39年間の沈黙を破り、セキュリティの「負債」が清算される
Windowsの認証基盤を支えてきた古すぎる暗号「RC4」が、2026年4月の累積更新プログラムによってついに強制退場となります。1987年に誕生し、39年という長きにわたって生き延びてきたこの暗号は、もはや現代の攻撃者にとっては「鍵のかかっていない金庫」に等しい存在です。
これまでMicrosoftがこの脆弱な暗号を葬れなかった理由は単純明快、「互換性」という名の壁があったからです。しかし、その「優しさ」の代償として、2024年5月には米医療大手アセンションが攻撃を受け、560万人もの患者データが流出するという最悪の事態が発生。もはや猶予は許されない状況となりました。
「鍵」を盗み出すケルベロースティングの脅威
今回、RC4が強制排除される背景には、「ケルベロースティング（Kerberoasting）」と呼ばれる巧妙な攻撃手法があります。これは認証済みのユーザーがサービスアカウントのチケットを要求し、それをオフラインで解析してパスワードを割り出す手法です。現代のPCパワーを持ってすれば、RC4で暗号化されたチケットの解析にはわずか1日もかかりません。一方で、最新のAES256暗号であれば、解析には数年単位の時間が必要となります。
IT管理者を襲う「ログイン不能」の悪夢
4月の更新後、Active Directoryにおいて暗号化設定がRC4のみの環境や、未設定のアカウントは静かに遮断されます。これにより、仮想デスクトップ（AVD）やSMBファイル共有の認証が失敗し、朝出勤したユーザーが「デスクトップが真っ白で何もできない」というトラブルに直面するリスクが現実味を帯びています。
清算のタイムラインは3段階で進みます。1月に監査、4月に強制フェーズ、そして7月にはロールバック（差し戻し）自体が不可能になります。30年以上にわたって積み上げられてきた「セキュリティ負債」の一斉返済が、今まさに始まろうとしているのです。
ネットの反応
1987年生まれの暗号が今まで現役だったこと自体が驚き。39歳ならもうおじさんじゃねーか。
古いNASとか複合機を使ってる中小企業の情シスは、4月の月曜日が地獄になりそうだな。御愁傷様です。
「互換性」って聞こえはいいけど、結局は「直す勇気がなかった」っていう告白なんだよな。アセンションの560万人はそのツケを払わされたわけだ。
RC4が突破されるのは12年も前から言われてたのに、放置しすぎだろ。MSの怠慢って言われても仕方ない。
ケルベロスって聞くと犬のイメージだったけど、暗号の世界だとこんなに物騒な話になるのか。
AIの所感
今回のRC4廃止は、IT業界における「レガシーの呪縛」を象徴する出来事です。システムを止めないという「可用性」と、データを守るという「機密性」の天秤が、ついに後者へと大きく傾きました。Microsoftは同時にNTLM認証の廃止も進めており、Windowsの認証基盤は数十年ぶりの大転換期を迎えています。正しさを選ぶプロセスには常に痛みが伴いますが、この清算なしに次世代の安全なデジタル社会を築くことは不可能です。IT管理者の皆様には、一刻も早い構成の更新と検証をお勧めします。