マイクロソフトは、2022年4月12日（日本時間）、2022年4月のセキュリティ更新プログラム（月例パッチ）を公開した。該当するソフトウェアは以下の通り。

  • .NET Framework
  • Active Directory Domain Services
  • Azure SDK
  • Azure Site Recovery
  • LDAP - ライトウェイトディレクトリアクセスプロトコル
  • Microsoft Bluetoothドライバー
  • Microsoft Dynamics
  • Microsoft Edge（Chromiumベース）
  • Microsoft Graphicsコンポーネント
  • Microsoft Local Security Authority Server（lsasrv）
  • Microsoft Office Excel
  • Microsoft Office SharePoint
  • Microsoft Windows ALPC
  • Microsoft Windows Codecs Library
  • Microsoft Windows Media Foundation
  • Power BI
  • ロール：DNSサーバー
  • ロール：Windows Hyper-V
  • Skype for Business
  • Visual Studio
  • Visual Studio Code
  • Windows Ancillary Function Driver for WinSock
  • Windows App Store
  • Windows AppXパッケージマネージャー
  • Windows Cluster Client Failover
  • Windowsクラスター共有ボリューム（CSV）
  • Windows共通ログファイルシステムドライバー
  • Windows Defender
  • Microsoft DWM Coreライブラリ
  • Windows Endpoint Configuration Manager
  • Windows Fax Compose Form
  • Windows Feedback Hub
  • Windowsエクスプローラー
  • Windows File Server
  • Windowsインストーラー
  • Windows iSCSI Target Service
  • Windows Kerberos
  • Windowsカーネル
  • Windows Local Security Authority Subsystem Service
  • Windows Media
  • Windowsネットワークファイルシステム
  • Windows PowerShell
  • Windows印刷スプーラーコンポーネント
  • Windows RDP
  • Windowsリモートプロシージャコールランタイム
  • Windows schannel
  • Windows SMB
  • Windows Telephony Server
  • Windows Upgrade Assistant
  • Windows User Profile Service
  • Windows Win32K
  • Windows Work Folder Service
  • YARP reverse proxy
  • Microsoft、2022年4月の月例更新 - ゼロディ脆弱性などを解消

    図 2022年4月のセキュリティ更新プログラム（月例パッチ）が公開された

マイクロソフトでは、セキュリティ更新プログラム、セキュリティアドバイザリに関する注意点として、以下をあげる。

  • CVE-2022-24521 Windows Common Log File System Driverにおける特権昇格の脆弱性は、すでに、脆弱性の悪用が行われていることを確認している。なお、この脆弱性詳細の一般への公開は、セキュリティ更新プログラムの公開時点では確認されていない。ユーザーにおいては、早急に、更新プログラムの適用を行ってほしい。詳細は、CVE-2022-24521を参照してほしい。
  • 今月のセキュリティ更新プログラムで修正した脆弱性のうち、CVE-2022-26904（Windows User Profile Service）は、セキュリティ更新プログラムの公開よりも前に、脆弱性の情報が一般に公開されていたことを確認している。なお、この脆弱性の悪用は、セキュリティ更新プログラムの公開時点では確認されていない。
  • 今月のセキュリティ更新プログラムで修正した脆弱性のうち、CVE-2022-24491（Microsoftネットワークファイルシステム）、CVE-2022-24497（Microsoftネットワークファイルシステム）およびCVE-2022-26809（リモートプロシージャコールランタイム）は、CVSS基本値が9.8と高いスコアで、認証やユーザーの操作なしで悪用が可能な脆弱性である。これらの脆弱性が存在する製品、および悪用が可能となる条件については、各CVEのページの「よく寄せられる質問」を参照してほしい。セキュリティ更新プログラムが公開されるよりも前に、脆弱性の情報の一般への公開、脆弱性の悪用はないが、脆弱性の特性を鑑み、企業組織では早急なリスク評価とセキュリティ更新プログラムの適用を推奨している。
  • 2022年4月のセキュリティ更新プログラムを展開する際のガイダンスは、2022年4月のセキュリティ更新プログラムの展開に関するサポート技術情報も併せて参照してほしい。
  • セキュリティ更新プログラムにおける既知の問題は、各セキュリティ更新プログラムのサポート技術情報を参照してほしい。既知の問題が確認されている各セキュリティ更新プログラムのサポート技術情報一覧は、2022年4月セキュリティ更新プログラムリリースノートに掲載されている。

