Spectre/Meltdown脆弱性緩和策を含むWindowsの更新プログラムでは一部のウイルス対策ソフトウェアで互換性の問題が発生しており、Microsoftはベンダーに対して対応済みであることを示すレジストリ値のセットを要求している。これについて、セキュリティ専門家のKevin Beaumont氏が各製品の対応状況をまとめている(DoublePulsarの記事、 対応状況一覧、 The Registerの記事)。

リストアップされている製品では既に大半が互換性の問題を解決しており、未対応なのは11日時点で360 Total SecurityおよびCounterTack Sentinelのみとなっている。一方、対応済みであってもレジストリ値のセットをユーザー任せにしている製品も多い。そのため、ユーザーが自分でレジストリ値をセットしなければ今回の更新プログラムだけでなく、今後のセキュリティ更新プログラムも受け取ることができなくなる。

レジストリ値のセットをユーザー任せにしているのは、主に次世代エンドポイントプロテクションなどと呼ばれる製品だ。こういった製品は従来、もう一つの保護レイヤーとしてウイルス対策ソフトウェアに追加する使い方が提案されてきたが、最近ではセキュリティ関連の予算が厳しい企業にも受け入れられるようにウイルス対策ソフトウェアの置き換えを提案することが増えているという。しかし、ウイルス対策ソフトウェアと共存している環境では問題が発生する可能性もあるため、手動でのレジストリ設定を選択しているようだ。

互換性の問題は、ウイルス対策ソフトウェアがWindowsカーネルメモリにサポートされない呼び出しを行うことで発生する。そのため、Beaumont氏はウイルス対策ソフトウェアベンダーに対し、非公開APIなどを使ってメモリアドレスを特定するような手法をやめるよう呼び掛けている。また、「次世代」製品のベンダーには、ウイルス対策ソフトウェアの置き換えとして製品を売るならウイルス対策ソフトウェアベンダーとしてふるまうべきだと提案する。さらにMicrosoftに対しては、レジストリによる互換性チェックには終了日を設ける必要があると述べている。

なお、Windows Serverの場合、更新プログラムを適用しただけでは緩和策が有効にならず、有効にするには別途レジストリの設定が必要になるとのことだ(KB4072698)。