【Windows Update】Microsoft、2022年9月のセキュリティ更新プログラムを公開！

Microsoftは2022年9月14日(日本時間)、2022年9月の月例Windows UpdateとしてWindowsをはじめとしたセキュリティ更新プログラムを公開しました。セキュリティ脆弱性などの更新が含まれているので、Windows PCをお使いのユーザーは、なるべく早くアップデートを行いましょう。

今月のセキュリティ更新プログラムでは、Windowsのセキュリティ更新やバグ修正に関する計12件（緊急6件、重要6件）の新規セキュリティ情報を公開しています。

また、新規セキュリティ更新プログラムを公開すると共に、既存のセキュリティアドバイザリ情報 1 件の更新を行いました。（既存の脆弱性情報の更新はなし）
なお、今月の悪意のあるソフトウェアの削除ツールでは、このツールで削除できる悪意のあるソフトウェアが追加されています。詳細は、対象のマルウェアファミリを参照してください。

Windowsユーザーはできるだけ早く、2022年9月の公開セキュリティ更新プログラムを適用することが推奨されます。

2022年9月のセキュリティ更新プログラムを公開した製品、コンポーネント一覧

Microsoftが2022年9月14日（日本時間）にセキュリティ更新プログラムを公開した製品およびコンポーネントの一覧が公開されています。

.NET と Visual Studio
.NET Framework
Azure Arc
Cache Speculation
HTTP.sys
Microsoft Dynamics
Microsoft Edge (Chromium ベース)
Microsoft Graphics コンポーネント
Microsoft Office
Microsoft Office SharePoint
Microsoft Office Visio
Microsoft Windows ALPC
Microsoft Windows Codecs Library
ネットワークデバイス登録サービス (NDES)
ロール: DNS サーバー
ロール: Windows Fax サービス
SPNEGO Extended Negotiation
Visual Studio Code
Windows 共通ログファイルシステムドライバー
Windows Credential Roaming サービス
Windows Defender
Windows 分散ファイルシステム (DFS)
Windows DPAPI (データ保護アプリケーションプログラミングインターフェイス)
Windows Enterprise App Management
Windows イベントトレーシング
Windows グループポリシー
Windows IKE 拡張
Windows Kerberos
Windows カーネル
Windows LDAP – ライトウェイトディレクトリアクセスプロトコル
Windows ODBC ドライバー
Windows OLE
Windows フォトインポート API
Windows 印刷スプーラーコンポーネント
Windows Remote Access Connection Manager
Windows リモートプロシージャコール
Windows TCP/IP
Windows トランスポート層セキュリティ (TLS)

セキュリティ更新プログラム、セキュリティアドバイザリに関する主な注意点

今月のセキュリティ更新プログラムで修正した脆弱性のうち、CVE-2022-37969 Windows 共通ログファイルシステムドライバーの特権の昇格の脆弱性は、既に脆弱性の悪用が行われていることを確認しています。また、この脆弱性は、セキュリティ更新プログラムの公開よりも前に、脆弱性の情報が一般に公開されていたことを確認しています。お客様においては、早急に、影響を受ける製品に対して更新プログラムを適用してください。詳細は、CVE-2022-37969 を参照してください。
今月のセキュリティ更新プログラムで修正した脆弱性のうち、CVE-2022-23960 は Arm 社の特定の CPU に存在する脆弱性です。これは、Arm 社製品に存在する脆弱性ですが、脆弱性を緩和するためには Windows の更新プログラムをインストールする必要があります。なお、本脆弱性は、セキュリティ更新プログラムの公開よりも前に、脆弱性の情報が一般に公開されていたことを確認していますが、セキュリティ更新プログラムの公開時点では悪用は確認されていません。
今月のセキュリティ更新プログラムで修正した脆弱性のうち、CVE-2022-34718 (Windows TCP/IP)、CVE-2022-34722(インターネットキー交換 (IKE) プロトコル拡張機能) および CVE-2022-34721 (インターネットキー交換 (IKE) プロトコル拡張機能) は、CVSS 基本値が 9.8 と高いスコアで、認証やユーザーの操作をすることなく悪用が可能な脆弱性です。これらの脆弱性が存在する製品、および悪用が可能となる条件については、各 CVE のページの「よく寄せられる質問」を参照してください。セキュリティ更新プログラムが公開されるよりも前に、これらの脆弱性の詳細の一般への公開、および脆弱性の悪用はありませんが、脆弱性の特性を鑑み、企業組織では早急なリスク評価とセキュリティ更新プログラムの適用を推奨しています。
セキュリティ更新プログラムにおける既知の問題は、各セキュリティ更新プログラムのサポート技術情報を参照してください。既知の問題が確認されている各セキュリティ更新プログラムのサポート技術情報一覧は、2022 年 9 月セキュリティ更新プログラムリリースノートに掲載されています。

