Aiototsec

Python のレガシー・パッケージに潜む脆弱性：放棄されたドメインとブートストラップ・スクリプト

Legacy Python Package Vulnerabilities Enable PyPI Attacks Through Domain Takeover

2025/11/27 gbhackers — Python のレガシー・パッケージに潜む脆弱性について、ReversingLabs の研究者たちが警鐘を鳴らしている。この脆弱性は、Python Package Index (PyPI) のユーザーを、ドメイン侵害によるサプライチェーン攻撃の脅威にさらすものである。それらの脆弱なコードは、最近のプロジェクトではほとんど使用されていないが、古い本番システムに残り続けているため、依然としてリスクは消え去っていない。

間接プロンプト・インジェクションは不可避？ ChatGPT Atlas などのエージェントがもたらすリスクとは？

Prompt Injections Loom Large Over ChatGPT’s Atlas Browser

2025/11/27 DarkReading — AI 搭載の新しい Web ブラウザが登場し、エージェント機能が一般ユーザーにも普及し始めている。しかし、疑問として残されるのは、LLM 攻撃の代表的手法であるプロンプト・インジェクションが、さらに深刻化するかもしれないという懸念である。ChatGPT Atlas は、10月21日に OpenAI がリリースした Chromium ベースの LLM 搭載 Web ブラウザである。現時点では、macOS 上で利用が可能であり、テキスト生成／Web ページ要約／エージェント機能といった、ChatGPT のネイティブ機能を搭載している。

Angular HTTP Client の脆弱性に CVE-2025-66035 が FIX：XSRF トークン漏洩の恐れ

Angular HTTP Client Flaw Leaks XSRF Tokens to Attacker-Controlled Domains

2025/11/27 gbhackers — Angular HTTP Client に存在する、深刻なセキュリティ脆弱性 CVE-2025-66035 (CVSS：7.5) が明らかにされた。この脆弱性を悪用する脅威アクターは、脆弱なアプリケーションからクロスサイト・リクエスト・フォージェリ (XSRF) トークンを盗み取る。この脆弱性は、Angular チーム・メンバーの Alan-Agius4 により公開されたものであり、複数のバージョンの @angular/standard パッケージに影響を与える。

Asahi が認めた顧客データ 150万人分の流失：Qilin ランサムウェアが犯行を主張

Asahi Confirms 1.5 Million Customers Affected in Major Cyber-Attack

2025/11/27 InfoSecurity — 2025年9月に大規模なサイバー攻撃を受けたビール大手の Asahi Beer は、約 200万人分の個人情報が漏洩した可能性があると発表した。11月27日に発表した新たな報告で述べられたのは、9月と10月の一時的な操業停止につながった、サイバー攻撃に関する調査の初期結果である。

NVIDIA DGX Spark の 14件の脆弱性が FIX：任意のコード実行や DoS 攻撃の可能性

NVIDIA DGX Spark Flaws Allow Attackers to Run Malicious Code and Launch DoS Attacks

2025/11/27 gbhackers — NVIDIA が公開したのは、DGX Spark システムに存在する 14 件の重大な脆弱性に対処するセキュリティ更新プログラムである。それらの脆弱性を悪用する攻撃者は、任意のコード実行や機密情報の窃取を行い、システムをクラッシュさせるサービス拒否攻撃を仕掛ける可能性を得る。これらの脆弱性が影響を及ぼす範囲は、最新の OTA0 アップデート以前の、すべての NVIDIA DGX OS である。

GitLab CE／EE の複数の脆弱性が FIX：認証バイパス／DoS 攻撃などの恐れ

Gitlab Patches Multiple Vulnerabilities that Enable Authentication Bypass and DoS Attacks

