CVE-2024-57040 (CVSS 9.8): TP-Link TL-WR845N Router Vulnerability Grants Hackers Easy Access
2025/03/17 SecurityOnline — TP-Link TL-WR845N ルーターに影響を及ぼす、深刻なセキュリティ脆弱性 CVE-2024-57040 (CVSS：9.8：Critical) を、Network Security & Cryptography (NSC) Lab の研究者たちが特定した。この脆弱性により、ルーターのファームウェア内に保存されている、ハードコードされたルート・シェル資格情報が露出するため、それを悪用する攻撃者により、デバイスが完全に制御されてしまう。
Continue reading “TP-Link TL-WR845N の深刻な脆弱性 CVE-2024-57040 (CVSS 9.8)：パッチ提供までの対策”CVE-2025-22954 (CVSS 10): Koha Library Systems at High Risk, Patch Immediately
2025/03/17 SecurityOnline — 広く使用されている OSS ライブラリ管理システムである Koha に、深刻な SQL インジェクションの脆弱性 CVE-2025-22954 (CVSS：10) が発見された。この脆弱性は、”lateissues-export.pl” に存在し、攻撃者に対して任意の SQL インストラクションの挿入を許すものである。脆弱な関数 GetLateOrMissingIssues (C4/Serials.pm 内) は、適切にサニタイズされていない supplyerid／serialid パラメータを介して、SQL インジェクションの影響を受けてしまう。
Continue reading “Koha Library の SQLi 脆弱性 CVE-2025-22954 (CVSS 10) が FIX：機密データの読取／変更／削除”Critical RCE flaw in Apache Tomcat actively exploited in attacks
2025/03/17 BleepingComputer — Apache Tomcat の深刻なリモート・コード実行 (RCE) 脆弱性 CVE-2025-24813 が、実際に攻撃で積極的に悪用されている。この欠陥を突く脅威アクターは、単純な PUT リクエストの送信により標的のサーバを乗っ取ることができるという。この脆弱性が明らかになったのは先週のことだが、それから僅か 30時間後には、GitHub で公開された PoC エクスプロイトが、ハッカーたちに悪用され始めたようだ。
Continue reading “Apache Tomcat の脆弱性 CVE-2025-24813 の積極的な悪用：対策の全容と戦術変更への備え”Adobe Acrobat Vulnerabilities Enable Remote Code Execution
2027/03/17 gbhackers — Adobe Acrobat で発見された、いくつかの脆弱性は、Cisco Talos の調査チームにより開示されたものである。それら全ての脆弱性は、Cisco のサードパーティ脆弱性開示ポリシーに沿って処理され、それぞれのベンダーにより対処されている。
Continue reading “Adobe Acrobat の脆弱性 CVE-2025-27163 などが FIX：悪意のフォントを介した RCE”CVE-2025-27407 (CVSS 9.1): Critical GraphQL-Ruby Flaw Exposes Millions to RCE
2025/03/17 SecurityOnline — 人気の graphql-ruby gem に発見された深刻な脆弱性 CVE-2025-27407 により、何百万ものアプリケーションが、リモート・ コード実行のリスクにさらされている。このライブラリのダウンロード数は 1億3,600万回を超え、広範囲で利用されているため、潜在的な影響の大きさが懸念されている。
Continue reading “GraphQL-Ruby の脆弱性 CVE-2025-27407 (CVSS 9.1) が FIX：悪意のスキーマの取り込みと RCE”Unpatched Edimax Camera Flaw Exploited for Mirai Botnet Attacks Since Last Year
2025/03/17 TheHackerNews — Edimax IC-7100 ネットワーク・カメラに存在する、未修正のセキュリティ上の脆弱性が、Mirat ボットネット・マルウェアの亜種を配信するために、遅くとも 2024年5月以降に、脅威アクターたちにより悪用されている。この脆弱性 CVE-2025-1316 (CVSS v4：9.3) は、深刻な OS コマンド・インジェクションの欠陥であり、それを悪用する攻撃者は、特別に細工されたリクエストにより、影響を受けやすいデバイス上でのリモート・コード実行の可能性を手にする。
Continue reading “Edimax Camera の脆弱性 CVE-2025-1316：パッチが提供されない状況を Mirai が狙っている”Fake “Security Alert” issues on GitHub use OAuth app to hijack accounts
