December 2025 – IoT OT Security News

Microsoft 2025-12 月例アップデート：３件のゼロデイを含む 57件の脆弱性に対応

Microsoft December 2025 Patch Tuesday fixes 3 zero-days, 57 flaws

2025/12/09 BleepingComputer — 今日は Microsoft の December 2025 Patch Tuesday の日だ。この月例セキュリティ更新プログラムでは、57 件の脆弱性が修正されている。そこには、現在悪用されている脆弱性１件と、公開済みゼロデイ脆弱性２件が含まれる。また、今回の月例セキュリティ更新プログラムでは、深刻度 Critical のリモート・コード実行の脆弱性３件も修正されている。

CISA KEV 警告 25/12/09：D-Link ルータの脆弱性 CVE-2022-37055 を登録

CISA Warns of D-Link Routers Buffer Overflow Vulnerability Exploited in Attacks

2025/12/09 CyberSecurityNews — D-Link ルーターに影響を与える深刻なバッファ・オーバーフロー脆弱性 CVE-2022-37055 が、CISA の Known Exploited Vulnerabilities (KEV) カタログに追加された。それが示すのは、すでに米連邦政府内の実環境で、この脆弱性の悪用が確認されていることである。この脆弱性は、影響を受ける D-Link ネットワーク・デバイスに依存する組織のネットワークに深刻なリスクをもたらすものだ。

React2Shell の悪用試行の拡大を観測：中国に支援される脅威アクターによる攻撃キャンペーン

React2Shell Vulnerability Under Attack From China-Nexus Groups

2025/12/08 DarkReading — 人気のオープンソース JavaScript ライブラリ React に影響を与える深刻な脆弱性が、中国の国家に支援される脅威アクターたちの攻撃対象となっている。2025年12月3日 (水) に公開された CVE-2025-55182 は、未認証の攻撃者にリモート・コード実行 (RCE) を許す脆弱性である。この脆弱性は、安全でないデシリアライゼーションに起因し、React の広範な利用と、認証前の RCE の可能性により、深刻度は CVSS 10.0 と評価されている。

70種類のペンテスト・ツールを統合：NETREAPER が提供するシンプルなメニュー・ベースの環境とは？

NETREAPER Offensive Security Toolkit That Wraps 70+ Penetration Testing Tools

2025/12/08 CyberSecurityNews — OFFTRACKMEDIA Studios が開発した統合型の攻撃セキュリティ・ツールキット NETREAPER は、70 種類以上のペンテスト・ツールを単一の使いやすいコマンドライン・インターフェイスに統合するものだ。この革新的な機能により、複数ターミナル上での操作／構文の記憶／各種のツールの管理といった煩雑な作業が解消される。

WordPress Sneeit プラグインの CVE-2025-6389 が FIX：ICTBroadcast の脆弱性 CVE-2025-2611 とボットネット攻撃

Sneeit WordPress RCE Exploited in the Wild While ICTBroadcast Bug Fuels Frost Botnet Attacks

2025/12/08 TheHackerNews — WordPress 用プラグイン Sneeit Framework に存在する、深刻なリモートコード実行の脆弱性 CVE-2025-6389 (CVSS スコア: 9.8) が、脅威アクターたちにより悪用されていることが明らかになった。その影響が及ぶ範囲は、Sneeit Framework のバージョン 8.3 以下となる。この脆弱性は、2025年8月5日にリリースされたバージョン 8.4 で修正されている。Wordfence のデータによると、このプラグインは 1,700 以上のアクティブ・インストールを保有するという。

IDEsaster という新たな脆弱性クラス：GitHub Copilot／Gemini CLI／Claude などに深刻な影響

Critical Vulnerabilities in GitHub Copilot, Gemini CLI, Claude, and Other Tools Impact Millions of Users

2025/12/08 CyberSecurityNews — AI 駆動型 IDE (Integrated Development Environment) の登場により、ソフトウェア開発環境は根本的に変化した。GitHub Copilot／Gemini CLI／Claude Code などのツールは、単純な自動補完エンジンから、タスクを実行する自律エージェントへと進化した。しかし、生産性の急速な追求がセキュリティ・ギャップを生み出している。本来は自律性を想定して設計されていないレガシー IDE アーキテクチャを、それぞれのベンダーがエージェントに直接統合したことで、図らずも攻撃対象領域が拡大されてしまった。それを IDEsaster と呼ぶ。

