Windows 11の次の更新、メモリ整合性を自動で有効に IPv6のCLATも

Microsoftは、Windows 11 25H2と26H2向けの先行の更新KB5127936(ビルド26200.9807・26300.9807)を、Release Previewのチャネルに出しています。一般の端末に配る前の、最後の確かめの段階です。リリースノートには、会社の端末の設定や業務のアプリに関わる変更がいくつも並んでいます。この記事は、そのうち情シスが先に確かめておきたい3つを中心にまとめます。

更新のときに、メモリ整合性が有効になることがある

リリースノートによると、この更新は、メモリ整合性(HVCI)の守りを、条件を満たす端末に広げます。対応するPCでは、更新のときにメモリ整合性が有効になることがあります。高度なWindowsのセキュリティの機能に備えるためとしています。一方で、利用者やIT管理者がすでに決めた設定は尊重するとしています。

メモリ整合性は、ドライバーなどがカーネルのメモリを不正に書き換えるのを防ぐ機能です。古いドライバーや一部の周辺機器のソフトは、有効にすると読み込めないことがあります。会社の端末で、メモリ整合性を管理の道具で決めていない場合は、更新のあとに設定が変わり、機器が動かなくなる端末が出るかもしれません(当社の見立て)。

DPAPIの「確認画面を使う保護」は2027年4月に終わる

Windowsでデータを暗号化して守る仕組み(DPAPI)には、保護や解除のときに確認画面を出す方式があります。この更新では、その方式を使うと、2027年4月に終わることを知らせる警告が出るようになります。

Microsoftは、この方式を使っている場合、確認画面を使う保護のデータを新しく作るのをやめ、画面を出さない方式に移り、終わる前に今あるデータを解除するか移すよう求めています。確認画面を使わないDPAPIの操作は影響を受けません。社内で作った古い業務のアプリや、パスワードを保存する仕組みで使われていないかを、開発の担当に確かめます。

IPv6だけの網で、IPv4のアプリを使えるCLAT

WindowsがWi-Fiと有線のLANで、端末側の変換(CLAT、464XLAT)に対応します。IPv6だけの網でも、IPv4にしか対応しないアプリから、IPv4のサービスにつながります。IPv6だけの網へ移りたい会社が、古いIPv4のアプリを残しながら進めやすくなります。

既定では使われず、管理者が有効にする形です。IPv6だけの網を作っていない会社は、すぐにやることはありません。

ほかに会社の端末で目に留めたいこと

• Cloud rebuild: Windows Updateから取り込んだイメージとドライバーで、Windowsを入れ直す回復の方法。Windowsが起動できないときも使える。IT管理者は、回復の設定(Recovery CSP)で遠隔から始められる
• マルチセッションの環境で、ポリシーで標準のアプリを外せる(Windows 11 EnterpriseとEducation)
• 管理者保護を有効にした端末に、管理者でない利用者がリモートデスクトップでつなげなかった問題を直す
• BitLockerの起動前のPINの再試行の扱いを直し、TPMの総当たり防止の締め出しと回復を招かないようにする

回復の環境が保存済みのWi-Fiを自動で使う変更は、Windowsの回復環境が保存済みのWi-Fiを自動で使う 既定はオン、止めるCSPはにまとめています。

影響する会社・しない会社

• 影響する: Windows 11 25H2・26H2の端末を使う会社です。とくに、メモリ整合性を管理の道具で決めておらず、古いドライバーや周辺機器のソフトを使っている端末がある会社です。
• 影響する: DPAPIの確認画面を使う保護を使った、社内の業務のアプリやツールがある会社です。2027年4月までに移行が要ります。
• 影響する: IPv6だけの網への移行を考えている会社です。CLATを使えば、古いIPv4のアプリを残しながら進めやすくなります。
• 影響しない: Windows 11の24H2以前の版やWindows 10だけを使う会社は、このリリースノートの対象ではありません。ただし、ほかの版にも同じ変更が来るかは、今後の告知を確かめます。

情シスが今日やること

1. メモリ整合性(HVCI)を、端末の管理の道具(Intuneやグループポリシーなど)でどう決めているかを確かめます。決めていなければ、有効にするか、しない端末をどれにするかを決めておきます。
2. メモリ整合性を有効にすると読み込めないドライバーが無いかを、検証用の端末で確かめます。周辺機器や業務の機器のドライバーを中心に見ます。
3. 社内の業務のアプリで、DPAPIの確認画面を使う保護を使っていないかを、開発の担当や提供元に確かめます。使っていれば、2027年4月までの移行の計画を立てます。
4. Release Previewのチャネルの検証用の端末があれば、KB5127936を入れて、業務のアプリと周辺機器が動くかを確かめます。
5. IPv6だけの網を考えている場合は、CLATの条件(SLAAC、WSLは未対応)を、網の担当と確かめます。