2025/03/16 BleepingComputer — 偽のセキュリティ通知を手段とする、大規模なフィッシング攻撃の標的として、約 12,000 の GitHub リポジトリが狙われている。この偽アラートを悪用する攻撃者は、開発者を騙して悪意の OAuth アプリを承認させ、アカウントやコードの完全な制御権を獲得する。その、偽のセキュリティ通知に含まれるメッセージは、「セキュリティ警告：異常なアクセス試行：ユーザーの GitHub アカウントへのログイン試行が、新しい場所またはデバイスから行われたことを検知する」というものだ。
Continue reading “GitHub リポジトリ 12,000 件が標的：偽のセキュリティ通知を悪用するフィッシング攻撃”Malicious Adobe, DocuSign OAuth apps target Microsoft 365 accounts
2025/03/16 BleepingComputer — Adobe や DocuSign アプリを装うマルウェアの配信により、Microsoft 365 アカウントの認証情報を盗み出すという、悪質な Microsoft OAuth アプリが、サイバー犯罪者たちにより宣伝されている。このキャンペーンを発見した Proofpoint の研究者たちは、X のスレッド上で “高度に標的を絞った攻撃 ” だと評している。
Continue reading “Adobe／DocuSign アプリの OAuth リクエストには要注意：Microsoft 365 アカウント乗っ取りが多発”New Akira ransomware decryptor cracks encryptions keys using GPUs
2025/03/15 BleepingComputer — Akira ランサムウェアの Linux 版に対する復号ツールが、セキュリティ研究者の Yohanes Nugroho によりリリースされた。この無料のツールは、GPU パワーを利用して復号キーを取得し、ファイルのロックを解除する。Nugroho は、友人から助けを求められ、この復号ツールを開発することになった。Akira が暗号化キーを生成する方法に、つまり、タイムスタンプを用いる方法を分析すれば、１週間以内で暗号化されたシステムを復号できると判断したのだ。
Continue reading “Akira ランサムウェアに対する複合ツール：GPU を用いて暗号化キーにブルートフォースを仕掛ける”Popular GitHub Action “tj-actions/changed-files” Compromised (CVE-2025-30066)
2025/03/15 SecurityOnline — GitHub Action “tj-actions/changed-files” は、広く使用されている ソフトウェア・ワークフローのためのものだが、新たに検出された深刻なセキュリティ・インシデントが懸念を生じている。セキュリティ侵害を積極的に調査する Step Security は、ユーザーに警告を発し、速やかに是正措置を取るよう促している。このインシデントを追跡するコードとして、公式に CVE-2025-30066 が採番されている。
Continue reading “GitHub Action の脆弱性 CVE-2025-30066：侵害によるシークレット漏洩と是正の手順”SuperBlack Ransomware operators exploit Fortinet Firewall flaws in recent attacks
2025/03/14 SecurityAffairs — Fortinet の２つの脆弱性を悪用し、SuperBlack ランサムウェアを展開する脅威アクターの活動を、2025年1月〜3月に Forescout Research – Vedere Labs の研究者たちが観察した。この攻撃では、ロシア語のアーティファクトが用いられ、独自の運用シグネチャである Mora_001 を示すとおり、この脅威アクターによるものだと、専門家たちは考えている。Mora_001 が LockBit エコシステムに関連している可能性があると、専門家たちは推測している。つまり、ランサムウェア・オペレーションの、複雑さが増していることを反映している。
Continue reading “Fortinet Firewall の脆弱性 CVE-2024-55591／CVE-2025-24472 を悪用：SuperBlack の手口とは？”CISA Cuts $10M in ISAC Funding & 100s of Employees
2025/03/14 DarkReading — 米国の Cybersecurity and Infrastructure Security Agency (CISA)は、数百人のレイオフと数百万ドルの予算削減により、これまでの短い歴史の中で最大の変革期を迎えている。同庁は、この２月に数百人の職員を解雇した。このレイオフの正確な規模は不明だが、推定では 300～400人程度であり、１月時点での 3,300人という職員数を考えると、かなりの大人数である。
