最新記事一覧
Claudeの拡張機能にカレンダーの予定から任意のコードを実行されるゼロクリック脆弱性が判明した。サンドボックスを介さない特権動作やコネクター間の信頼設計に構造的欠陥があり、現在も未修正のため注意を要する。
()
FortinetはFortiClientEMSにSQLインジェクションの脆弱性が存在すると発表した。CVSSスコアは9.8と高く、未認証でリモートコード実行の恐れがある。影響を受けるユーザーは速やかな更新が求められる。
()
Fortinet製品のFortiCloud SSOに認証回避の重大な脆弱性が見つかった。CVSSの評価は9.8、深刻度「緊急」（Critical）であり、攻撃者による悪用も確認されている。インターネットに公開されている約328万件の資産が影響を受けるという。
()
TP-Linkは同社製品のArcher MR600 v5にコマンドインジェクションの脆弱性が存在すると公表した。認証済み攻撃者が管理インタフェースからシステムコマンドを実行し、機器を制御する恐れがある。同社は最新版への更新を推奨している。
()
USBメモリ作成ツール「Rufus」の4.11以前に、競合状態を利用した権限昇格の脆弱性が確認された。悪用されると、一時ファイルを介して管理者権限で任意のコードを実行される恐れがある。
()
HuntressはVMware ESXiへの高度なエスケープ攻撃を分析した。VPN認証情報の侵害からドメインを掌握後、公表1年前から準備されたゼロデイ攻撃でバックドアを設置する手法が判明した。パッチ適用とホスト監視の重要性を強調している。
()
EUで成立したサイバーレジリエンス法（CRA）は、デジタル要素を持つ製品に対し、設計から市場投入後まで一貫したサイバーセキュリティ対策を義務付けている。EU市場に製品を供給する場合、EU域外の日本企業もCRA対応が必要となる。本稿では、CRA対応の要点を解説する。
()
Palo Alto Networksは、PAN-OSのGlobalProtect機能におけるDoS脆弱性を発表した。未認証の攻撃によってファイアウォールが停止する恐れがある。回避策や緩和策は存在しないとされている。
()
Fortinetは「FortiSIEM」や「FortiClientEMS」をはじめとする複数製品に影響する重大な脆弱性を修正した。悪用可能な問題を含んでおり、未認証のコマンド実行やSQL注入の恐れがある。利用者は迅速な更新や回避策の適用が推奨されている。
()
Hikvisionは監視機器やアクセス制御製品の探索機能に2件の脆弱性があると発表した。同一LAN内から細工されたパケットによって機器が誤動作する恐れがある。
()
React Routerは、Node.js用パッケージなどに深刻な脆弱性が存在すると報告した。署名なしCookieとの併用時に、指定外のファイルを読み書きされる恐れがある。CVSSスコアは9.1と高く、開発者は最新版への更新が推奨される。
()
Trend Microはオンプレミス版のApex Centralの脆弱性3件を修正するパッチを公開した。最大深刻度はCVSS 9.8で、SYSTEM権限でのコード実行やDoS攻撃の恐れがある。速やかな最新版への更新が求められる。
()
Akamai Security Intelligence Groupは、2025年12月に情報公開されたNoSQLデータベース「MongoDB」の脆弱性（CVE-2025-14847）について、公式ブログで解説した。
()
TRENDnet製のWi-Fi中継機に認証不要のコマンドインジェクション脆弱性が判明した。root権限で任意コマンドが実行可能なため、機器の完全制御や踏み台悪用の恐れがある。
()
MITREはソフトウェアにおける危険な脆弱性タイプをまとめた「CWE Top 25 Most Dangerous Software Weaknesses」の2025年版を発表した。Webアプリケーション関連の脆弱性がTop 3を独占する結果となった。
()
セキュリティリサーチャー辻伸弘氏が、サイバーセキュリティの世界におけるさまざまな“常識”や思い込みに、次々と一石を投じる新連載。第1回は、辻氏のキャリアの原点でもあるペネトレーションテストにつき、身を切る思いで問題を提起する。
()
