November 14, 2025 – IoT OT Security News

ASUS DSL ルーターの脆弱性 CVE-2025-59367 が FIX：リモートからの認証バイパスの恐れ

Critical CVE-2025-59367 flaw lets hackers access ASUS DSL routers remotely

2025/11/14 SecurityAffairs — ASUS がリリースしたのは、複数の DSL ルーターに存在する深刻な認証バイパスの脆弱性 CVE-2025-59367 (CVSS：9.3) を修正するファームウェアである。この脆弱性を悪用する未認証のリモート攻撃者は、パッチ未適用のデバイスに容易にアクセスできるようになる。この脆弱性の影響を受ける範囲は、DSL-AC51／DSL-N16／DSL-AC750 ルーター・ファミリであり、ファームウェア・バージョン 1.1.2.3_1010 により修正が提供される。

Zoho Analytics Plus の脆弱性 CVE-2025-8324 が FIX：認証不要の SQLi

Critical Zoho Analytics Plus Flaw Allows Attackers to Run Arbitrary SQL Queries

2024/11/14 gbhackers — Zoho Analytics Plus オンプレミス版において、深刻な SQL インジェクションの脆弱性が発見された。この脆弱性 CVE-2025-8324 を悪用する攻撃者は、認証を必要とせずに任意の SQL クエリを実行し、データ漏洩やアカウント乗っ取りを引き起こす可能性を得る。したがって、この脆弱性の影響を受けるバージョンを運用する組織は、深刻なリスクにさらされる。

Cisco の Unified CCX の脆弱性 CVE-2025-20354／20358 が FIX：RCE と root 権限取得の恐れ

Multiple Cisco Unified CCX Vulnerabilities Enable Arbitrary Command Execution by Attackers

2025/11/14 gbhackers — Cisco が公開したのは、Cisco Unified Contact Center Express (Unified CCX) に影響を与える重大なセキュリティ脆弱性である。この脆弱性により、未認証のリモート攻撃者が任意のコマンドを実行し、権限を root まで昇格させ、認証メカニズムの回避を可能にする。脆弱性 CVE-2025-20354／CVE-2025-20358 は、Java Remote Method Invocation (RMI) プロセスと CCX Editor アプリケーションに存在し、ユーザー企業における Contact Center 導入環境に深刻なリスクをもたらす。

NVIDIA NeMo Framework の脆弱性 CVE-2025-23361／33178 が FIX：コード実行と権限昇格の恐れ

NVIDIA NeMo Framework Vulnerabilities Allows Code Injection and Privilege Escalation

2025/11/14 CyberSecurityNews — NVIDIA が公開したのは、NeMo Framework に存在する２件の深刻な脆弱性 CVE-2025-23361／CVE-2025-33178 (CVSS：7.8) に対処する緊急セキュリティ・アップデートである。これらの脆弱性の悪用に成功した攻撃者は、影響を受けるシステム上で悪意のコードを実行し、権限昇格を可能にする。これらの脆弱性が影響を及ぼす範囲は、すべてのプラットフォームにおける NeMo Framework バージョン 2.5.0 以下となる。

Imunify360 の重大な脆弱性 CVE-N/A が FIX：5,600 万以上の Web サイトが危険な状況

Critical Imunify360 Vulnerability Exposes Millions of Linux-Hosted Sites to RCE Attacks

2025/11/14 gbhackers — 世界中で約 5,600 万の Web サイトを保護するセキュリティ製品 Imunify360 AV の、深刻なリモート・コード実行 (RCE) 脆弱性 CVE-N/A が修正された。そのため、ホスティング企業にとって必要なことは、直ちにパッチを適用し、サーバ侵害を防ぐことである。この脆弱性の詳細は 2024年10月下旬に報告され始め、影響を受けるホスティング・プロバイダーにはサーバの完全性の確認が求められてきた。しかし、深刻な脆弱性にもかかわらず、Imunify360 チームは公式声明を発表しておらず、CVE 識別子も割り当てられていない。この問題は 2025年11月4日の時点で、Zendesk サポート・ポータルにひっそりと記載され、推定 CVSS スコア 8.2 と評価されている。

npm レジストリに 43,000 件以上のスパム・パッケージが拡散：２年近く検出を回避

Hackers Flooded npm Registry Over 43,000 Spam Packages Survived for Almost Two Years