Next.js 用の React2Shell スキャナーがリリース：影響を受けるアプリの自動検出とパッチ適用

Next.js Releases Scanner to Detect and Fix Apps Affected by React2Shell Vulnerability

2025/12/08 gbhackers — Next.js が発表したのは、深刻な React2Shell 脆弱性との戦いに用いる新たなツールのリリース情報である。この新しいスキャナーにより、開発チームに対してシンプルなワンライナー・ソリューションが提供され、Next.js／React Server Components (RSC) の脆弱なバージョンの特定および、必要なセキュリティ・アップデートの速やかな適用が可能になる。

LockBit 5.0 のインフラが漏洩：判明した IP アドレスとドメインのブロックが必須

LockBit 5.0 Infrastructure Exposed in New Server, IP, and Domain Leak

2025/12/07 CyberSecurityNews — LockBit 5.0 の主要インフラが漏洩した。それにより明らかになったのは、IP アドレス “205.185.116.233” とドメイン “karma0.xyz” が、このランサムウェア・グループの最新リークサイトをホストしているという事実である。研究者 Rakesh Krishnan によると、このサーバは違法行為に頻繁に悪用されるネットワーク AS53667 (PONYNET：FranTech Solutions が運営) でホストされている。

Google UUID／pborman ライブラリを装う悪意の Go パッケージ：開発者を標的に４年間も存続

Malicious Go Packages Impersonate Google’s UUID Library to Steal Sensitive Data

2025/12/06 gbhackers — Go プログラミング／エコシステムには、４年以上も前から危険な要素が潜んでいた。人気の Google ツールを装う２つの悪意のソフトウェア・パッケージを、Socket Threat Research Team のセキュリティ研究者が発見した。これらの偽パッケージは、多忙な開発者を欺くように設計され、2021年5月以降において秘密裏にデータを盗み続けていた。

Palo Alto GlobalProtect／SonicWall SonicOS API を標的とするスキャン活動：VPN ログイン試行が再び増加

New wave of VPN login attempts targets Palo Alto GlobalProtect portals

2025/12/06 BleepingComputer — Palo Alto Networks の GlobalProtect ポータルを標的とするログイン試行と、SonicWall SonicOS API エンドポイントに対するスキャン活動が確認された。それらの活動は 12月2日に開始され、ドイツの IT 企業 3xK GmbH が運営するインフラからの 7,000 以上の IP アドレスを起源としている。3xK GmbH は独自の BGP ネットワーク (AS200373) を運用し、ホスティング・プロバイダーとして活動している企業である。

React を用いるサービス 215 万件以上が攻撃対象：React2Shell 公開直後から積極的な悪用を確認

2.15M Next.js Web Services Exposed Online, Active Attacks Reported – Update Immediately

2025/12/06 gbhackers — React の深刻な脆弱性 CVE-2025-55182 (通称 “React2Shell”) の公表を受け、世界中のセキュリティ・チームがシステムへのパッチ適用を急いでいる。この欠陥は React Server Components (RSC) に影響を及ぼし、CVSS スコアは最高評価の 10.0 に達しており、深刻な影響と悪用されやすさを示している。

Google Gemini CLI 標的の PoC：GitHub Actions などに影響する深刻な AI プロンプト脆弱性

Researchers Hack Google’s Gemini CLI Through Prompt Injections in GitHub Actions

2025/12/06 CyberSecurityNews — PromptPwnd と呼ばれる深刻な脆弱性クラスは、GitHub Actions および GitLab CI/CD パイプラインに統合された AI エージェントに影響を与える。この脆弱性を悪用する攻撃者は、Issue タイトルや Pull Request 本文といった信頼できないユーザー入力を介して悪意のプロンプトを注入し、AI モデルを騙して特権コマンドを実行させ、機密情報の漏洩やワークフローの改竄を引き起こす。少なくとも Fortune 500 企業の５社が影響を受ける可能性があり、その中にはパッチが適用されたばかりの Google Gemini CLI リポジトリも含まれていた。

Perplexity Comet 標的の Zero-Click 攻撃：悪意のメールを介した Google Drive 操作

Zero-Click Agentic Browser Attack Can Delete Entire Google Drive Using Crafted Emails

