New Kibana Vulnerabilities Allow Attackers to Embed Malicious Scripts
2025/12/19 gbhackers — Elastic が発表したのは、Kibana の複数バージョンに影響を及ぼす、深刻なクロスサイト・スクリプティング (XSS) の脆弱性に対処する重要なセキュリティ・アップデートである。この脆弱性 CVE-2025-68385 を悪用する認証済みの攻撃者は、他のユーザーに表示される Web ページに悪意あるスクリプトを挿入できるようになる。この欠陥は、Kibana の Vega 可視化コンポーネントを含む Web ページ生成時における入力値のサニタイズ (無効化) 処理が不適切なことに起因する。この脆弱性を悪用する攻撃者により、XSS 攻撃を防ぐために設計された従来のセキュリティ対策が回避される恐れがある。
Continue reading “Elastic Kibana の脆弱性 CVE-2025-68385 が FIX：認証済み攻撃者による XSS の恐れ”Apache Log4j Vulnerability Allow Attackers to Intercept Sensitive Log Data
2025/12/19 CyberSecurityNews — Apache Logging Services が公表したのは、Log4j Core に存在する深刻なセキュリティ脆弱性 CVE-2025-68161 に関する情報である。この脆弱性の悪用により、アプリケーションのログデータが窃取／改竄される可能性があると指摘されている。この脆弱性は Log4j の Socket Appender コンポーネントに存在し、中間者攻撃の攻撃ベクターとなる恐れがある。その影響範囲は、バージョン 2.0-beta9 〜 2.25.2 までが対象となる。
Continue reading “Apache Log4j Core の脆弱性 CVE-2025-68161 が FIX：TLS 検証の不備と中間者攻撃”Roundcube Flaws Let Attackers Execute Malicious Scripts
2025/12/19 gbhackers — Roundcube が公表したのは、広く利用されているオープンソース Web メール・ソフトウェア Roundcube に存在する ２件の深刻な脆弱性に対処する重要なセキュリティ・アップデートである。これらの脆弱性を悪用する攻撃者は、悪意のスクリプト実行／機密情報の漏洩を引き起こす可能性があり、このプラットフォームをメール通信に利用する組織／個人にリスクをもたらす。
Continue reading “Roundcube の２件の脆弱性 CVE-N/A が FIX：XSS 攻撃と情報漏洩の可能性”Hackers Using PuTTY for Both Lateral Movement and Data Exfiltration
2025/12/19 CyberSecurityNews — 人気の PuTTY SSH クライアントを悪用するハッカーたちが、侵入したネットワーク内でのステルス的なラテラル・ムーブメントやデータ窃取を活発化させているようだ。これらの攻撃のフォレンジック痕跡が示すのは、その巧妙な侵害の手口である。最近の調査で明らかになったのは、ファイル・システム上の大半の証拠を消去した後に、Windows レジストリに永続化のための痕跡 (アーティファクト) を残す手法へと移行する、脅威アクターたちの戦術の転換である。
Continue reading “PuTTY を悪用する LOL 攻撃：正規のトラフィックに紛れ込むバックドア戦術を分析”WatchGuard Zero-Day Actively Exploited to Seize Control of Firewalls
2025/12/19 gbhackers — WatchGuard が公表したのは、Firebox ファイアウォール・アプライアンスに存在する深刻なゼロデイ脆弱性に関する緊急警告である。この脆弱性は、現時点において実際に悪用されている。この脆弱性 CVE-2025-14733 を悪用するリモートの攻撃者は、認証を必要とすることなく、影響を受けるデバイスを制御する可能性がある。この脆弱性は、IKEv2 VPN ネゴシエーションを処理する iked プロセス (iked.exe) に存在する、境界外書き込みの欠陥に起因する。
Continue reading “WatchGuard のゼロデイ CVE-2025-14733 が FIX：RCE によるデバイス乗っ取りの恐れ”Clop Ransomware Group Exploiting Gladinet CentreStack Servers to Steal Data
2025/12/19 CyberSecurityNews — Clop ランサムウェア・グループが開始した新たなデータ恐喝キャンペーンは、インターネットに接続された Gladinet CentreStack ファイル・サーバを標的とするものだ。この攻撃は、ファイル転送ソリューションを標的とした新たな侵害パターンであり、脅威アクターによる手口の巧妙化を示している。このキャンペーンでは、Gladinet の CentreStack／Triofox に存在する複数のセキュリティ脆弱性が悪用されているようだ。その中には、最近になって発見された脆弱性も含まれ、それを悪用する攻撃者による、企業の機密データへの不正アクセスが可能になっているようだ。
Continue reading “Gladinet CentreStack の脆弱性 CVE-2025-11371／14611：Clop ランサムウェアによる悪用を確認”U.S. CISA adds Cisco, SonicWall, and ASUS flaws to its Known Exploited Vulnerabilities catalog