2025年、アサヒグループホールディングスへのランサムウェア攻撃など、企業や社会インフラを直撃するサイバー攻撃が相次いだ。国内外で多発したランサムウェアや不正アクセスの事例を振り返りながら、2025年に見えた攻撃トレンドを整理し、2026年の脅威を展望する。
()
Net-SNMPの開発者らはsnmptrapdに細工済み通信で異常終了を招く欠陥があることを公表した。全版が影響を受けて深刻度は極めて高い。修正版の導入と通信制御の徹底が必要だ。
()
Google Threat Intelligence Groupは、React2Shell脆弱性の悪用事例を観測したと報告し、侵害の検出方法と推奨対策を紹介した。
()
Cisco Talosは、Cisco Secure Email製品を標的とした攻撃キャンペーンを確認した。攻撃者は深刻な脆弱性を悪用し、Python製バックドアで永続化を図った可能性がある。
()
Fortinetは複数製品に影響する深刻な脆弱性を公表した。FortiCloud SSOの実装不備により、細工されたSAML応答で管理GUIへ不正アクセスされる恐れがある。影響範囲は広く、早急な更新と設定確認が求められている。
()
アシュアードは、2025年のセキュリティ動向の総括と2026年の脅威予測に関するメディアラウンドテーブルを開催した。独自のデータを基にSaaS事業者のセキュリティ状況を明らかにし、企業が目指すべき方向性を示した。
()
React Teamは、React Server Componentsに関する新たな脆弱性を公表した。DoSやソースコード露出の恐れがあり、影響範囲は複数パッケージに及ぶ。対象環境の確認と迅速な対応が利用者に求められている。
()
MicrosoftはWindows PowerShellにリモートコード実行の危険を伴う脆弱性「CVE-2025-54100」を発表した。影響範囲は広く、Microsoftは各環境への更新プログラムを公開し、迅速な適用を呼びかけている。
()
「React」のサーバコンポーネントに深刻な脆弱性が発表された。Reactのバージョン19や「Next.js」などは至急更新する必要がある。
()
Reactの深刻な脆弱性「CVE-2025-55182」により、RSCを利用する公開サービス215万件超が影響を受ける可能性が判明した。国家支援とされる脅威グループによる悪用も観測され、早期対策が求められている。
()
ReactおよびNext.jsにCVSS 10.0の脆弱性が見つかった。悪用されると認証不要でリモートコード実行が可能になる。多数のアプリケーションや公開サーバに影響する可能性があり、速やかなバージョン更新が求められている。
()
WordPressの人気プラグイン「ACF Extended」に、未認証状態で任意のコードを実行される恐れのある重大な脆弱性が確認された。影響範囲は10万以上のWebサイトに及ぶ可能性があり、早急な更新を呼びかけている。
()
頻繁に出るIT製品の脆弱性情報をどう効率よく管理するかが、セキュリティ担当者にとって悩みどころだ。Excelの「XLOOKUP関数」を使えば、脆弱性管理のスピードを高められる。
()
Microsoft Outlookに存在する深刻な脆弱性「CVE-2024-21413」（MonikerLink）のPoCコードが公開された。この欠陥は認証情報の漏えいや任意コード実行に至る恐れがあり、早急な対策が求められる。
()
MarkdownからPDFを生成するコマンドラインツール「md-to-pdf」において、CVSSスコア10.0の脆弱性が見つかった。急ぎ対応が求められる。
()
4年ぶりの「OWASP Top 10 2025」が公開された。できる限り「症状」ではなく「根本原因」に焦点を当てるように刷新したという。
()
pgAdmin4のサーバモードにおけるPLAIN形式ダンプのリストア処理に深刻なRCE脆弱性が確認されている。開発側は修正版9.10を公開し、早急な更新が求められる。
()
FortinetはFortiWebに相対パストラバーサル脆弱性が存在し、管理GUI経由で管理権限操作に到達され得ると発表した。既に悪用も確認されており、早急な対応が求められる。
()