2025/12/05 thehackernews — Perplexity の Comet ブラウザを標的とする、新たなエージェント型ブラウザ攻撃が、最新の調査により発見されたと Straiker Labs が公表した。この攻撃は、無害に見えるメールを破壊的なアクションに変貌させ、ユーザーの Google Drive コンテンツ全体を消去する能力を持つ。ゼロクリックの Google Drive ワイパー攻撃は、Comet ブラウザを Gmail や Google Drive などのサービスに接続して定型タスクを自動化し、メール閲覧／ファイルとフォルダの閲覧に加えて、コンテンツの移動／変更／削除といった操作へのアクセスを許可するものだ。

React2Shell CVE-2025-55182 対策で問題が発生：Cloudflare がダウンした理由は？

Cloudflare Outage Caused by React2Shell Mitigations

2025/12/05 securityweek — 12月3日に明らかになった React2Shell (CVE-2025-55182) とは、認証を必要としないリモート・コード実行を、脅威アクターに許す脆弱性である。したがって、React の広範な利用状況を考えると、React2Shell の悪用機会に中国由来の脅威アクターたちが飛びついたのは当然のことである。Google Cloud／AWS／Cloudflare などの企業は、この脆弱性に即座に対応した。

Apache Tika Core の脆弱性 CVE-2025-66516 が FIX：悪意の PDF を介した情報漏洩

Apache Tika Core Flaw Allows Attackers to Exploit Systems with Malicious PDF Uploads

2025/12/05 gbhackers — Apache メンテナーが公表したのは、Apache Tika に存在する深刻な脆弱性に関するセキュリティ・アドバイザリである。この脆弱性を悪用する攻撃者は、悪意の PDF ファイルをアップロードするだけで情報漏洩を引き起こす可能性がある。なお、この脆弱性 CVE-2025-66516 が影響を及ぼす範囲は、Apache Tika コア／Apache Tika パーサ／Apache Tika PDF パーサ・モジュールとなる。

NVIDIA Triton の脆弱性 CVE-2025-33211／33201 が FIX：悪意のペイロードによる DoS 攻撃

NVIDIA Triton Vulnerability Let Attackers Trigger DoS Attack Using Malicious Payload

2025/12/05 CyberSecurityNews — NVIDIA が公表したのは、Triton Inference Server の脆弱性 CVE-2025-33211／CVE-2025-33201 を修正する、緊急セキュリティ・アップデートのリリースである。どちらの脆弱性も CVSS スコア 7.5 であり、緊急のパッチ適用が優先されるべき脅威であることを示している。これらの脆弱性がリモートの攻撃者に悪用されると、システム・クラッシュが生じる可能性があるという。

Avast Antivirus の脆弱性 CVE-2025-13032：サンドボックス下での権限昇格

Avast Antivirus Sandbox Vulnerabilities Allow Privilege Escalation

2025/12/05 gbhackers — Avast Antivirus の aswSnx.sys ドライバに存在するカーネルヒープ・オーバーフローの脆弱性 CVE-2025-13032 を、SAFA の研究者たちが発見した。この脆弱性が影響を及ぼす範囲は、Avast Antivirus for Windows のバージョン 25.3 以下である。この脆弱性は IOCTL 処理におけるダブルフェッチの問題に起因し、プール・オーバーフローを引き起こすローカル攻撃者に対して、SYSTEM 権限への昇格を許すものだ。また、この脆弱性の悪用にはサンドボックス内での操作が必要であり、一般的に想定されるサンドボックス・エスケープの攻撃シナリオとは異なる性質を持つ。

脆弱性 React2Shell CVE-2025-55182：PoC エクスプロイト公開により警戒高まる

PoC Exploit Released for Critical React, Next.js RCE Vulnerability (CVE-2025-55182)

2025/12/05 CyberSecurityNews — React Server Components に存在するリモート・コード実行 (RCE) 脆弱性 React2Shell に対する概念実証 (PoC) エクスプロイトが公開された。この脆弱性 CVE-2025-55182 は CVSS：10.0 と評価されており、世界中の開発者に警戒が高まっている。この脆弱性が影響を及ぼす範囲は、React のバージョン 19.0.0～19.2.0、および、App Router を使用する Next.js 15.x／16.x となる。サーバ機能を明示的に実装していないアプリケーションであっても、React Server Components (RSC) を使用している場合には影響を受ける可能性がある。