2025/11/14 CyberSecurityNews — npm エコシステムを標的とする大規模な組織的スパム・キャンペーンを、セキュリティ研究者 Paul McCarty が発見した。このキャンペーンは、IndonesianFoods ワームと名付けられ、少なくとも 11 のユーザー・アカウントを用いて実行され、約２年間で公開された 43,000 件以上のスパム・パッケージで構成されている。これらのパッケージは npm レジストリ全体の 1% 以上を占め、アクティベーション待ちの状態で未検出のまま存続している。

Cisco Catalyst Center の脆弱性 CVE-2025-20341 が FIXの：権限昇格の可能性

Cisco Catalyst Center Vulnerability Allows Attackers to Escalate Privileges

2025/11/14 gbhackers — Cisco Catalyst Center Virtual Appliance に深刻なセキュリティ脆弱性が確認されている。この脆弱性を悪用する認証済のリモート攻撃者は、影響を受けるシステム上で管理者権限に昇格する可能性を得る。この脆弱性 CVE-2025-20341 は、ユーザー入力に対する不十分な検証に起因している。この脆弱性は、VMware ESXi 上で動作する Cisco Catalyst Center Virtual Appliance に存在するため、同プラットフォームを使用する組織は早急にパッチ適用を行う必要がある。

Claude Code を悪用するサイバー攻撃を観測：侵害タスクの 80%～90% を AI が自動実行

Chinese Hackers Automate Cyber-Attacks With AI-Powered Claude Code

2025/11/14 InfoSecurity — Anthropic の GenAI コーディング・アシスタント Claude Code を悪用する、史上初めてのサイバー攻撃が観測された。11月13日に Anthropic が発表した報告書によると、この攻撃者は中国政府に支援されたハッカーである可能性が高く、サイバー・スパイ活動を目的とした攻撃が展開されたという。標的となった組織には、大手テクノロジー企業、金融機関、化学製造会社、政府機関などが含まれていた。脅威アクターは、わずかな人的介入により、これらの被害者のシステムに侵入した。

FortiWeb の脆弱性 CVE-2025-52970：積極的な悪用に対する watchTowr 検出スクリプト

FortiWeb Authentication Bypass Vulnerability Exploited – Script to Detect Vulnerable Appliances

2025/11/14 CyberSecurityNews — Fortinet の FortiWeb WAF (Web Application Firewall) に存在する、深刻な認証バイパスの脆弱性 CVE-2025-52970 を脅威アクターたちが積極的に悪用しており、防御側は警戒を強めている。watchTowr Labs の研究者たちがリリースした検出アーティファクト生成スクリプトは、ユーザー環境をスキャンして脆弱な FortiWeb アプライアンスを検出し、迅速にリスクを軽減するためのものだ。

Oracle EBS のゼロデイ CVE-2025-61882 を悪用：Clop ランサムウェアが Entrust 侵害を主張

Clop Ransomware Group Allegedly Claims Breach of Entrust in Oracle 0-Day EBS Hack

2025/11/14 CyberSecurityNews — デジタル・セキュリティ企業 Entrust への侵入を、悪名高い Clop ランサムウェア・グループが主張している。この攻撃で悪用されたのは、Oracle E-Business Suite (EBS) の深刻なゼロデイ脆弱性 CVE-2025-61882 であり、Oracle のエンタープライズ・ソフトウェアを利用する組織を標的にした、Clop の継続的な攻撃の姿勢を示している。