毎月恒例！2021年10月セキュリティ更新プログラムを解説 ManageEngine ブログ

Reading Time: 1 minutes

こんにちは。ManageEngineコンテンツ担当の園部です。

10月はハロウィーンの季節。吸血鬼や魔法使いなどの架空の存在が多く登場するイベントですが、IT管理者にとっての悪夢である脆弱性やセキュリティ攻撃は残念ながら空想ではありません。

今月もやってきた2021年10月度のMicrosoftセキュリティ更新プログラムの概要を解説いたします。

月例のセキュリティ更新プログラムとは？

Microsoft社が毎月第2火曜（日本時間で水曜日の場合もあります）に公開する、OSやその他の関連アプリケーションのセキュリティアップデートやその他アップデートのことを指します。

世界的には「パッチチューズデー（Patch Tuesday）」と呼ばれることもあります。

2021年10月度のMicrosoftセキュリティ更新プログラムの概要

Microsoft社は今月、81件の脆弱性に対する修正を行いました。
そのうち3件が「緊急」、70件が「重要」に分類されています。

今月リリースされたセキュリティアップデートは以下の通りです。

.NET Core & Visual Studio
Active Directory Federation Services
Microsoft Edge (Chromium-based)
Microsoft Exchange Server
Microsoft Graphics Component
Microsoft Intune
Microsoft Office Word
Microsoft Windows Codecs Library
System Center
Visual Studio
Windows Kernel
Windows Win32K
Role: Windows Hyper-V

10月に修正されたゼロデイ脆弱性

10月の月例パッチでは4つのゼロデイ脆弱性が修正されていますが、そのうちの1つの脆弱性は残念ながら既に悪用されているとの報告があります。
今月リリースされたゼロデイ脆弱性の修正は以下の通りです。

CVE識別番号	概要	備考
CVE-2021-40449	Win32k 特権昇格の脆弱性	※悪用の報告あり
CVE-2021-40469	Windows DNSサーバーリモートコード実行の脆弱性	–
CVE-2021-41335	Windowsカーネル特権昇格の脆弱性	–
CVE-2021-41338	Windows AppContainerファイアウォールルールセキュリティ機能バイパスの脆弱性	–

影響度が緊急の脆弱性とパッチ

今月リリースされた重要度が「緊急」の脆弱性の概要と対応するパッチは以下の通りです。

CVE識別番号	KB番号	影響を受けるコンポーネント	概要
CVE-2021-40486	5001924,5001960 5002004,5002006 5002027,5002028 5002029,5002036	Microsoft Office Word	リモートコード実行の脆弱性
CVE-2021-40461	5006667,5006670 5006672,5006674 5006699	Role: Windows Hyper-V	リモートコード実行の脆弱性
CVE-2021-38672	5006674,5006699	Role: Windows Hyper-V	リモートコード実行の脆弱性

サードパーティのアップデート

Adobe、Cisco、SAP、Apple、Apache、VMware、Androidなどのサードパーティベンダーが、2021年9月度の月例パッチのリリース後に重要なアップデートを実施しています。

Windows以外のOSの脆弱性管理はどうする？

当ブログシリーズでは、毎月Microsoftがリリースする月例パッチについてお届けしています。

しかしながら、日本におけるWindows OSのシェア率は年々低下していることはご存じですか？
6年前まで85％以上のシェアだったWindowsは2021年時点では67％程度に下がり、その他のOSのシェアが増加しています。

同時に、Windows以外のOSでも気になる脆弱性の話題が日々世を賑わせています。
先月の2021年9月には、AppleがmacOS・iOS・iPad OS・watchOSの重大な脆弱性を修正するためのOSアップデートを配信しています。この脆弱性は、悪意を持って作成されたWebコンテンツやPDFを処理すると、任意のコードが実行される可能性があるというもので、残念ながら既に悪用されている可能性があるとのことです。

Appleはその後もiOSとiPadOSの新しいバージョンである「iOS 15」「iPadOS 15」をリリースしましたが、その新バージョンにも脆弱性が発見されたとして、短い期間に立て続けに15.0.1、15.0.2とアップデートを配信しています。

Microsoft製品のアップデートはMicrosoft提供のWSUSのみの使用で管理可能ですが、昨今のOSシェアや脆弱性の状況を鑑みると、もはやそれだけでは不十分であると言えます。

ManageEngineが提供する「Desktop Central」および「Patch Manager Plus」は、Windowsのほか、MacやLinux、そして350種類を超えるアプリケーション（21年7月時点）のアップデートの管理に対応しています。
また、「Desktop Central」および「Patch Manager Plus」は管理形態に合わせてオンプレミス版とクラウド版からご選択いただけます。テレワークのクライアントPCも手軽に管理したい場合にも、サーバー構築が不要なクラウド版を選択することで対応します。
クライアントPCのアップデート管理ツールをお探しの方は、是非ManageEngineのパッチ管理製品をご検討ください。