April 11, 2025 – IoT OT Security News

NIST NVD が運用体制を刷新：CVE バックログの解消に向けた改革とは？

NVD Revamps Operations as Vulnerability Reporting Surges

2025/04/11 InfoSecurity — 内部の混乱と脆弱性のバックログの増加に揺れた激動の１年を経て、米国 NIST (National Institute of Standards and Technology) 内の NVD (National Vulnerability Database) チームはようやく安定を取り戻した。しかし、いまの NVD は、新たな課題に直面している。つまり、報告される脆弱性の急増により膨れ上がったバックログが、再建されたチームの努力を上回る勢いを見せているのだ。

WordPress OttoKit の脆弱性 CVE-2025-3102：パッチのリリースと積極的な悪用の検出

Vulnerability in OttoKit WordPress Plugin Exploited in the Wild

2025/04/11 SecurityWeek — WordPress プラグインである OttoKit の脆弱性を、脅威アクターたちが積極的に悪用しており、多くの Web サイトに深刻な侵害の可能性があると、WordPress セキュリティ企業の Wordfence が警告している。以前には SureTriggers という名称だった OttoKit：All-in-One Automation Platform は、Web サイト管理者によるタスクの自動化と、アプリケーション／Web サイト／WordPress プラグインの連携を担うプラグインである。

Langflow の深刻な脆弱性 CVE-2025-3248 が FIX：未認証のリモート攻撃による完全な侵害

Critical Vulnerability Exposes Langflow Servers to Full Compromise

2025/04/11 SecurityOnline — エージェント型 AI ワークフロー構築ツールとして、人気を博す Langflow に新たに発見された脆弱性により、重大なセキュリティ・リスクが生じると懸念されている。この脆弱性 CVE-2025-3248 は、未認証のリモート攻撃者により容易に悪用され、Langflow サーバの完全な侵害を引き起こす可能性があるという。Horizon3.ai のセキュリティ研究者である Naveen Sunkavally が、この脆弱性を特定した。

IAB たちの戦術転換：イニシャル・アクセスの低価格／大量販売で攻撃を加速 – Check Point 調査

Initial Access Brokers Shift Tactics, Selling More for Less

2025/04/11 TheHackerNews — アンダーグラウンド市場の仲介業者であるイニシャル・アクセス・ブローカー (IAB：Initial Access Broker) は、コンピュータ・システムやネットワークへの不正侵入を専門とし、そのアクセス権を他のサイバー犯罪者に販売することで利益を得ている。この“役割分担”により、IAB はソーシャル・エンジニアリングやブルートフォース攻撃などの手法を使った脆弱性の悪用という、自身の本業に専念できるというわけだ。

Fortinet からの警告：2023年の攻撃で仕込まれたポスト・エクスプロイト手法の生存

Fortinet: Hackers retain access to patched FortiGate VPNs using symlinks

2025/04/11 BleepingComputer — Fortinet が警告するのは、侵害された FortiGate VPN デバイスの、オリジナルの攻撃ベクターが修正された後でも、以前に存在していた読み取り専用アクセスを、脅威アクター維持できるという、ポスト・エクスプロイト手法の現状である。今週の初めに Fortinet は、FortiGuard デバイスから受信したテレメトリに基づき、FortiGate／FortiOS デバイスへの侵害を警告するメールを、顧客へ向けて送信し始めた。

AMD CPU 署名検証の脆弱性 CVE-2024-36347 が FIX：未承認マイクロ・コードの実行

AMD CPU Signature Verification Vulnerability Enables Unauthorized Microcode Execution

2025/04/11 gbhackers — AMD CPU に脆弱性が発見された。この脆弱性の悪用に成功した管理者権限を持つ攻撃者は、マイクロコードの署名検証の回避と、悪意のコード実行の可能性を手にする。脆弱性 CVE-2024-36347 (CVSS：6.4：Medium) は、AMD EPYC サーバ・プロセッサおよび、一部のコンシューマ向け Ryzen チップの、複数の世代に対して影響を及ぼす。

WordPress InstaWP の脆弱性 CVE-2025-2636 が FIX：サーバの制御を奪われる可能性

InstaWP Connect Plugin Exposes WordPress Sites to Critical File Inclusion Vulnerability

