Microsoft が提供した Windows 11 向け更新プログラム KB5089549 に、レジストリを悪用した特権昇格（Privilege Escalation）攻撃の手口が依然として有効であることが判明した。パッチ適用済みのシステムでも攻撃者にシステムを完全掌握される可能性があり、エンタープライズ環境では無視できないリスクとなっている。

何が起きているのか

KB5089549 は Windows 11 向けに提供されたセキュリティ更新プログラムだが、本来修正されているはずの特権昇格経路が、レジストリを介した特定の手法では依然として塞がれていないことが研究者によって指摘された。

攻撃シナリオとしては、ローカルの一般ユーザー権限を持つ攻撃者が特定のレジストリキーを操作することで、SYSTEM 権限への昇格を実現できるというものだ。特権昇格攻撃は初期侵入後の「横展開」フェーズで悪用されることが多く、フィッシングやマルウェアによる初期アクセスを得た攻撃者にとって格好のステップとなる。

なぜこれが重要か

パッチ適用だけでは不十分な現実

セキュリティ担当者にとって「パッチを当てれば安全」という前提が崩れることは非常に厄介だ。KB5089549 はすでに広く配布・適用されており、「適用済みだから大丈夫」と判断している組織も多いはずだ。しかしこうした残存脆弱性は、攻撃者から見れば「パッチ済みの隙間」として格好の標的となる。

ローカル権限から SYSTEM 権限へ——Active Directory 環境での波及リスク

この攻撃で特に危険なのは、ローカルの一般ユーザー権限から始められる点だ。リモートからの侵入に成功した段階で（あるいは悪意ある内部者が存在した場合）、システムの完全制御を奪われるリスクがある。Active Directory 環境では、一台の端末が SYSTEM 権限で侵害されると、ドメイン全体への横移動につながりかねない。

実務への影響と対策ポイント

1. エンドポイント保護の多層化を再確認する

パッチ管理だけに依存しない。EDR（Endpoint Detection and Response）ソリューションで異常なレジストリ操作を検知・ブロックする設定になっているか確認しよう。Microsoft Defender for Endpoint を利用しているなら、Attack Surface Reduction（ASR）ルールの有効化状況をチェックしたい。

2. 最小権限の原則を徹底する

特権昇格攻撃が怖いのは「昇格できる出発点がある」からだ。一般ユーザーアカウントに不要な権限が付与されていないか、Windows のローカル管理者グループに不要なアカウントが含まれていないかを棚卸しする良い機会だ。

3. Microsoft の続報・追加パッチを監視する

こうした残存脆弱性には後日追加の修正が配布されることが多い。Windows Update の自動適用設定を確認し、セキュリティパッチが遅滞なく展開される運用体制を整えておこう。

4. イベントログ・SIEM 監視を強化する

レジストリへの書き込みや変更は Windows イベントログで追跡可能だ。特に HKLM\SYSTEM 配下など、特権に関わるキーへの変更を監視するルールを SIEM に追加することを検討してほしい。

筆者の見解

「パッチを適用したのに脆弱性が残っていた」というニュースは、率直に言って残念だ。KB5089549 を適用した IT 管理者が安堵した直後に、この報告を目にする羽目になる——これは現場の信頼を損なう。

とはいえ、Microsoft には問題を修正する技術力も体制も十分にある。Windows 11 の TPM 2.0 必須化、Smart App Control、カーネルドライバーの署名強制といったセキュリティ基盤の方向性は正しいと思っているし、それだけにこういった「隙間」が残ることがもったいない。正面から勝負できる力があるのだから、修正のサイクルをもう一段速くしてほしいところだ。

今回の件を受けて、「パッチを当てれば終わり」という運用から卒業するきっかけにしてほしい。多層防御とゼロトラスト的なアプローチ——最小権限・継続的な監視・Just-In-Time アクセス——は、パッチの限界を補う最良の手立てだ。セキュリティへの投資を続けている Microsoft には、ぜひ迅速な追加修正を届けてほしい。

出典: この記事は Windows 11 KB5089549 can be planted with deadly Registry hack to take over your system の内容をもとに、筆者の見解を加えて独自に執筆したものです。