サポート終了による“脆弱性放置”の危険性

　マイクロソフトは、Windows 10および11についてはモダンライフサイクルポリシー（Windows 10は18カ月または30カ月、Windows 11は24カ月または36カ月）、Windows Serverについては固定ライフサイクルポリシー（メインストリームサポート5年＋延長サポート5年）に基づいて、製品のライフサイクル期間中、セキュリティ更新プログラムを含む品質更新プログラムを提供します。

　2023年10月10日、Windows 11 Home/Proバージョン21H2と、Windows Server 2012/2012 R2のサポートが終了しました。そのため、米国時間でこの日にリリースされた更新プログラムが、これらのOSの最後のセキュリティ更新プログラムとなりました（画面1）。

　36カ月サポートが提供されるWindows 11 Enterprise/Educationバージョン21H2は、2024年10月8日までサポートが続くため、2023年11月以降もセキュリティ更新プログラムを受け取ることができます（画面2）。


　Windows 11 Home/Proのデバイスを、バージョン21H2のまま利用する必要性のあるユーザーが居るとは思えません。Windows Updateを実行すれば、バージョン22H2やバージョン23H2に自動的に更新されているはずです。

　影響が大きいのは、10年という長期のサポートが提供されてきたWindows Server 2012/2012 R2のサポート終了でしょう（画面3）。

　WindowsベースのNAS（ネットワーク接続型ストレージ）を利用している場合、OSとしてWindows Storage Server 2012/2012 R2が採用されている場合、Windows Server 2012/2012 R2と同じ日にサポートが終了したことに注意してください。


　長期運用しているサーバは、簡単にリプレースやアップグレードすることはできません。しかし、サポートの終了でセキュリティ更新プログラムを受け取ることができなくなると、時間が経過するにしたがって、放置される脆弱性が積みあがってしまいます。

　そこでマイクロソフトはサポートが終了した後もサーバを維持する必要のある顧客向けに、最後の手段として「拡張セキュリティ更新プログラム（Extended Security Update、ESU）」プログラムを用意しています。

　ESUは、Azure上の仮想マシンインスタンスの場合は無料、Azure以外（オンプレミスや他社クラウド）では有料（年ごとの購入またはサブスクリプションで購入、ただし、アクティブなWindows Serverソフトウェアアシュアランスが必要）で提供され、ESUを利用することでサポート終了後も最大3年間（2026年10月13日まで）、セキュリティ更新プログラムを受け取ることができます（画面4）。

【次ページ】サポート終了後、たった2ヵ月で積みあがった脆弱性