MENU

タスクマネージャーのUMFD-0／UMFD-12とは？fontdrvhost.exeの正体と遠隔操作の見分け方

Windows

タスク マネージャーの［詳細］タブに突然「UMFD-0」「UMFD-12」など見慣れないアカウント名が並ぶと、「遠隔操作されているのでは？」と不安になります。このページでは、それらの正体と安全な確認方法、そして本当にリモート接続が疑わしい場合の見分け方まで、ひと通り整理して解説します。

ITtripTOOLS
その「面倒」、無料で解決。 ITtripがつくる、6つの道具。 無料ツール一覧へ すべて無料・追加課金なし
先頭0を守るCSV編集こわさないCSV PDFに直接書き込みかけるPDF 写真＋説明をPDFに写レポ スマホ⇄PCで共有コピペ便 · 文章・写真 みんなの日程を調整日程Fit 匿名質問・投票を集めるKOEQ
目次

「UMFD-0」「UMFD-12」はウイルスでも遠隔操作の痕跡でもない

結論から言うと、タスク マネージャーに表示される UMFD-0 / UMFD-12 といったアカウントは、通常は正常なシステム動作であり、それだけで遠隔操作やウイルス感染を疑う必要はありません。

UMFD は User-Mode Font Driver の略で、Windows のフォント描画を担うプロセス fontdrvhost.exe（User-mode Font Driver Host） に紐づいたシステム専用のアカウントです。

  • UMFD-0：セッション 0（サービスや OS 基盤用のセッション）に対応
  • UMFD-1 以降：サインイン中のユーザー セッションや、ロック画面・リモート接続用などの一時的なセッションに対応
  • そのため、UMFD-0, UMFD-1, UMFD-12 のように複数並んでいても普通です

Microsoft Edge に複数アカウントでサインインしていても、UMFD の数とは直接関係がありません。「アカウントを増やしたから、UMFD が増えた＝乗っ取り」というわけではないので安心してください。

UMFD と fontdrvhost.exe の正体をもう少し詳しく

より安心するために、UMFD / fontdrvhost.exe が何をしているのか、もう少し具体的に見てみましょう。

fontdrvhost.exe（User-mode Font Driver Host）とは

  • Windows 10 / Windows 11 で導入された、フォント描画専用のユーザーモード ドライバー
  • システム フォントやアプリのフォントを安全・安定して描画するための土台
  • サンドボックス的な役割を持ち、フォント周りの不具合がシステム全体へ波及しにくくする設計
  • タスク マネージャーでは「User-mode Font Driver Host」や「fontdrvhost.exe」として表示される

この fontdrvhost.exe が動作する際、セッションごとに専用のシステムアカウントが割り当てられ、その名前が「UMFD-○」です。

UMFD アカウントとセッションの関係

UMFD-0 や UMFD-12 などの番号は「どのセッション用のフォントドライバーか」を区別するために付けられています。代表的な例を表にまとめると次のようになります。

アカウント名例対応するセッション主な用途よくある場面
UMFD-0セッション 0サービス・システム用PC 起動直後から常に存在
UMFD-1セッション 1（例）最初にログオンしたユーザー用通常のデスクトップ利用時
UMFD-2〜追加セッション別ユーザー、ロック画面、リモート待機などユーザー切り替え、RDP、ロック画面表示など
UMFD-12 など大きな番号累積したセッション ID過去／現在の一時セッションロック・リモート接続・ログオン／ログオフを繰り返したあと

実際の番号は環境によって異なり、「UMFD-12」という番号自体に特別な意味はありません。「セッション ID 12 に紐づいた UMFD」という程度の意味です。

なぜ UMFD が複数プロセスとして表示されるのか

「PCは自分一人しか使っていないのに、UMFD が 2 個以上あるのはおかしいのでは？」と感じる人も多いです。しかし、Windows では ユーザーの利用状況に応じて複数のセッションが存在するため、UMFD が複数表示されるのは自然なことです。

例えば次のようなタイミングでセッションが増えたり減ったりします。

  • PC をロックしたまましばらく放置した
  • 別ユーザーに「ユーザーの切り替え」でログオンした
  • リモート デスクトップ（RDP）接続の待受状態になった
  • リモート サポート（クイック アシストなど）を利用した

こうした操作に応じて、「ロック画面用のセッション」「リモート待機用のセッション」などが作られます。各セッションごとに 1 つの UMFD アカウントが必要になるため、UMFD-0, UMFD-1, UMFD-12…と複数並ぶことは正常な挙動です。

Microsoft Edge に複数のサインイン アカウントを登録していても、それが直接 UMFD の数に影響するわけではありません。あくまで「セッション単位」で考えるほうが正確です。

