Windows 11でランサムウェア悪用を確認：CVE-2025-60710の完全対策ガイド

Windows 11でランサムウェア悪用を確認：CVE-2025-60710の完全対策ガイド

Windows 11およびWindows Server 2025環境を運用するすべての組織や管理者に対し、致命的なサイバーセキュリティ上の脅威が迫っています。Windowsの中核機能である「Task Host」に存在する権限昇格の脆弱性（CVE-2025-60710）が、現在ランサムウェアグループによって積極的に悪用されている事実が確認されました。この脆弱性は、2025年11月にすでに修正プログラムが提供されている既知の欠陥ですが、パッチ未適用のまま放置されている端末において、攻撃者に端末の完全な支配権（SYSTEM権限）を奪われるリスクをはらんでいます。本記事では、この脅威のメカニズムと影響範囲を分析し、情報システム部門が直ちに実行すべき確認手順と具体的な緩和策を徹底的に解説します。

Windows Task Host脆弱性（CVE-2025-60710）の全容と影響範囲

現在ランサムウェアグループによる悪用が確認されているCVE-2025-60710は、Windowsのシステムコンポーネントである「Task Host」における権限昇格の脆弱性です。この欠陥がなぜ致命的な事態を引き起こすのか、その技術的背景と想定される被害について深掘りします。

Task Hostの役割とリンクフォロー欠陥のメカニズム

Task Hostは、Windowsオペレーティングシステムにおいて、DLL（動的リンクライブラリ）ベースのプロセスをバックグラウンドで実行するための極めて重要なシステムコンポーネントです。特にシステムのシャットダウン時には、稼働中のバックグラウンドプロセスを安全かつ適切に終了させ、データの破損やシステムの不整合を防ぐという中核的な役割を担っています。

今回の脆弱性の根本的な原因は、このTask Hostにおける「不適切なシンボリックリンクおよびジャンクションの処理（リンクフォロー）」に起因しています。シンボリックリンクとは、ファイルやディレクトリへの参照を作成する機能ですが、この処理において適切なアクセス権限の検証が行われない場合、攻撃者は意図しないシステム領域のファイルに対して操作を行うことが可能になります。この欠陥を突くことで、本来であればアクセスできないはずの重要なシステムファイルに対する書き込みや改ざんが成立してしまいます。

SYSTEM権限奪取による実質的な影響

この脆弱性の最大のリスクは、ローカル環境に侵入した攻撃者が「権限昇格」を容易に果たせる点にあります。フィッシングメールなどを経由して、まずは基本的なユーザー権限しか持たない状態で端末に侵入した攻撃者が、このTask Hostの脆弱性を悪用することで、Windowsにおける最高位の権限である「SYSTEM権限」を取得することが可能となります。

SYSTEM権限を奪取された端末は、事実上完全に攻撃者の制御下に置かれます。セキュリティソフトウェア（EDRやアンチウイルス）の無効化、システムの復元ポイントやバックアップデータの破壊、ネットワーク内での横展開（ラテラルムーブメント）、そしてランサムウェアの展開と実行など、組織を壊滅的な状況に追い込むあらゆる悪意ある操作が阻害されることなく実行されることになります。影響を受けるOSはWindows 11およびWindows Server 2025であり、最新の環境を運用している組織こそが警戒を強める必要があります。

脆弱性のタイムラインと情勢分析

本脆弱性は、発見からランサムウェアへの悪用に至るまで、一定の期間を経て段階的に脅威度を増してきました。以下の表に、これまでの経緯と重要な事実を整理します。

項目	詳細情報
脆弱性識別番号	CVE-2025-60710
脆弱性の種別	権限昇格（リンクフォロー処理の不備に起因）
対象コンポーネント	Windows Task Host
影響を受けるOS	Windows 11、Windows Server 2025
Microsoftによるパッチ修正時期	2025年11月（月例パッチにて対応済み）
KEVカタログへの初回追加日	2026年4月13日（実際のサイバー攻撃での悪用を確認）
ランサムウェア悪用の公式追記日	2026年8月14日（金曜日）
連邦機関（FCEB）の当初対応期限	KEV追加から2週間以内
本脆弱性による最大の影響	基本ユーザー権限からSYSTEM権限への昇格、および端末の完全制御

