このサイトを正しく表示するには、最新のブラウザを使用し、Javascriptを有効化してください。

Windows標準搭載のOpenSSHの更新スケジュールとセキュリティについて

小泉弘生

Windowsの「設定」→「システム」→「オプション機能」からインストールできるOpenSSHについて質問です。

現在、この方法でインストールされるOpenSSHのバージョンは8.6p1で、これは約3年前にリリースされたものです。しかし、GitHubで公開されているWindows向けOpenSSHの最新版は9.5p1となっています。

そこで、以下の点について疑問に思いました。

1. Microsoftは、Windows Update経由でこの機能をどのくらいの頻度で更新しているのでしょうか？そもそも更新されることはあるのでしょうか？
2. このWindowsに同梱されているOpenSSHには、過去3年間のセキュリティ修正は含まれているのでしょうか？バージョン番号だけを見ると、3年間更新されていないように見え、セキュリティの観点から問題があるように感じます。

この件について、何かご存知の方がいらっしゃいましたらご教示ください。

やまなか

ここは一般的なユーザー向けのフォーラムです。ご質問の内容はより専門的であるため、システム管理者やITプロフェッショナル向けのMicrosoft Q&A フォーラムで質問されることをお勧めします。そちらの方が的確な回答が得られる可能性が高いです。https://learn.microsoft.com/ja-jp/answers/questions/

Assistant

ご指摘の通り、Windowsに標準で搭載されているOpenSSHのバージョンは、GitHubで公開されている最新版とは異なり、古く見えることがあります。これは、Microsoftがメジャーバージョンを頻繁に変更するのではなく、既存の安定バージョンに対してセキュリティ修正をバックポート（移植）するという方針を採っているためです。

ご質問の点について、以下に回答します。

更新スケジュールについてOpenSSHコンポーネントのメジャーバージョンアップは不定期ですが、2024年10月のWindows Updateでバージョン9.5への更新が配信されるなど、OSの更新プログラムの一部として提供されることがあります。セキュリティパッチに関しては、主にWindowsの月例累積更新プログラムを通じて提供されます。そのため、独立した更新スケジュールがあるわけではなく、Windows全体のセキュリティ更新に含まれる形となります。

セキュリティ修正についてバージョン番号が8.6p1のままでも、CVE（共通脆弱性識別子）に対応する重要なセキュリティ修正は、Windows Updateを通じて適用されている場合がほとんどです。つまり、バージョン番号が古いからといって、必ずしも脆弱性が放置されているわけではありません。Microsoftは安定性を重視し、必要なセキュリティ修正のみを既存バージョンに適用する運用を行っています。

もし最新の機能が必要な場合は、GitHubリポジトリから最新版を手動でダウンロードしてインストールする方法が推奨されます。ただし、その場合はWindows Updateによる自動的なセキュリティ管理の対象外となるため、ご自身で更新を管理する必要があります。