マイクロソフト、2020年最後の「パッチデイ」で緊急修正9件を含む58件の更新を公開

マイクロソフトの2020年最後となる「パッチデイ（Patch Tuesday）」では、同社製品の大部分に影響するバグを修正するセキュリティパッチが多数リリースされました。

2020年12月のパッチデイは今年最大の規模こそなかったものの、緊急（クリティカル）レベルの修正9件を含む、合計58件のバグ修正がユーザー向けに提供されています。

マイクロソフトの2020年12月パッチデイには何が含まれている？

「パッチデイ」とは、毎月第2火曜日にマイクロソフトをはじめとする大手テック企業が、その月のセキュリティパッチを公開する日を指します。提供されるパッチは、重大な脆弱性から比較的軽微な問題まで幅広くカバーしています。

マイクロソフトの2020年最後のパッチデイには、通年で2番目に少ない数の脆弱性修正が含まれていました。しかし同時に、即座に対処が必要な緊急レベルのセキュリティ脆弱性も9件含まれています。

今回修正されたのは、Windows 10、Microsoft Edge、Microsoft Office、Exchange Server、そして各種Microsoft Azure製品に関する不具合です。

緊急レベルと評価された9件のうち、8件はリモートコード実行（RCE）脆弱性で、Microsoft Dynamics 365、Microsoft Exchange、Microsoft SharePointなどに影響します。残る1件は、Chakraスクリプトエンジンにおける重大なメモリ破損脆弱性への対処です。

リモートコード実行脆弱性に関わるパッチは、できるだけ早く適用することが極めて重要です。リモートコード実行とは、攻撃者が遠隔からコンピューターへアクセスし、変更を加えることを可能にしてしまう脅威だからです。

これらの問題の影響を受けるマイクロソフト製品の多くはエンタープライズ向けであるため、企業ユーザーは速やかな適用が求められます。ただし、執筆時点でこれらの緊急脆弱性が実際に悪用されている兆候は確認されていません。

注目すべきは、ブラウザ関連のセキュリティパッチが驚くほど少ない点です。ゼロデイ脆弱性を調査する組織「Zero Day Initiative」のダスティン・チャイルズ（Dustin Childs）氏は次のように述べています。

残りの緊急レベルの更新を見ると、ブラウザに影響するものは（意外にも）1件だけです。このパッチはJITコンパイラ内のバグを修正するもので、JavaScriptで特定の操作を行うことで攻撃者がメモリ破損状態を引き起こし、コード実行につながる可能性があります。ブラウザ関連の更新が少ないのは、ホリデーシーズンのオンラインショッピングを不良パッチによる混乱から守るための、マイクロソフトの意図的な判断かもしれません。

緊急度が低いセキュリティパッチについては？

マイクロソフトは緊急脆弱性の修正に加えて、「重要（Important）」レベルの修正46件と、「中程度（Moderate）」レベルの修正3件もリリースしています。

重要レベルの修正には、Excel、PowerPoint、Outlookにおけるリモートコード実行脆弱性をはじめとする、複数のMicrosoft Office製品の脆弱性対策が含まれます。そのほか、SharePoint、Microsoft Exchange、Dynamics CRM、Visual Studio Code、Windows Error Reporting、各種Azure製品にも重要なセキュリティパッチが提供されています。

次回のパッチデイはいつ？

12月のパッチデイは例年、他の月よりも規模が小さくなります。毎月大量のセキュリティパッチのインストールを求められるユーザーにとって、ほっとひと息つける時期といえるでしょう。

それでも、お使いのマイクロソフト製品向けのセキュリティパッチが配信されたら、できるだけ早くインストールすることをおすすめします。

マイクロソフトは2020年に1,200件を超えるパッチをリリースしており、2019年の840件から大幅に増加しました。ちなみに、2021年初めてのパッチデイは1月12日に予定されています。