情報取得日: 2025/11/11／最終確認: 2026/08/20・本ページは公開情報の非公式まとめです
| CVE ID | CVE-2025-60710 |
|---|---|
| 製品 | Microsoft / Windows（Host Process for Windows Tasks） |
| CVSS | 7.8（High） CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
| 種別 (CWE) | CWE-59 ファイルアクセス前のリンク解決不備（リンク追跡） |
| 登録／公開日 | 2025/11/11 |
| KEV 期限 | 2026/04/27 まで（米国連邦機関向け目安） |
| 推奨対応 | ベンダーの手順に従って緩和策を適用し、クラウドサービスについては BOD 22-01 の該当ガイダンスに従う。緩和策が無い場合は当該製品の利用を停止する。 |
| 出典 | https://nvd.nist.gov/vuln/detail/CVE-2025-60710 |
Windows のタスクスケジューラが使う Host Process for Windows Tasks（taskhostw.exe）に、ファイルへアクセスする前のリンク解決が不適切な欠陥がある。NVD の記述は「Improper link resolution before file access（link following）in Host Process for Windows Tasks allows an authorized attacker to elevate privileges locally.」で、既にログオンしている権限の低い利用者がローカルで権限を昇格できる。CWE は CWE-59、いわゆるシンボリックリンクやジャンクションを使った誘導で、特権プロセスに攻撃者の狙ったパスを触らせる型である。CVSS は 7.8 High、ベクタは AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H で、リモートからは直接踏めない代わりに、踏めた場合の機密性・完全性・可用性の影響はいずれも High になる。NVD の公開は 2025年11月11日、最終更新は 2026年6月17日。CISA は 2026年4月13日に KEV カタログへ収載し、是正期限を 2026年4月27日としている。注意すべきなのは KEV の knownRansomwareCampaignUse が Known であることで、これは CISA がランサムウェアキャンペーンでの利用を確認したという意味である。掲載中の CVE の多くが Unknown であるなかで、この1件は実際に身代金要求型の攻撃の一部として使われている。影響範囲は NVD の CPE で Windows 11 の 24H2（10.0.26100.0 以上 10.0.26100.7462 未満）、25H2（10.0.26200.0 以上 10.0.26200.7462 未満）、Windows Server 2025 とその Server Core（いずれも 10.0.26100.0 以上 10.0.26100.7462 未満）である。ビルド番号で切られているので、資産の棚卸しは OS 名ではなくビルド番号で行うこと。
各ベンダー公式アドバイザリで確認できた事実に基づき整理しています。確認できていない項目は「情報確認中」と明記し、存在しないパッチ番号・バージョンは記載しません。
| 環境 | 対応状況 | 対応方法・備考 |
|---|---|---|
| AWS (ECS/EC2) | ベンダーFW更新 |
EC2 上の Windows Server 2025 や Windows 11 に月例の Windows Update を適用し、ビルド 10.0.26100.7462 以上にする。AMI から起こし直す場合は最新の AWS 提供 Windows AMI を使う
AWS 側から本 CVE 個別のセキュリティ速報は確認できていない（2026-08-20 時点）。OS の更新は利用者責任範囲であり、Systems Manager Patch Manager での適用状況確認が実務的。
参照リンク
|
| GCP | ベンダーFW更新 |
Compute Engine 上の Windows Server 2025 に Windows Update を適用し、ビルド 10.0.26100.7462 以上にする
GCP 側から本 CVE 個別のセキュリティ速報は確認できていない（2026-08-20 時点）。OS 更新は利用者側の作業である。
参照リンク
|
| Azure | ベンダーFW更新 |
Azure VM の Windows Server 2025 や Windows 11 に Windows Update を適用し、ビルド 10.0.26100.7462（25H2 は 10.0.26200.7462）以上にする。Azure Update Manager で適用状況を確認する
MSRC のセキュリティ更新ガイドが一次情報。CISA KEV の是正期限 2026年4月27日を既に過ぎているため、未適用の資産は期限超過として扱う。
参照リンク
|
| Linux | 対象外 |
対象外（Windows のコンポーネントであり、Linux ディストリに該当パッケージは無い）
NVD の CPE は Windows 11 と Windows Server 2025 のみ。Ubuntu USN / Red Hat RHSA / Debian security tracker には載らない。
参照リンク
|
