October 21, 2025 – IoT OT Security News

LANSCOPE の脆弱性 CVE-2025-61932 が FIX：ユーザーの操作を必要としない RCE

LANSCOPE Endpoint Manager Flaw Allows Remote Code Execution

2025/10/21 gbhackers — LANSCOPE Endpoint Manager のオンプレミス版に存在する、深刻なセキュリティ脆弱性が発見された。この脆弱性 CVE-2025-61932 (CVSS 3.0：9.8：Emergency) は、Client Program (MR)／Detection Agent (DA) という２つのコア・コンポーネントに対する、リモート・コード実行を引き起こし得るものだ。すでにユーザー・サイドの実環境において、この脆弱性の悪用の試みが確認されているため、提供されているパッチの速やかな適用が不可欠である。

Apache Syncope の脆弱性 CVE-2025-57738 が FIX：管理者権限で任意コード実行が可能

Apache Syncope Groovy Flaw Allows Remote Code Injection

2025/10/21 gbhackers — Apache Syncope が公開したのは、認証済み管理者にシステム上での任意のコード実行を許す深刻なセキュリティ脆弱性の情報である。この脆弱性 CVE-2025-57738 が影響を及ぼす範囲は、Apache Syncope のバージョン 3.0.14 未満／4.0.2 未満であり、悪意の Groovy コードの注入によるシステム侵害の危険性がある。

Better-Auth API キーの脆弱性 CVE-2025-61928 が FIX：特権認証の不正付与の可能性

Better Auth API keys Vulnerability Let Attackers Create Privileged Credentials For Arbitrary Users

2025/10/21 CyberSecurityNews — 人気の TypeScript 認証フレームワーク Better-Auth の API キー・プラグインに、深刻な脆弱性 CVE-2025-61928 が発見された。この脆弱性が影響を及ぼす範囲は、npm で週に約 30 万回もダウンロードされている Better-Auth の API キー・プラグイン導入環境である。悪用に成功した攻撃者は認証を必要とせずに、任意のユーザーに対して特権認証情報を付与できるようになる。

Microsoft 365 Copilot の悪用：間接プロンプト・インジェクションと情報漏洩

Microsoft 365 Copilot Flaw Lets Hackers Steal Sensitive Data via Indirect Prompt Injection

2025/10/21 gbhackers — Microsoft 365 Copilot の脆弱性を悪用する攻撃者は AI アシスタントを騙して、ドキュメント内に隠し持った指示を実行させ、テナントの機密データを取得／抽出できる状態にあった。その後に、この AI はデータを悪意の Mermaid ダイアグラムにエンコードし、それがクリックされると、盗んだ情報を攻撃者のサーバに送信する仕組みを構築していた。

ZYXEL ATP／USG 認証回避の脆弱性 CVE-2025-9133：No Patch に対する緩和策は？

ZYXEL Authorization Bypass Vulnerability Let Attackers View and Download System Configuration

2025/10/21 CyberSecurityNews — Zyxel の ATP／USG シリーズ・ファイアウォールに存在する深刻な脆弱性を悪用する攻撃者は、認証制御を回避して機密性の高いシステム・コンフィグにアクセスできるようになる。この脆弱性 CVE-2025-9133 が影響を及ぼす範囲は、ファームウェア・バージョン V5.40 (ABP5.0) 以下を実行しているデバイスであり、２要素認証 (2FA) プロセス中であっても、設定情報の不正な表示およびダウンロードが可能になる。

AdaptixC2 の悪用を検出：npm 汚染を狙う脅威アクターのポスト・エクスプロイト手法とは？

AdaptixC2 Emerges in npm Supply-Chain Exploit Against Developers

2025/10/21 gbhackers — Kaspersky のサイバー・セキュリティ研究者が、npm エコシステムを標的とした高度なサプライチェーン攻撃を発見した。この攻撃を仕掛ける脅威アクターは、正規のプロキシ・ユーティリティを装う悪意の npm パッケージを通じて、AdaptixC2 ポスト・エクスプロイト・フレームワークを配布していた。この発見が示すのは、高度なマルウェアを配信するための攻撃ベクターとして、オープンソース・ソフトウェア・リポジトリが悪用されるリスクが高まっている状況である。

ASP.NET の脆弱性 CVE-2025-55315 が FIX：深刻な HTTP スマグリング

Critical ASP.NET Vulnerability Allows Attacker To Bypass Security Feature Remotely

2025/10/21 CyberSecurityNews — Microsoft が明らかにしたのは、ASP.NET Core に存在する深刻なセキュリティ脆弱性の情報である。この脆弱性 CVE-2025-55315 (CVSS v3.1：9.9：Important) を悪用する認証済みの攻撃者は、HTTP リクエスト・スマグリングにより重要なセキュリティ保護を回避できる。この問題は、HTTP リクエストの一貫性のない処理に起因しており、HTTP リクエスト／レスポンスのスマグリング (密輸) に分類される古典的な欠陥である。