July 8, 2025 – IoT OT Security News

Nippon Steel Solutions 発生したデータ漏洩：道のゼロデイ脆弱性が悪用された

Nippon Steel Solutions 0-Day Network Vulnerability Exposes Users Personal Information

2025/07/08 CyberSecurityNews — Nippon Steel Solutions (NSS) が公表したのは、ネットワーク・インフラに存在していた未知の脆弱性を悪用するゼロデイ・サイバー攻撃を受け、顧客／従業員／パートナーたちの個人情報に、重大なデータ漏洩が発生したことだ。2025年3月7日の時点で検知されたインシデントは、深刻なセキュリティ侵害であり、直ちに封じ込め対策を実施した同社は、外部のサイバー・セキュリティ専門家と連携することで包括的な調査を開始した。

Ivanti EPMM の脆弱性 CVE-2025-6770／6771 (High) が FIX：RCE の可能性

Ivanti Endpoint Manager Mobile Vulnerabilities Let Attackers Execute Remote Code

2025/07/08 CyberSecurityNews — Ivanti が公開したのは、Endpoint Manager Mobile (EPMM) 製品に存在する、深刻度の高い２件の脆弱性であり、それらを悪用するリモート攻撃者は、影響を受けるシステム上でのコード実行の可能性を得るという。これらの問題に対処するための、重要なアップデートをリリースした Ivanti は、速やかにパッチを適用して環境を保護するよう、顧客に対して呼びかけている。

FortiOS のヒープバッファ・オーバーフローの脆弱性 CVE-2025-24477 が FIX：RCE の可能性

FortiOS Buffer Overflow vulnerability Enables Remote Code Execution by Attackers

2025/07/08 gbhackers — Fortinet が公表したのは、FortiOS に存在する深刻なセキュリティ脆弱性 CVE-2025-24477 に関するアドバイザリである。この脆弱性を悪用する認証済みの攻撃者は、cw_stad デーモンのヒープバッファ・オーバーフローを介して、任意のコード実行の可能性を手にする。それにより、この人気のネットワーク・セキュリティ OS の複数バージョンに影響が生じるという。

DNN の脆弱性 CVE-2025-52488 が FIX：Unicode 正規化の欠陥を突くNTLM 認証情報の窃取

DNN Vulnerability Exposes NTLM Credentials via Unicode Normalization Bypass

2025/07/08 gbhackers — 最も古い OSS コンテンツ管理システムの一つである、DNN (旧DotNetNuke) に存在する深刻な脆弱性を、セキュリティ研究者たちが発見した。この脆弱性を悪用する攻撃者は、高度な Unicode 正規化バイパス技術を用いて、NTLM 認証情報の窃取を可能にするという。この脆弱性 CVE-2025-52488 が影響を及ぼす範囲は、広く利用されているエンタープライズ向けの CMS プラットフォームとなる。この脆弱性を悪用する攻撃者は、巧妙に細工されたエクスプロイトを介して、Windows および .NET Framework を侵害し、防御目的で実装されたコーディング対策を回避し得るという。

Zoom for Windows の脆弱性CVE-2025-49464／46789 が FIX：DoS 攻撃の可能性

Zoom Clients for Windows Vulnerability Exposes Users to DoS Attacks

2025/07/08 CyberSecurityNews — Zoom for Windows クライアントで発見された、２件の脆弱性を悪用する攻撃者は、サービス拒否 (DoS) 攻撃を可能にすることが明らかになった。これらの脆弱性は、セキュリティ研究者 fre3dm4n により報告されており、それぞれが CVE-2025-49464／CVE-2025-46789 として追跡されている。どちらの脆弱性の深刻度も、CVSS スコア 6.5 (Medium) と評価されている。

Ivanti ICS／IPS の脆弱性 CVE-2025-5450／5451 などが FIX：DoS 攻撃や不適切なアクセス制御の恐れ

Ivanti Products Connect Secure and Policy Secure Hit by Denial-of-Service Vulnerabilities

2025/07/08 gbhackers — Ivanti が公表したのは、Connect Secure／Policy Secure に存在する、６件の脆弱性 (Medium) に対処する、重要なセキュリティ・アップデートをリリースである。これらの脆弱性を悪用する攻撃者は、サービス拒否攻撃や不正アクセスを引き起こせるという。2025年7月8日に、これらの脆弱性を Ivanti が公表した時点では、顧客環境における悪用事例は確認されていないが、速やかなパッチ適用により、潜在的なセキュリティ侵害を防ぐことが推奨されている。