本物かどうかを確認する安全なチェック手順

とはいえ、「絶対に偽物じゃないと言い切れる根拠が欲しい」という人も多いでしょう。そこで、リスクを抑えつつ確認できるチェック手順をまとめます。

1. 実行ファイルの場所を確認する

まずは fontdrvhost.exe が正規の場所から実行されているかを確認します。

  1. タスク マネージャーを開く（Ctrl + Shift + Esc）
  2. ［詳細］タブを開く
  3. 一覧から fontdrvhost.exe または「User-mode Font Driver Host」を探す
  4. 該当するプロセスを右クリックして、［ファイルの場所を開く］をクリック

開かれたフォルダーが C:\Windows\System32 であれば正規の場所です。

  • 正常：C:\Windows\System32\fontdrvhost.exe
  • 要注意：ユーザー フォルダー配下や不明なフォルダーから実行されている場合（例：C:\Users\◯◯\AppData\... など）

2. デジタル署名を確認する

次に、実行ファイルに Microsoft の正規署名が付いているかを確認します。

  1. 先ほど開いた fontdrvhost.exe を右クリックし、［プロパティ］を開く
  2. ［デジタル署名］タブを選択する
  3. 「署名者の名前」に Microsoft Windows と表示されているか確認
  4. ［詳細］から「このデジタル署名は正常です」と表示されていれば OK

ここで署名がない・不明な署名者になっている場合は、何らかの問題が紛れ込んでいる可能性を疑います。

3. セッション ID との対応を確認する

UMFD-12 などが「本当にセッション 12 と紐づいているか」を確認することもできます。これは少しマニアックですが、納得感を得たいときに有効です。

  1. タスク マネージャーの［詳細］タブの列見出し部分（名前、PID などの行）を右クリック
  2. ［列の選択］をクリック
  3. 一覧から ［セッション ID］ にチェックを入れて［OK］
  4. UMFD-12 に対応する fontdrvhost.exe の行を探し、セッション ID 列を確認

ここで セッション ID = 12 になっていれば、「UMFD-12 はセッション 12 に紐づくフォントドライバー」であることが分かります。

チェック項目のまとめ

チェック項目正常な状態注意が必要な状態主な対処
実行ファイルの場所C:\Windows\System32\fontdrvhost.exeSystem32 以外のパスから動作SFC / DISM による修復、ウイルススキャン
デジタル署名Microsoft Windows の署名が「正常」署名なし／不明な発行元念のためウイルススキャン、システムの整合性チェック
セッション IDUMFD の番号とセッション ID が一致極端に不自然な組み合わせその他の不審挙動がないか総合的に確認

異常が疑われる場合の対処：システムファイル修復とウイルス対策

上記のチェックで「System32 以外から実行されている」「署名が不明」など、違和感がある場合は、システム ファイルの修復とウイルス対策を行いましょう。

1. システムファイルの整合性チェック（SFC / DISM）

Windows 標準の SFC（システムファイルチェッカー） と DISM を使うと、破損したシステム ファイルを自動で修復できます。

  1. スタートメニューで「cmd」または「コマンド プロンプト」を検索
  2. 「管理者として実行」で起動
  3. 次のコマンドを順番に実行
sfc /scannow
DISM /Online /Cleanup-Image /RestoreHealth
  • sfc /scannow：システム ファイルの整合性をチェックし、可能なら自動修復
  • DISM /Online /Cleanup-Image /RestoreHealth：Windows イメージ（コンポーネント ストア）を修復

実行後は PC を再起動し、再度 UMFD や fontdrvhost.exe の挙動を確認します。

2. Windows セキュリティでフルスキャン・オフラインスキャン

念のため、ウイルス対策として Windows セキュリティ（旧 Windows Defender） でスキャンも行いましょう。

  1. ［スタート］→［設定］→［更新とセキュリティ］→［Windows セキュリティ］
  2. ［ウイルスと脅威の防止］を開く
  3. ［スキャンのオプション］から
    • フルスキャン（時間はかかるが PC 全体を検査）
    • 必要に応じて Microsoft Defender オフラインスキャン（再起動して OS の外側から検査）

これらのスキャンで問題が検出されなければ、UMFD 自体が不正プロセスである可能性はかなり低いと考えられます。

リモート接続が本当に疑わしいときの確認ポイント

「UMFD は正常だと分かったけれど、それでもリモート接続が心配」という場合は、リモート接続そのもののログを確認するのが筋の良いアプローチです。

イベント ビューアーでログオン履歴を確認する

リモート デスクトップ接続（RDP）などが行われた場合、通常は イベント ビューアーの「セキュリティ」ログに記録されています。

  1. ［スタート］を右クリック → ［イベント ビューアー］を開く
  2. 左ペインで ［Windows ログ］→［セキュリティ］ を選択
  3. 右側の［現在のログのフィルター］から、イベント ID を指定して絞り込む