Continue reading “CISA の予算が $10M もカット：ISAC の活動が行き詰まり従業員が解雇される”GSMA Confirms End-to-End Encryption for RCS, Enabling Secure Cross-Platform Messaging
2025/03/14 TheHackerNews — GSM Association (GSMA) が発表したのは、Rich Communications Services (RCS) プロトコル経由で送信されるメッセージを保護するための、E2EE (End-to-End Encryption) の正式サポートである。それにより、Android／iOS プラットフォーム間で共有されるクロスプラットフォーム・メッセージに、待望のセキュリティ保護がもたらされる。
Continue reading “GSMA と Rich Communications Services：クロスプラットフォームのための E2EE を公表”Symantec Demonstrates OpenAI’s Operator Agent in PoC Phishing Attack
2025/03/14 hackread — 最近になって OpenAI がリリースした “Operator” などの AI エージェントが、サイバー攻撃に悪用される可能性があることを、Symantec の脅威ハンターたちが実証した。それらの AI エージェントは、定型的なタスクを自動化して生産性を高めるように設計されているが、Symantec の調査によると、人間の入力を最小限に抑えることで、複雑な攻撃シーケンスの実行も可能にすることが示されている。
Continue reading “OpenAI の Operator に悪意を植え付ける：Symantec が Phishing PoC で実証したものは？”Ransomware gang creates tool to automate VPN brute-force attacks
2025/03/14 BleepingComputer — Black Basta ランサムウェアは、ブルートフォース攻撃を自動化するフレームワーク “BRUTED” を使用し、ファイアウォールや VPN などのエッジ・ネットワーク・デバイスを標的にしている。このグループは、独自に開発した BRUTED により、効果的にネットワークへのイニシャル・アクセスを獲得し、インターネット上に公開された脆弱なエンドポイントへのランサムウェア攻撃を拡大させている。流出した Black Basta の内部チャット・ログを、EclecticIQ の研究者である Arda Buyukkaya が詳細に分析した結果により、この BRUTED の存在が明らかになったという。
Continue reading “Black Basta が開発した BRUTED Framework：ブルートフォース攻撃の最適化と自動化”CVE-2025-26701 (CVSS 10): Percona PMM OVA Users at Risk of Unauthorized Access
2025/03/14 SecurityOnline — Percona Monitoring and Management (PMM) の、Open Virtual Appliance (OVA) に深刻なセキュリティ脆弱性が発見され、そのデータベース環境に深刻なリスクが生じている。この脆弱性 CVE-2025-26701 (CVSS：10.o) の悪用に成功した攻撃者は、不正なルート・アクセスを達成し、機密性の高いシステム認証情報を漏洩させる可能性を得るという。
Continue reading “Percona PMM OVA の脆弱性 CVE-2025-26701 (CVSS 10) が FIX：ルート認証情報の漏洩”2025/03/14 SecurityAffairs — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、Known Exploited Vulnerabilities (KEV) カタログに、以下の脆弱性を追加した:
AI Chatbot DeepSeek R1 Can Be Manipulated to Create Malware
2025/03/14 HackRead — オープンソースの AI チャットボットである DeepSeek R1 は、キーロガーやランサムウェアなどの悪意のソフトウェアを、その操作に応じて生成し得ることが、サイバーセキュリティ企業 Tenable Research の新たな分析により明らかになった。Tenable Research の調査は、DeepSeek における有害なコードの生成能力の評価を目的として行われたものであり、２種類の主要なマルウェア・タイプに焦点を当てるものとなっている。具体的には、秘密裏にキー・ストロークを記録するキーロガーと、ファイルを暗号化して身代金を要求するランサムウェアである。
Continue reading “DeepSeek R1 とジェイルブレイク：マルウェア生成の能力を試してみた – Tenable 調査”Bitdefender Identifies Security Vulnerabilities Enabling Man-in-the-Middle Exploits
