Microsoftはこのほど、4月の月例更新プログラムの一つとしてWindows 11向けにKB5055523をリリースしたが、このアップデートを適用した際に作成される「intetpub」という名前の空のフォルダがユーザーの混乱を呼んでいる。

しかし、このフォルダを削除してはいけない。これはセキュリティ対策の一貫として意図的に作成されたものだという。

謎の空フォルダはIIS関連の脆弱性対策だった

Windows 11にKB5055523を適用すると、「%systemdrive%/inetpub」というフォルダが自動的に作成される。「%systemdrive%」はWindowsのシステムが格納されているドライブを示す環境変数で、多くの環境ではCドライブがこれに当たる。inetpubフォルダは読み取り専用に設定されており、中には何のファイルも格納されていない。

  • 自動的に作成された「%systemdrive%/inetpub」フォルダー

    自動的に作成された「%systemdrive%/inetpub」フォルダ

KB5055523のリリースノートには、このフォルダはセキュリティ強化のためのものであり、「Internet Information Services (IIS) がターゲット デバイスで有効になっているかどうかに関係なく削除しないでください」と説明されている。IISはWindows向けのWebサーバプラットフォームで、デフォルトではインストールされていないものの、Windowsの機能一覧から有効化することができる。

inetpubフォルダの作成は、「CVE-2025-21204」として追跡されている脆弱性に関連しているとのこと。この脆弱性は、「リンクフォロー脆弱性」と呼ばれる種類の脆弱性で、製品がファイル名に基づいてファイルにアクセスしようとした際に、そのファイル名が意図しないリソースにリンクされていた場合、攻撃に悪用される可能性がある。CVE-2025-21204を悪用されると、「NT AUTHORITY\SYSTEM」アカウントの権限で、任意のファイルを操作される危険性がある。

inetpubフォルダはこのCVE-2025-21204への対策として作成されるものであり、削除すると、脆弱性を悪用した攻撃に晒されるリスクを生むことになる。なぜIISが無効な場合でも削除するべきでないのかは不明だが、inetpubフォルダが残っていたとしても実害はないので、素直に従っておくのが良いだろう。