2025/12/18 SecurityAffairs — 米国の Cybersecurity and Infrastructure Security Agency (CISA) が公表したのは、Cisco ／SonicWall／ASUS の脆弱性を Known Exploited Vulnerabilities (KEV) カタログに追加したことである。今回、カタログに追加された脆弱性は以下のとおりである。
Critical Vulnerability in Popular Node.js Library Exposes Windows Systems to RCE Attacks
2025/12/18 CyberSecurityNews — 大勢の開発者に人気の Node.js ライブラリ systeminformation に、深刻なセキュリティ脆弱性が存在することが公表された。この脆弱性を悪用する攻撃者は、Windows コンピュータ上で悪意のコードを実行する可能性がある。この脆弱性 CVE-2025-68154 が影響を及ぼす範囲は、5.27.13 以下の全バージョンである。したがって、開発者たちは、バージョン 5.27.14 へと速やかにアップデートする必要がある。
Continue reading “Node.js ライブラリの深刻な脆弱性 CVE-2025-68154 が FIX：入力検証の不備による RCE”HPE OneView Software Vulnerability Let Attackers Execute Remote Code
2025/12/18 CyberSecurityNews —
HPE が公表した重大なセキュリティ・アラートには、HPE OneView ソフトウェアに存在する深刻なリモートコード実行の脆弱性に関する情報が記されている。この脆弱性 CVE-2025-37164 (CVSS：10.0) を悪用するリモートの攻撃者は、認証を必要とせずに、任意のコードを実行できる。この脆弱性が影響を及ぼす範囲は、HPE OneView ソフトウェアの v11.00 未満の、すべてのサポート対象バージョンである。
Critical Apache Commons Text Flaw Lets Hackers Execute Remote Code
2025/12/18 gbhackers — Apache が公表したのは、Apache Commons Text に存在する深刻なリモート・コード実行の脆弱性に関する情報である。脆弱性 CVE-2025-46295 は、テキストの操作と処理に広く使用される Java ライブラリにおいて、テキスト文字列内の変数や式を置換するための機能に存在する。この Apache Commons Text の脆弱性が影響を及ぼす範囲はバージョン 1.10.0 以下であり、ユーザー組織に重大なセキュリティ・リスクをもたらす。
Continue reading “Apache Commons Text の脆弱性 CVE-2025-46295 が FIX：FileMaker にも影響する深刻な RCE”Cisco Unified Contact Center Express Vulnerabilities Enables Remote Code Execution Attacks
2025/12/18 CyberSecurityNews — Cisco が公表したのは、Cisco Unified Contact Center Express (Unified CCX) に存在する、２つの深刻な脆弱性に対処する緊急セキュリティ・アドバイザリである。これらの脆弱性を悪用する未認証のリモート攻撃者は、任意のコマンドを実行し、影響を受けるシステムの完全な制御を可能にする。これらの脆弱性は、Cisco のアドバイザリにおいて 2025年11月5日に公開され、2025年11月13日に更新されている。これらの脆弱性は、Unified CCX の Java Remote Method Invocation (RMI) プロセスに存在する CVE-2025-20354／CVE-2025-20358 である。
Continue reading “Cisco Unified CCX の脆弱性 CVE-2025-20354／20358 が FIX：Java RMI 関連の RCE”Fortinet FortiWeb Vulnerability (CVE-2025-64446) Exploited in the Wild for Full Admin Takeover
2025/12/17 CyberSecurityNews — Fortinet の FortiWeb WAF に存在する深刻なパス・トラバーサル脆弱性 CVE-2025-64446 を、2025年10月初旬から積極的に悪用していると、脅威アクターたちが主張している。この脆弱性を悪用する未認証の攻撃者は、不正な管理者アカウントを作成し、公開されているデバイスの完全な制御が可能になる。watchTowr Labs の研究者が新たに公開したのは、2025年11月13日に明らかにされた同脆弱性の分析結果である。この脆弱性は、パス・トラバーサルに起因する認証バイパスの問題であり、セキュリティ保護を回避する攻撃者に対して、機密性の高い CGI スクリプトへの到達を許すものである。
Continue reading “Fortinet FortiWeb の脆弱性 CVE-2025-64446：管理者アカウントを狙う攻撃を観測”SonicWall Fixes Actively Exploited CVE-2025-40602 in SMA 100 Appliances
2025/12/17 TheHackerNews — SonicWall が公開したのは、Secure Mobile Access (SMA) 100 Series アプライアンスに存在する、セキュリティ脆弱性を修正するためのプログラムである。この脆弱性 CVE-2025-40602 (CVSS：6.6) は、Appliance Management Console (AMC) の不十分な認証に起因するローカル権限昇格の問題であり、実際の攻撃における悪用が確認されている。