2022年9月のセキュリティ更新プログラム一覧

Microsoftが2022年9月14日（日本時間）に公開したセキュリティ更新プログラムは次の通りです。
最新の情報は、セキュリティ更新プログラムガイドを確認してください。

最大深刻度「緊急」のセキュリティ更新情報

製品ファミリ：Windows 11

■最も大きな影響を受ける内容
リモートでコードが実行される
■関連するサポート技術情報またはサポートのWebページ
5017328

製品ファミリ：Windows 10 v21H2, v21H1 および v20H2

■最も大きな影響を受ける内容
リモートでコードが実行される
■関連するサポート技術情報またはサポートのWebページ
5017308

製品ファミリ：Windows Server 2022 (Server Core installationを含む)

■最も大きな影響を受ける内容
リモートでコードが実行される
■関連するサポート技術情報またはサポートのWebページ
5017316

製品ファミリ：Windows Server 2019 , 2016, v20 H2 (Server Core installation を含む)

■最も大きな影響を受ける内容
リモートでコードが実行される
■関連するサポート技術情報またはサポートのWebページ
Windows Server 2019 , 5017315
Windows Server 2016 , 5017305

製品ファミリ：Windows 8.1, Windows Server 2012 R2, Windows Server 2012(Server Core installation を含む)

■最も大きな影響を受ける内容
リモートでコードが実行される
■関連するサポート技術情報またはサポートのWebページ
Windows 8.1, Windows Server 2012 R2 Monthly Rollup 5017367 Security Only 5017365
Windows Server 2012
Monthly Rollup 5017370
Security Only 5017377

製品ファミリ：Microsoft Dynamics 365

■最も大きな影響を受ける内容
リモートでコードが実行される
■関連するサポート技術情報またはサポートのWebページ
9.1 5017226
9.0 5017524

最大深刻度「重要」のセキュリティ更新情報

製品ファミリ：Microsoft Office

■最も大きな影響を受ける内容
リモートでコードが実行される
■関連するサポート技術情報またはサポートのWebページ
セキュリティ更新プログラムの詳細については、セキュリティ更新プログラムガイドおよびhttps://docs.microsoft.com/officeupdates を参考にしてください。

製品ファミリ：Microsoft SharePoint

■最も大きな影響を受ける内容
リモートでコードが実行される
■関連するサポート技術情報またはサポートのWebページ
SharePoint 更新プログラム – Office release notes

製品ファミリ：Microsoft .NET

■最も大きな影響を受ける内容
リモートでコードが実行される
■関連するサポート技術情報またはサポートのWebページ
セキュリティ更新プログラムの詳細については、セキュリティ更新プログラムガイドおよび https://docs.microsoft.com/dotnet を参考にしてください。
h4>製品ファミリ：Microsoft Visual Studio

■最も大きな影響を受ける内容
特権の昇格
■関連するサポート技術情報またはサポートのWebページ
セキュリティ更新プログラムの詳細については、セキュリティ更新プログラムガイドおよび https://docs.microsoft.com/visualstudio を参考にしてください。

製品ファミリ：Microsoft Azure-related software

■最も大きな影響を受ける内容
特権の昇格
■関連するサポート技術情報またはサポートのWebページ
セキュリティ更新プログラムの詳細については、セキュリティ更新プログラムガイドおよび https://docs.microsoft.com/ja-jp/azure を参考にしてください。