Synology BeeStation 脆弱性チェーンの再武器化：タスクスケジューラ経由の root 権限昇格

Chained Synology BeeStation Vulnerabilities Enable Root Privilege Escalation via Task Scheduler Exploit

2025/12/05 gbhackers — Pwn2Own Ireland 2025 に向けた準備において、Synology NAS の N-day 脆弱性を再調査していたセキュリティ研究者が、Synology BeeStation (BST150-4T) の既存のエクスプロイト・チェーンに新たな手法を加えた。従来の PHP ベースのペイロードとは異なるものであり、システム・タスクスケジューラを悪用することで、未認証による root 権限でのリモート・コード実行 (RCE) を実証するものだ。

Splunk Enterprise／Universal Forwarder の脆弱性 CVE-2025-20386／20387 が FIX：権限昇格の恐れ

Splunk Enterprise Vulnerabilities Allow Privilege Escalation Via Incorrect File Permissions

2025/12/05 CyberSecurityNews — Splunk が公表したのは、Windows 向け Enterprise／Universal Forwarder のインストール／アップグレード時における、不適切なファイル権限設定に起因する深刻な脆弱性である。この脆弱性に対しては、Splunk Enterprise では CVE-2025-20386 CVSS 8.0 (High) が、Splunk Universal Forwarder では CVE-2025-20387 CVSS 8.0 (High) が割り当てられている。管理者以外のユーザーであっても、機密性の高いインストール・ディレクトリとコンテンツへのアクセスが許されるため、権限昇格に至る可能性がある。

GitHub Actions／GitLab CI/CD とプロンプト・インジェクション：Fortune 500 企業への影響を確認

Prompt Injection Vulnerability in GitHub Actions Impacts Multiple Fortune 500 Companies

2025/12/05 gbhackers — ソフトウェア開発における Artificial Intelligence (AI) の活用が引き起こす副作用が、新しいタイプのセキュリティ脆弱性となり、大企業を危険にさらしている。Aikido Security が発見したのは、PromptPwnd という名の脆弱性である。この脆弱性により、GitHub Actions／GitLab CI/CD パイプライン内で動作する AI エージェントが、攻撃者に乗っ取られる可能性が生じている。

Cacti の脆弱性 CVE-2025-66399 が FIX：SNMP 入力検証の不備と PoC の提供

Cacti Command Injection Vulnerability Let Attackers Execute Malicious Code Remotely

2025/12/05 CyberSecurityNews — Cacti に存在する、深刻なコマンド・インジェクションの脆弱性 CVE-2025-66399 を悪用する認証済みの攻撃者は、リモートから任意コードを実行する機会を得る。その結果として、このオープンソースのネットワーク監視ツールの、インフラ全体が侵害される可能性がある。この脆弱性は、SNMP コミュニティ文字列を処理するデバイス管理インターフェイス (host.php) の、デバイス・コンフィグ機能の入力検証の不備に起因し、バージョン 1.2.28 以下に影響を及ぼす。

CISA KEV 警告 25/12/02：Android フレームワークの脆弱性 CVE-2025-48572／48633 を登録

CISA Warns of Android 0-Day Vulnerability Exploited in Attacks

2025/12/03 CyberSecurityNews — 米国の CISA は、Android フレームワークで実際に悪用が確認されている、２件の深刻な脆弱性を Known Exploited Vulnerabilities (KEV) カタログに追加した。これらの脆弱性により Android OS が標的化され、世界中の多数のデバイスに影響を与える恐れがある。CISA は 2025年12月2日に、Android フレームワークの権限昇格の脆弱性 CVE-2025-48572 と、情報漏洩の脆弱性 CVE-2025-48633 を KEV カタログに追加した。連邦政府機関および重要インフラ事業者には、2025年12月23日までにパッチを適用することを義務付けられている。

Akamai Edge Server の脆弱性 CVE-2025-66373 が FIX：HTTP リクエスト・スマグリング

Akamai Patches HTTP Request Smuggling Vulnerability in Edge Servers

2025/12/04 CyberSecurityNews — Akamai のエッジサーバ・インフラに存在する、深刻な HTTP リクエスト・スマグリング脆弱性が修正された。この脆弱性 CVE-2025-66373 は、無効なチャンク・エンコード本文を含む HTTP リクエストに対する不適切な処理に起因しており、広範なユーザー環境を高度な攻撃にさらす可能性を持つものだった。

