CISA KEV 警告 25/08/19：Trend Micro Apex One の脆弱性 CVE-2025-54948 を登録

CISA Alerts on Active Exploitation of Trend Micro Apex One Vulnerability

2025/08/19 gbhackers — Cybersecurity and Infrastructure Security Agency (CISA) は、Trend Micro Apex One の深刻な脆弱性 CVE-2025-54948 を、Known Exploited Vulnerabilities (KEV) カタログに追加した。この脆弱性は、管理コンソールのオンプレミス環境に影響を及ぼし、世界中の組織に深刻なリスクをもたらすものであり、このエンタープライズ・セキュリティ・プラットフォームを標的とする悪用の活発化が警告されている。

OS コマンド・インジェクションの脆弱性

この Trend Micro Apex One 管理コンソールに存在する、深刻な脆弱性 CVE-2025-54948 は、OS コマンド・インジェクション (CWE-78) に分類されるものである。

この脆弱性を悪用する、認証済みのリモート攻撃者は悪意のコードをアップロードし、影響を受ける環境内での任意のコマンド実行を可能にする。また、すでに初期アクセスを取得している攻撃者であれば、権限を昇格させてネットワーク全体を侵害する可能性を手にする。

CVE DetailsInformation
CVE IDCVE-2025-54948
ProductTrend Micro Apex One Management Console (on-premise)
Vulnerability TypeOS Command Injection

この脆弱性 CVE-2025-54948 の悪用の前提として、事前の認証が必要とされることを、セキュリティ研究者たちは確認している。したがって、攻撃者にとって必要となるのは、悪用に先行した有効な認証情報の取得、もしくは、別の脆弱性の悪用による初期アクセスの取得となる。

その一方で、この脆弱性の悪用に成功した攻撃者は、SYSTEM レベルのコマンド実行を達成するため、システム全体の侵害につながる可能性がある。

2025年8月18日の時点で、CISA が CVE-2025-54948 を KEV カタログに追加したことで、拘束的運用指令 (BOD) 22-01 に基づき、連邦民間行政機関にとって必須のコンプライアンス要件となる。

これらの機関は、2025年9月8日までに、ベンダーが推奨する緩和策を実施する必要があり、それが不可能な場合には製品の使用を中止する必要がある。また、クラウド・サービスに関しても、BOD 22-01 の適用可能なガイダンスに従う必要がある。

21日間という短い対応期限が設定されていることから、脅威の深刻さと対処の必要性が強調される。BOD 22-01 、連邦政府機関を対象とするものだが、CISA は Trend Micro Apex One を使用する組織に対して CISA が推奨するのは、この修復作業を優先することである。

この脆弱性について、CISA はランサムウェア・キャンペーンでの悪用を確認していないが、ランサムウェア活動として “Unknown” に分類されていることは、調査が継続中であることを示唆している。

Trend Micro Apex One への、脆弱性 CVE-2025-54948 を介したコマンド・インジェクション攻撃により、セキュリティ制御が無効化されるため、標的ネットワーク内での永続性の確立を試みる、ランサムウェア・オペレーターにとって魅力的な標的となる。

したがって、組織にとって必要なことは、ランサムウェア攻撃に関する最新情報を脅威インテリジェンス・フィードで確認し、Apex One 環境に対して追加のセキュリティ対策を実施することである。Trend Micro Apex One を使用する組織は、ベンダーからのセキュリティ・アドバイザリを速やかに確認する必要がある。

Trend Micro Apex One の管理コンソールに存在する、OS コマンド・インジェクション脆弱性 CVE-2025-54948 が、CISA KEV に登録されました。認証済みの攻撃者が細工した入力を送り込むと、任意のコマンドが実行される危険があると、この記事は指摘しています。ご利用のチームは、ご注意ください。よろしければ、Apex One で検索も、ご参照ください。