製品ファミリ：Microsoft Defender for Endpoint for Mac

■最も大きな影響を受ける内容
特権の昇格
■関連するサポート技術情報またはサポートのWebページ
Mac 用 Microsoft Defender for Endpoint

既存の脆弱性情報の更新

今月、更新された既存の脆弱性情報はありません。

新規セキュリティアドバイザリの公開

Microsoftが2022年9月14日（日本時間）に公開した新規のセキュリティアドバイザリは次の通りです。

ADV990001 最新のサービススタック更新プログラム
新しいバージョンのサービススタック更新プログラムが入手可能であることをお知らせするために、アドバイザリが更新されました。詳細については、FAQ を参照してください。

最新のサービススタック更新プログラム (SSU) は、アドバイザリ ADV990001 にてご確認ください。

Microsoft Edge (Chromium-based) のセキュリティ情報は、公開のスケジュールが月例のリリースとは異なりますので、セキュリティ更新プログラムガイド上で製品にて Microsoft Edge (Chromium-based) を選択してご確認ください。または、Edge のセキュリティリリース情報にてご確認ください。

各脆弱性情報 (CVE) のページには、緩和策、回避策、注意事項やよく寄せられる質問など、追加の情報が掲載されている場合があります。セキュリティ更新プログラムの適用の前に、併せてご確認ください。

最新の情報は、セキュリティ更新プログラムガイドを確認してください。セキュリティ更新プログラムガイドでは、セキュリティの脆弱性および更新プログラムの情報を、CVE、KB 番号、製品、またはリリース日別に並べ替えたりフィルターをかけたりすることができます。各月のセキュリティ更新プログラムを絞り込むには、日付範囲に絞り込む月の第 2 火曜日を指定して検索してください。なお、セキュリティ更新プログラムガイド API を活用して、自社に特化したカスタムレポートを作成することができます。API の活用方法を紹介する 6 つのビデオ (API の情報 (GitHub)、API へのアクセス、HTML ファイルの出力、Excel へのエクスポート、CVE リストの取得、KB リストの取得) を公開していますので、是非ご活用ください。

セキュリティ更新プログラムガイドに更新があった場合の通知を受け取る仕組みの実装が予定されています。詳しくは、ブログ “Coming Soon: A Brand-New Notification System!” をご参照ください。

今後の主なセキュリティ機能の設定変更の予定

今後、マイクロソフト製品・サービスで、脆弱性からシステムを保護するために、実施を予定しているセキュリティ機能の追加や削除の主な予定を紹介します。企業組織のシステムの管理者の皆様は、これらの機能変更による影響をご確認ください。

Internet Explorer および EdgeHTML における TLS 1.0 および 1.1 の無効化
2022 年 9 月 20 日 (米国時間) 以降に、Internet Explorer および EdgeHTML において TLS 1.0 および 1.1 が無効化されます。詳細については、更新: トランスポート層セキュリティ 1.0 および 1.1 の無効化および Plan for change: TLS 1.0 and TLS 1.1 soon to be disabled by default をご参照ください。
Exchange Online における基本認証の無効化
2022 年 10 月 1 日 (米国時間) 以降に、Exchange Online において基本認証が無効化されます。詳細については、Exchange Online における基本認証の廃止および Exchange Online での基本認証の廃止をご参照ください。
Kerberos 認証における強化された認証プロセスの強制について
CVE-2021-42287 への対処のため、2022 年 10 月 11 日 (米国時間) (予定) に公開される更新プログラムを適用することで、ドメインコントローラはPAC に要求元が含まれていない場合は認証を拒否する動作になり、脆弱性から保護されます。詳細については、KB5008380、 CVE-2021-42287 で追加されたイベントメッセージ ID 35 , 37 と脆弱性対応の流れについておよび [IT 管理者むけ] Active Directoryのセキュリティ強化への対応をご確認くださいをご参照ください。