2025/11/27 CyberSecurityNews — GitLab がリリースしたのは、Community Edition (CE)／Enterprise Edition (EE) に存在する複数の深刻な脆弱性に対処するための、重要なセキュリティ・アップデートである。それらの脆弱性を悪用する攻撃者は、認証バイパス／ユーザー認証情報の窃取／サービス拒否 (DoS) 攻撃によるサーバ・クラッシュなどを引き起こすとされる。すでに GitLab は、パッチを取り込んだバージョン 18.6.1／18.5.3／18.4.5 をリリースし、この問題に対処している。

OpenAI が Mixpanel 関連のインシデントを公表：氏名／メールアドレス／OS 情報などが漏洩

OpenAI Discloses Mixpanel Data Breach – Name, Email Address and Operating System Details Exposed

2025/11/27 CyberSecurityNews — OpenAI が公表したのは、API 製品のフロントエンドである “platform.openai.com” の活動を監視するために、以前に使用していたサードパーティ分析プロバイダ Mixpanel に関連するセキュリティ・インシデントである。2025年11月9日に Mixpanel が検知したのは、自社システムへの不正なアクセスがあり、一部の OpenAI API ユーザーの識別情報を含む分析データがエクスポートされたことだった。

Next.js の脆弱性 CVE-N/A が FIX：認証不要の DoS 攻撃でセルフホスト型サーバがクラッシュ

New Unauthenticated DoS Vulnerability Crashes Next.js Servers with a Single Request

2025/11/27 CyberSecurityNews — Next.js フレームワークに発見された深刻な脆弱性 CVE-N/A を悪用する攻撃者は、単一の HTTP リクエストの送信のみで、ごくわずかなリソースを使用するだけで、セルフホスト型サーバをクラッシュさせる可能性がある。Harmony Intelligence の研究者が発見した、このサービス拒否 (DoS) 脆弱性は、パッチ適用前の最新の 15.x ブランチを含む広範なバージョンに影響を与える。

Crypto Copilot という名の悪意の Chrome Extension：Solana 取引で不正な手数料を窃取

Chrome Extension Caught Injecting Hidden Solana Transfer Fees Into Raydium Swaps

2025/11/26 TheHackerNews — Chrome Web Store に存在する新たな悪意のエクステンションを、サイバー・セキュリティ研究者たちが発見した。このエクステンションは、スワップ取引に Solana の送金を巧妙に挿入し、攻撃者が管理する仮想通貨ウォレットへと資金を送金する機能を備えている。

Tor の Counter Galois Onion 暗号化：前方秘匿性を確保する新たなアルゴリズムとは？

Tor Adopts Galois Onion Encryption to Strengthen Defense Against Online Attacks

2025/11/26 CyberSecurityNews — Tor プロジェクトが発表したのは暗号技術の大幅な見直しであり、数十年にわたり運用されてきたリレー暗号化アルゴリズムを廃止し、Counter Galois Onion (CGO) に置き換えるものだ。この研究に基づく暗号化のデザインは、広範なユーザー層を保護するものであり、高度化するオンライン攻撃者に対する防御力の強化を目的としている。

2025年のアカウント乗っ取りの被害額は $262 Million：金融機関を装う状況を FBI が報告

Account Takeover Fraud Caused $262 Million in Losses in 2025: FBI

2025/11/26 SecurityWeek — FBI の報告によると、アカウント乗っ取り (ATO：account takeover) 詐欺に関与するサイバー犯罪者により、2025年1月以降において $262 million 以上の損失が引き起こされているという。FBI が受け取った 5,100件以上の報告や苦情から確認されたのは、金融機関になりすました脅威アクターが、さまざまな規模の組織や個人から、金銭や情報を盗んでいる状況である。

SocGholish による RomCom ペイロードの配信を確認：偽のアップデートで騙して Mythic Agent を展開

RomCom Uses SocGholish Fake Update Attacks to Deliver Mythic Agent Malware

2025/11/26 TheHackerNews — RomCom として知られるマルウェア・ファミリーを背後で操る脅威アクターは、SocGholish と呼ばれる JavaScript ローダーを介して Mythic Agent を配信している。Arctic Wolf Labs の研究員 Jacob Faires は 11月25日 (火) のレポートで、「SocGholish による RomCom ペイロードの配信が確認されたのは、今回が初めてのことだ。その標的は、米国の土木工学関連の企業である」と述べている。

