史上最多157件の修正とHyper‑Vゼロデイ3件——Microsoft 2025年1月パッチ火曜日の現場インパクト

今日の深掘りポイント

• 157件のCVEを修正し、うち3件のWindows Hyper‑V NT Kernel Integration VSPの権限昇格（EoP）脆弱性がゼロデイ悪用済みです。EoPは初期侵入後の支配権獲得に直結するため、実運用の優先度は高いです。
• エンドポイントのOffice（特にAccess）経由のファイル型RCEと、EoPゼロデイの組み合わせが侵入チェーンを短縮します。標的型フィッシングから数クリックでEDR停止・横展開に至る現実的なリスクが見えます。
• 仮想化ホスト（Hyper‑V役割）と管理系踏み台は、年末年始の運用凍結方針にかかわらず例外対応の対象です。クラスタのローリング適用と事前リスク承認をセットで進めるべきです。
• パッチ適用と同時に、Accessを含むOfficeのASR（Office子プロセスブロック）やMDEハンティング（MSACCESS.exeからの LOLBIN 呼び出し検出）など、代替・補完統制を重ねて即効性を確保します。

はじめに

Microsoftが2025年1月のパッチ火曜日で、過去最大となる157件のCVEを修正しています。このうち10件がクリティカル、147件が重要に分類され、特にCVE‑2025‑21333、CVE‑2025‑21334、CVE‑2025‑21335の3件はWindows Hyper‑V NT Kernel Integration VSPにおけるEoPで、すでに悪用確認済みのゼロデイです。これらは認証済みローカル攻撃者がSYSTEM権限に昇格しうるため、初期侵入後の加速剤として実用的です。また、Microsoft Access関連のRCEも複数含まれ、ファイル経由のユーザー起点攻撃とEoPの連携で、侵入から横展開までの時間が圧縮されるのが今回の本質だと言えます。

本稿では、数字の大きさに目を奪われがちな月例更新を、攻撃連鎖の実務リスクと運用上の優先制御に引き直し、CISO・SOC・TIが意思決定しやすい観点で整理します。

参考情報の一次情報と公開記事は末尾に示します。

深掘り詳細

事実関係（一次情報と公開記事が示すポイント）

• Microsoftは2025年1月の月例更新で157件のCVEを修正。3件（CVE‑2025‑21333/21334/21335）が悪用確認済みゼロデイで、いずれもWindows Hyper‑V NT Kernel Integration VSPに関するEoPです。Microsoftはゼロデイであることを公表しています。
  • CVE‑2025‑21333（EoP, Hyper‑V NT Kernel Integration VSP）MSRCページ
  • CVE‑2025‑21334（EoP, 同上）MSRCページ
  • CVE‑2025‑21335（EoP, 同上）MSRCページ
• Microsoft Accessに関連するRCEが複数含まれ、細工ファイルを開かせることで任意コード実行が可能となるシナリオが示唆されています（例：CVE‑2025‑21186, ‑21366, ‑21395）。
  • CVE‑2025‑21186 MSRCページ
  • CVE‑2025‑21366 MSRCページ
  • CVE‑2025‑21395 MSRCページ
• 概要を伝える公開記事は、今回の件を過去最大規模の月例更新と位置付け、EoPゼロデイ3件の悪用確認を明記しています。Security Boulevardの解説

注：本稿で引用するCVEページはMSRCの公式脆弱性ページです。運用の詳細や影響範囲は、MSRCの月例リリースノートと各CVEページで最終確認することを推奨します（MSRC Security Update Guide）。

