Windows Server Service にバッファオーバーフロー（CVE-2008-4250／MS08-067）— 認証不要・遠隔で任意コード実行、約17年前の脆弱性が今なおKEVに

1Server サービスという攻撃面

この脆弱性は、Windows でファイルやプリンタの共有などを担う「Server Service」に存在します。

報告された概要によれば、ネットワーク経由のやり取りに使う RPC（リモートプロシージャコール＝別のコンピュータ上の処理を遠隔から呼び出す仕組み）に細工したリクエストが届くと、ファイルパスを整える「正規化」の段階でバッファオーバーフロー（あらかじめ確保したメモリ領域を超えてデータが書き込まれてしまう不具合）が誘発され、遠隔の攻撃者に任意のコードを実行される可能性があります。

NVD 公式の評価は CVSS 9.8（CRITICAL）で、攻撃にあたって認証（ログイン）が不要、利用者の操作も不要という条件が、深刻度を最高水準に押し上げています。

2MS08-067 という通称

本脆弱性は、Microsoft の月例セキュリティ更新の番号「MS08-067」として広く知られています。2008年から2009年にかけて世界的に大流行したワーム「Conficker（コンフィッカー）」がこの弱点を足がかりに拡散したことで、セキュリティ史に残る事例となりました。ワームとは、人手を介さず自分自身を複製してネットワーク上を広がっていく不正プログラムを指します。

317年後にKEV入りした意味

注目すべきは、公表から約17年が経った2026年に、この脆弱性が CISA の「悪用が確認された脆弱性カタログ（KEV）」へ追加された点です。KEV は、実際に攻撃で使われたことが確認された脆弱性を米国の担当機関がまとめたもので、ここに載るということは現在も悪用が観測されていることを意味します。

長く使われ続けるレガシー（旧式）システムや更新されないまま放置された機器が、古い脆弱性の標的であり続ける実態を象徴する一件と言えます。

4KEVは新しい脆弱性の一覧ではない

公表から長い年月が経った脆弱性が追加されるのは、この記録に限りません。CVEが採番された年と、KEVへ追加された年の差を数えると、隔たりの大きいものが一定数あります。

KEVは実際に攻撃で使われたことが確認された脆弱性をまとめたものです。したがって追加が遅いことは、脆弱性が新しいことも、危険が小さいことも意味しません。長く使われ続けるレガシーシステムや、更新されないまま放置された機器が古い脆弱性の標的であり続ける——この記録はその実態を象徴しています。