HashJack という間接プロンプト・インジェクション：Comet／Copilot／Gemini などが標的

HashJack: A Novel Exploit Leveraging URL Fragments To Deceive AI Browsers

2025/11/26 gbhackers — HashJack という攻撃手法が、Cato CTRL のセキュリティ研究者たちにより発見された。この革新的な間接プロンプト・インジェクション攻撃は、URL の “#” 記号以降のフラグメント部分に有害なコマンドを隠蔽するものだ。この手法は、信頼できる Web サイトを武器化するものであり、その標的は、Perplexity Comet／Microsoft Copilot／Google Gemini といった AI ブラウザ・アシスタントとなる。

NTLM 認証への攻撃：いまもハッカーたちが悪用する４つの脆弱性とは？

Hackers Exploit NTLM Authentication Flaws to Target Windows Systems

2025/11/26 CyberSecurityNews — 最初の問題の発見から 20年以上が経った今でも、NTLM 認証プロトコルは世界中の Windows システムを悩ませ続けている。この問題は、2001年に理論上の脆弱性として始まったが、広範囲にわたるセキュリティ危機へと発展し、複数の NTLM の脆弱性を積極的に悪用する攻撃者は、さまざまな地域のネットワークに侵入している。

ASUS MyASUS の脆弱性 CVE-2025-59373 が FIX：SYSTEM レベル権限昇格の可能性

ASUS MyASUS Flaw Lets Hackers Escalate to SYSTEM-Level Access

2025/11/26 CyberSecurityNews — ASUS が公表したのは、MyASUS アプリケーションに存在する深刻なセキュリティ脆弱性に関する情報である。この脆弱性を悪用するローカル攻撃者は、影響を受ける Windows デバイス上で SYSTEM レベル権限へと昇格する可能性がある。この深刻な脆弱性 CVE-2025-59373 (CVSS 4.0：8.5) は、世界中の数百万人の ASUS コンピューター・ユーザーに深刻なリスクをもたらす可能性がある。

Cobalt Strike 4.12 が正式リリース：REST API／User Defined C2 などを導入

Cobalt Strike 4.12 Adds New Injection, UAC Bypasses & C2 Features

2025/11/25 gbhackers — Fortra が、Cobalt Strike 4.12 を正式にリリースした。そこで導入されたのは、レッドチーム・オペレーションと攻撃的セキュリティ調査を強化するために設計された、包括的な新機能のスイートである。このアップデートに新たに含まれるものには、最新の GUI／画期的な REST API／User Defined Command and Control (UDC2)／高度なプロセス・インジェクション技術／新しい UAC バイパスなどに加えて、段階的にロードする Malleable C2 オプションにより強化された回避機能がある。

Apache Syncope の脆弱性 CVE-2025-65998 が FIX：ハードコード・キーとパスワード複合

Apache Syncope Flaw Lets Attackers Access Internal Database Content

2024/11/25 gbhackers — Apache Syncope にセキュリティ脆弱性 CVE-2025-65998 が発見された。この脆弱性を悪用する攻撃者が、内部データベースへのアクセスに成功すると、保存されているパスワードが復号化される可能性がある。この脆弱性は、ハードコードされたデフォルトの AES 暗号化キーの使用に起因している。つまり、機密性の高いユーザー認証情報を安全に保つために設計された、パスワード保護メカニズムに問題が生じている。