Continue reading “SonicWall SMA 100 の脆弱性 CVE-2025-40602 が FIX：ローカル権限昇格と悪用の確認”NVIDIA Isaac Lab Flaw Enables Remote Code Execution
2025/12/17 gbhackers — NVIDIA が公表したのは、NVIDIA Isaac Sim フレームワークのコンポーネント Isaac Lab に存在する、深刻なセキュリティ脆弱性に関する情報である。この脆弱性を悪用する攻撃者は、リモートからの任意のコード実行の可能性を得る。この脆弱性 CVE-2025-33210 （ベンダページでは CVE-2025-32210 と誤った表記がされているので注意）は、デシリアライゼーションに起因するものであり、2025年12月にセキュリティ・パッチをリリースしたと、同社は述べている。
Continue reading “NVIDIA Isaac Lab の脆弱性 CVE-2025-33210 が FIXした：CVSS スコア 9.0 の RCE”Askul data breach exposed over 700,000 records after ransomware attack
2025/12/17 SecurityAffairs — Askul が発表したのは、10月19日にランサムウェア攻撃を検知したこと、および、この攻撃を実行した脅威アクターが、同社のインフラにアクセスして機密データを窃取したという事実である。Askul は、企業／消費者向けにオフィス用品／文房具／IT 機器／日用品などを供給する日本の e コマースおよび物流企業であり、日本全国で大規模な受注／配送サービスを運営している。同社は、LOHACO を運営し、Yahoo! JAPAN エコシステムの一員でもある。
Continue reading “Askul におけるデータ侵害が報告される：約 70万件のデータ漏洩とRansomHouse の主張”Chrome Security Update Fixes Remote Code Execution Flaws
2025/12/17 gbhackers — Google が発表したのは、Chrome ブラウザに存在する脆弱性 CVE-2025-14765／CVE-2025-14766 を修正する緊急セキュリティ・アップデートのリリースである。これらの脆弱性の深刻度は High であり、リモート・コード実行 (RCE) 攻撃につながる可能性があるとされている。Stable チャンネル・アップデートとして、Windows／Mac／Linux ユーザー向けにバージョン 143.0.7499.146／.147 がリリースされている。このアップデートで修正された脆弱性はいずれも、外部のセキュリティ研究者により報告されたものである。
Continue reading “Google Chrome の脆弱性 CVE-2025-14765／14766 が FIX：Web GPU と V8 の問題による RCE”CISA Adds Fortinet Vulnerability to KEV Catalog After Active Exploitation
2025/12/17 CyberSecurityNews — 米国の Cybersecurity and Infrastructure Security Agency (CISA) が 2025年12月16日に発表したのは、Fortinet の脆弱性 CVE-2025-59718 の Known Exploited Vulnerabilities (KEV) カタログへの追加である。米連邦政府の組織が必要な修復措置を適用する最終期限として、2025年12月23日が指定されている。この措置は、この脆弱性が実際に悪用されている実態と、組織のネットワークに対する差し迫った脅威を反映したものである。この脆弱性は、FortiOS／FortiSwitchMaster／FortiProxy／FortiWeb を含む複数の Fortinet セキュリティ製品に影響を及ぼす。
Continue reading “CISA KEV 警告 25/12/17：Fortinet 製品群の脆弱性 CVE-2025-59718 を登録”Cisco warns of unpatched AsyncOS zero-day exploited in attacks
2025/12/17 BleepingComputer — Cisco が発表したのは、Secure Email Gateway (SEG)／Secure Email and Web Manager (SEWM) アプライアンスを標的とした攻撃において、Cisco AsyncOS のゼロデイ脆弱性 CVE-2025-20393 (CVSS 10.0) が積極的に悪用されているという事実である。このゼロデイ脆弱性は、スパム隔離機能が有効化され、インターネットに公開されている特定コンフィグの Cisco SEG／Cisco SEWM アプライアンスのみに影響する。
Continue reading “Cisco SEG／SEWM のゼロデイ脆弱性 CVE-2025-2039：積極的な悪用を確認”LLM-Driven Automation: A New Catalyst for Ransomware and RaaS Ecosystems
2025/12/16 gbhackers — LLM のランサムウェア・エコシステムへの統合に関する包括的な評価を、SentinelLABS が発表した。現時点では、AI により戦術が根本的に変革された状況は確認されていないが、運用ライフサイクルは著しく加速していると、このレポートは結論付けている。この調査が示しているのは、測定可能なメトリクスである攻撃速度／攻撃量／多言語対応の向上が、低スキル攻撃者の参入障壁を引き下げると同時に、既存グループのワークフローを最適化することで、脅威環境を再形成している点である。