2025/03/13 gbhackers — サイバーセキュリティ企業の Bitdefender が公開したのは、同社のレガシー BOX v1 デバイスに影響を及ぼす、２つの深刻度の高いセキュリティ脆弱性に関する情報である。これらの脆弱性が悪用されると、リモート・コード実行や中間者攻撃の可能性が生じるという。
Continue reading “Bitdefender 警告：BOX v1 (EoL) に存在する２つの深刻な脆弱性 CVE-2024-13871／13872”Grafana Flaws Likely Targeted in Broad SSRF Exploitation Campaign
2025/03/13 SecurityWeek — 複数の人気プラットフォームにおける、SSRF (Server-Side Request Forgery) を狙う大規模な攻撃の前に、Grafana のパス・トラバーサル脆弱性が悪用されたと、脅威インテリジェンス企業 GreyNoise が報告している。２月の広範から３月の初旬にかけて急増した、SSRF の脆弱性を組織的に悪用するキャンペーンにおいて、Zimbra／GitLab／DotNetNuke／VMware／ColumbiaSoft／Ivanti／BerriAI／OpenBMCS 製品を標的とする 400 以上の IP が観測された。
Continue reading “大規模な SSRF キャンペーンを検出：Grafana のパストラバーサルが偵察に使われている？”Cisco Alerts on Public Disclosure of CVE-2025-20115 – BGP Flaw Puts Networks at Risk
2025/03/13 SecurityOnline — Cisco が発行したのは、IOS XR ソフトウェアに存在する、サービス拒否 (DoS) 脆弱性に対処するセキュリティ・アドバイザリである。この脆弱性 CVE-2025-20115 は、Border Gateway Protocol (BGP) コンフェデレーション実装に影響を及ぼすものだ。
Continue reading “Cisco IOS XR の脆弱性 CVE-2025-20115：BGP Confederation におけるメモリ破損と回避策”Microsoft Patches 2-Year-Old Windows Kernel Flaw CVE-2025-24983 After Exploitation
2025/03/13 SecurityOnline — 2023年3月以降において、長年にわたりハッカーたちに積極的に悪用されてきた、Windows NT カーネル・サブシステムのセキュリティ脆弱性が、ようやく Microsoft により修正されたことを、サイバー・セキュリティ企業 ESET が発表した。この欠陥は、約２年前に ESET の研究者たちにより報告され、2025年3月の Patch Tuesday で対処されたことになる。
Continue reading “Windows の脆弱性 CVE-2025-24983 が FIX：修正に要した２年間と現実の攻撃での悪用”GitHub Uncovers New ruby-saml Vulnerabilities Allowing Account Takeover Attacks
2025/03/13 TheHackerNews — オープンソースの ruby-saml ライブラリに、深刻大度の高いセキュリティ上の２つの脆弱性が発見された。これらの脆弱性の悪用に成功した攻撃者は、Security Assertion Markup Language (SAML) 認証プロテクションを回避する可能性を手にする。
Continue reading “ruby-saml の脆弱性 CVE-2025-25291／25292 が FIX：SAML 認証プロテクション回避の可能性”Fortinet Addresses Security Issues in FortiSandbox, FortiOS, and Other Products
2025/03/13 gbhackers — Fortinet の PSIRT が発表したのは、FortiSandbox／FortiOS などの、各種の Fortinet 製品に影響を及ぼす、いくつかの高深刻度のセキュリティ脆弱性が解決されたという情報である。これらのアップデートは、ソリューションにおける安全性と信頼性を強化する、 Fortinet の継続的な取り組みの一環として実施される、潜在的な脅威に対する堅牢な防御の確保となる。
Continue reading “Fortinet の FortiSandbox／FortiOS などの８件の脆弱性が FIX：認証バイパスなどの恐れ”WARNING: Expiring Root Certificate May Disable Firefox Add-Ons, Security Features, and DRM Playback
2025/03/13 TheHackerNews — Mozilla はユーザーに対して、ルート証明書の期限切れによる、アドオン使用での問題の発生を回避するための、最新バージョンによる Firefox インスタンスのアップデートを呼びかけている。Mozilla は、「Firefox などの Mozilla プロジェクトにおいて、署名済みコンテンツとアドオンの検証に使用されるルート証明書が、2025年3月14日に期限切れになる」と述べている。
