Windowsアップデートにおける、制限されたデバイスにドライバーをインストールしてしまう脆弱性が修正されました。

マイクロソフトは、管理者が自動更新をブロックするポリシーを設定している場合でも、管理対象コンピューターにドライバーの更新がプッシュされてしまうWindows Updateの問題を修正しました。同社はこの動作の原因を、Windows Updateキャッシュサービスの構成ミスによるものとしています。キャッシュサービスが一時的にデバイス登録データを失ってしまったため、一部のデバイスが登録されていないかのように扱われていました。この登録情報が欠如していたため、通常のドライバー承認制御が機能しなくなり、ブロックされるべき更新が送信されてしまったのです。

✅簡単な回答：この問題は解決済みです。Microsoft は影響を受けたサービスのキャッシュを更新し、影響を受けたデバイスのレジストリ状態を再適用しました。そのため、不要なドライバーのインストールを停止するために、お客様側での更新や手動操作は必要ありません。

Windows Updateのドライバーエラーはどのような影響をもたらしましたか？

Windows Updateのドライバーバグにより、自動更新を防止するポリシーが設定されていたにもかかわらず、影響を受けるデバイスに警告なしにドライバーの更新が配信される事態が発生しました。マイクロソフトは、配信されたドライバーはマイクロソフトによって認証および署名されており、セキュリティ上の脅威はないことを確認しました。この点はセキュリティ上重要ですが、ITチームの業務に支障をきたすことは避けられませんでした。

Windows管理者から、数万台のデバイスが予期せずBIOSやドライバのアップデートをダウンロードしたとの報告が寄せられています。いくつかのケースでは、これらの突然のインストールによってハードウェアが誤動作し、誤ったドライバがインストールされたためにオーディオ機器やビデオ機器が動作しなくなった事例も発生しています。厳格な変更管理に依存している環境において、計画外のBIOSやドライバのアップデートが強制的に実行されることは、まさにこうした予防策が防止しようとしている事態です。

理由：キャッシュサービスが登録データを失った

問題の核心は、Windows Update のキャッシュ サービスにあります。Microsoft Administration Center のインシデント レポート (MO1332784) によると、このサービスが一時的にデバイス登録情報を失いました。そのデータが消失したため、影響を受けたデバイスは Windows Update に登録されていない状態となり、管理者が設定したドライバー承認ルールが検証されませんでした。

マイクロソフトは6月2日火曜日の午後、この現象を初めて認め、自動更新防止ポリシーが有効になっているにもかかわらず、Windowsデバイスがドライバーをインストールしているという報告があったことを明らかにした。Intuneサポートチームもこの問題について公式に言及し、同社が問題の軽減に取り組んでいると述べた。

マイクロソフトはこの問題にどのように対処したのか？

この修正はサービス側で行われたため、ユーザーや管理者によるインストールは不要でした。Microsoftは、影響を受けるサービスのキャッシュを更新し、影響を受けるデバイスのレジストリ状態を復元し、ドライバー承認制御を再度有効にしました。

6月3日（水）、同社は、以前影響を受けたユーザーの一部で修正を検証した結果、問題が解決したことを確認した。マイクロソフトはまた、同様のサービス側の障害をより迅速に検知、防止、対応することを目的として、キャッシュサービスがそもそもどのように登録情報を削除するのかを検証していると述べた。

🔎不具合のあるドライバーが既にインストールされていて、デバイスの誤動作を引き起こしている場合は、デバイス マネージャーでその特定のドライバーをロールバックすると、以前のバージョンに戻ります。サービス修復は不要な新規インストールを停止しますが、既にインストールされたものを自動的にアンインストールするわけではありません。

Intuneにおけるドライバー更新の制御はどのように機能するのでしょうか？

Microsoft IntuneのWindowsドライバー更新ポリシーは、管理対象デバイスにインストールできるドライバーを定義していますが、このバグは事実上そのポリシーを回避します。通常、2つの承認モードから選択でき、承認されたドライバーのみをインストールできます。その後、Windows Updateは、デバイスに既にインストールされているバージョンよりも新しい、最新の承認済みバージョンのみをインストールします。

品質更新プログラムからドライバーを除外したい場合は、特に注意すべき設定が2つあります。更新リング ポリシーでは、ドライバーの配信を許可する場合のみ、Windows ドライバー設定を「許可」に設定する必要があります。また、設定カタログの「Windows Update クライアント ポリシー」カテゴリにある「品質更新プログラムから WU ドライバーを除外する」オプションで、品質更新プログラムにドライバーを含めるかどうかを制御できます。設定手順の詳細は、Microsoft のWindows ドライバー更新ポリシー ガイドに記載されています。

注：Microsoft は、ドライバー更新ポリシーでは、機器製造元 (OEM) が指定するコンピューター ハードウェア ID (CHID) を対象とすることを強制しないため、すべてが正しく構成されている場合でも、管理対象デバイスは CHID を対象とするドライバーではなく、より新しい推奨ドライバーを受け取る可能性があると指摘しています。

2026年に予期せぬドライバーのインストールが繰り返し発生するパターン

最近の出来事から、制限付きコンピューターへの予期しないドライバーのインストールという、憂慮すべきパターンが明らかになりました。1か月前、MicrosoftはWindows Autopatchのバグを修正しました。このバグにより、管理ポリシーで手動承認が必要な場合でも、欧州連合のAutopatchで管理されている一部のデバイスに制限付きドライバーアップデートが配信されていました。この問題は、Windows 11 23H2、24H2、25H2などの顧客プラットフォームに影響を与え、関係するドライバーによっては、デバイスが予期せず再起動したりクラッシュしたりすることがありました。キャッシュのバグと同様に、このバグもサービス側の修正で解決され、顧客側での操作は不要でした。

このパターンは繰り返され、ドライバー自体は信頼できる安全なものとみなされている場合でも、サポートサービスがダウンすると、ドライバー配信プロセスが管理制御を迂回してしまう可能性があります。現在、これらの問題は両方とも解決されたようで、マイクロソフトは今後、これらのサービスが登録データと同意データをどのように取り扱うかを強化するよう取り組んでいることを確認しています。