KEVカタログ更新が意味する緊急度と「パッチギャップ」の脅威

米サイバーセキュリティ・インフラセキュリティ庁（CISA）は、実際に悪用が確認された脆弱性を「既知の悪用済み脆弱性（KEV）カタログ」に登録し、厳格な対応を求めています。CVE-2025-60710は、修正パッチが提供された約半年後の2026年4月13日に、実際の悪用が確認されたとして同カタログに初回追加されました。そして今回、2026年8月14日（金曜日）にカタログが再度更新され、「ランサムウェアグループによる悪用」という極めて重大な事実が明記されるに至りました。

このタイムラインから読み取れるのは、修正プログラムの公開からエクスプロイト（攻撃コード）の開発、そしてランサムウェアの攻撃インフラへの組み込みに至るまでの「パッチギャップ（修正プログラムが提供されてから実際に適用されるまでの空白期間）」を、攻撃者が執拗に狙っているという事実です。すでに数ヶ月前に提供されているパッチであっても、組織内の数台の適用漏れが、ランサムウェア被害という致命的な結果を招く引き金となります。

Microsoft製品を狙った悪用は継続的な傾向

CVE-2025-60710への攻撃は、決して特異な単発のインシデントではありません。CISAが公開しているデータと最近の動向を分析すると、Microsoft製品の脆弱性がランサムウェアグループによって計画的かつ継続的に標的とされている傾向が浮き彫りになります。

組織環境の基盤を狙う攻撃者の戦略

CISAが2021年11月以降にKEVカタログへ掲載したMicrosoft製品に関連する悪用済み脆弱性は383件にのぼり、そのうち実に112件がランサムウェア攻撃においても悪用されたことが確認されています。この圧倒的な数値は、企業や政府機関の基盤として広く導入されているMicrosoft製品の脆弱性が、攻撃者にとって最も投資対効果の高い攻撃経路（アタックベクター）であると認識されていることを示しています。

つい1週間前にも、Microsoft SharePointに存在するリモートコード実行の脆弱性（CVE-2026-45659）について、ランサムウェアグループによる悪用が確認されたとの警告が発出されています。この脆弱性も2026年7月上旬に実際の悪用が確認されてKEVに追加されたものであり、CVE-2025-60710と同様の軌跡をたどっています。攻撃者はゼロデイ脆弱性を発見するだけでなく、一度パッチが提供され公知となった「Nデイ脆弱性」を武器化し、パッチ管理が不十分な組織を数ヶ月から数年越しで狙い撃ちにする手法を確立しているのです。

情報システム部門が即座に実行すべき具体的な行動手順

Windows 11およびWindows Server 2025を運用する組織の情報システム部門は、本脆弱性による被害を未然に防ぐため、以下の手順に従って即座に確認と対策を実行する必要があります。

• ステップ1：2025年11月月例パッチの適用状況の網羅的監査 WSUS（Windows Server Update Services）や各種MDM、エンドポイント管理ツールを用いて、組織内のすべてのWindows 11およびWindows Server 2025端末に対して、2025年11月に配信された月例パッチが正常に適用されているかを監査してください。適用エラーやオフライン状態によってパッチが適用されていない「孤立した端末」の特定を最優先で行います。

• ステップ2：未適用端末への緊急パッチ展開とネットワーク隔離 パッチ未適用の端末が発見された場合、即座にネットワークから論理的に隔離し、手動または管理ツール経由でパッチを適用してください。すでにランサムウェアグループに悪用されている事実を重く受け止め、通常のパッチ適用サイクルを待つのではなく、緊急メンテナンスとしての対応が求められます。

• ステップ3：クラウドサービスにおけるBOD 22-01への準拠確認 CISAが推奨している通り、クラウドサービス環境を運用している事業体は、拘束力のある運用指令（BOD）22-01のガイダンスに準拠したセキュリティ管理体制が構築されているかを確認してください。クラウド環境とオンプレミス環境の境界におけるアクセス制御と脆弱性管理の徹底が必要です。