Canon に Clop ランサムウェア攻撃：広がる Oracle EBS ハッキング・キャンペーンの被害者

Canon Says Subsidiary Impacted by Oracle EBS Hack

2025/11/25 SecurityWeek — 画像／光学の大手である Canon が認めたのは、最近の Oracle E-Business Suite (EBS) ハッキング攻撃の標的となったことだ。ただし、調査の結果として、この攻撃は Canon USA の子会社に限定されていることが判明したと、同社は声明で述べている。Canon は、「この攻撃が影響を与えた範囲は Web サーバのみであり、すでにセキュリティ対策を講じ、サービスを再開した。他への影響がないことを確認するために、引き続き調査を進めている」と述べている。

NVIDIA Isaac-GROOT の脆弱性 CVE-2025-33183／33184 が FIX：悪意のコード実行の可能性

NVIDIA’s Isaac-GROOT Robotics Platform Vulnerability Let Attackers Inject Malicious Codes

2025/11/25 CyberSecurityNews — NVIDIA が公表したのは、Isaac-GROOT ロボティクス・プラットフォームに影響を及ぼす２件の深刻なコード・インジェクションの脆弱性に関する情報である。これらの脆弱性 CVE-2025-33183／CVE-2025-33184 (CVSS：7.8) は、いずれも Python コンポーネント内に存在する。これらの脆弱性を悪用する認証済み攻撃者は、任意のコードを実行し、権限を昇格させ、システム・データを改竄する可能性を得る。

HashiCorp Vault の脆弱性 CVE-2025-13357：認証情報なしで Vault に不正アクセス

HashiCorp Vault Vulnerability Allow Attackers to Authenticate to Vault Without Valid Credentials

2025/11/25 CyberSecurityNews — HashiCorp の Vault Terraform Provider に重大なセキュリティ上の欠陥が発見された。この脆弱性を悪用する攻撃者は、有効な認証情報を必要とせずに認証をバイパスし、Vault にアクセスする機会を得る。この脆弱性 CVE-2025-13357 は、Vault の Terraform プロバイダーにおける誤ったデフォルト・コンフィグに起因し、Vault で LDAP 認証を使用する組織に影響を及ぼす。具体的に言うと、LDAP 認証方式の deny_null_bind パラメータが、デフォルトで false にコンフィグされていたことに原因がある。

vLLM の脆弱性 CVE-2025-62164：悪意のペイロード経由による RCE の恐れ

vLLM Flaw Allows Remote Code Execution Through Malicious Payloads

2025/11/24 gbhackers — LLM 向けの高スループット推論／サービング・エンジンとして広く利用されている vLLM に、深刻なセキュリティ欠陥が発見された。この脆弱性 CVE-2025-62164 を悪用する攻撃者は、Completions API エンドポイントに悪意のペイロードを送信することで、任意のリモート・コード実行を可能にする。

Windows Server WSUS の RCE 脆弱性 CVE-2025-59287：ShadowPad の配布と PoC のリリース

Attackers deliver ShadowPad via newly patched WSUS RCE bug

2025/11/24 SecurityAffairs — Windows WSUS の脆弱性 CVE-2025-59287 を悪用する脅威アクターたちが、ShadowPad マルウェアを配布していると、AhnLab Security Intelligence Center (ASEC) の研究者たちが報告した。ShadowPad は中国由来の APT グループに広く利用され、非公開で流通するバックドアである。この攻撃者は、WSUS サーバへのアクセス権を取得した後に、PowerCat を用いてシステム・シェルを取得し、”certutil” と “curl” により ShadowPad を取得しインストールしている。研究者たちは、この侵入チェーンと、ShadowPad の動作、推奨される防御策を詳細に説明している。

Wireshark の脆弱性 CVE-N/A が FIX：BPv7 や Kafka に関連する問題に対処

Wireshark Vulnerabilities Let Attackers Crash by Injecting a Malformed Packet

2025/11/24 CyberSecurityNews — Wireshark Foundation が公開したのは、広く利用されているネットワーク・プロトコル・アナライザーに存在する脆弱性へのセキュリティ・アップデートである。このアップデートは、サービス拒否 (DoS) につながる可能性のある、複数の脆弱性に対処している。最新リリースであるバージョン 4.6.1 は、Bundle Protocol バージョン 7 (BPv7) および Kafka のディセクタに発見された脆弱性に対処するものである。これらの脆弱性が修正されないまま放置されると、ネットワーク・ストリームまたはトレース・ファイルに悪意のあるデータを挿入する攻撃者は、アプリケーションを強制的にクラッシュさせることが可能になる。