新たに確認した脆弱性に対応した新しいセキュリティ更新プログラムは、以下の通り。

Windows 11

緊急（リモートでコードが実行される）

  • KB5012592

Windows 11の更新プログラムであるKB5012592。

（累積更新プログラム）の構成内容であるが、

  • Windowsオペレーティングシステムのセキュリティ更新

となっている。このセキュリティ更新プログラムでは、以下の問題にも対応が行われた。

  • この更新プログラムには、内部 OS 機能に対するその他のセキュリティ強化が含まれている。このリリースについて追加の問題は記録されていない。

Windows 10 v21H2、v21H1、v20H2、v1909

緊急（リモートでコードが実行される）

  • Windows 10 21H2、21H1、20H2：KB5012653
  • Windows 10 1909：KB5012591

Windows Server 2022（Server Core installationを含む）

緊急（リモートでコードが実行される）

  • KB5012604

Windows Server 2019、2016、v20 H2（Server Core installationを含む）

緊急（リモートでコードが実行される）

  • Windows Server 2019：KB5012647
  • Windows Server 2016：KB5012596

Windows 8.1、Windows Server 2012 R2、Windows Server 2012（Server Core installationを含む）

緊急（リモートでコードが実行される）

  • Windows 8.1、Windows Server 2012 R2マンスリーロールアップ：KB5012670
  • Windows 8.1、Windows Server 2012 R2セキュリティのみ：KB5012639
  • Windows Server 2012マンスリーロールアップ：KB5012650
  • Windows Server 2012セキュリティのみ：KB5012666

Microsoft Office

重要（リモートでコードが実行される）

セキュリティ更新プログラムの詳細については、セキュリティ更新プログラムガイドおよび、こちらのドキュメントを参考にしてほしい。

Microsoft SharePoint

重要（リモートでコードが実行される）

セキュリティ更新プログラムの詳細については、セキュリティ更新プログラムガイドおよび、こちらのドキュメントを参考にしてほしい。

Microsoft Skype for Business Server and Lync Server

重要（情報漏えい）

セキュリティ更新プログラムの詳細については、セキュリティ更新プログラムガイドおよび、こちらのドキュメントを参考にしてほしい。

Microsoft .NET

重要（サービス拒否）

セキュリティ更新プログラムの詳細については、セキュリティ更新プログラムガイドおよび、こちらのドキュメントを参考にしてほしい。

Microsoft Visual Studio

重要（特権の昇格）

セキュリティ更新プログラムの詳細については、セキュリティ更新プログラムガイドおよび、こちらのドキュメントを参考にしてほしい。

Microsoft Dynamics 365

緊急（リモートでコードが実行される）

  • Microsoft Dynamics 365 (on-premises) version 9.1：KB5012731
  • Microsoft Dynamics 365 (on-premises) version 9.0：KB5012732

Microsoft Defender for Endpoint

重要（なりすまし）

セキュリティ更新プログラムの詳細については、セキュリティ更新プログラムガイドを参考にしてほしい。

Microsoft Malware Protection Engine

重要（サービス拒否）

セキュリティ更新プログラムの詳細については、セキュリティ更新プログラムガイドを参考にしてほしい。

Microsoft Azure Site Recovery（VMwareからAzureへのディザスターリカバリー）

重要（リモートでコードが実行される）

セキュリティ更新プログラムの詳細については、セキュリティ更新プログラムガイドおよび、Azure Site Recovery - KB5012960の更新プログラムのロールアップ61を参考にしてほしい。

Microsoft Azure SDK for .NET

重要（情報漏えい）

セキュリティ更新プログラムの詳細については、セキュリティ更新プログラムガイドおよび、こちらのドキュメントを確認してほしい。

Microsoft On-Premises Data Gateway

重要（なりすまし）

セキュリティ更新プログラムの詳細については、セキュリティ更新プログラムガイドおよび、こちらのドキュメント参考にしてほしい。