Trusted Design

解説:

CVE-2025-60710について、以下の観点で解説します。

1. 脆弱性の概要

CVE-2025-60710は、Microsoft WindowsのHost Process for Windows Tasks (taskhostw.exe) コンポーネントにおけるローカル特権昇格の脆弱性です。この脆弱性は、「不適切なリンク解決によるファイルアクセス」（link following、CWE-59）として分類されます。

1.1 影響

認証されたローカル攻撃者が、特権のあるホストプロセスによって実行されるファイル操作をリダイレクトするために、シンボリックリンクやジャンクションを悪用できます。これにより、攻撃者はSYSTEMレベルの特権を獲得し、影響を受けるホストを完全に制御する可能性があります。この脆弱性の悪用は、データ侵害や運用の中断のリスクをもたらします。

1.2 深刻度

CVSS v3.1ベーススコアは7.8で、「高」の深刻度と評価されています。さらに、この脆弱性はCISAのKnown Exploited Vulnerabilities (KEV) カタログに追加されており、ランサムウェアグループを含む実環境での活発な悪用が確認されています。EPSSスコアは4.601%（90パーセンタイル）で、近い将来に悪用される可能性が高いことを示しています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

以下のMicrosoft Windowsバージョンが影響を受けます。 * Microsoft Windows 11 Version 24H2 * Microsoft Windows 11 Version 25H2 * Microsoft Windows Server 2025 * Microsoft Windows Server 2025 (Server Coreインストールを含む)

2.2 影響を受ける設定

• 2025年11月のパッチ（KB5044284以降）が適用されていないシステム。
• 特に共有環境で、標準ユーザーアカウントがローカルログオンを許可しているエンドポイント。

3. 影響を受けた時の兆候

以下のような兆候が影響の可能性を示唆します。 * taskhostw.exe、svchost.exe、またはスケジュールされたタスクの作業ディレクトリによってアクセスされるディレクトリ内に、非管理者ユーザーがNTFSジャンクション、シンボリックリンク、またはハードリンクを作成する。 * taskhostw.exeによって、C:\Windows\System32、C:\Windows\Tasks、またはサービスDLLディレクトリなどの機密パスに予期しないファイル書き込みが行われる。 * 特権昇格アクティビティの直前に、\Microsoft\Windows\の下で新規または変更されたスケジュールされたタスク。 * taskhostw.exeの子プロセスが、ユーザー書き込み可能なディレクトリからSYSTEMとして実行されるプロセス・トークン昇格イベント。

4. 推奨対策

4.1 本対策

• Microsoftセキュリティ更新プログラムの適用: 2025年11月にMicrosoftからリリースされたセキュリティ更新プログラム（例: KB5044284以降）を、影響を受けるすべてのWindows 11およびWindows Server 2025システムに適用してください。
• パッチ適用の優先順位付け: CISA KEVカタログに掲載されており、実環境での悪用が確認されているため、パッチ適用を最優先で実施してください。

4.2 暫定回避策（緩和策）

• パッチ適用前に、スケジュールされたタスクが使用するディレクトリ内の疑わしい再解析ポイント（reparse points）を監査してください。
• Windows Server 2025上のローカルログオン権限を制限し、不要なインタラクティブアカウントを削除してください。
• 一時的な緩和策として、以下の手順を含むスクリプトを利用できます。ただし、これらは公式パッチを代替するものではありません。
  • 脆弱なWindows AI Recall PolicyConfigurationタスクを\Microsoft\Windows\WindowsAI\Recall\で無効にする。
  • ターゲットパス%LOCALAPPDATA%\CoreAIPlatform.00\UKPへの書き込みおよびディレクトリ作成権限を制限する。
  • 疑わしいGUID名の再解析ポイント（ジャンクションまたはシンボリックリンク）ディレクトリを特定して削除する。

5. 他に解説すべき観点

• CISA Known Exploited Vulnerabilities (KEV) カタログへの追加: CVE-2025-60710は、CISAのKEVカタログに2026年4月14日に追加されました。これは、この脆弱性が実際の標的に対して積極的に悪用されているという信頼できる証拠があることを意味します。米国連邦政府機関は、2026年4月27日までにこの脆弱性を修正することが義務付けられています。
• ランサムウェアでの利用: CISAは、この脆弱性がランサムウェア攻撃で利用されたことを記録しており、その優先度を著しく高めています。
• 発見タイムライン:
  • CVE ID予約: 2025年9月26日
  • Microsoftによる公開とセキュリティ更新プログラムのリリース: 2025年11月10日～11日
  • CISA KEVへの追加: 2026年4月14日
  • NVDにおける最終更新: 2026年6月17日

参照サイト

• CVE-2025-60710: Windows 11 24H2 Privilege Escalation Flaw - SentinelOne
• CVE-2025-60710 - Vulnerability Details - OpenCVE
• CISA: Windows Task Host flaw now exploited by ransomware gangs - Bleeping Computer
• CVE-2025-60710: Windows Task Host Link Following Bug - What It Means for Your Business and How to Respond - IntegSec
• CVE-2025-60710: Improper Link Resolution Before File Access | Rapid7 Vulnerability Database
• CVE-2025-60710 Exploited in the Wild - KEVIntel
• CVE-2025-60710: Microsoft Windows Link Following Vulnerability - Safeguard
• CVE-2025-60710 Mitigation Script - EoP Vulnerability in Host Process for Windows Tasks
• CVE-2025-60710 - CVE Record
• CVE-2025-60710 — exploited in the wild (CISA KEV): remediation & advisories | VulnTrek