セキュリティ

SECURITY

公開：2025-01-25

【CVE-2025-21326】Windows ServerのInternet Explorerに深刻な脆弱性、サーバーコアインストールにも影響

text: XEXEQ編集部
（記事は執筆時の情報に基づいており、現在では異なる場合があります）

記事の要約

• Internet Explorerにリモートコード実行の脆弱性
• Windows Server 2025のx64ベースシステムに影響
• 複数のサーバーコアインストールに脆弱性が存在

Windows Serverの脆弱性CVE-2025-21326

Microsoftは2025年1月14日、Internet Explorerのリモートコード実行に関する脆弱性CVE-2025-21326を公開した。この脆弱性はWindows Server 2025のx64ベースシステムにおいて、バージョン10.0.26100.0から10.0.26100.2894未満のシステムに影響を与えることが判明している。Windows Server 2025のサーバーコアインストールにも同様の脆弱性が存在するのだ。^[1]

さらにWindows Server 2022の23H2エディションのサーバーコアインストールにおいても、バージョン10.0.25398.0から10.0.25398.1369未満のシステムで同様の脆弱性が確認された。この脆弱性はCVSS評価で7.8のハイリスクと判定され、Type Confusion（CWE-843）に分類される深刻な問題となっている。

Microsoftは本脆弱性に対して、影響を受けるバージョンのユーザーに対してアップデートを推奨している。脆弱性の悪用には特権は不要だが、ユーザーの操作が必要となることから、システム管理者は速やかなセキュリティパッチの適用を検討する必要があるだろう。

影響を受けるバージョンまとめ

Type Confusionについて

Type Confusionとは、プログラムがあるタイプのリソースに対して互換性のない方法でアクセスを試みる脆弱性のことを指す。主な特徴として、以下のような点が挙げられる。

• メモリ上のデータを誤った型として解釈する問題
• バッファオーバーフローやコード実行につながる可能性
• 入力値の検証不足により発生することが多い

Type Confusionの脆弱性は、CWE-843として分類されており、特にInternet Explorerなどのブラウザでは深刻な影響をもたらす可能性が高い。今回のCVE-2025-21326では、このType Confusionを悪用することでリモートからコードを実行される危険性があるため、早急な対応が必要となっている。

Internet Explorerの脆弱性に関する考察

今回のInternet Explorerの脆弱性は、Windows Serverの広範なバージョンに影響を与える重大な問題として注目される。特にサーバー環境でのInternet Explorerの利用は限定的であるものの、管理用インターフェースやレガシーシステムとの互換性維持のために使用されているケースも多く、早急な対応が求められる状況だ。

本脆弱性の影響を最小限に抑えるためには、影響を受けるサーバーの特定と優先順位付けが重要となる。特にWindows Server 2025の新規導入を予定している組織においては、パッチ適用済みバージョンの選択や、代替ブラウザの利用を検討する必要があるだろう。

長期的な対策としては、Internet Explorerへの依存度を下げ、よりセキュアな代替手段への移行を進めることが望ましい。特にサーバー環境においては、必要最小限のコンポーネントのみを使用する原則に立ち返り、不要なブラウザ機能を無効化することで、攻撃対象領域を縮小することが可能だ。

参考サイト

1. ^ CVE. 「CVE-2025-21326 | CVE」. https://www.cve.org/CVERecord?id=CVE-2025-21326, (参照 25-01-25).
2. Microsoft. https://www.microsoft.com/ja-jp

※上記コンテンツはAIで確認しておりますが、間違い等ある場合はコメントよりご連絡いただけますと幸いです。

「セキュリティ」に関するコラム一覧「セキュリティ」に関するニュース一覧