Tenda N300 の脆弱性 CVE-2025-13207／CVE-2024-24481：ルート権限での任意のコマンド実行

Tenda N300 Flaws Allow Attackers to Run Commands as Root

2025/11/24 gbhackers — Tenda の N300 4G03 Pro モデルに、深刻なコマンド・インジェクション脆弱性 CVE-2025-13207／CVE-2024-24481 が発見された。この脆弱性を悪用する認証済みの攻撃者は、影響を受けるデバイス上のルート権限で任意のコマンドを実行できる。現時点において、メーカーからパッチが提供されていない。したがって、セキュリティ専門家がユーザーに推奨するのは、ネットワークを潜在的な侵害から保護するための代替ソリューションの検討である。

ClickFix 亜種の新たな攻撃：フルスクリーンの偽 Windows Update と高度なステガノグラフィー

ClickFix attack uses fake Windows Update screen to push malware

2025/11/24 BleepingComputer — ClickFix 亜種による攻撃が確認されている。これらの攻撃で、ユーザーを欺くために脅威アクターが表示するのは、フルスクリーンのブラウザ・ページに描かれるリアルな Windows Update アニメーションであり、その画像内に悪意のコードを隠している。ClickFix はソーシャル・エンジニアリング攻撃であり、ユーザーを誘導して Windows コマンド・プロンプトにコードやコマンドを貼り付けて実行させ、システム上でマルウェアを実行させる手法である。この攻撃は、その高い効果からあらゆる階層のサイバー犯罪者に広く採用されており、より高度で巧妙なルアーにより進化を続けている。

DeepSeek-R1 の脆弱性：政治的なプロンプトを入力すると生成されるコードが変化する？

DeepSeek-R1 Makes Code for Prompts With Severe Security Vulnerabilities

中国で開発された人工知能コーディング・アシスタント “DeepSeek-R1” に、懸念すべき脆弱性が発見された。この AI モデルは、中国共産党に関連する政治的にセンシティブなトピックに遭遇すると、深刻なセキュリティ欠陥を含むコードを通常より最大 50% 高い割合で生成する。中国の AI スタートアップ企業 DeepSeek が、2025年1月にリリースした R1 モデルは、コーディング品質において欧米の競合製品と遜色ないように見えていた。

WordPress W3 Total Cache プラグインの脆弱性 CVE-2025-9501：実用的な PoC が登場

PoC Published for W3 Total Cache Flaw Exposing 1M+ Sites to RCE

2025/11/24 gbhackers — WordPress で人気のキャッシュ・プラグインであり、100 万件以上のアクティブ・インストール数を誇る W3 Total Cache に存在する、深刻なリモート・コード実行の脆弱性 CVE-2025-9501 に対する PoC エクスプロイトを、セキュリティ研究者たちが公開した。この脆弱性を悪用する攻撃者は、特定の条件下において脆弱な Web サイト上で任意のコードを実行できる。

Azure Bastion の脆弱性 CVE-2025-49752：認証バイパスによる管理者権限取得の恐れ

Critical Vulnerability in Azure Bastion Let Attackers Bypass Authentication and Escalate privileges

2025/11/23 CyberSecurityNews — Azure Bastion の深刻な脆弱性 CVE-2025-49752 により、リモートの攻撃者が認証メカニズムをバイパスし、管理者レベルの権限を取得できる状況にある。この欠陥は認証バイパス脆弱性に分類され、クラウド・インフラへの安全な管理アクセスにおいて Azure Bastion に依存する組織に差し迫ったリスクをもたらすという。

