情報取得日: 2025/10/20／最終確認: 2026/08/15・本ページは公開情報の非公式まとめです
| CVE ID | CVE-2025-33073 |
|---|---|
| 製品 | Microsoft / Windows SMB Client |
| CVSS | 8.8（High） CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
| 種別 (CWE) | CWE-284 不適切なアクセス制御 |
| 登録／公開日 | 2025/10/20 |
| KEV 期限 | 2025/11/10 まで（米国連邦機関向け目安） |
| 推奨対応 | ベンダーの指示に従って緩和策を適用し、クラウドサービスについては該当する BOD 22-01 のガイダンスに従うこと。緩和策が無い場合は当該製品の使用を停止すること。 |
| 出典 | https://nvd.nist.gov/vuln/detail/CVE-2025-33073 |
Windows の SMB に不適切なアクセス制御があり、権限を持つ攻撃者がネットワーク経由で権限を昇格できる。MSRC の FAQ によれば、成功した攻撃者が得られるのは SYSTEM 権限である。MSRC は攻撃の形を 2 通り挙げており、攻撃者が用意した悪意ある SMB サーバーへ被害者を接続させてプロトコルを侵害する形と、細工したスクリプトで被害者のマシンを攻撃者の SMB サーバーへ接続・認証させる形である。つまり被害者側のマシンが自分から外へ SMB 接続して認証してしまうことが起点になる。CVSS は Microsoft（CNA、Secondary）の 8.8 High（CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H）のみで、NVD の Primary スコアは付与されていない。Microsoft の重要度は Important、Temporal は 7.9（E:P/RL:O/RC:C）、悪用は MSRC 側では未確認（exploited=No、Exploitation Less Likely）だが、公開開示済み（publiclyDisclosed=Yes）とされている。影響範囲は広く、Windows 10 22H2（10.0.19045.5965 未満）、Windows 11 24H2（10.0.26100.4270 未満）、Windows Server 2008 SP2 から 2025（2022 は 10.0.20348.3745 未満）まで 21 件の CPE が挙がる。CISA KEV には 2025-10-20 に収載され、是正期限は 2025-11-10、ランサムウェア利用は Unknown（不明）。NVD の vulnStatus は Analyzed。
各ベンダー公式アドバイザリで確認できた事実に基づき整理しています。確認できていない項目は「情報確認中」と明記し、存在しないパッチ番号・バージョンは記載しません。
| 環境 | 対応状況 | 対応方法・備考 |
|---|---|---|
| AWS (ECS/EC2) | パッチあり（アプリ更新） |
EC2 の Windows インスタンスと Windows コンテナ、および元になる AMI に 2025 年 6 月以降の累積更新を適用してビルドを修正版以上にする
AWS のマネージドサービスの欠陥ではなく、利用者が管理する Windows の問題。稼働中インスタンスだけ直しても AMI を更新しないと新規インスタンスに古いビルドが復活する。セキュリティグループの外向きルールで 445/tcp をインターネットへ開けていないかも併せて確認する。
参照リンク
|
| GCP | パッチあり（アプリ更新） |
Compute Engine の Windows インスタンスとカスタムイメージに累積更新を適用してビルドを修正版以上にする
GCP 側の欠陥ではなくゲスト OS の問題。イメージファミリーを更新しないと新規 VM が古いビルドで起動する。ファイアウォールの下り規則で SMB の外向き通信を絞る。
参照リンク
|
| Azure | パッチあり（アプリ更新） |
Azure VM、Azure Virtual Desktop のセッションホストとマスターイメージ、共有イメージギャラリーの Windows イメージに累積更新を適用する
Update Manager で配布したあと、イメージ側を作り直さないとプールを再作成したときに古いビルドへ戻る。攻撃を受けるのは SMB のクライアント側なので、ファイル共有を提供していないホストも対象になる点に注意する。
参照リンク
|
| Linux | 対象外 |
対応不要（Windows の SMB 実装の問題で、CPE には Windows のみが挙がっている）
Linux 上の Samba に対する修正は示されていない。Linux の Samba サーバーへ Windows から接続している構成でも、更新すべきなのは接続してくる Windows 側である。
参照リンク
|
該当判定は OS ビルドを取るだけで済む。winver か systeminfo、規模が大きければ構成管理でビルドを集め、Windows 11 24H2 は 10.0.26100.4270 以上、Windows 10 22H2 は 10.0.19045.5965 以上、Windows Server 2022 は 10.0.20348.3745 以上、Server 2019 は 10.0.17763.7434 以上になっているかを見る。修正は 2025 年 6 月の更新に含まれるので、月例更新を回している端末とサーバーは通常すでに超えている。見落としやすいのはサーバー側ではなくクライアント側で、長期間再起動していない踏み台、更新していない仮想デスクトップのマスター、更新を止めている検査系の端末、Server 2008 SP2 や 2012 R2 のような古いホストである。この脆弱性は攻撃を受けるのが SMB のクライアント側なので、SMB サーバーを立てていないから対象外という判断は成り立たない。