Continue reading “LLM 時代のランサムウェア進化：AI 悪用による攻撃ライフサイクルの短縮など”React2Shell Vulnerability Actively Exploited to Deploy Linux Backdoors
2025/12/16 TheHackerNews — React2Shell (CVE-2025-55182 ) として知られるセキュリティ脆弱性を悪用する脅威アクターたちが、KSwapDoor／ZnDoor などのマルウェア・ファミリーを拡散していることを、Palo Alto Networks Unit 42 と NTT Security の調査結果が示している。Palo Alto Networks Unit 42 の Senior Manager of Threat Intel Research である Justin Moore は、「KSwapDoor は、ステルス性を念頭に設計された、リモート・アクセス・ツールである」と述べている。
Continue reading “React2Shell を悪用する大規模な攻撃：KSwapDoor／ZnDoor などの Linux バックドアを拡散”Critical ScreenConnect Vulnerability Let Attackers Expose Sensitive Configuration Data
2025/12/16 CyberSecurityNews — ConnectWise が公開したのは、ScreenConnect のセキュリティ・アップデートである。そこで修正された脆弱性 CVE-2025-14265 は、ScreenConnect サーバ・コンポーネントのみに影響するものであるが、悪用に成功した攻撃者は、機密情報／設定データを漏洩させ、信頼されていないエクステンションをインストールする可能性を得る。ただし、この脆弱性は、ホスト・クライアントおよびゲスト・クライアントには影響しない。脆弱性 CVE-2025-14265 は、エクステンションのインストール時における、コード整合性の不適切な検証に起因し、CWE-494 (整合性チェックなしのコード・ダウンロード) に分類される。
Continue reading “ScreenConnect の脆弱性 CVE-2025-14265 が FIX：エクステンション検証の不備と情報漏洩”OpenShift GitOps Vulnerability Allows Attackers to Escalate Privileges to Root
2025/12/16 gbhackers — Red Hat が公表したのは、OpenShift GitOps に存在する深刻なセキュリティ欠陥に関する情報である。この脆弱性 CVE-2025-13888 を悪用する認証済みのユーザーは、クラスターを完全に制御する可能性を得る。Red Hat は深刻度を Critical ではなく Important と評価しているが、名前空間の管理者を完全に信頼できない環境においては、技術的に深刻な影響を及ぼす。この脆弱性の悪用に成功した名前空間の管理者が、本来の範囲を超えて権限を昇格させ、システム全体へのルート・アクセスを取得する可能性がある。
Continue reading “Red Hat OpenShift GitOps の脆弱性 CVE-2025-13888：ルートアクセス窃取の恐れ”Windows Admin Center Vulnerability (CVE-2025-64669) Let Attackers Escalate Privileges
2025/12/16 CyberSecurityNews — Windows Admin Center (WAC) バージョン 2.4.2.1 において、新たなローカル権限昇格の脆弱性 CVE-2025-64669 が発見された。この脆弱性が影響を及ぼす範囲は、WAC 2411 以下のバージョンを実行している全ての環境である。脆弱性 CVE-2025-64669 は、”WindowsAdminCenter” フォルダの不適切なアクセス権限に起因する (詳細なパスは後述)。このフォルダは、一般のユーザーによる書き込みが可能でありながら、昇格された権限で実行されるサービスで用いられるものだ。
Continue reading “Windows Admin Center の脆弱性 CVE-2025-64669：ローカル権限昇格の恐れ”Critical FortiGate Devices SSO Vulnerabilities Actively Exploited in the Wild
2025/12/16 CyberSecurityNews — Fortinet が公開したのは、FortiGate アプライアンスおよび関連製品に存在する、深刻な認証バイパス脆弱性を狙った侵入活動が発生していることである。この脅威アクターは CVE-2025-59718／CVE-2025-59719 を悪用し、悪意の SAML メッセージを介して未認証の SSO (single sign-on) ログインを実行することで、攻撃者自身に対して管理者アクセスを許可している。2025年12月9日に Fortinet は、これらの脆弱性を PSIRT アドバイザリで公開している。その直後に Arctic Wolf は独自のセキュリティ情報を発表し、速やかなパッチ適用を促していた。
Continue reading “FortiGate の深刻な脆弱性 CVE-2025-59718／59719：悪意の SAML によるSSO バイパスを確認”Atlassian fixed maximum severity flaw CVE-2025-66516 in Apache Tika