編集部のインサイト（攻撃連鎖と優先度設計をどう変えるか）

• 数の多さより「組み合わせ」を見るべきです。ファイル起点のRCE（Access）でユーザー権限のコード実行を確保し、即座にEoPゼロデイでSYSTEMを奪取する流れは、金銭目的・情報搾取系の双方にとって効率が良いです。EDR停止や資格情報ダンピングが短時間で成立するため、横展開のスピードが上がります。
• Hyper‑V VSPのEoPは「仮想化ホスト上のローカル権限からの昇格」という性質を持つとされます。仮にゲスト→ホストの脱出脆弱性ではないとしても、管理用ジャンプホストや運用アカウントを経由した「ホストへの低権限到達」からの権限奪取を加速させます。仮想化基盤は業務とインフラの集積点であるため、ホスト支配は「多くのVMの一括影響」に直結し、業務継続上のリスクが不連続に増します。
• 現場の優先度は、①アクセス系のRCEが露口、②EoPゼロデイが増幅器、③Hyper‑Vホストは事業継続の要という三層構造で整理すると意思決定しやすいです。年末年始の凍結中であっても、例外承認でHyper‑Vホストと管理踏み台は早期適用を検討すべきです。
• メトリクスの示す含意は、緊急性と実務対応性が高い一方で、ポジティブ要素は限定的ということです。すなわち「今すぐできる具体策が多いが、未適用の放置コストが加速度的に高い」タイプのイベントです。計画的ロールアウトと同時にASR・EDR強化の即効薬を重ねる二段構えが合理的です。

脅威シナリオと影響

以下はMITRE ATT&CKに沿った仮説シナリオです。個別環境の露出状況により変動するため、あくまで防御計画の叩き台として参照ください。

• シナリオA：Accessファイルを入口にした典型的侵入チェーン

  • Initial Access: フィッシングでAccessファイル（.accdb/.mdb）を配布（T1566）
  • Execution: ユーザーが開封し、VBAや悪性オブジェクトでコード実行（T1204.002, T1059）
  • Persistence: レジストリRunキーやタスク登録（T1547, T1053）
  • Privilege Escalation: 未パッチ端末でEoPゼロデイを悪用（T1068）
  • Defense Evasion: EDR/AV停止、サードパーティドライバ悪用（T1562）
  • Credential Access: LSASSダンプやブラウザ資格情報窃取（T1003, T1555）
  • Lateral Movement: RDP/SMB/WinRMで横展開（T1021）
  • Command and Control: HTTPS/Tunnel（T1071）
  • Impact: ランサム（暗号化）やバックアップ無効化（T1486, T1490）

• シナリオB：管理系踏み台から仮想化ホスト支配

  • Initial Access: 管理者のクラウドアカウント盗用やVPN経由の正規資格情報利用（T1078）
  • Discovery: 仮想化管理ネットワークの探索（T1046）
  • Execution: 低権限で仮想化ホストへ到達（T1059）
  • Privilege Escalation: Hyper‑V VSPのEoPを悪用しSYSTEM化（T1068）
  • Lateral Movement/Impact: 管理共有やHyper‑V管理IFから複数VMに影響拡大、スナップショット破壊（T1021, T1490）
  • 事業影響: VM群の停止・暗号化により、広範な業務停止に直結。復旧難度・時間の悪化が顕著です。

• シナリオC：脅威インテリジェンス視点

  • 金銭目的グループは「ユーザー起点RCE＋EoP」の短時間支配を評価しやすく、タイムトゥインパクトが短いキャンペーンに組み込みやすいです。国家系は仮想化ホスト経由の持続的プレゼンス確保に使う蓋然性があります。

影響評価の要点

• エンドポイント側は、ユーザー行動起点の露出が高く、RCEとEoPの連携で横展開が加速します。
• 仮想化ホスト側は、単体侵害で多VMへ波及するため、単位時間当たりの被害スケールが大きいです。
• 両面を抑える優先順位付け（Accessを含むOffice面の封じ込め＋仮想化ホストの早期適用）が鍵です。

セキュリティ担当者のアクション

優先順位の指針（環境差を前提に調整してください）

1. 例外承認で先行適用する資産
   • Hyper‑V役割を持つWindows Server（スタンドアロン、HCI/クラスタを含む）
   • 管理系踏み台（ジャンプホスト、管理者VDI）、ドメイン管理ツール実行端末
2. 同時並行で抑える露口
   • Office/Accessが導入されたユーザー端末（特にメール添付・クラウド共有リンクを多用する部門）
3. 次順位
   • 残余のWindowsクライアント・サーバ、業務影響の大きいアプリサーバ

