November 11, 2025 – IoT OT Security News

Ivanti Endpoint Manager の脆弱性 CVE-2025-10918／9713／11622が FIX：任意のファイル書き込みの恐れ

Ivanti Endpoint Manager Vulnerabilities Let Attackers Write Files Anywhere on Target Systems

2025/11/11 gbhackers — Ivanti は Endpoint Manager 向けに、重大なセキュリティ・アップデートを公開した。このアップデートは、深刻な３つの脆弱性 CVE-2025-10918／CVE-2025-9713／CVE-2025-11622 に対処するものである。具体的に言うと、それらの脆弱性の影響を受けるシステムでは、認証済みの攻撃者による、任意の場所への任意のファイル書き込みが可能になる。同社は 2025年11月10日に、セキュリティ・アドバイザリを公開しており、すでに最新パッチの利用が可能となっている。

Synology BeeStation のゼロデイ脆弱性 CVE-2025-12686 がFIX：RCE の可能性

Synology BeeStation 0-Day Vulnerability Let Remote Attackers Execute Arbitrary Code

2025/11/11 CyberSecurityNews — Synology が公開したのは、BeeStation OS に存在するリモート・コード実行の脆弱性 CVE-2025-12686 (ZDI-CAN-28275) に対処する緊急セキュリティ・アップデートである。この脆弱性を悪用する未認証の攻撃者は、影響を受けるデバイス上で任意のコードを実行する可能性がある。脆弱性 CVE-2025-12686 (CVSS 3：9.8：Critical) は、BeeStation OS に存在する典型的なバッファ・オーバーフロー (CWE-120) に起因し、認証やユーザー操作を必要としないネットワーク経由での攻撃を可能にする。

WatchGuard Firebox の脆弱性 CVE-2025-59396：不正な SSH アクセスと No Patch／Yes PoC

WatchGuard Firebox Flaw Allows Attackers to Gain Unauthorized SSH Access

2025/11/11 gbhackers — WatchGuard Firebox デバイスに、セキュリティ脆弱性 CVE-2025-59396 が発見された。この脆弱性を悪用する攻撃者は、認証メカニズムをバイパスし、影響を受けるシステムへの不正な SSH アクセスを取得する可能性がある。したがって、WatchGuard ファイアウォールをネットワーク・セキュリティやリモート管理に使用する組織にとって、重大な脅威が生じている。

SAP 2025年11月の Patch Day：RCE／インジェクションなどの脆弱性に対応

SAP Security Update – Patch for Critical Vulnerabilities Allowing Code Execution and Injection Attacks

2025/11/11 CyberSecurityNews — SAP は月例の Security Patch Day を公開し、18件の新規セキュリティ・ノートと 2件のアップデートを含む修正を提供した。今回のアップデートは、SAP 製品全体に影響するリモート・コード実行やインジェクション攻撃の脆弱性に対応している。SAP システムを利用する企業にとって、これらのパッチは極めて重要である。パッチ未適用の脆弱性は、脅威アクターに機密データの漏えいや業務の中断といったリスクをさらす可能性がある。SAP がユーザーに対して強く推奨するのは、サポート・ポータルを通じた修正を優先的に適用し、潜在的な悪用から環境を保護することである。

AI 企業の 65% が GitHub 上で API キーやトークンを公開：惨憺たるシークレット漏洩の現状

65% of Top AI Firms Found Exposing Verified API Keys and Tokens on GitHub

2025/11/11 gbhackers — AI に関する包括的なセキュリティ分析により、憂慮すべき実態が明らかになった。主要 AI 企業の 65% が GitHub 上で認証済みシークレットを公開し、重要な API キー／認証トークン／機密認証情報を漏洩しており、ユーザー組織全体に危険が及ぶ可能性があるという。Wiz の研究者たちが明らかにしたのは、Forbes AI 50 リストに掲載された主要 AI 企業 50 社の 65% が、検証済みシークレットを公開していたことだ。なお、これらの漏洩は目立たない場所にも存在していたという。

Triofox のゼロデイ CVE-2025-12480：悪意のペイロードによりアンチウイルス機能を侵害

Hackers Exploiting Triofox 0-Day Vulnerability to Execute Malicious Payload Abusing Anti-Virus Feature

2025/11/11 CyberSecurityNews — Gladinet の Triofox ファイル共有プラットフォームに存在する、深刻な未認証アクセスの脆弱性 CVE-2025-12480 が積極的に悪用されていることを、Google Mandiant が明らかにした。2025年8月から、この脆弱性を悪用してきた脅威アクター UNC6485 は、管理者アクセスを不正に取得してシステムを侵害し、永続的なリモート制御を確立している。脆弱性 CVE-2025-12480 が影響を及ぼす範囲は、Triofox のバージョン 16.4.10317.56372 以下である。

Zoom の複数の脆弱性が FIX：ユーザー権限操作や署名検証の失敗とサプライチェーン攻撃の恐れ

Zoom Vulnerabilities Let Attackers Bypass Access Controls to Access Session Data

2025/11/11 CyberSecurityNews — Zoom が発表したのは、Workplace アプリケーションに影響を及ぼす、複数の脆弱性に対するパッチの情報である。新たに公開された情報では、深刻度 High １件と Medium ２件の脆弱性が明らかになっており、ハイブリッド・ワーク環境で膨大な数のユーザーが利用するビデオ会議ツールの、セキュリティ確保における継続的な課題が浮き彫りになっている。コラボレーション・ソフトウェアに対する攻撃の増加について、サイバー・セキュリティの専門家たちが警告する中で、これらのアップデートは公開されている。一連の脆弱性が悪用されると、不正アクセスやシステム障害の被害にユーザーが遭遇するという。

Microsoft 2025-11 月例アップデート：１件のゼロデイを含む 63件の脆弱性に対応

Microsoft November 2025 Patch Tuesday fixes 1 zero-day, 63 flaws

2025/11/11 BleepingComputer — 今日は Microsoft の November 2025 Patch Tuesday の日だ。このパッチに含まれるのは、63 件の脆弱性に対するセキュリティ・アップデートであり、その中には現在悪用されているゼロデイ脆弱性１件がある。今回の Patch Tuesday では、深刻度 Critical の脆弱性４件が修正されている。そのうち２件はリモート・コード実行の脆弱性であり、権限昇格と情報漏洩の脆弱性が１件ずつとなる。