Continue reading “Firefox ユーザーに警告：3月14日に期限切れになるルート証明書という問題について”Keras Deep Learning Framework Hit by Arbitrary Code Execution Vulnerability (CVE-2025-1550)
2025/03/13 SecurityOnline — マルチ・バックエンドの Deep Learning Framework として広く使用されている Keras に、セキュリティ脆弱性 CVE-2025-1550 (CVSS：7.3) が発見された。この脆弱性が悪用されると、任意のコード実行につながる可能性があるという。
Continue reading “Keras Deep Learning の脆弱性 CVE-2025-1550 が FIX：任意のコード実行の恐れ”Juniper Issues Urgent Fix for Actively Exploited Junos OS Flaw – CVE-2025-21590
2025/03/13 SecurityOnline — Juniper Networks がリリースした緊急のセキュリティ速報は、ローカル攻撃者に対して任意のコード実行を許す可能性のある Junos OS の脆弱性に対処するものである。この脆弱性 CVE-2025-21590 は、Junos OS の複数バージョンに影響を及ぼす。
Continue reading “Juniper Junos OS の脆弱性 CVE-2025-21590：攻撃の報告とパッチ適用までの緩和策”Cisco Issues High-Severity Security Alert for IOS XR Software (CVE-2025-20138)
2025/03/12 SecurityOnline — Cisco が発表したのは、IOS XR ソフトウェアに影響を及ぼす、深刻度の高い脆弱性を詳述するセキュリティ・アドバイザリである。その脆弱性 CVE-2025-20138 (CVSS：8.8) により、 重大なリスクが生じると記されている。
Continue reading “Cisco IOS XR Software の深刻な脆弱性 CVE-2025-20138 が FIX：OS コマンド実行の可能性”GitLab Urgently Patches Critical Authentication Bypass Flaws – CVE-2025-25291 & CVE-2025-25292
2025/03/12 SecurityOnline — GitLab が発表したのは、Community Edition (CE)／Enterprise Edition (EE) に存在するセキュリティ脆弱性を修正するための、新しいバージョン 17.9.2／17.8.5／17.7.7 のリリースである。このリリースは、深刻な認証バイパス脆弱性などの、さまざまなセキュリティ問題に対処するものだ。
Continue reading “GitLab の深刻な脆弱性 CVE-2025-25291／25292 などが FIX：SAML 認証バイパスの恐れ”CVE-2024-54085: AMI SPx Vulnerability Scores Critical CVSS 10
2025/03/12 SecurityOnline — BIOS／BMC ファームウェアを提供する AMI が発表したのは、同社製品に影響を及ぼす複数の脆弱性に対処するセキュリティ・アドバイザリである。これらの脆弱性の深刻度には幅があるが、悪用に成功した攻撃者による、任意のコード実行／サービス拒否／リモートからの認証バイパスなどの可能性が生じるという。
Continue reading “AMI SPx の脆弱性 CVE-2024-54085 (CVSS：10) などが FIX：システム全体への侵害の可能性”Over 400 IPs Actively Exploiting Multiple SSRF Vulnerabilities in the Wild
2025/03/12 gbhackers — 近頃、SSRF (Server-Side Request Forgery) の悪用が急増しており、その傾向が続いていることが、GreyNoise の調査により明らかになった。戦略的な SSRF 攻撃が増加し、少なくとも 400 の固有 IP が、複数の SSRF 関連の CVE を同時に悪用していると、GreyNoise は指摘している。この攻撃パターンが示唆するのは、典型的なボットネットからのトラフィックではなく、情報収集のための自動化された事前侵入などによる、組織的な悪用の可能性である。
Continue reading “SSRF 攻撃の脅威が拡大：組織的に複数の CVE を悪用する 400+ の IP アドレス – GreyNoise 調査”CVE-2025-27017: Apache NiFi Vulnerability Exposes MongoDB Credentials