ReactJS／Next.js の脆弱性 CVE-2025-55182：RSC エンドポイント検出ツールが提供された！

New Scanner Released to Detect Exposed ReactJS and Next.js RSC Endpoints (CVE-2025-55182)

2025/12/04 gbhackers — 最新の Web アプリケーションに存在する、脆弱な React Server Component (RSC) エンドポイントを特定するための専用スキャンツールを、セキュリティ研究者たちがリリースした。このツールは、脆弱性 CVE-2025-55182 の検出における深刻なギャップを解消するものだ。新たに提供された Python ベースのスキャナーは、洗練されたサーフェス検出手法を導入することで、ユーザー組織における脆弱性 CVE-2025-55182 の評価方法を変革する。

Vim for Windows の脆弱性 CVE-2025-66476 が FIX：任意のコード実行の恐れ

Vim for Windows Vulnerability Let Attackers Execute Arbitrary Code

2025/12/04 CyberSecurityNews — Vim for Windows に深刻なセキュリティ脆弱性が発見された。この脆弱性を悪用する攻撃者は、ユーザーのコンピュータ上で悪意のコードを実行できる。この脆弱性 CVE-2025-66476 (CVSS：7.8：High) が影響を及ぼす範囲は、Vim のバージョン 9.1.1947 以下である。この脆弱性は、Vim が Windows システム上で外部プログラムを検索する方法に起因する。ユーザーが Vim で “grep” や “make” などのコマンドを実行するときに、この脆弱性の悪用が可能になるという。

Cloudflare で保護されるフィッシング・ドメインは全体の 70%：防御戦略の見直しが必要

Cloudflare Shielding Nearly 70% of Active Phishing Kits, New Report Reveals

2025/12/04 gbhackers — SicuraNext の包括的な脅威インテリジェンス調査により、現代のフィッシング・インフラの懸念すべき実態が明らかになった。それにより、活発なフィッシング活動の大部分が、単一の Content Delivery Network (CDN) に保護されていることが判明した。この調査では、フィッシング・キットや C2 (Command and Control) インフラとして実際に機能している、42,000 件以上の検証済みの悪意の URL とドメインが分析された。そこで浮き彫りにされたのは、高度に組織化され運営される犯罪組織が、脅威の形態を根本から変更している状況である。

PickleScan の脆弱性 CVE-2025-10155／10156／10157 が FIX：悪意の PyTorch モデルと任意のコード実行

PickleScan 0-Day Vulnerabilities Enable Arbitrary Code Execution via Malicious PyTorch Models

2024/12/04 CyberSecurityNews — 機械学習モデルをスキャンして悪意のコードを検出する、人気のオープンソース・ツール PickleScan に、深刻なゼロデイ脆弱性 CVE-2025-10155／10156／10157 が発見された。PickleScan は Hugging Face をはじめとする AI の世界で広く利用されており、Python の pickle 形式で保存された PyTorch モデルのチェックに使用されている。

K7 Antivirus の脆弱性 CVE-2024-36424：Windows SYSTEM 権限の不正取得

K7 Antivirus Flaw Lets Attackers Gain SYSTEM-Level Privileges

2025/12/04 gbhackers — K7 Ultimate Security アンチウイルス・ソフトウェアに、深刻なセキュリティ脆弱性が発見された。この脆弱性 CVE-2024-36424 の悪用に成功した攻撃者は、Windows コンピュータ上の最高レベルである SYSTEM 権限を取得できる。なお、この脆弱性の悪用は、低権限のユーザーであっても可能なため、ユーザー組織にとって大きなリスクとなる。

Foxit PDF Reader を装うマルウェア：偽の求人情報を介して ValleyRAT マルウェアを展開

Threat Actors Leveraging Foxit PDF Reader to Gain System Control and Steal Sensitive Data

