいにつながります。

情報漏えいに関しては、一般的に、攻撃者がローカルシステム上で漏えいしたデータを取得する方法が必要なことから、直接的な危険性は比較的低くなります。しかし、今回発見された脆弱性のうち「CVE-2025-47984」として識別される1件は、メモリの内容を直接的にネットワーク経由で漏えいさせ、ローカルシステムの外部に機密情報を暴露する可能性があります。

このネットワーク経由によるメモリの漏えいでは、攻撃者はコンピューターへの物理的アクセスを必要とせず、遠隔から機密データにアクセスできるため、よりリスクが高まります。

上記のような問題は、完全なシステム侵害に比べ一般的には深刻度が低いと考えられています。しかし重要なセキュリティリスクであることには変わりなく、関連するパッチの適用が必要です。

自社システムのセキュリティ確保のために：迅速なパッチ適用で保護の維持を
CPRが発見した6件のWindows脆弱性には、Rustベースのカーネルコンポーネントの欠陥によるシステムクラッシュも含まれます。このことは、最も成熟し広く使用されているオペレーティングシステムであっても、セキュリティの確保には継続的な課題があることを浮き彫りにしています。

これらの脆弱性は、システムクラッシュ、リモートコード実行、機密データ漏えいにつながる可能性があり、これらはすべて、あらゆる規模の組織に深刻なリスクをもたらします。Microsoftユーザーの皆様は、これらの脅威からシステムを保護するために、8月にアップデートされた最新のパッチを可能な限り早急に適用することを強くおすすめします。

チェック・ポイントのお客様はすでに保護されています。当社のセキュリティソリューションは、これらの脆弱性に関連する攻撃を検出・ブロックし、パッチ適用前であっても継続的な保護を確保しています。今日の進化する脅威環境において、強固なセキュリティ態勢を維持するためには、アップデートと脅威検知に積極的に取り組むことが重要です。最新の攻撃、脆弱性、サイバーインテリジェンスについては、こちらをご覧ください。

本プレスリリースは、米国時間2025年8月12日に発表されたブログ（英語）をもとに作成しています。

Check Point Researchについて
Check Point Researchは、チェック・ポイントのお客様、脅威情報コミュニティを対象に最新のサイバー脅威インテリジェンスの情報を提供しています。チェック・ポイントの脅威インテリジェンスであるThreatCloud AIに保存されている世界中のサイバー攻撃に関するデータの収集・分析を行い、ハッカーを抑止しながら、自社製品に搭載される保護機能の有効性について開発に携わっています。100人以上のアナリストや研究者がチームに所属し、セキュリティ ベンダー、捜査当局、各CERT組織と協力しながら、サイバーセキュリティ対策に取り組んでいます。

ブログ: https://research.checkpoint.com/
X: https://x.com/_cpresearch_

チェック・ポイントについて
チェック・ポイント・ソフトウェア・テクノロジーズ（https://www.checkpoint.com/）は、デジタルトラストのリーディングプロバイダーとして、AIを駆使したサイバーセキュリティソリューションを通じて世界各国の10万を超える組織を保護しています。同社のInfinity Platformとオープンガーデン型エコシステムは、防止優先のアプローチで業界最高レベルのセキュリティ効果を実現しながらリスクを削減します。SASEを中核としたハイブリッドメッシュネットワークアーキテクチャを採用するInfinity Platformは、オンプレミス、クラウド、ワークスペース環境の管理を統合し、企業とサービスプロバイダーに柔軟性、シンプルさ、拡張性を提供します。Check Point Software Technologiesの全額出資日本法人、チェック・ポイント・ソフトウェア・テクノロジーズ株式会社（https://www.checkpoint.com/jp/）は、1997年10月1日設立、東京都港区に拠点を置いています。

ソーシャルメディア アカウント
・Check Point Blog: https://blog.checkpoint.com
・Check Point Research Blog: https://research.checkpoint.com/
・YouTube: https://youtube.com/user/CPGlobal
・LinkedIn: https://www.linkedin.com/company/check-point-software-technologies/
・X: https://x.com/checkpointjapan
・Facebook: https://www.facebook.com/checkpointjapan

将来予想に関する記述についての法的な注意事項
本プレスリリースには、将来予想に関する記述が含まれています。将来予想に関する記述は、一般に将来の出来事や当社の将来的な財務または業績に関連するものです。本プレスリリース内の将来予想に関する記述には、チェック・ポイントの将来の成長、業界におけるリーダーシップの拡大、株主価値の上昇、および業界をリードするサイバーセキュリティプラットフォームを世界の顧客に提供することについての当社の見通しが含まれますが、これらに限定されるものではありません。これらの事項に関する当社の予想および信念は実現しない可能性があり、将来における実際の結果や事象は、リスクや不確実性がもたらす影響によって予想と大きく異なる可能性があります。ここでのリスクには、プラットフォームの機能とソリューションの開発を継続する当社の能力、当社の既存ソリューションおよび新規ソリューションに対する顧客の受け入れと購入、ITセキュリティ市場が発展を続けること、他製品やサービスとの競争、一般的な市場、政治、経済、経営状況、テロまたは戦争行為による影響などが含まれています。本プレスリリースに含まれる将来予想に関する記述に伴うリスクや不確実性は、2024年4月2日にアメリカ合衆国証券取引委員会に提出した年次報告書（フォーム20-F）を含む証券取引委員会への提出書類に、より詳細に記されています。本プレスリリースに含まれる将来予想に関する記述は、本プレスリリースの日付時点においてチェック・ポイントが入手可能な情報に基づくものであり、チェック・ポイントは法的に特段の義務がある場合を除き、本プレスリリース記載の将来予想に関する記述について更新する義務を負わないものとします。

本件に関する報道関係者からのお問い合わせ
チェック・ポイント広報事務局 （合同会社NEXT PR内）
Tel: [phone]　Fax: [phone]
E-mail: [e-mail]