2025/12/15 SecurityAffairs — Atlassian が発表したのは、自社製品に影響を与える数十件の脆弱性への対処が完了したという声明である。これらの脆弱性には、複数の深刻度レベルの問題が含まれている。最も深刻な脆弱性の１ つは、Apache Tika に存在する XML 外部エンティティ (XXE) インジェクション脆弱性 CVE-2025-66516 であり、CVSS スコアは 10.0 と評価されている。この脆弱性 CVE-2025-66516 を悪用する攻撃者は、Apache Tika の core module／PDF module／parser module に対して、XXE インジェクションを仕掛けることが可能になる。攻撃者は、PDF 内に悪意のある XFA ファイルを埋め込み、Tika に外部 XML エンティティを処理させ、機密性の高い内部リソースへのアクセス経路を開かせる可能性がある。
Continue reading “Atlassian の 2025/12 アップデート：Apache Tika の脆弱性 CVE-2025-66516 などが FIX”2025/12/15 SecurityAffairs — 米国の Cybersecurity and Infrastructure Security Agency (CISA) が公表したのは、Apple と Gladinet の CentreStack／Triofox の脆弱性を既知の悪用脆弱性 (KEV) カタログに登録したことである。カタログに追加された脆弱性は以下のとおりである。
CVE-2025-43529：Apple の複数製品における WebKit の解放後メモリ使用
CVE-2025-14611：Gladinet CentreStack／Triofox のハードコードされた暗号鍵
New PCPcat Exploiting React2Shell Vulnerability to compromise 59,000+ Servers
2025/12/15 CyberSecurityNews — PCPcat と呼ばれる新たなマルウェア攻撃キャンペーンは、Next.js／React フレームワークの深刻な脆弱性を標的とするものであり、48 時間以内に 59,000 台以上のサーバに侵入している。この Next.js 環境を標的とするマルウェアは、認証なしでリモート・コード実行を可能にする、２つの深刻な脆弱性 CVE-2025-29927 と CVE-2025-55182 (CVE-2025-66478) を悪用している。この攻撃の手法は、プロトタイプ汚染およびコマンド・インジェクションを用いるものであり、脆弱なサーバ上で有害なコマンド実行を可能にする。
Continue reading “React2Shell を悪用する PCPcat：CVE-2025-55182／29927 を悪用して59,000+ 台のサーバを侵害”Wireshark 4.6.2 Released With Fix for Vulnerabilities, and Updated Protocol Support
2025/12/15 CyberSecurityNews — Wireshark の最新バージョンであるWireshark 4.6.2 がリリースされた。このバージョンでは、Wireshark に存在する深刻なクラッシュの脆弱性と、プラグインの互換性に関する問題が対処されている。このメンテナンス・リリースは、トラブルシューティングおよびセキュリティ分析を行うユーザーの安定性を向上させるものだ。Wireshark の開発チームは、特定のプロトコル解析処理 (ディセクタ) において特定された、２件のサービス拒否 (DoS) の脆弱性を修正した。修正対象は以下の通りである。
Prometheus: Open-source metrics and monitoring systems and services
2025/12/15 HelpNetSecurity — Prometheus はオープンソースのモニタリング／アラート・システムであり、サービスが頻繁に変更される環境や、障害が急速に拡大する環境向けに構築されている。システムの動作を追跡して早期の警告サインを検知する Prometheus は、大規模なワークロード全体で起こっていることを把握するセキュリティ・チームや DevOps エンジニアのための重要なツールとなっている。
Continue reading “Prometheus エコシステム：オープンソースのメトリクス収集／監視システム”Critical Plesk Vulnerability Allows Users to Gain Root-Level Access
2025/12/15 gbhackers — Plesk が公開したのは、新たに発見された深刻なセキュリティ脆弱性 CVE-2025-66430 に関する情報である。この脆弱性を悪用する低権限のユーザーは、権限を昇格させることで、影響を受けるシステムでのルートレベルのアクセス権を取得できる。この欠陥は、広く利用されている Web ホスティング・コントロール・パネルである Plesk を、Web ホスティング・プロバイダー／サーバ管理に利用する組織にとって深刻な脅威となる。
Continue reading “Plesk の脆弱性 CVE-2025-66430：攻撃者によるルートレベル・アクセスの可能性”Apache StreamPark Vulnerability Let Attackers Access Sensitive Data
2025/12/15 CyberSecurityNews — Apache StreamPark に発見された、深刻なセキュリティ脆弱性 CVE-2025-54947 を悪用する攻撃者は、機密情報を復号してシステム・アクセスを不正に取得する可能性がある。この脆弱性は、アプリケーション内でハードコードされた暗号化キーが使用される点に起因している。したがって、リバース・エンジニアリングやコード解析を行う攻撃者が、セキュリティ制御を回避する状況を招く。
Continue reading “Apache StreamPark の脆弱性 CVE-2025-54947 が FIX：機密データ復号と権限昇格の恐れ”FreePBX Patches Critical SQLi, File-Upload, and AUTHTYPE Bypass Flaws Enabling RCE