2025/12/04 CyberSecurityNews — 悪意のファイルを正規の採用書類に偽装するサイバー犯罪者たちが、求職者のコンピュータにマルウェアを潜入させるために巧妙な手法を用いている。ValleyRAT と呼ばれる新たな攻撃キャンペーンは、偽の求人情報や企業資料を添付したメール・メッセージを通じて、求職活動中の人々を標的としている。この攻撃キャンペーンの主な手口は、人気の Foxit PDF Reader の武器化と悪用にある。

React／Next.js の脆弱性 CVE-2025-55182／66478 が FIX：１件の HTTP リクエストで RCE

Critical React and Next.js Flaw Lets Remote Attackers Run Malicious Code

2025/12/04 gbhackers — React Server Components に存在する深刻なセキュリティ脆弱性を悪用する未認証の攻撃者は、この人気の Web フレームワークを実行するサーバ上での、悪意のコード実行の可能性を得る。この脆弱性は、React では CVE-2025-55182、Next.js では CVE-2025-66478 として追跡され、CVSS 値は 10.0 と評価されている。なお、この脆弱性が影響を及ぼす範囲は、開発者による設定変更が行われていない、デフォルト・コンフィグレーションの環境となる。

Linux eBPF を巡る攻防：進化する BPFDoor と Symbiote の機能を分析する

BPFDoor and Symbiote: Advanced eBPF-Based Rootkits Target Linux Systems

2025/12/03 gbhackers — Extended Berkeley Packet Filter (eBPF) は、Linux カーネルにおける最も強力な技術の一つであり、サンドボックス化されたプログラムをカーネルに直接ロードすることで、ネットワーク・パケットの検査やシステムコールの監視を可能にするものだ。この機能は 2015 年に導入され、1992年の BPF アーキテクチャを近代化し、前例のない監視機能を提供することになった。しかし、一方では、高度な攻撃者に対して、ステルス性の高い新たな攻撃ベクターを提供するという諸刃の剣になっている。

WordPress King Addons の脆弱性 CVE-2025-8489 が FIX：管理者権限の窃取試行を確認

Critical Elementor Plugin Vulnerability Let Attackers Takeover WordPress Site Admin Control

2025/12/03 CyberSecurityNews — WordPress プラグイン King Addons for Elementor に存在する深刻なセキュリティ脆弱性により、数千の Web サイトが乗っ取られる危険性があると、セキュリティ研究者が警告している。この脆弱性 CVE-2025-8489 を悪用する未認証の攻撃者は、このプラグインの安全でない登録機能を介して新規アカウントを作成し、完全な管理者権限を付与する可能性がある。

ChatGPT で世界的なアクセス障害：Codex のトラブルにより会話履歴が一時的に消失

ChatGPT Down – Users Report Outage Worldwide, Conversations Disappeared for Users

2025/12/03 CyberSecurityNews — 2025年12月3日 (水) の早朝に、ChatGPT が大規模なサービス障害に見舞われ、世界中の何百万ものユーザーの業務に深刻な支障が生じた。午前6時30分頃に発生した障害により、多数のユーザーが AI チャットボットへアクセスできなくなり、また、会話履歴が消失したように見えるといった、データ可視性に関する重大な問題が発生した。OpenAI は迅速な対応を行い、すべてのシステムが短時間で復旧したと発表している。

Django の脆弱性 CVE-2025-13372／64460 が FIX：SQLi／DoS 攻撃の恐れ

Multiple Django Vulnerability Expose Applications to SQL Injection and DoS Attacks

2025/12/03 gbhackers — Django 開発チームがリリースしたのは、人気 Python Web フレームワークにおける３つのメジャー・バージョン向けの重大なセキュリティ・パッチである。このパッチで修正された、２件の脆弱性 CVE-2025-13372／CVE-2025-64460 は、アプリケーションを SQL インジェクション攻撃およびサービス拒否 (DoS) 攻撃にさらす可能性のあるものだ。

Chrome 143 の複数の脆弱性が FIX：深刻な V8 タイプ・コンフュージョンや UAF バグなどに対応

Chrome 143 Released With Fix for 13 Vulnerabilities that Enable Arbitrary Code Execution

2025/12/03 CyberSecurityNews — Chrome 143 の Stable チャンネルで Google がリリースしたのは、Linux 版 143.0.7499.40 および、Windows／Mac 版 143.0.7499.40/41 である。このアップデートで修正された 13 件のセキュリティ脆弱性には、任意コード実行やレンダリング・エンジンへの侵害を攻撃者に許す可能性のある、危険性の高い複数の欠陥も含まれている。

