Internet Explorer に解放済みメモリ参照の脆弱性（CVE-2010-0249／Operation Aurora）— 提供終了製品に残る遠隔コード実行リスク
Microsoft Internet Explorer に存在する解放済みメモリ参照（use-after-free）の脆弱性で、細工されたページを開かせることで遠隔から任意のコードを実行されうる。CVSS 8.8（高）。
脆弱性の基本情報
- CVE番号CVE-2010-0249
- CVSS基本値8.8 HIGH
- CVSSベクタCVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
- 対象（ベンダー／製品）Microsoft Internet Explorer
- CWECWE-416
- 悪用状況CISA KEV 掲載（実際の悪用を確認）
- 是正期限2026-06-03（米連邦民生機関・BOD 22-01）
要点
「解放済みメモリ参照（use-after-free）」とは、プログラムが一度解放（破棄）したメモリ領域を、その後も有効なものとして参照してしまう不具合を指す。本来は無効になったはずの領域が攻撃者の制御下に置かれると、プログラムの動作を乗っ取られ、遠隔から任意のコードを実行される恐れがある。本件はWebブラウザである Internet Explorer に存在し、利用者が細工されたページを開く操作（UI:R＝利用者の関与が必要）を起点とする点が特徴で、CVSSは8.8（高）と評価されている。
この脆弱性は、2009年から2010年にかけて発覚した標的型攻撃キャンペーン「Operation Aurora（オペレーション・オーロラ）」で悪用されたことで広く知られる。Google をはじめとする多数の大企業が標的になったと報じられ、ブラウザの脆弱性が組織への侵入口となりうることを示した事例として歴史に残っている。発覚から長い年月が経過した現在も、本件がCISAのKEVカタログに登録されたという事実は、古い脆弱性であっても悪用の対象であり続けうることを示している。
注目すべきは、Internet Explorer がすでに提供終了（EoL／End of Life）を迎えた製品である点だ。提供終了の製品はベンダーからの修正提供が見込めないため、脆弱性が残ったまま使い続けると組織のリスクが積み上がっていく。CISAは、ベンダーの指示に従った緩和（BOD 22-01に基づく対応）を行い、緩和が適用できない場合は当該製品の使用を中止することを求めている。
なぜ重要か
提供終了済みの Internet Explorer を組織内でまだ利用している場合、修正提供が見込めないまま遠隔コード実行のリスクを抱え続けることになる。連邦政府機関はBOD 22-01に基づき期限までの是正が求められ、民間組織にとっても古い脆弱性が攻撃対象であり続ける実例として、提供終了製品の棚卸しと移行の優先度を見直す契機となる。
よくある質問（FAQ）
「解放済みメモリ参照（use-after-free）」とは何ですか。
Operation Aurora とは何ですか。
出典（一次情報）
本記事は下記の米国公式データに基づく独自整理です。正確・最新の内容、適用可否は必ず公式・ベンダーでご確認ください。
- CISA KEV Catalog（悪用確認済み一覧）
- NVD（CVE詳細・CVSS）
- ベンダー／参考アドバイザリ
- This product uses data from the NVD API but is not endorsed or certified by the NVD. KEV データは CC0（パブリックドメイン）です。