Microsoftは、Windows Server Update Services(WSUS)で発生している同期遅延・タイムアウト障害について、既存サーバー向けの手動修正手順を公開した。原因は7月の月例更新(Patch Tuesday)公開に伴って蓄積したメタデータで、WSUSサーバーがMicrosoft Update側との同期処理でタイムアウトを起こし、新しい更新プログラムが配信リストに反映されない状態に陥っていた。新規に構築するWSUSサーバー向けには恒久的な修正がすでに提供されているが、既存の運用中サーバーは管理者が手動で回避策を適用する必要がある。

メタデータ肥大化がボトルネックに

WSUSはMicrosoft Updateカタログの更新プログラムメタデータをローカルのデータベース(SQL ServerまたはWindows Internal Database)に保持し、それをもとにクライアントへの配信ポリシーを適用する仕組みだ。長年運用を続けてきたサーバーほど蓄積メタデータが多く同期処理が重くなりやすいところに、7月の大量の更新公開が重なったことで処理がタイムアウトを起こしたとみられる。同期が失敗すると、WSUSコンソールに新しい更新プログラムが表示されず、承認(Approve)作業そのものができなくなる。

悪用済み脆弱性のパッチが止まる怖さ

厄介なのは、この障害が起きている間は「悪用が確認済み(Exploited)」の重大脆弱性を修正する更新プログラムも同じ配信ラインに乗ってしまう点だ。CVE単位で緊急対応が必要な状況でも、WSUS側の同期が止まっていれば管理者は手も足も出ない。Microsoftが急いで手動修正手順を公開した背景には、この「緊急パッチが届かない」リスクへの危機感があると見てよいだろう。

実務への影響

長年WSUSを運用してきた日本企業、特に金融・製造業などの大規模組織では、この種の同期障害は「気づいたときには数日分の更新が滞っていた」という事態になりやすい。WSUS管理者は次を早急に確認すべきだ。

  • WSUSコンソールの同期ログにタイムアウトやエラーが出ていないか
  • 直近の同期日時が7月の月例更新公開日以降で止まっていないか
  • Microsoftが公開した回避策を既存サーバーに適用済みか

特に悪用済み脆弱性を含む更新プログラムについては、WSUS経由の配信を待つだけでなく、優先度の高い端末への個別適用など代替の緊急対応手順も並行して準備しておく価値がある。

筆者の見解

WSUSは古参のインフラだが、いまだに多くの企業の更新管理の背骨を支えている。今回のように悪用済み脆弱性のパッチ配信まで止まりかねない障害は、「すぐ当てたら壊れた」という近年よく聞くトラブルの裏返しで、「当てたくても当てられない」という別種の怖さを教えてくれる。Microsoftが恒久修正と手動回避策を早期に切り分けて公開した対応自体は評価したいが、月例更新のたびにこの種のスケーラビリティ問題が表面化するのは正直もったいない。枯れた仕組みであるWSUSでメタデータ肥大化への備えが十分でなかったというのは、本来もっと正面から勝負できる実力があるはずのMicrosoftらしくない話だ。クラウドベースの更新管理への移行を勧める声も強まるだろうが、オンプレのWSUSに依存する組織がまだ多い以上、地味なインフラ品質にこそ手を抜かないでほしい。

出典: この記事は Microsoft Gives WSUS Admins Manual Fix for Sync Bug Blocking Exploited Patches の内容をもとに、筆者の見解を加えて独自に執筆したものです。