Angular プラットフォームの脆弱性 CVE-2025-66412：SVG 属性の悪用とコード実行の恐れ

Angular Platform Vulnerability Lets Attackers Execute Code Through Malicious SVG Animations

2025/12/03 gbhackers — Angular チームがリリースしたのは、Angular テンプレート・コンパイラの深刻な脆弱性に対処するためのセキュリティ・アップデートである。この脆弱性 CVE-2025-66412 を悪用する攻撃者は、組み込みのセキュリティ保護を回避してユーザーのブラウザで悪意のコードを実行できる。その原因の根本は、Angular コンパイラのセキュリティ・モデルの不備に起因する、蓄積型クロスサイト・スクリプティング (XSS) の問題である。

OpenVPN の脆弱性 CVE-2025-13751／13086／12106：DoS 攻撃やセキュリティ回避の可能性

OpenVPN Vulnerabilities Let Hackers Triggers Dos Attack and Bypass Security Checks

2025/12/02 CyberSecurityNews — OpenVPN が公表したのは、安定版 (2.6 シリーズ)／開発ブランチ (2.7 シリーズ) 向けの、重要なセキュリティ・アップデートのリリース情報である。これらのアップデートで修正されたのは、ローカルでのサービス拒否 (DoS)／セキュリティ回避／バッファ・オーバーリードにつながる可能性がある３件の脆弱性である。

nopCommerce の脆弱性 CVE-2025-11699 が FIX：セッション Cookie 無効化不備とアカウント乗っ取り

nopCommerce Flaw Lets Attackers Access Accounts Using Captured Cookies

2025/12/02 gbhackers — nopCommerce に存在する深刻な脆弱性 CVE-2025-11699 が、セキュリティ研究者たちにより発見された。nopCommerce は、Microsoft／Volvo／BMW などの大手企業が利用する人気のオープンソース EC プラットフォームである。この脆弱性を悪用する攻撃者は、正当なユーザーがログアウトした後であっても、取得したセッション Cookie を介してユーザー・アカウントを乗っ取ることが可能である。

Apache Struts の脆弱性 CVE-2025-64775 が FIX：ディスク枯渇による DoS 攻撃の恐れ

Apache Struts Flaw Allows Attackers to Launch Disk Exhaustion Attacks

2025/12/02 gbhackers — Apache Struts に発見されたセキュリティ脆弱性 CVE-2025-64775 を悪用する攻撃者は、サーバのディスク容量を圧迫して正常な動作を妨げる可能性がある。Apache Struts は人気のオープンソース Web アプリケーション・フレームワークであり、世界中の多くの企業で使用されているため、この脆弱性の影響の大きさが懸念されている。

OpenAI Codex CLI にコマンド・インジェクション：リポジトリを介した悪用のシナリオとは？

OpenAI Codex CLI Command Injection Vulnerability Let Attackers Execute Arbitrary Commands

2025/12/01 CyberSecurityNews — OpenAI が公表したのは、Codex CLI ツールのコマンド・インジェクション脆弱性の修正に関する情報である。この脆弱性を悪用する攻撃者は、悪意のコンフィグ・ファイルをプロジェクト・リポジトリに配置するだけで、開発者のマシン上で任意のコマンド実行の可能性を得る。この問題は、すでに Codex CLI バージョン 0.23.0 で修正されている。修正前の Codex CLI では codex コマンドの日常的な使用が、サイレントなリモート・コード実行のトリガーとなっていた。

Devolutions の脆弱性 CVE-2025-13757／13758／13765 が FIX：SQLi／機密情報漏洩などの可能性

Devolutions Server Hit by SQL Injection Flaw Allowing Data Theft

2025/12/01 gbhackers — 集中型パスワード／特権アクセスを管理する Devolutions Server に、深刻な脆弱性が発見された。開発元の Devolutions は、2025年11月27日にセキュリティ・アドバイザリ (DEVO-2025-0018) を公表して３件の脆弱性に対処した。最も危険なのは、サーバのログデータ処理に影響を及ぼす SQLインジェクション脆弱性である。この欠陥を悪用する攻撃者は、機密データの窃取や内部記録の改竄を可能にするとされており、専門家たちは深刻度 Critical と評価している。