具体タスク

• パッチ適用計画

  • Hyper‑Vクラスタはライブマイグレーション前提のローリング適用計画を用意し、想定外停止のバジェットを確保します。
  • エンドポイントはリング配信（IT/セキュリティ先行→高リスク部門→全社）で48–72時間内のカバレッジ最大化を目指します。
  • 変更凍結期間中の例外申請テンプレート（ビジネス影響・回避策・リカバリ手順）を即日整備します。

• 代替・補完統制（即効性）

  • Attack Surface Reduction（ASR）ポリシーの適用強化
    • 「Officeアプリからの子プロセス生成をブロック」「OfficeからのWin32 APIコール制限」を優先有効化します（段階的監査→強制に移行）。
  • Officeの信頼できないマクロ実行ブロック、MOTW（Mark‑of‑the‑Web）の尊重を徹底します。
  • Accessの利用最小化：不要部署からのアンインストール、Click‑to‑Run配布からAccess除外を検討します。

• ハンティングと検知（Microsoft Defender for Endpointの例）

  • Access発端の不審な子プロセスを洗い出し
    • 例示KQL:
      • DeviceProcessEvents | where InitiatingProcessFileName =~ "MSACCESS.EXE" | where FileName in~ ("cmd.exe","powershell.exe","wscript.exe","cscript.exe","rundll32.exe","mshta.exe","regsvr32.exe") | summarize count(), dcount(DeviceId) by FileName, InitiatingProcessCommandLine, bin(Timestamp, 1d)
  • 権限昇格に続く防御回避の兆候を監視
    • 新規サービス作成・ドライバ投入（Sysmon EventID 6/7、Windows Event 7045）、EDR停止試行、LSASSアクセス（TTP相関）を高感度にします。
  • Hyper‑Vホストの健全性監視
    • 管理ネットワークからの異常ログオンや不審なプロセス生成、VM管理操作の異常増加（スナップショット削除、構成変更）をアラート化します。

• 露出資産の棚卸し

  • Hyper‑V役割の有無を構成管理DB/Intune/Defenderの資産属性で即時抽出します。
  • Office/Access導入端点の列挙（ソフトウェアインベントリ）と高リスク部門の対応優先付けを行います。

• ロールバックと既知不具合への備え

  • パッチ適用前のスナップショット/バックアップ、適用後の健全性チェックリスト（EDR稼働、業務アプリ疎通）を標準化します。
  • 既知の既知不具合（Known Issues）はMSRC/KBで適用前に確認し、影響回避策と連絡経路を定義します。

• 社内コミュニケーション

  • 「Accessファイルの不審開封禁止」「メール／共有リンクの取り扱い強化」を短文化し、全社告知します。ヘルプデスクには想定問合せと回答を準備します。

最後に、本件のメトリクスが示すのは「すぐ動ける対策が多く、かつ遅延コストが急増する」イベントだということです。パッチ適用と同時にASR・ハンティング・最小化の三点セットを回し、年末年始の攻撃活発期を乗り切るのが現実解です。

参考情報

• Microsoft Security Update Guide（月例更新の公式ポータル）: https://msrc.microsoft.com/update-guide
• MSRC 脆弱性ページ（ゼロデイ3件）
  • CVE‑2025‑21333: https://msrc.microsoft.com/update-guide/vulnerability/CVE-2025-21333
  • CVE‑2025‑21334: https://msrc.microsoft.com/update-guide/vulnerability/CVE-2025-21334
  • CVE‑2025‑21335: https://msrc.microsoft.com/update-guide/vulnerability/CVE-2025-21335
• MSRC 脆弱性ページ（Access関連RCEの例）
  • CVE‑2025‑21186: https://msrc.microsoft.com/update-guide/vulnerability/CVE-2025-21186
  • CVE‑2025‑21366: https://msrc.microsoft.com/update-guide/vulnerability/CVE-2025-21366
  • CVE‑2025‑21395: https://msrc.microsoft.com/update-guide/vulnerability/CVE-2025-21395
• 公開記事（全体像の整理）: https://securityboulevard.com/2025/12/microsofts-january-2025-patch-tuesday-addresses-157-cves-cve-2025-21333-cve-2025-21334-cve-2025-21335-2/