2025/12/15 TheHackerNews —オープンソースの PBX プラットフォームである FreePBX に、セキュリティ脆弱性 CVE-2025-61675／CVE-2025-61678／CVE-2025-66039 が発見された。それらの脆弱性は、特定のコンフィグレーションに起因するものであり、認証バイパスにつながる可能性が生じる。2025年9月15日の時点で、このプロジェクトのメンテナーに報告された深刻な欠陥が、その後に Horizon3.ai により公表された。
Continue reading “FreePBX の脆弱性 CVE-2025-61675／61678／66039 が FIX：RCE を可能にする SQLi や認証バイパス”NVIDIA Merlin Vulnerabilities Allows Malicious Code Execution and DoS Attacks
2025/12/15 gbhackers — NVIDIA が 2025年12月9日に発表したのは、Merlin 機械学習フレームワークに存在する、深刻度の高い２件のデシリアライズの脆弱性に対する緊急セキュリティ・パッチである。このセキュリティ情報が明らかにするのは、大規模レコメンデーション・システムの構築に広く利用されている、オープンソース・フレームワーク NVIDIA Merlin の NVTabular／Transformers4Rec コンポーネントに深刻な欠陥が発見されたことだ。この脆弱性を悪用する攻撃者は、Linux システム上で悪意の実行／サービス拒否攻撃の誘発／機密データの侵害を可能にする。
Continue reading “NVIDIA Merlin の脆弱性 CVE-2025-33213／33214 が FIX：悪意のコード実行と DoS 攻撃の可能性”Critical pgAdmin Vulnerability Let Attackers Execute Shell Commands on the Host
2025/12/15 CyberSecurityNews — 人気のオープンソース PostgreSQL データベース管理ツール pgAdmin 4 に、深刻なセキュリティ脆弱性が発見された。この深刻な脆弱性 CVE-2025-13780 を悪用する攻撃者は、セキュリティ・フィルターを迂回し、ホスト・サーバ上で任意のシェル・コマンドを実行できる。この問題の原因は、アプリケーションのプレーンテキスト復元機能にあり、アップロードされたデータベース・ファイル内に隠された危険なコマンドを適切にブロックできない状況になっている。
Continue reading “pgAdmin 4 の深刻な脆弱性 CVE-2025-13780 が FIX：テキスト・フィルターの欠陥と RCE の可能性”Microsoft Bug Bounty Program Expanded to Third-Party Code
2025/12/13 SecurityWeek — 12月12日 (木) に Microsoft が発表した “In Scope by Default” というアプローチは、バグバウンティ・プログラムを大幅に拡充し、サードパーティ製のコードとオープンソース・コードも対象にするものだ。対象となる深刻な脆弱性が、Microsoft のサービスに影響を与える場合に限り、その脆弱性を発見／報告した研究者はバグバウンティの対象となる。
Continue reading “Microsoft バグバウンティが拡張：サードパーティ／オープンソースのコードも対象に”Empire 6.3.0 Released as Updated Post-Exploitation Framework for Red Teams
2025/12/13 gbhackers — BC-SECURITY が正式にリリースした Empire 6.3.0 は、レッド・チームおよびペネトレーション・テスター向けに設計された、広く使用されているポスト・エクスプロイトおよび攻撃者エミュレーション・フレームワークの重要なアップデート版である。この最新版では、ツールにおけるモジュール式アーキテクチャが強化され、堅牢なサーバ／クライアント・モデルを通じてオペレーターに高い柔軟性を提供する。
Continue reading “Empire 6.3.0 が正式リリース：レッド・チーム向けポスト・エクスプロイト・フレームワークの大規模更新”Apple 0-Day Vulnerabilities Exploited in Sophisticated Attacks Targeting iPhone Users
2025/12/13 CyberSecurityNews — Apple が公表したのは、iPhone iOS バージョン 26 以下を利用するユーザーを標的とした、高度な攻撃で積極的に悪用されている、WebKit の２件のゼロデイ脆弱性に対する修正である。2025年12月12日にリリースされた iOS 26.2／iPadOS 26.2 は、WebKit の脆弱性 CVE-2025-43529／CVE-2025-14174 に対処するものである。
Continue reading “Apple のゼロデイ脆弱性 CVE-2025-43529／14174 などが FIX：iOS 26 系で標的型攻撃を確認”2025/12/13 SecurityAffairs — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、Google Chromium および Sierra Wireless AirLink ALEOS の脆弱性を Known Exploited Vulnerabilities (KEV) カタログに追加した。
カタログに登録された脆弱性は以下のとおりだ：
Google Warns Multiple Hacker Groups Are Exploiting React2Shell to Spread Malware