2025/03/12 SecurityOnline — 世界中の数多くの組織で利用される、人気のデータフロー自動化ツール Apache NiFi に、セキュリティ脆弱性 CVE-2025-27017 が発見された。この脆弱性の悪用により、機密性の高い MongoDB 認証情報への不正アクセスの可能性が生じるという。その影響の範囲は、Apache NiFi のバージョン 1.13.0 〜 2.2.0 となる。
Continue reading “Apache NiFi の脆弱性 CVE-2025-27017 が FIX：MongoDB 資格情報の漏洩の可能性”CVE-2025-1851: Tenda AC7 Routers at Risk of Root Compromise, PoC Released
2025/03/12 SecurityOnline — Tenda AC7 ルーターで発見された脆弱性 CVE-2025-1851 (CVSS：8.7) は、深刻度の高い欠陥であり、攻撃者に対してデバイスへのルート・アクセスを許す可能性のあるものだ。その影響の範囲は、ファームウェア・バージョン 15.03.06.44 以下となる。
Continue reading “Tenda AC7 Routers の脆弱性 CVE-2025-1851：ルート・アクセスの PoC が提供”CVE-2025-26319 (CVSS 9.8): Flowise Open-Source Platform Vulnerable to File Upload Exploit, No Patch
2025/03/12 SecurityOnline — AI エージェント構築に使用される、人気の OSS プラットフォーム Flowise に存在する深刻な脆弱性 CVE-2025-26319 (CVSS：9.8) を、セキュリティ研究者である Dor Attias が発見した。この脆弱性の悪用に成功した未認証の攻撃者は、Flowise サーバに任意のファイルをアップロードし、リモート・コード実行やサーバの完全な侵害を引き起こす機会を得る。
Continue reading “Flowise の脆弱性 CVE-2025-26319 (CVSS 9.8) : 未パッチの状況で PoC が提供される”Apache Camel Vulnerability (CVE-2025-27636) Exposes Applications to RCE, PoC Releases
2025/03/12 SecurityOnline — 先日に修正された Apache Camel Java ライブラリの脆弱性 CVE-2025-27636 だが、セキュリティ研究者たちによる精査が行われ、Akamai Security Intelligence Group が詳細な分析を提供している。最初のレポートでは、その深刻さが軽視されていたようであり、リモート・コード実行を含む壊滅的な結果という可能性が、Akamai の分析では強調されている。
Continue reading “Apache Camel の脆弱性 CVE-2025-27636 が FIX：PoC とスキャン・スクリプトの提供”NVIDIA Addresses Security Vulnerabilities in NVIDIA Riva with Software Update
2025/03/12 SecurityOnline — NVIDIA が公表したのは、NVIDIA Riva に存在するセキュリティ脆弱性に対処するための、ソフトウェア・アップデートのリリースである。このセキュリティ・アップデートで対処されたのは、権限昇格／データ改竄／サービス拒否／情報漏洩などにつながる可能性がある脆弱性である。
Continue reading “NVIDIA Riva の脆弱性 CVE-2025-23242／23243 が FIX：権限昇格や情報漏洩などの恐れ”North Korean Lazarus hackers infect hundreds via npm packages
2025/03/11 BleepingComputer — npm (node package manager) で発見された６つの悪意のパッケージだが、悪名高い北朝鮮のハッカー集団 Lazarus にリンクしていたことが特定された。これらの 330 回もダウンロードされたパッケージは、アカウント認証情報の窃取／侵害済みシステムへのバックドア展開／機密性の高い暗号通貨情報の抽出などのために設計されていた。このキャンペーンを発見した Socket Research Team によると、一連の悪意のパッケージは、以前から知られている Lazarus のサプライ・チェーン・オペレーションにリンクしていたという。
Continue reading “npm リポジトリ汚染：Lazarus にリンクする６つの悪意のパッケージを発見”CVE-2025-27363: Font Library FreeType Flaw Exploited in the Wild, Millions at Risk
2025/03/11 SecurityOnline — 広く使用されている FreeType フォント・レンダリング・ライブラリに、深刻な脆弱性 CVE-2025-27363 (CVSS：8.1) が発見された。この脆弱性は、FreeType バージョン 2.13.0 以下に影響を及ぼし、数百万台のデバイスをリモート・コード実行のリスクにさらす可能性があるという。