2025/04/11 SecurityOnline — WordPress の InstaWP Connect プラグインに深刻なセキュリティ脆弱性が確認され、このツールを使用する Web サイトに重大なリスクが生じている。この脆弱性 CVE-2025-2636 は、未認証のローカル PHP ファイル・インクルードの脆弱性であり、その影響を受ける Web サイトを、攻撃者が完全に制御する可能性がある。

Joomla の脆弱性 CVE-2025-25226／25227 が FIX：SQLi とMFA バイパスの恐れ

Joomla Security Alert: Critical SQL Injection & MFA Bypass Vulnerabilities Uncovered

2025/04/11 SecurityOnline — Joomla プロジェクトが発表したのは、CMS／Database パッケージに影響を及ぼす２つの深刻な脆弱性に対処する、セキュリティ・アナウンスメントである。その内容は、SQL インジェクションの脆弱性 CVE-2025-25226 と、２要素認証バイパスの脆弱性 CVE-2025-25227 である。

Spotfire 製品群の脆弱性 CVE-2025-3114／3115 が FIX：コード実行とシステム侵害の恐れ

Critical Vulnerabilities in Spotfire Products Allow Code Execution (CVE-2025-3114, CVE-2025-3115)

2025/04/11 SecurityOnline — Cloud Software Group が公開したのは、任意のコード実行やシステム侵害を許す可能性のある、Spotfire 製品の深刻な脆弱性に対するセキュリティ・アドバイザリである。このアドバイザリでは、脆弱性 CVE-2025-3114／CVE-2025-3115 ついて、詳細が説明されている。

Palo Alto が警告するブルートフォース試行の増加：前回のログイン・スキャンとの関連性は？

Palo Alto Networks Warns of Brute-Force Attempts Targeting PAN-OS GlobalProtect Gateways

2025/04/11 TheHackerNews — Palo Alto Networks が明らかにしたのは、PAN-OS GlobalProtect ゲートウェイに対する、ブルートフォース攻撃によるログイン試行を観測したという情報である。先日に警告されたのは、同社のアプライアンスを狙う脅威アクターたちの、不審なログイン・スキャン活動の急増だったが、それから数日後に、新たな悪意のアクティビティが観測されている。

Ivanti の脆弱性 CVE-2025-22457：APT による攻撃の解析と PoC の提供

Ivanti 0-Day RCE Flaw Exploitation Details Revealed

2024/04/11 gbhackers — Ivanti が公表した、認証不要の深刻なリモート・コード実行 (RCE) の脆弱性 CVE-2025-22457 により、サイバー・セキュリティ業界全体に懸念が広がっている。この脆弱性は複数の Ivanti 製品に影響を及ぼすものであり、攻撃者に対してリモート・コード実行を許すため、企業の機密環境が危険にさらされる可能性がある。その一方で、Rapid7 の脆弱性対策チームなどの研究者たちが、この脆弱性の悪用の方法と、その修正に必要な手順について、詳細な分析結果を公開している。

DNS Library “c-ares” の深刻な脆弱性 CVE-2025-31498 が FIX：use-after-free の可能性

Critical Vulnerability (CVE-2025-31498) Patched in c-ares DNS Library

2025/04/11 SecurityOnline — DNS (Domain Name System) は、人間が理解しやすいドメイン名を、コンピュータが理解できる数値の IP アドレスに変換するという、重要な役割を果たすものである。そして、この変換を促進する多くのアプリケーションコア核には、堅牢な非同期 DNS リゾルバ・ライブラリである c-ares が存在している。しかし、この最も信頼性の高いツールでさえ、潜在的な脆弱性を抱えている可能性があることを、先日に公開された CVE-2025-31498 が示している。

Jenkins Docker の脆弱性 CVE-2025-32754／32755 が FIX：トラフィック・ハイジャックの可能性

Jenkins Docker Vulnerability Allows Hackers to Hijack Network Traffic

2025/04/11 gbhackers — Jenkins Docker イメージに影響を及ぼす脆弱性が新たに発見され、ネットワーク・セキュリティに関する深刻な懸念が生じている。この脆弱性は、SSH ホストキーの再利用に起因するものであり、それそ悪用する攻撃者は Jenkins ビルド・エージェントを偽装し、機密性の高いネットワーク・トラフィックを乗っ取る機会を得る。