Windows UpdateのPC起動不能トラブルがもたらす「別の大きな問題」とは？：鈴木淳也の「まとめて覚える！ Windows 8.1 Update」（2/2 ページ）

Microsoft公式の更新プログラムによってWindowsが起動しなくなってしまうという、想定外の深刻なトラブル発生から約1カ月。問題は終息に向かっているが、今後は別の大きな問題も予想される。

[鈴木淳也（Junya Suzuki），ITmedia]

※本記事はアフィリエイトプログラムによる収益を得ています

今回のトラブルが引き起こす「別の大きな問題」

　一連のトラブルを振り返ってみると、事前に不具合を把握できずに更新プログラムを配布し、修正済み更新プログラムの配布まで1カ月近くかかったという不手際はあるが、トラブルの発覚後はすぐにアップデートの提供を中止し、対応方法を公開して広く告知するなど、今後の課題はあるとしても、Microsoftの対応手順に大きな問題はなかったと考える。

　ただし今回のトラブルに関して、米ZDNetのLarry Seltzer氏が興味深いポイントを指摘している。問題への対策を施した更新プログラムの配布開始については、MSRC（Microsoft Security Response Center）がTechnet Blogsへの投稿でアナウンスしているが、この中でMSRCのチームは「8月の月例セキュリティアップデートは従来と異なる方針を持って配布が行われ、これがトラブルの原因になった」と遠回しに示すような表現を使っており、ここに“ミスリーディング”の可能性があるというのだ。

　具体的に説明すると、MSRCの説明では過去何年にも渡ってMicrosoftは毎月、ユーザーの体験を向上させることを目的とした多くのアップデートを提供してきたが、これらは主に同じ月の異なるタイミングでリリースが行われており、特に毎月第2火曜日に行われているセキュリティに特化したアップデートとは区別されてきたという。

　しかし今回の8月の月例セキュリティアップデートでは両者を同じタイミング、具体的には毎月第2火曜日に提供を行っていくことに決定した。そして今回がこうした混合アップデートを提供した最初の月であり、“ごく小数”のユーザーが提供されたアップデートのいくつかでトラブルを経験したとしている。

　このミスリーディングという表現には、2つの含みがある。1つは問題の原因として「毎月第2火曜日の定例アップデートにおいて、セキュリティ以外のアップデートを同時提供したこと」と、MSRCが暗に表現している点だ。責任転嫁や逃げ道のようなイメージもあるが、これがなぜ問題かは後ほど詳しく触れる。

　もう1つはアップデートのタイミングに関するもので、Seltzer氏によればMicrosoftは第2火曜日のセキュリティアップデートのほか、慣習的に第4火曜日に「セキュリティ以外の機能アップデート」を提供しているという。もし、MSRCのいうように「両者が統合されて今後は第2火曜日に同時提供されるならば、この第4火曜日のアップデートの扱いはどうなるのか」という点だ。

　Microsoftは最近になり、より素早く新機能をユーザーに届けるため、定例アップデート以外のタイミングで機能アップデートを提供する方向を模索しており、MSRCのいうアップデートの統合はナンセンスというわけだ。

　同氏がMicrosoftから得た回答として、第2火曜日のセキュリティアップデートと第4火曜日の非セキュリティアップデートは、両者ともに今後も継続されるということで、MSRCの説明は少なくともミスリーディングを誘発する可能性があるということになる。

　そしてより重大な問題は、ユーザーがセキュリティアップデートに対する信頼を失う可能性だ。方針転換によってセキュリティアップデートの検証が不十分となり、それがトラブルを誘発したというならば、方針を元に戻せばいいだけだろう。しかし実際には月に複数のアップデートを別々のタイミングで提供していく方針は変わっておらず、今回の提供をいったん取り止めた更新プログラムの品質が低かったのが原因とみられる。

Windows Updateは「自動更新」の設定が推奨されているが、今回のようなトラブルが自動更新の利用率低下を引き起こすことも考えられる

　実際、Windows Updateを自動更新に設定しているユーザーは多く、Microsoft自身もこの設定を推奨しているが、もしユーザーがセキュリティアップデートの品質が低く「まわりでトラブルが起きないか確認できてから適用しよう」と考え始めたら、自動更新の利用率が減る可能性は高まり、それだけ潜在的にユーザーのPCが危機にさらされる可能性が高くなる。

　もし更新プログラムの適用が遅れてゼロデイ攻撃の標的にされ、マルウェアの感染被害が広がったり、別の攻撃の踏み台にされるPCが増えたならば、ユーザーにとってもMicrosoftにとっても大きな損失だ。

　今回の一連の更新プログラム適用について、Microsoftでは「問題が発生していない場合は、そのままWindows Updateの自動更新を有効にしておくこと」を推奨している。現在、Windowsエコシステム全体の安全性は、この「自動更新」オプションをどれだけ多くのユーザーが有効にしているかにかかっているわけだ。

　今回のトラブルがもたらした最大の問題は、このユーザーとMicrosoftの信頼関係、Windowsプラットフォーム全体の安全性バランスが揺らいでしまった点だろう。