Continue reading “FreeType Font Library の脆弱性 CVE-2025-27363 が FIX：Linux／Mobile／Browser で悪用の可能性”Zoom Addresses Multi High-Severity Vulnerabilities in Workplace Apps and SDKs
2025/03/11 SecurityOnline — 先日に Zoom Communications, Inc. が公表したのは、各種の Zoom Workplace アプリと Zoom Meeting SDK に影響を及ぼす、複数の脆弱性に対処するセキュリティ・アドバイザリのリリースである。これらの脆弱性の深刻度は Medium 〜 High に分布しているが、認証済の低権限ユーザーによる権限昇格や、サービス拒否攻撃が引き起こされる可能性があるという。
Continue reading “Zoom の複数の脆弱性が FIX：Workplace と Meeting SDK で発生する問題とは？”2025/03/11 SecurityOnline — 人気の WordPress プラグイン HUSKY (旧 WOOF：WooCommerce Products Filter Professional）に重大な脆弱性が発見され、10 万以上のオンライン・ストアが完全に侵害される危険にさらされている。この脆弱性 CVE-2025-1661 (CVSS：9.8) の悪用に成功した未認証の攻撃者は、影響を受けるサーバ上で任意のファイルを操作し、データ侵害／サイト改竄に加えて、システムを完全に制御する可能性を得る。
Continue reading “WordPress HUSKY (WOOF) の脆弱性 CVE-2025-1661 が FIX：任意の PHP コードの挿入と実行”Zyxel Patches Multi Vulnerabilities in DSL/Ethernet CPE, Fiber ONT, and WiFi Extender Devices
2025/03/11 SecurityOnline — ネットワーク・ソリューションを提供する Zyxel Networks が、前日に公表したのは、同社の DSL/Ethernet CPE／Fiber ONT／WiFi Extender デバイスなどに影響を及ぼす、認証後コマンド・インジェクションの脆弱性に対処するための、セキュリティ・パッチのリリースである。
Continue reading “Zyxel 製品の３つの脆弱性が FIX：OS コマンド実行にいたる恐れ”CVE-2025-26865: Apache OFBiz Vulnerability Could Lead to Remote Code Execution
2025/03/11 SecurityOnline — 先日に Apache OFBiz eCommerce プラグインで発見された脆弱性を悪用する攻撃者は、脆弱なサーバ上で任意のコード実行の機会を手にする。この脆弱性 CVE-2025-26865 は、テンプレート・エンジンで使用される特殊要素の不適切な無効化に起因し、深刻度は Important に分類されている。
Continue reading “Apache OFBiz の脆弱性 CVE-2025-26865 が FIX：リモートコード実行の恐れ”Apple Ships iOS 18.3.2 to Fix Already-Exploited WebKit Flaw
2025/03/11 SecurityWeek — 3月11日 (火) に Apple が発表したのは、モバイル OS の古いバージョンで悪用されている、WebKit の欠陥に対する修正を取り込んだ、iOS 18.3.2／iPadOS 1q8.3.2 のリリースである。この脆弱性 CVE-2025-24201 を悪用する攻撃者は、Web Content サンドボックスを突破する。Apple は「iOS バージョン 17.2 以下を使用する、特定の個人を標的にする、きわめて高度な攻撃で、悪用された可能性がある」と警告している。
Continue reading “Apple iOS の脆弱性 CVE-2025-24201 が FIX：USB 制限モードの欠陥を修正”Microsoft March 2025 Patch Tuesday fixes 7 zero-days, 57 flaws
2025/03/11 BleepingComputer — 今日は Microsoft の 2025年3月の Patch Tuesday だ。今月の Patch Tuesday では、 57 件の欠陥に対するセキュリティ・アップデートが提供され、その中には７つのゼロデイ脆弱性が含まれている。この Patch Tuesday では、６件の Critical 脆弱性も修正されている。それらは、すべてリモート・コード実行の脆弱性である。
Continue reading “Microsoft 2025-03 月例アップデート：７件のゼロデイを含む 57件の脆弱性に対応”CISA Adds Five Actively Exploited Vulnerabilities in Advantive VeraCore and Ivanti EPM to KEV List