Infostealers-as-a-Service の台頭：攻撃のスキルとコストを低減し成功率を劇的に高める

Infostealers-as-a-Service Push Identity Hacks to Record Highs

2025/07/08 hackread — ユーザーのログイン情報／個人情報を標的とするサイバー攻撃を 156% も急増させ、オフィス／リモート・ワーカーの双方に影響を及ぼす、高度なインフォスティーラー／フィッシング・ツールキットの台頭を、eSentire のサイバーセキュリティ研究者たちが指摘している。それらの攻撃者は、ログイン情報およびセッション・クッキーの窃取に注力しており、その先にある、Business Email Compromise (BEC) や暗号通貨窃盗といった金融犯罪につなげていると、eSentire のレポートは指摘している。

Chrome の武器化された Extension 群：アップデートにより悪意へと変貌し 170 万人を騙す

Weaponized Chrome Extension from Webstore With Verification Badge Infected 1.7 Million Users

2025/07/08 CyberSecurityNews — Chrome ユーザー 170万人以上を感染させた、高度なマルウェア攻撃キャンペーンは、正当に見える 11個のブラウザ・エクステンションを配布するものだった。それらの、すべてのエクステンションは、Google による認証済みバッジを取得し、Chrome Web Store において注目の広告として掲載されていた。このインシデントは、最大級のブラウザ・ハイジャック攻撃であり、ユーザーが安全なエクステンションを見分けるための信頼シグナルが、悪用されたことになる。なお、この “Malicious11” キャンペーンを発見したのは、Koi Security のサイバー・セキュリティ研究者たちである。

MediaTek チップセットの複数の脆弱性が FIX：July 2025 セキュリティ速報

MediaTek July 2025 Security Update Addresses Multiple Chipset Vulnerabilitie

2025/07/08 gbhackers — MediaTek が公表した 2025年7月の製品セキュリティ速報は、さまざまなチップセットに影響を及ぼすセキュリティ脆弱性の情報を提供するものだ。この速報が対象とするのは、スマートフォン／タブレット／AIoT／スマート・ディスプレイ／スマート・プラットフォーム／OTT／コンピュータ・ビジョン／オーディオ／テレビ用チップセットなどに用いられる、チップセットに存在する脆弱性である。

Ivanti EPM の脆弱性 CVE-2025-6995／6996／7037 が FIX：パスワード復号化と SQLi の可能性

Ivanti Endpoint Manager Mobile Vulnerabilities Allow Attackers to Decrypt Other Users’ Passwords

2025/07/08 CyberSecurityNews — 2025年7月8日に Ivanti がリリースしたセキュリティ・アップデートは、同社の Endpoint Manager (EPM) ソフトウェアにおける３件の重大な脆弱性に対処するものだ。これらの脆弱性の悪用に成功した攻撃者は、他ユーザーのパスワードの復号化や、機密データベース情報への不正アクセスを達成し、Ivanti EPM に依存する組織に対して重大なリスクを引き起こす可能性を手にする。

Microsoft 2025-07 月例アップデート：１件のゼロデイを含む 137件の脆弱性に対応

Microsoft July 2025 Patch Tuesday fixes one zero-day, 137 flaws

2025/07/08 BleepingComputer — 今日は、Microsoft の July 2025 Patch Tuesday の日だ。このパッチが提供するのは、Microsoft が公開した 137件の脆弱性に対するセキュリティ・アップデートであり、その中には１件のゼロデイ脆弱性が含まれている。今回の月例パッチでは、深刻度 Critical に分類される脆弱性 14件も修正されている。そのうちの 10件はリモート・コード実行の脆弱性、１件は情報漏洩の脆弱性、２件は AMD サイド・チャネル攻撃の脆弱性となっている。

CISA KEV 警告 25/07/07：MRLG／PHPMailer／Ruby on Rails／Zimbra の脆弱性を登録

CISA Adds Four Critical Vulnerabilities to KEV Catalog Due to Active Exploitation

2025/07/08 TheHackerNews — 7月7日 (月) に米国の Cybersecurity and Infrastructure Security Agency (CISA) は、実際の悪用の証拠を確認した４件の脆弱性を、Known Exploited Vulnerabilities (KEV) カタログに登録した。それらの内訳は、Multi-Router Looking Glass (MRLG) の CVE-2014-3931／PHPMailer の CVE-2016-10033／Ruby on Rails の CVE-2019-5418／Zimbra Collaboration Suite の CVE-2019-9621 である。