November 20, 2025 – IoT OT Security News

BlueVoyant 年次レポート 2025：世界規模のサプライチェーン侵害と TPRM プログラムの現状

Supply Chain Breaches Impact Almost All Firms Globally, BlueVoyant Reveals

2025/11/20 InfoSecurity — BlueVoyant の新たな調査によると、圧倒的多数 (97%) の組織がサプライチェーン侵害による悪影響を受けている。2024 年に実施された年次調査では、サードパーティ・リスク管理 (TPRM：Third-Party Risk Management) プロバイダーからの回答の 81% が、こうしたインシデントを報告していた。それと比べると、数値が大幅に増加している。

Asus Router 50,000 台を侵害：Operational Relay Box を構築する WrtHug とは？

Over 50,000 Asus Routers Hacked in ‘Operation WrtHug’

2025/11/20 SecurityWeek — Operational Relay Box (ORB) キャンペーンの一環として、ハッカーたちは既知の脆弱性を悪用し、インターネットからローカル・ストレージへのアクセスを可能にする、ASUS ルーターの AiCloud サービスを侵害した。この Operation WrtHug と呼ばれる攻撃で悪用されたバグは、CVE-2023-41345／CVE-2023-41346／CVE-2023-41347／CVE-2023-41348／CVE-2023-39780 (CVSS：8.8) などである。これらの脆弱性は、特殊文字に対する不十分なフィルタリングに起因し、深刻なコマンド・インジェクションを引き起こすものである。

Twonky Server の脆弱性 CVE-2025-13315／13316：深刻な認証バイパスに No Patch

Critical Twonky Server Vulnerabilities Let Attackers Bypass Authentication

2025/11/20 CyberSecurityNews — Twonky Server バージョン 8.5.2 には、深刻な認証バイパスの脆弱性 CVE-2025-13315／CVE-2025-13316 が存在する。Rapid7 が明らかにしたのは、これらの脆弱性が未認証の攻撃者に連鎖的に悪用され、ユーザーによる操作や有効な認証情報なしに、管理者アカウントが侵害される可能性があることだ。これらの脆弱性は、Twonky Server の Linux／Windows プラットフォームに影響を与え、サーバ・ソフトウェアへの完全な管理者アクセス権を、攻撃者に許すことになる。

Perplexity の Comet Browser：セキュリティ境界の変更が生み出すリスクとは？

Security gap in Perplexity’s Comet browser exposed users to system-level attacks

2025/11/20 HelpNetSecurity — Perplexity が開発した AI 搭載エージェント・ブラウザ Comet に深刻なセキュリティ上の問題が存在すると、SquareX の研究者たちが述べている。Comet の MCP API には、ブラウザに内蔵されているがユーザーには表示されないエクステンションが存在する。そこからユーザーのデバイスへ向けて、直接コマンドを発行することが可能であるため、その機能を攻撃者が悪用できると指摘されている。Comet は、ローカル・システム上でのアプリケーションの実行や、ファイルの読み取り、データの変更などを可能にしている。このレベルのアクセスは、”旧式” ブラウザではブロックされるのが通常であるが、一部の AI 搭載ブラウザは、この分離層を無効化していると研究者たちは指摘している。

N-able N-central の脆弱性 CVE-2025-9316／11700 が FIX：認証バイパスによる機密情報漏洩

Critical N-able N-central Vulnerabilities Allow attacker to interact with legacy APIs and read sensitive files

2025/11/20 CyberSecurityNews — N-able の N-central RMM (remote management and monitoring) プラットフォームの脆弱性 CVE-2025-9316／CVE-2025-11700 が報告された。Horizon3.ai によると、この脆弱性により、認証されていない攻撃者が認証を回避してレガシー API にアクセスし、認証情報やデータベース・バックアップを含む機密ファイルを流出させる可能性がある。

WordPress W3 Total Cache の脆弱性 CVE-2025-9501 が FIX：認証不要のリモート・コマンド実行

W3 Total Cache Security Vulnerability Exposes One Million WordPress Sites to RCE

2025/11/20 gbhackers — 広く利用されている WordPress プラグイン W3 Total Cache に深刻なセキュリティ脆弱性 CVE-2025-9501 が発見され、100 万以上の WordPress サイトが深刻なリスクに晒されている。この脆弱性を悪用する攻撃者は、ログイン認証情報を必要とせずに、影響を受けるサイトを完全に制御する可能性がある。

CISA KEV 警告 25/11/19：Google Chrome のゼロデイ CVE-2025-13223 を登録

CISA Warns of Google Chrome 0-Day Vulnerability Exploited in Attacks

2025/11/20 CyberSecurityNews — 米国の Cybersecurity and Infrastructure Security Agency (CISA) が発令したのは、Google Chrome のゼロデイ脆弱性に関する緊急アラートである。この脆弱性 CVE-2025-13223 は Chromium V8 JavaScript エンジンの欠陥であり、脅威アクターにより積極的に悪用され、世界中のユーザーにリモート・コード実行やデータ侵害の恐れが生じている。

