マイクロソフトは、2022年9月13日（米国時間）、2022年9月のセキュリティ更新プログラム（月例パッチ）を公開した。該当するソフトウェアは以下の通り。

  • .NETとVisual Studio
  • .NET Framework
  • Azure Arc
  • Cache Speculation
  • HTTP.sys
  • Microsoft Dynamics
  • Microsoft Edge（Chromiumベース）
  • Microsoft Graphicsコンポーネント
  • Microsoft Office
  • Microsoft Office SharePoint
  • Microsoft Office Visio
  • Microsoft Windows ALPC
  • Microsoft Windows Codecs Library
  • ネットワークデバイス登録サービス（NDES）
  • ロール：DNSサーバー
  • ロール：Windows Faxサービス
  • SPNEGO Extended Negotiation
  • Visual Studio Code
  • Windows共通ログファイルシステムドライバー
  • Windows Credential Roamingサービス
  • Windows Defender
  • Windows分散ファイルシステム（DFS）
  • Windows DPAPI（データ保護アプリケーションプログラミングインターフェイス）
  • Windows Enterprise App Management
  • Windowsイベントトレーシング
  • Windowsグループポリシー
  • Windows IKE拡張
  • Windows Kerberos
  • Windowsカーネル
  • Windows LDAP - ライトウェイトディレクトリアクセスプロトコル
  • Windows ODBCドライバー
  • Windows OLE
  • WindowsフォトインポートAPI
  • Windows印刷スプーラーコンポーネント
  • Windows Remote Access Connection Manager
  • Windowsリモートプロシージャコール
  • Windows TCP/IP
  • Windowsトランスポート層セキュリティ（TLS）

図1 2022年9月のセキュリティ更新プログラム（月例パッチ）が公開された

マイクロソフトでは、セキュリティ更新プログラム、セキュリティアドバイザリに関する注意点として、以下をあげる。

  • 2022年9月のセキュリティ更新プログラムで修正した脆弱性のうち、CVE-2022-37969 Windows共通ログファイルシステムドライバーの特権の昇格の脆弱性は、すでに脆弱性の悪用が行われていることを確認している。また、この脆弱性は、セキュリティ更新プログラムの公開よりも前に、脆弱性の情報が一般に公開されていたことを確認している。ユーザーにおいては、早急に、影響を受ける製品に対して更新プログラムを適用してほしい。詳細は、CVE-2022-37969を参照してほしい。
  • 2022年9月のセキュリティ更新プログラムで修正した脆弱性のうち、CVE-2022-23960はArm社の特定のCPUに存在する脆弱性である。これは、Arm社製品に存在する脆弱性だが、脆弱性を緩和するためにはWindowsの更新プログラムをインストールする必要がある。なお、本脆弱性は、セキュリティ更新プログラムの公開よりも前に、脆弱性の情報が一般に公開されていたことを確認しているが、セキュリティ更新プログラムの公開時点では悪用は確認されていない。
  • 2022年9月のセキュリティ更新プログラムで修正した脆弱性のうち、CVE-2022-34718（Windows TCP/IP）、CVE-2022-34722（インターネット キー交換（IKE）プロトコル拡張機能）およびCVE-2022-34721（インターネットキー交換（IKE）プロトコル拡張機能）は、CVSS基本値が9.8と高いスコアで、認証やユーザーの操作をすることなく悪用が可能な脆弱性である。これらの脆弱性が存在する製品、および悪用が可能となる条件については、各CVEのページの「よく寄せられる質問」を参照してほしい。セキュリティ更新プログラムが公開されるよりも前に、これらの脆弱性の詳細の一般への公開、および脆弱性の悪用はないが、脆弱性の特性を鑑み、企業組織では早急なリスク評価とセキュリティ更新プログラムの適用を推奨している。
  • セキュリティ更新プログラムにおける既知の問題は、各セキュリティ更新プログラムのサポート技術情報を参照してほしい。既知の問題が確認されている各セキュリティ更新プログラムのサポート技術情報一覧は、2022年9月セキュリティ更新プログラムリリースノートに掲載されている。

新たに確認した脆弱性に対応した新しいセキュリティ更新プログラムは、以下の通り。

Windows 11

緊急（リモートでコードが実行される）

  • KB5017328

Windows 11の更新プログラムであるKB5017328（累積更新プログラム）の構成内容であるが、

  • Microsoftアカウント（MSA）に影響する既知の問題に対処する。サインインまたはサインアウトに使用するWebダイアログが表示されない可能性がある。この問題は、KB5016691がインストールされているデバイスで発生する。
  • Windowsオペレーティングシステムのセキュリティ問題の修正

となっている。

Windows 10 v21H2、v21H1、およびv20H2

緊急（リモートでコードが実行される）

  • KB5017308

Windows Server 2022（Server Core installationを含む）

緊急（リモートでコードが実行される）

  • KB5017316

Windows Server 2019、2016、v20 H2（Server Core installationを含む）

緊急（リモートでコードが実行される）

  • Windows Server 2019：KB5017315
  • Windows Server 2016：KB5017305

Windows 8.1、Windows Server 2012 R2、Windows Server 2012（Server Core installationを含む）

緊急（リモートでコードが実行される）

  • Windows 8.1、Windows Server 2012 R2マンスリーロールアップ：KB5017367
  • Windows 8.1、Windows Server 2012 R2セキュリティのみ：KB5017365
  • Windows Server 2012マンスリーロールアップ：KB5017370
  • Windows Server 2012セキュリティのみ：KB5017377

Microsoft Office

重要（リモートでコードが実行される）

セキュリティ更新プログラムの詳細については、セキュリティ更新プログラムガイドおよびhttps://docs.microsoft.com/officeupdatesを参考にしてほしい。

Microsoft SharePoint

重要（リモートでコードが実行される）

SharePoint更新プログラム - Office release notes

Microsoft .NET

重要（リモートでコードが実行される）

セキュリティ更新プログラムの詳細については、セキュリティ更新プログラムガイドおよびhttps://docs.microsoft.com/dotnetを参考にしてほしい。

Microsoft Visual Studio

重要（特権の昇格）

セキュリティ更新プログラムの詳細については、セキュリティ更新プログラムガイドおよびhttps://docs.microsoft.com/visualstudioを参考にしてほしい。

Microsoft Dynamics 365

緊急（リモートでコードが実行される）

  • 9.1：KB5017226
  • 9.0：KB5017524

Microsoft Azure-related software

重要（特権の昇格）

セキュリティ更新プログラムの詳細については、セキュリティ更新プログラムガイドおよびhttps://docs.microsoft.com/ja-jp/azureを参考にしてほしい。

Microsoft Defender for Endpoint for Mac

重要（特権の昇格）

Mac用Microsoft Defender for Endpoint