2025/12/13 CyberSecurityNews — Google Threat Intelligence Group (GTIG) が発表したのは、React Server Components に存在する深刻なセキュリティ脆弱性 CVE-2025-55182 が広範に悪用されている状況に対する警告である。この脆弱性 React2Shell を悪用する攻撃者は、パスワードを必要とせず、リモートからサーバを制御できる。2025年12月3日に脆弱性が公開された後に、複数のハッカー・グループが悪用していることを Google は確認している。攻撃者たちは、国家に支援されるスパイ・グループから、金銭的利益を目的とするサイバー犯罪者まで多岐にわたる。
Continue reading “React2Shell に対する Google の警告：React／Next.js を標的とするマルウェア拡散キャンペーン”Kali Linux 2025.4 released with 3 new tools, desktop updates
2025/12/12 BleepingComputer — Kali Linux が発表したのは、今年最後のアップデートとなるバージョン 2025.4 のリリースである。このアップデートに含まれるのは、３つの新しいハッキング・ツール／デスクトップ環境の改善／NetHunter における Wifipumpkin3 のプレビュー／Wayland サポートの強化などである。サイバー・セキュリティ専門家や倫理的ハッカーたちが、レッドチーム演習／ペンテスト／セキュリティ評価／ネットワーク調査を実施するために設計されたのが、Kali Linux ディストリビューションである。
Continue reading “Kali Linux 2025.4 がリリース：３つの新しいハッキング・ツール／デスクトップ環境の改善など”CISA Warns of OSGeo GeoServer 0-Day Vulnerability Exploited in Attacks
2025/12/12 CyberSecurityNews — OSGeo GeoServer が公開したのは、広く利用されているオープンソース地理データ共有サーバの、深刻なセキュリティ脆弱性に関する緊急アドバイザリである。それに並行して CISA も、この脆弱性を Known Exploited Vulnerabilities (KEV) カタログに追加した。この措置が示すのは、公共部門と民間部門を標的とする攻撃において、このゼロデイ脆弱性が脅威アクターたちに積極的に悪用されている状況である。新たに公開された脆弱性は CVE-2025-58360 として追跡され、XML 外部エンティティ (XXE) 参照の不適切な制限に分類される。
Continue reading “CISA KEV 警告 25/12/11：OSGeo GeoServer の脆弱性 CVE-2025-58360 を登録”MITRE Releases Top 25 Most Dangerous Software Weaknesses of 2025
2025/12/12 CyberSecurityNews — MITRE が公表したのは、2025年版 Common Weakness Enumeration (CWE) における最も危険なソフトウェアの脆弱性 Top-25 リストである。今年に登録された 39,080 件の Common Vulnerability and Exposure (CVE) の根本原因が、このリストにより明らかにされる。これらの蔓延する脆弱性は、多くの場合において検出と悪用が容易であり、攻撃者によるシステム制御の乗っ取り／機密データの窃取／アプリケーションの機能不全などを引き起こすものだ。それに対抗する開発者／セキュリティチーム／経営幹部は、この Top-25 リストにより、修正の優先順位付けと Software Development Lifecycles (SDLC) を再設定するためのロードマップを手にしたことになる。
Continue reading “MITRE Top-25：2025年に猛威をふるった脆弱性を CWE でランキング”OpenAI Enhances Defensive Models to Mitigate Cyber-Threats
2025/12/12 InfoSecurity —12月10日 (水) に OpenAI が発表したのは、モデル性能の急上昇に伴い社内計画を再構築したという声明である。そのレポートによると、Capture The Flag (CTF) チャレンジを用いた能力評価は、2025年8月の GPT-5 における 27% から、2025年11月の GPT-5.1-Codex-Max の 76% へと向上しているという。OpenAI が警告するのは、今後登場するシステムの一部が、同社の Preparedness Framework における高能力レベルに達する可能性である。そのレベルに達すると、複雑な侵入作戦からゼロデイ・エクスプロイトの開発に至るまでの、さまざまなタスクが支援されてしまう可能性があるという。
Continue reading “OpenAI が拡張する防御のモデル：AI の規模と精度が従来型の脅威と組み合わされる時代に”Brave browser starts testing agentic AI mode for automated tasks
2025/12/11 BleepingComputer — Brave が公開した新しい AI ブラウジング機能は、プライバシーを尊重する AI アシスタント Leo を活用し、ユーザーに代わってタスクを自動化するものである。この機能が目的とするのは、自動的な Web 検索／商品比較／プロモーションコードの発見／ニュース要約などのタスクの支援である。現在はテスト段階にあり、Brave Nightly バージョンからアクセスできる。この新しいエージェント AI ブラウジング・モードは、プライバシー重視のブラウザにおける AI とユーザーの緊密な統合に向けた第一歩となるが、デフォルトでは無効化されている。