SolarWinds Serv-U の脆弱性 CVE-2025-40547／40548／40549 が FIX：任意コード実行の可能性

SolarWinds Patches Three Critical Serv-U Vulnerabilities

2025/11/20 SecurityWeek — 今週に SolarWinds が発表したのは、Observability Self-Hosted に存在する深刻度 Medium の脆弱性に対するパッチである。それらの３件の脆弱性は、SolarWinds Serv-U 15.5.2.2.102 に影響を及ぼすものであり、すでにバージョン 15.5.3 のリリースで修正されている。

Palo Alto の GlobalProtect VPN Portal に 230万件の不正ログイン・アクセス：狙いはブルートフォース攻撃？

Hackers Attacking Palo Alto Networks’ GlobalProtect VPN Portals with 2.3 Million Attacks

2025/11/20 CyberSecurityNews — 2025年11月14日以降において、Palo Alto Networks の GlobalProtect VPN ポータルに対して、230 万件以上の悪意のセッションが仕掛けられていると、脅威インテリジェンス企業 GreyNoise が公表した。この攻撃は 24 時間以内に 40 倍に急増し、過去 90日間で最も活発な活動レベルを記録したという。このインシデントが浮き彫りにするのは、世界中のリモート・アクセス・システムに対するリスクの増大である。

Microsoft Office のゼロデイを $30,000 で販売：Zeroplayer 脅威アクターはロシア由来？

Threat Actors Allegedly Selling Microsoft Office 0-Day RCE Vulnerability on Hacking Forums

2025/11/20 CyberSecurityNews — Microsoft Office／Windows システムを標的とする、ゼロデイのリモート・コード実行 (RCE) 脆弱性とサンドボックス・エスケープを、Zeroplayer と呼ばれる脅威アクターがアンダーグラウンドで販売しているとの報道がなされている。このエクスプロイトは $30,000 で販売され、最新バージョンを含む大半の Office ファイル形式で動作し、パッチが完全に適用された Windows にも影響を与えるとされている。

悪意の ‘Free’ VPN エクステンションに御用心：Chrome Web Store から 900 万件以上もインストール

Malicious ‘Free’ VPN Extension with 9 Million Installs Hijacks Traffic and Steals Browsing Data

2025/11/20 gbhackers — LayerX Security のセキュリティ研究者が公表したのは、ユーザー・トラフィックを傍受して閲覧データを盗み出すことを目的とする、悪意の VPN／広告ブロック・エクステンションを介した巧妙なキャンペーンである。このキャンペーンは、憂慮すべきパターンを示している。これらのエクステンションを背後で操る脅威アクターは、繰り返されてきた検出と削除の後も、より高度な回避機能を備える亜種を継続的にリリースしている。

Cline AI の４つの脆弱性：プロンプト・インジェクションによるコード実行とデータ漏洩

Cline AI Coding Agent Vulnerabilities Enables Prompt Injection, Code Execution, and Data Leakage

2025/11/20 CyberSecurityNews — Cline は、380 万回インストールされ、GitHub で 5 万2000 以上のスターを獲得している、オープンソースの AI コーディング・エージェントである。このエージェントに存在する４つの深刻なセキュリティ脆弱性を悪用する攻撃者は、悪意のあるソースコード・リポジトリを介して任意のコードを実行し、機密データの窃取を可能にするという。Mindgard の研究者たちが、これらの脆弱性を発見したのは、Claude Sonnet と無料の Sonic モデルをサポートする、人気の VSCode エクステンションの調査中のことだった。

Ollama の脆弱性 CVE-N/A が FIX：悪意のモデル・ファイルを介した RCE

Ollama Flaws Let Hackers Run Any Code Using Malicious Model Files

2025/11/20 gbhackers — GitHub で人気を博すオープンソース・プロジェクトであり、155,000 以上のスターを獲得している Ollama に、深刻なセキュリティ脆弱性 CVE-N/A が発見された。この脆弱性を悪用する攻撃者は、脆弱なシステム上で任意のコード実行の可能性を得る。これらの脆弱性は、Ollama のバージョン 0.7.0 未満に影響を及ぼすものであり、このプラットフォームにより LLM をローカルで実行している、数多くの AI 愛好家や開発者を危険にさらしている。

Shadow AI インシデント：2030年までに 40% 以上の企業で発生 – Gartner

Gartner: 40% of Firms to Be Hit By Shadow AI Security Incidents

2025/11/20 infosecurity — Gartner の予測は、2030年までに世界の組織の 40%以上が、未承認の AI ツールの使用により、セキュリティおよびコンプライアンスのインシデントに見舞われるというものだ。サイバー・セキュリティ責任者を対象として、2025年の初めに実施された同社の調査によると、公開されている GenAI を従業員が職場で使用している証拠がある、もしくは、その疑いがあると、69％が回答しているという。