よく見るべきイベント ID は次の通りです。

イベント ID内容ポイント
4624アカウントが正常にログオンした「ログオンの種類」が 10 の場合は RDP などリモートの可能性
4634アカウントがログオフした4624 とセットで時刻・ユーザー名を確認

自分の記憶にない時間帯に、見覚えのないユーザー名でログオン（4624）が記録されている場合は、不正なリモート接続の可能性を疑ってよい状況です。

怪しいログがあったときの対処例

  • Microsoft アカウント・ローカルアカウントのパスワードを強力なものに変更
  • ［システムのプロパティ］→［リモート］から 「このコンピューターへのリモート接続を許可しない」を選択
  • 不要なユーザー アカウントが作成されていないか確認
  • ルーターや NAS など、他のネットワーク機器の管理画面への不正ログインも疑う

ここまで行っても特に怪しい形跡がなければ、「UMFD が複数見えている＝遠隔操作」の線はほぼ否定してよいでしょう。

UMFD と UMDF は別物：略称の似た用語に注意

似た略称として UMDF（User-Mode Driver Framework） があります。UMFD と UMDF は字面が似ていて混同されがちですが、役割が異なります。

略称正式名称役割タスク マネージャーでの見え方
UMFDUser-Mode Font Driverフォント描画のためのホスト（fontdrvhost.exe）に紐づくUMFD-0 / UMFD-12 などのアカウント名で表示
UMDFUser-Mode Driver Frameworkユーザーモードで動くドライバー全般の枠組み通常は個別のドライバー名やサービス名として表示

今回話題になっているのは UMFD（Font Driver） のほうであり、ドライバー フレームワークとしての UMDF とは異なる概念です。この点も合わせて覚えておくと、情報を検索するときに混乱しにくくなります。

やってはいけないこと：UMFD / fontdrvhost.exe を無理に終了しない

タスク マネージャーで見慣れないプロセスを見ると、「とりあえず終了させれば軽くなるのでは？」と思いがちですが、UMFD / fontdrvhost.exe を手動で終了させるのはおすすめできません。

  • フォント描画に関わるため、終了すると文字が正しく表示されなくなる可能性
  • Windows が必要と判断して自動的に再起動することがある
  • 最悪の場合、一時的に画面表示がおかしくなったりブラックスクリーンになることも

UMFD が異常に CPU やメモリを消費しているように見える場合も、まずは

  • Windows Update の適用
  • グラフィックスドライバーのアップデート
  • フォント関連の不正ファイルの有無（怪しいフリーフォントなど）

といった、システム側のメンテナンスから着手するのが安全です。プロセス自体を強制終了・削除するのは最後の手段と考えてください。

まとめ：UMFD-0／UMFD-12が見えても、まずは落ち着いて確認を

最後に要点を整理します。

  • UMFD-0 / UMFD-12 は、fontdrvhost.exe 用のシステムアカウントであり、通常は正常なプロセス
  • セッションごとに UMFD アカウントが作られるため、複数並んでいても不思議ではない（ロック画面、ユーザー切り替え、リモート待機など）
  • 本物かどうかは、
    • 実行ファイルの場所が C:\Windows\System32 か
    • Microsoft Windows のデジタル署名が有効か
    • UMFD の番号とセッション ID が対応しているか
    を確認することで判断しやすくなる
  • System32 以外の場所から動いている／署名が怪しい場合は、SFC / DISM と Windows セキュリティでのスキャンを実行
  • リモート接続そのものを疑う場合は、イベント ビューアーのセキュリティログ（4624, 4634）でログオン履歴を確認
  • UMFD / fontdrvhost.exe を手動で終了・削除するのは NG。フォント描画や画面表示が不安定になるリスクがある

「タスク マネージャーに UMFD-0 / UMFD-12 が表示される＝即座に遠隔操作」というわけではありません。まずはここで紹介した手順で落ち着いて確認し、それでも不安が残る場合にのみ、ログや設定を細かく見直すようにすると、無用な心配をせずに Windows を安全に使い続けられます。

Windows
Windows タスクマネージャー リモート接続 UMFD-0 UMFD-12 fontdrvhost.exe

この記事を書いた人

佐藤健司のアバター 佐藤健司

実務の現場で詰まりがちなポイントを地図にするITブログ「IT trip」を運営。Windows／Office（Teams・Excel）からSQL、サーバ運用、ガジェットまで、再現性のある手順と“なぜそうなるか”を丁寧に解説します。読んだらすぐ試せること、そして迷った人の次の一歩が見えることを大切にしています。

関連記事

コメント

コメントする

目次