すぐ更新できない場合、MSRC は回避策の節を出していないため、公式に承認された回避策は無い。取れるのは攻撃経路を閉じる方向で、外向きの 445/tcp と 139/tcp を境界で遮断してインターネット上の SMB サーバーへ端末が接続できないようにする、外向きの NTLM 認証を制限する、UNC パスを含むリンクをメールやチャットの経路で落とす、といった対策を重ねる。いずれも根本対策ではないので、更新までのつなぎと位置づける。完了条件は、管理下の全 Windows ホストのビルドが上記の修正版以上になっていること、および更新できない古い OS については SMB の外向き通信を遮断したうえで移行計画に載せたこと、この 2 点が確認できた時点である。KEV の是正期限 2025-11-10 は既に過ぎているため、未更新のホストが残っているなら期限超過として扱う。さらに KEV 収載は実際に悪用が観測されたことを示すので、更新だけで終わらせず、対象期間に不審なリモート接続や SYSTEM 権限での予期しないプロセス生成が無かったかを確認し、侵害が疑われるホストでは端末とサービスアカウントの資格情報を再発行する。
High（CVSS 8.8）に分類されるMicrosoft Windows SMB Clientの脆弱性です。Windows の SMB に不適切なアクセス制御があり、権限を持つ攻撃者がネットワーク経由で権限を昇格できる。MSRC の FAQ によれば、成功した攻撃者が得られるのは SYSTEM 権限である。MSRC は攻撃の形を 2 通り挙げており、攻撃者が用意した悪意ある SMB サーバーへ被害者を接続させてプロトコルを侵害する形と、細工したスクリプトで被害者のマシンを攻撃者の SMB サーバーへ接続・認証させる形である。つまり被害者側のマシンが自分から外へ SMB 接続して認証してしまうことが起点になる。CVSS は Microsoft（CNA、Secondary）の 8.8 High（CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H）のみで、NVD の Primary スコアは付与されていない。Microsoft の重要度は Important、Temporal は 7.9（E:P/RL:O/RC:C）、悪用は MSRC 側では未確認（exploited=No、Exploitation Less Likely）だが、公開開示済み（publiclyDisclosed=Yes）とされている。影響範囲は広く、Windows 10 22H2（10.0.19045.5965 未満）、Windows 11 24H2（10.0.26100.4270 未満）、Windows Server 2008 SP2 から 2025（2022 は 10.0.20348.3745 未満）まで 21 件の CPE が挙がる。CISA KEV には 2025-10-20 に収載され、是正期限は 2025-11-10、ランサムウェア利用は Unknown（不明）。NVD の vulnStatus は Analyzed。
該当判定は OS ビルドを取るだけで済む。winver か systeminfo、規模が大きければ構成管理でビルドを集め、Windows 11 24H2 は 10.0.26100.4270 以上、Windows 10 22H2 は 10.0.19045.5965 以上、Windows Server 2022 は 10.0.20348.3745 以上、Server 2019 は 10.0.17763.7434 以上になっているかを見る。修正は 2025 年 6 月の更新に含まれるので、月例更新を回している端末とサーバーは通常すでに超えている。見落としやすいのはサーバー側ではなくクライアント側で、長期間再起動していない踏み台、更新していない仮想デスクトップのマスター、更新を止めている検査系の端末、Server 2008 SP2 や 2012 R2 のような古いホストである。この脆弱性は攻撃を受けるのが SMB のクライアント側なので、SMB サーバーを立てていないから対象外という判断は成り立たない。すぐ更新できない場合、MSRC は回避策の節を出していないため、公式に承認された回避策は無い。取れるのは攻撃経路を閉じる方向で、外向きの 445/tcp と 139/tcp を境界で遮断してインターネット上の SMB サーバーへ端末が接続できないようにする、外向きの NTLM 認証を制限する、UNC パスを含むリンクをメールやチャットの経路で落とす、といった対策を重ねる。いずれも根本対策ではないので、更新までのつなぎと位置づける。完了条件は、管理下の全 Windows ホストのビルドが上記の修正版以上になっていること、および更新できない古い OS については SMB の外向き通信を遮断したうえで移行計画に載せたこと、この 2 点が確認できた時点である。KEV の是正期限 2025-11-10 は既に過ぎているため、未更新のホストが残っているなら期限超過として扱う。さらに KEV 収載は実際に悪用が観測されたことを示すので、更新だけで終わらせず、対象期間に不審なリモート接続や SYSTEM 権限での予期しないプロセス生成が無かったかを確認し、侵害が疑われるホストでは端末とサービスアカウントの資格情報を再発行する。
Microsoft Windows SMB Client を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2025-33073）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。
はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2025/11/10 です。推奨される対応: ベンダーの指示に従って緩和策を適用し、クラウドサービスについては該当する BOD 22-01 のガイダンスに従うこと。緩和策が無い場合は当該製品の使用を停止すること。
本ページの記載は下記の一次情報に基づく非公式まとめです。数値・対応状況は各出典元で最終確認してください（最終確認: 2026/08/15）。