2025/03/11 TheHackerNews — 3月10日 (月) に、米国の Cybersecurity and Infrastructure Security Agency (CISA) は、Advantive VeraCore と Ivanti Endpoint Manager (EPM) の５つのつのセキュリティ上の欠陥を、実際に悪用されている証拠に基づき、Known Exploited Vulnerabilities (KEV) カタログに登録した。
Continue reading “CISA KEV 警告 25/03/10：Advantive VeraCore と Ivanti EPM の脆弱性を登録”CVE-2025-24813 Flaw in Apache Tomcat Exposes Servers to RCE, Data Leaks: Update Immediately
2025/03/10 SecurityOnline — Apache Tomcat に、深刻な脆弱性 CVE-2025-24813 が発見された。この脆弱性の悪用に成功した攻撃者は、リモート・コード実行／機密情報の漏洩／データの破損などを引き起こす機会を手にする。Apache Software Foundation は、緊急のセキュリティ・アドバイザリを発行し、影響を受けるバージョンのユーザーに対して速やかな更新を促している。
Continue reading “Apache Tomcat の脆弱性 CVE-2025-24813 が FIX：RCE／情報漏洩／データ破損などの恐れ”CVE-2025-27816 (CVSS 9.8): Critical Vulnerability in Veritas InfoScale Could Allow RCE
2025/03/10 SecurityOnline — Veritas が発行したのは、Arctera InfoScale に存在する、脆弱性 CVE-2025-27816 (CVSS：9.8) に関する重要なセキュリティ・アドバイザリである。この欠陥を悪用する攻撃者は、影響を受けるシステム上で任意のコード実行の可能性を手にする。この脆弱性は、.NET リモート・エンドポイントにおける、信頼できないデータへの安全が確保されないデシリアライゼーションに起因する。
Continue reading “Veritas InfoScale の脆弱性 CVE-2025-27816 (CVSS 9.8)：パッチが提供されるまでの緩和策は？”CVE-2024-56325 (CVSS 9.8): Authentication Bypass Vulnerability Discovered in Apache Pinot
2025/03/10 SecurityOnline — LinkedIn と Uber により開発が始まった、高性能リアルタイム OLAP データストア Apache Pinot は、低レイテンシ分析に依存する組織にとって重要なツールとなっている。その Pinot で、新たに発見された認証バイパス脆弱性 CVE-2024-56325 (CVSS：9.8) により、認証を必要としないリモート攻撃者が、影響を受けるシステムに不正アクセスするという、深刻なセキュリティ上の懸念が生じている。
Continue reading “Apache Pinot の脆弱性 CVE-2024-56325 (CVSS 9.8) が FIX：深刻な認証バイパスの恐れ”Cobalt Strike Abuse Dropped 80% in Two Years
2025/03/10 SecurityWeek — Cobalt Strike の開発元である Fortra によると、この敵対者シミュレーション・ツールの悪用が、直近の２年間で大幅に減少しているという。Cobalt Strike は、敵対者シミュレーション用に設計された正規のポスト・エクスプロイト・ツールだが、悪意の活動に活用できるクラック版のコピー (通常は旧バージョン) を作成する方法を、脅威アクターたちは見つけ出した。このツールは、利益を追求するサイバー犯罪者と、国家に支援される APT グループにより悪用されている。
Continue reading “Cobalt Strike の無許可コピーが 80% も減少：Fortra の２年間にわたる努力が報われてきた”Popular JavaScript Library ‘Axios’ Exposes Millions to Server-Side Vulnerabilities (CVE-2025-27152)
2025/03/10 SecurityOnline — 広く使用されている JavaScript ライブラリ Axios に、新たな脆弱性が発見された。この脆弱性 CVE-2025-27152 (CVSSv4：7.7) の悪用により、サーバサイド・リクエスト・フォージェリ (SSRF) や認証情報漏洩のリスクに、何百万ものユーザーがさらされるという。
Continue reading “Axios JavaScript Library の深刻な脆弱性 CVE-2025-27152 が FIX：SSRF と PoC エクスプロイト”
IoT OT Security News 
You must be logged in to post a comment.