対応は Windows Update の適用一択で、回避策は公表されていない。修正済みのビルドは Windows 11 24H2 と Windows Server 2025 が 10.0.26100.7462、Windows 11 25H2 が 10.0.26200.7462 なので、実ビルド番号が 7462 以上かを確認する。権限昇格の脆弱性なので、単体では侵入の入口にならない一方、フィッシングや別の初期侵入と組み合わせて、一般ユーザー権限を SYSTEM に上げる段として使われる。KEV でランサムウェア利用が Known になっているのはまさにその位置づけであり、是正期限（2026年4月27日）を既に過ぎている点でも優先度は高い。運用としては3つある。第一に、未適用の端末やサーバをビルド番号で洗い出し、月例更新の適用状況を確認する。特に更新を止めている検証機や、イメージから起こしたまま更新していないクラウド上の Windows Server 2025 が残りやすい。第二に、更新を当てられない期間は、権限の低いアカウントがローカルにログオンできる範囲を絞る。この脆弱性は AV:L かつ PR:L なので、そもそも標準ユーザーとしてログオンできる相手がいない環境では踏まれない。第三に、ランサムウェア利用が確認されている以上、既に更新済みであっても、更新前の期間に不審な権限昇格の痕跡が無いかを確認しておく価値がある。taskhostw.exe が想定外のパスへ書き込んでいないか、その直後に SYSTEM 権限のプロセスが生成されていないか、といった観点である。
High（CVSS 7.8）に分類されるMicrosoft Windows（Host Process for Windows Tasks）の脆弱性です。Windows のタスクスケジューラが使う Host Process for Windows Tasks（taskhostw.exe）に、ファイルへアクセスする前のリンク解決が不適切な欠陥がある。NVD の記述は「Improper link resolution before file access（link following）in Host Process for Windows Tasks allows an authorized attacker to elevate privileges locally.」で、既にログオンしている権限の低い利用者がローカルで権限を昇格できる。CWE は CWE-59、いわゆるシンボリックリンクやジャンクションを使った誘導で、特権プロセスに攻撃者の狙ったパスを触らせる型である。CVSS は 7.8 High、ベクタは AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H で、リモートからは直接踏めない代わりに、踏めた場合の機密性・完全性・可用性の影響はいずれも High になる。NVD の公開は 2025年11月11日、最終更新は 2026年6月17日。CISA は 2026年4月13日に KEV カタログへ収載し、是正期限を 2026年4月27日としている。注意すべきなのは KEV の knownRansomwareCampaignUse が Known であることで、これは CISA がランサムウェアキャンペーンでの利用を確認したという意味である。掲載中の CVE の多くが Unknown であるなかで、この1件は実際に身代金要求型の攻撃の一部として使われている。影響範囲は NVD の CPE で Windows 11 の 24H2（10.0.26100.0 以上 10.0.26100.7462 未満）、25H2（10.0.26200.0 以上 10.0.26200.7462 未満）、Windows Server 2025 とその Server Core（いずれも 10.0.26100.0 以上 10.0.26100.7462 未満）である。ビルド番号で切られているので、資産の棚卸しは OS 名ではなくビルド番号で行うこと。
対応は Windows Update の適用一択で、回避策は公表されていない。修正済みのビルドは Windows 11 24H2 と Windows Server 2025 が 10.0.26100.7462、Windows 11 25H2 が 10.0.26200.7462 なので、実ビルド番号が 7462 以上かを確認する。権限昇格の脆弱性なので、単体では侵入の入口にならない一方、フィッシングや別の初期侵入と組み合わせて、一般ユーザー権限を SYSTEM に上げる段として使われる。KEV でランサムウェア利用が Known になっているのはまさにその位置づけであり、是正期限（2026年4月27日）を既に過ぎている点でも優先度は高い。運用としては3つある。第一に、未適用の端末やサーバをビルド番号で洗い出し、月例更新の適用状況を確認する。特に更新を止めている検証機や、イメージから起こしたまま更新していないクラウド上の Windows Server 2025 が残りやすい。第二に、更新を当てられない期間は、権限の低いアカウントがローカルにログオンできる範囲を絞る。この脆弱性は AV:L かつ PR:L なので、そもそも標準ユーザーとしてログオンできる相手がいない環境では踏まれない。第三に、ランサムウェア利用が確認されている以上、既に更新済みであっても、更新前の期間に不審な権限昇格の痕跡が無いかを確認しておく価値がある。taskhostw.exe が想定外のパスへ書き込んでいないか、その直後に SYSTEM 権限のプロセスが生成されていないか、といった観点である。
Microsoft Windows（Host Process for Windows Tasks） を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2025-60710）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。
はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/04/27 です。推奨される対応: ベンダーの手順に従って緩和策を適用し、クラウドサービスについては BOD 22-01 の該当ガイダンスに従う。緩和策が無い場合は当該製品の利用を停止する。
本ページの記載は下記の一次情報に基づく非公式まとめです。数値・対応状況は各出典元で最終確認してください（最終確認: 2026/08/20）。