MicrosoftはGitHub CopilotとVisual Studioに関する2件の脆弱性を公開した。これらはローカル環境の認証済み利用者による操作を前提とし、セキュリティ機能のバイパスにつながる。ユーザーは速やかに更新プログラムの適用が望まれる。
()
AmazonはCisco ISEとCitrix製品の未公開ゼロデイ脆弱性が高度な攻撃者によって悪用されていた事実を明らかにした。攻撃者は修正前から欠陥を突いていたとされる。重要インフラへの脅威が増大しており、多層防御強化が求められている。
()
OWASPはWebアプリケーションのセキュリティリスクのうち重大なものをリスト化した「OWASP Top 10 2025」を公開した。2025年版のリストでは、幾つかの新たな項目がランクインしている。
()
2025年10月配信の更新プログラムKB5070881は、WSUSの脆弱性（CVE-2025-59287）に対応する緊急修正だが、一部のWindows Server 2025でHotpatch登録状態を損なう不具合を発生させた。Microsoftは修正版KB5070893を2025年10月24日に提供している。
()
Docker Composeに、リモートのOCIアーティファクト処理時のパス検証不備による深刻な脆弱性が報告された。攻撃者による任意ファイル上書きが可能であり、CVSS 8.9（High）と評価されている。修正版への更新が推奨されている。
()
WSUSに存在する脆弱性が悪用され、リモートコード実行が可能となる攻撃が発生している。PoC公開後に攻撃が拡大している中、多数のサーバが未修正のまま稼働しており、早急なパッチ適用とアクセス制御が求められている。
()
CensysはBIND 9リゾルバにキャッシュポイズニング攻撃の脆弱性があると公表した。偽応答を注入し、キャッシュを汚染することでユーザーを不正なWebサイトに誘導できる。影響を受ける脆弱なBIND 9リゾルバは世界で70万6477件確認されている。
()
エムオーテックスはLANSCOPEエンドポイントマネジャーオンプレミス版における深刻な脆弱性CVE-2025-61932を公表した。修正版を公開し、全クライアントPCの更新を推奨している。
()
Oracleは同社製品のセキュリティアップデート「Critical Patch Update - October 2025」を発表した。攻撃者が公開済みの脆弱性を悪用しようとする動きがあり、同社は「速やかにパッチを適用してほしい」と警告する。
()
HawkTrace Securityは、WSUSの「GetCookie」処理に存在する脆弱性CVE-2025-59287を解析し、PoCを公開した。この脆弱性はRCEが可能でCVSS 9.8の重大欠陥とされている。
()
うっかり見逃していたけれど、ちょっと気になる――そんなニュースを週末に“一気読み”する連載。今回は、10月12日週を中心に公開された主なニュースを一気にチェックしましょう！
()
既に悪用が確認されている脆弱性やCVSS基本値9.8以上の高リスクな脆弱性の更新が含まれており、企業ユーザーには早急な適用が推奨される。
()
ファイル圧縮ソフト「7-Zip」で、ZIPファイル中のシンボリックリンク処理の不備に起因する2件の深刻な脆弱性が報告された。任意コードの実行につながる恐れがあり、迅速なアップデートが推奨されている。
()
CrowdStrikeはWindows版Falcon Sensorの2件の脆弱性を修正した。いずれも攻撃者がコード実行権限を持つ場合に任意のファイル削除が可能となる。急ぎ修正版への更新が推奨されている。
()
情報セキュリティの啓発を目指した、技術系コメディー自主制作アニメ「こうしす！」の＠ITバージョン。第53列車は「脆弱性を発見したときの対処法 続編」です。※このマンガはフィクションです。
()
米Unity Technologiesがゲームエンジン「Unity」に重大な脆弱性（CVE-2025-59489）を確認したと発表した。「Unity 2017.1」以降のバージョンでビルドされたWindows、Android、macOS、Linux向けの全ゲームとアプリケーションに影響するといい、PCゲーム配信プラットフォーム「Steam」を手掛ける米Valveといった国内外のゲーム・アプリ関連事業者が対応に動いている。
()