September 10, 2025 – IoT OT Security News

Cursor AI Code Editor の脆弱性 CVE-N/A：Workspace Trust 無効化による悪意の自動実行

Cursor AI Code Editor RCE Vulnerability Enables “autorun” of Malicious on your Machine

2025/09/10 CyberSecurityNews — Cursor AI Code Editor に、リモート・コード実行の脆弱性が発見された。この脆弱性により、悪意のコード・リポジトリが自動的に開かれ、ユーザーのマシン上でコードが実行される可能性がある。この脆弱性を発見した Oasis Security の研究チームは、人気エディタのデフォルト・コンフィグの悪用による、一般的なユーザー・プロンプトのバイパスを実証している。

GitLab の深刻な脆弱性 CVE-2025-6454／2256 などが FIX：DoS と SSRF の可能性

Multiple Vulnerabilities in GitLab Patched, Blocking DoS and SSRF Attack Vectors

2025/09/10 gbhackers — GitLab が公開したのは、６件の深刻な脆弱性に対応するための、重要なセキュリティ・アップデートである。それらの脆弱性は複数バージョンに影響を及ぼし、サービス拒否攻撃／サーバサイド・リクエスト・フォージェリ (SSRF)／情報漏洩などを引き起こす可能性のあるものだ。GitLab は、Community／Enterprise Edition のバージョン 18.3.2／18.2.6／18.1.6 をリリースし、すべてのセルフ・マネージド環境に対して、速やかなアップグレードを強く推奨している。

Active Directory Domain Services の脆弱性 CVE-2025-21293：ドメイン・コントローラの完全制御にいたる

Microsoft Warns of Active Directory Domain Services Vulnerability, Let Attackers Escalate Privileges

2025/09/10 CyberSecurityNews — Microsoft が発表したのは、Active Directory ドメイン・サービスに存在する、深刻なセキュリティ脆弱性 CVE-2025-21293 に関する警告である。すでにシステムへの初期アクセスを取得している攻撃者が、この脆弱性の悪用に成功すると権限昇格を達成し、影響を受けるドメイン・コントローラを完全に制御することで、ネットワーク・インフラのセキュリティ侵害の可能性が生じる。

Microsoft Office の RCE 脆弱性 CVE-2025-54910／54906 が FIX：悪意のファイルに要注意

Critical Flaws in Microsoft Office Enable Remote Code Execution by Attackers

2025/09/10 gbhackers — Microsoft が 2025年9月9日の Patch Tuesday で公開したのは、Office スイートに存在する２件の深刻なセキュリティ脆弱性に関する情報である。これらの脆弱性を悪用する攻撃者は、影響を受けるシステム上で任意のコードを実行できる。脆弱性 CVE-2025-54910／CVE-2025-54906 が影響を及ぼす範囲は、Windows 版の Microsoft Office であり、攻撃に成功した攻撃者に、マシンの完全な制御を奪われる可能性がある。

Google Drive Desktop for Windows の大問題：共有マシン上のローカル・キャッシュが分離されない

Google Drive Desktop for Windows Vulnerability Grants Full Access to Another User’s Drive

2025/09/10 CyberSecurityNews — Windows 版 Google Drive Desktop アプリにセキュリティ上の脆弱性が発見された。この脆弱性により、共有マシンにログインしているユーザーが、認証情報を入力することなく、他ユーザーの Drive ファイルへの完全なアクセスを取得する可能性がある。この問題の根本的な原因は、Drive Desktop アプリがキャッシュ・データを処理する際の、アクセス制御メカニズムの欠陥にある。Google Drive は、利便性とセキュリティの両面から広く信頼されているが、今回の脆弱性は、その前提を揺るがすものだ。

Sophos Wireless Access Point の脆弱性 CVE-2025-10159 が FIX：認証バイパスの恐れ

Sophos Wireless Access Point Vulnerability Allows Attackers to Bypass Authentication

2025/09/10 gbhackers — Sophos が公開したのは、AP6 Series Wireless Points に存在する、深刻な認証バイパスの脆弱性 CVE-2025-10159 に対応する、重要なセキュリティ・アドバイザリである。影響を受けるデバイスの管理インターフェイスにアクセスできる攻撃者が、この脆弱性を悪用すると、完全な管理者権限を取得する可能性がある。定期的な社内セキュリティ・テストを通じて、この問題を発見した Sophos は、すでにファームウェア・アップデートをリリースし、潜在的な攻撃から顧客を保護している。

Windows BitLocker の脆弱性 CVE-2025-54911／54912 が FIX：メモリ破損による権限昇格

Windows BitLocker Vulnerability Let Attackers Elevate Privileges

2025/09/10 CyberSecurityNews — Microsoft は、Windows BitLocker 暗号化機能に影響を及ぼす、２件の重大な権限昇格の脆弱性に対応した。これらの脆弱性 CVE-2025-54911／CVE-2025-54912 は、2025年9月9日の Patch Tuesday で公開され、深刻度は Important と評価されている。この脆弱性を悪用する権限を持つ攻撃者は、侵害したマシン上の SYSTEM 権限を完全に取得し、BitLocker が提供すべきセキュリティ層を回避する可能性を手にする。

SAP NetWeaver の脆弱性 CVE-2025-42922 が FIX：認証済み攻撃者による任意のコード実行

Critical SAP NetWeaver Flaw Allows Attackers to Execute Arbitrary Code

2025/09/10 gbhackers — SAP が公表したのは、NetWeaver AS Java Deploy Service の Deploy Web Service コンポーネントで発見された、深刻な脆弱性 CVE-2025-42922 に関する情報である。この脆弱性を悪用する認証済み攻撃者は、任意のコード実行により、システム全体を侵害する可能性があるため、SAP 環境を運用する組織に深刻なリスクが生じている。

Google Chrome の脆弱性 CVE-2025-10200／10201 が FIX：リモート・コード実行の恐れ

Chrome Security Update Patches Critical Remote Code Execution Vulnerability

2025/09/10 CyberSecurityNews — Google がリリースしたのは、Chrome の深刻な脆弱性 CVE-2025-10200／CVE-2025-10201 を修正する、緊急セキュリティ・アップデートである。この脆弱性を悪用する攻撃者は、リモートから任意のコードを実行できるため、ユーザーに対して強く推奨されるのは、Chrome ブラウザの速やかなアップデートとなる。Chrome の Stable チャンネルで提供される最新バージョンは、Windows 版の 140.0.7339.127／.128、Mac 版の 140.0.7339.132／.133／Linux 版の 140.0.7339.127 となる。