• ステップ4：パッチ適用が不可能な場合の製品利用中止措置 特定の業務アプリケーションとの互換性問題などにより、該当するパッチの適用やベンダーの指示に従った緩和策の実施がどうしても不可能なシステムが存在する場合、CISAの警告に従い、対象製品・システムの利用を速やかに中止してください。SYSTEM権限を奪取されるリスクは、一時的な業務停止のリスクをはるかに上回ります。

対策実行において想定されるトラブルと解決策

脆弱性対応を迅速に進める中で、情報システム部門はいくつかの運用上の壁に直面する可能性があります。ここでは、想定されるトラブルとその現実的な解決策を提示します。

パッチ適用に伴うシステムの動作不良とダウンタイム調整

2025年11月のパッチを長期間適用していなかったシステムに対して、突如として累積的なアップデートを適用した場合、既存の業務アプリケーションが予期せぬ動作不良を起こすトラブルが想定されます。特にWindows Server 2025環境では、Task Hostの挙動変更がバックグラウンド処理に影響を与える懸念があります。このトラブルを防ぐためには、本番環境への一斉展開を避け、ステージング環境または一部の部門端末で先行テストを行うフェーズドロールアウト（段階的展開）を採用してください。ただし、本脆弱性はすでにランサムウェアに悪用されているため、テスト期間は数時間から遅くとも数日以内に圧縮し、経営層に対してセキュリティリスクとダウンタイムのトレードオフを明確に説明し承認を得るプロセスが不可欠です。

シャドーITと管理外デバイスの検出漏れ

管理ツールのインベントリに登録されていない「シャドーIT」や、一時的にネットワークに接続される外部デバイスが、パッチ未適用のまま放置されるトラブルも多発します。これらは攻撃者にとって絶好の侵入口となります。対策として、Active Directoryのログ分析やネットワークトラフィックの監視ツール（NDR）を活用し、未承認のWindows 11/Server 2025デバイスがネットワーク内に存在しないかを継続的にスキャンする仕組みを導入してください。

FAQ：CVE-2025-60710に関するよくある質問

本脆弱性に対する理解を深め、組織内での迅速な意思決定を支援するため、想定される重要な疑問について回答します。

攻撃の具体的な手口や手順は公開されていますか？

本記事執筆時点において、CISAおよびMicrosoftの双方から、ランサムウェアグループが具体的にどのようなエクスプロイトコードを使用し、どのような手順で攻撃を行っているのかという技術的詳細は公表されていません。Microsoftのセキュリティアドバイザリも、実際の悪用を確認した旨の更新は行われていない状況です。しかし、CISAがKEVカタログにおいてランサムウェアによる悪用を明記したという事実は、すでに被害事例が水面下で発生していることを強く示唆しており、詳細の公表を待たずして直ちに対策を講じる必要があります。

Windows 10など、他のOSバージョンへの影響はありますか？

現在確認されている情報およびベンダーの報告に基づくと、本脆弱性（CVE-2025-60710）の影響を受けるのはWindows 11およびWindows Server 2025に限定されています。しかし、ネットワーク内でこれらのOSが他のバージョンと混在して稼働している場合、影響を受ける端末を踏み台にして、最終的にシステム全体がランサムウェアの被害に遭う可能性は十分にあります。対象OSが組織内に1台でも存在する場合は、組織全体の危機として対応することが求められます。

すでに数ヶ月前のパッチですが、なぜ今になってランサムウェアの悪用が警告されたのですか？

サイバー攻撃者は、パッチが公開された直後にその修正内容をリバースエンジニアリングして脆弱性の仕組みを特定し、攻撃コードを開発します。その後、初期アクセスブローカー（IAB）と呼ばれる侵入専門の犯罪グループと連携し、ターゲットとなる企業ネットワークへの侵入経路を確保した上で、最終的なペイロードとしてランサムウェアを展開します。この一連のエコシステムが機能するまでに数ヶ月のタイムラグが生じることが一般的であり、今回のような「パッチ公開から半年以上経過してからの本格的な悪用警告」は、現代のサイバー脅威情勢においては典型的なパターンと言えます。組織は「古い脆弱性だから安全である」という認識を改める必要があります。