マイクロソフト、IE用パッチの即時リリースを検討--悪質なコードの流出に対応

　セキュリティ企業らによると、Microsoftは、「Internet Explorer（IE）」に存在する脆弱性がWindowsシステムへの攻撃に現在悪用されていることから、この脆弱性を修復するパッチを通例のスケジュールより早くリリースする可能性があるという。

　米国時間3月23日、同脆弱性を悪用してPCの制御権を奪う方法がインターネット上で公開された。こうした悪用方法は少なくとも2件明らかになっており、そのうちの1件がシステムを攻撃するのに実際に用いられていると、McAfeeのセキュリティコンテンツマネージャーであるMonty IJzerman氏が24日に発表した。

　「この実証コードは、すでにマルウェアで使用されている。ほかにも同種の攻撃が準備されており、数日以内には実行に移されると考えている」（IJzerman氏）

　Microsoftは、同脆弱性を修復するパッチをセキュリティアップデートで提供すると23日付けのセキュリティ勧告述べたが、そのリリースがいつになるかは明らかにしなかった。複数のパッチが提供される同社の月例パッチリリースは、次回は4月11日に予定されている。だが、同社の23日の発表では、今回のセキュリティパッチが通例のスケジュールとは別にリリースされる可能性があることが示唆された。

　MicrosoftのSecurity Response Centerでプログラムマネージャーを務めるStephen Toulouse氏は、「（パッチをリリースする）準備を進めている。どのようなものであれ、脆弱性を悪用する攻撃が起こった場合は、その修復について検討している」と話した。

　Microsoft製品の脆弱性が先週問題になったのは、これで3度目だ。今回の脆弱性は、IEがウェブページ上で「createTextRange()」というタグを処理する方法に関係している。Microsoftは、ハッカーが特殊なコーディングを施したウェブサイトを作成して、脆弱なPCの制御権を奪うのに同脆弱性を悪用するおそれがあると述べている。

　IJzerman氏によると、McAfeeでは、IEのこの脆弱性を悪用することで脆弱なWindows PC上で悪質なコードを実行しようとするウェブサイトを発見しているという。IJzerman氏がスパイウェアと関連性があると述べたこのコードからシステムを守るために、McAfeeは同社のセキュリティソフトウェアをアップデートしている。

　セキュリティ企業のSunbelt SoftwareおよびWebsenseも、インターネットで同様の攻撃が見られたと発表した。

　Symantecは、24日の時点ではこうした攻撃は確認できなかったが、近いうちに報告を受けることになるだろうと話している。Symantec Security ResponseのディレクターであるDave Cole氏は、「こうした脆弱性を悪用して攻撃を仕掛け、ユーザーが気づかないうちにデスクトップPCに有害かつ迷惑なコードなどを仕込むことで、大きな金銭的見返りを得ることが可能になる」と述べた。