Continue reading “Brave に AI ブラウジング機能が登場：タスクを自動化とセキュリティ維持を両立”Notepad++ fixes flaw that let attackers push malicious update files
2025/12/11 BleepingComputer — Notepad++ が公開したのは、WinGUp アップデート・ツールの脆弱性を修正するバージョン 8.8.9 である。研究者およびユーザーからインシデントが報告されたことを受け、このバージョンがリリースされた。その背景にあるのは、WinGUp アップデート・ツールが、正規のアップデート・パッケージではなく悪意の実行ファイルを取得するという問題である。この問題の最初の兆候は、Notepad++ コミュニティ・フォーラムのトピックで確認された。Notepad++ のアップデート・ツール GUP.exe (WinGUp) が、デバイス情報を収集する未知のコマンドである、”%Temp%\AutoUpdater.exe” というファイルを生成したと、あるユーザーが報告したのだ。
Continue reading “Notepad++ の脆弱性 CVE-N/A が FIX：悪意のアップデート・ファイル受信の可能性”High-Severity Jenkins Vulnerability Allows Unauthenticated DoS via HTTP CLI
2025/12/11 CyberSecurityNews — Jenkins が発表したのは、数百万の組織に影響を与える深刻なサービス拒否 (DoS) 脆弱性に対処するパッチである。この脆弱性 CVE-2025-67635 は、CI/CD (Continuous Integration and Continuous Deployment) パイプラインに広く利用される Jenkins の自動化サーバを利用する組織に対して深刻な影響を与える。その影響が及ぶ範囲は、Jenkins バージョン 2.540 以下 (LTS 2.528.2 以下) となる。
Continue reading “Jenkins の脆弱性 CVE-2025-67635 が FIX：CI/CD パイプラインに DoS 攻撃の恐れ”Google Alerts Users to Actively Exploited Chrome 0-Day Vulnerability
2025/12/11 gbhackers — Google が発表したのは、実際に悪用されている深刻なゼロデイ脆弱性に対処するための Chrome 緊急セキュリティ・アップデートである。Issue 466192044 として追跡されている、これらの脆弱性 CVE-2025-14372／CVE-2025-14373／CVE-2025-14174 は、世界中の Chrome ユーザーに差し迫った脅威をもたらすものだ。Google がリリースしたのは、Windows／Mac システム向けのパッチ適用済みバージョン 143.0.7499.109 / .110 と、Linux 向けのバージョン 143.0.7499.109 である。
Continue reading “Chrome のゼロデイ脆弱性 CVE-2025-14174 が FIX：境界外アクセスと積極的な悪用”644K+ Websites at Risk Due to Critical React Server Components Flaw
2025/12/11 gbhackers — Shadowserver Foundation が公表したのは、深刻な React2Shell 脆弱性 CVE-2025-55182 に関する情報の緊急アップデートである。そこで特定されたのは、依然として悪用される可能性のある大規模な攻撃対象領域である。この調査の一環として、2025年12月8日にスキャン・ベースの改善を実施した結果として、研究者たちが発見したのは、644,000 以上のドメインと 165,000 以上の固有 IP アドレスにおいて、依然として React Server Components の脆弱なインスタンスが稼働していることだった。
Continue reading “React Server Components の脆弱性 CVE-2025-55182：64 万以上の Web サイトに影響？”Gogs 0-Day Vulnerability Exploited in the Wild to Hack 700+ Instances
2025/12/11 CyberSecurityNews — 人気のセルフホスト型 Git サービス Gogs が公表したのは、深刻なゼロデイ脆弱性 CVE-2025-8110 が、現時点で悪用されているという情報である。この脆弱性を悪用する認証済みのユーザーは、シンボリックリンクを介して保護機構をバイパスし、リモート・コード実行 (RCE) を可能にする。この記事の執筆時点で、修正パッチは提供されていない。一部の研究者たちは、インターネット上で公開されている Gogs インスタンスの 50% 以上が、すでに侵害されていると推測している。
Continue reading “Gogs のゼロデイ脆弱性 CVE-2025-8110 の悪用を確認：700 以上のインスタンスに影響”U.S. CISA adds Microsoft Windows and WinRAR flaws to its Known Exploited Vulnerabilities catalog
2025/12/10 SecurityAffairs — 米国の Cybersecurity and Infrastructure Security Agency (CISA) が発表したのは、Microsoft Windows および RARLAB WinRAR の脆弱性を Known Exploited Vulnerabilities (KEV) カタログに追加したことである。今回のカタログに追加された脆弱性は以下のとおりである。
IoT OT Security News 
You must be logged in to post a comment.