FortiWeb WAF 攻撃用のエクスプロイトを Metasploit が導入：CVE‑2025‑64446／58034 攻撃チェーン

Metasploit Adds Exploit Module for Recently Disclosed FortiWeb 0-Day Vulnerabilities

2025/11/22 CyberSecurityNews — Fortinet の FortiWeb に存在する深刻な脆弱性を標的とする新たなエクスプロイト・モジュールが、Metasploit Framework に導入された。このモジュールは、先日に公開された２つの脆弱性 CVE-2025-64446／CVE-2025-58034 を連鎖させ、未認証のユーザーによる root 権限でのリモート・コード実行 (RCE) を可能にするものだ。このリリースは、Fortinet からのサイレント・パッチと、その後に発生したバイパスにより、数多くの WAF アプライアンスが無防備な状態になっている状況や、実環境での悪用の報告などに対応するものである。

Salesforce に浮上した Gainsight OAuth 関連の情報漏洩の可能性：ShinyHunters による犯行か？

Salesforce alerts users to potential data exposure via Gainsight OAuth apps

2025/11/21 SecurityAffairs — Salesforce が警告するのは、Gainsight にリンクされた OAuth アプリの異常なアクティビティに関する情報であり、これらの連携を悪用する脅威アクターが、一部のユーザーの Salesforce データに不正アクセスした可能性があるとしている。同社が公開した通知には、「Salesforce に接続された Gainsight の公開アプリケーションに関する異常なアクティビティを、我々は確認した。これらのアプリケーションは、ユーザー側が直接インストールし管理している。調査の結果が示すのは、Gainsight アプリ接続におけるアクティビティにより、一部の顧客の Salesforce データへの不正アクセスが生じた可能性である」と記載されている。

CISA KEV 警告 25/11/21：Oracle Identity Manager の RCE 脆弱性 CVE-2025-61757 を登録

CISA warns Oracle Identity Manager RCE flaw is being actively exploited

2025/11/21 BleepingComputer — 積極的な攻撃で悪用されている Oracle Identity Manager の CVE-2025-61757 は、ゼロデイ攻撃の可能性がある脆弱性だ。この脆弱性 CVE-2025-61757 は、Searchlight Cyber のアナリスト Adam Kues と Shubham Shah が発見／公開した、Oracle Identity Manager の認証前リモートコード実行 (RCE) の脆弱性である。

SonicOS SSLVPN の脆弱性 CVE-2025-40601 が FIX：リモートからのサービス拒否攻撃

SonicOS SSLVPN Vulnerability Let Attackers Crash the Firewall Remotely

2025/11/21 CyberSecurityNews — SonicWall が公表したのは、SonicOS SSLVPN サービスに存在する深刻なスタックバッファ・オーバーフローの脆弱性に関する情報である。この脆弱性を悪用する未認証のリモート攻撃者は、サービス拒否攻撃を仕掛けることでファイアウォールをクラッシュさせる可能性がある。この脆弱性 CVE-2025-40601 (CVSS：7.5) は、SonicWall のセキュリティ・チームにより社内で発見／報告されたものであり、複数世代の SonicWall ファイアウォール製品に影響を与える。

Milvus Proxy の脆弱性 CVE-2025-64513 が FIX：ヘッダー偽造による認証バイパスと PoC

Milvus Proxy Flaw Lets Attackers Forge Headers and Skip Authorization

2025/11/21 gbhackers — Milvus ベクトル・データベースに存在する、深刻な認証バイパスの脆弱性 CVE-2025-64513 を悪用する攻撃者は、認証情報を必要とすることなく管理者権限を取得する可能性がある。この脆弱性は、Milvus Proxy コンポーネントが HTTP ヘッダーを処理する方法に起因し、ユーザーが制御するデータを信頼できる内部認証情報として扱う状況を生み出す。

Grafana Enterprise の脆弱性 CVE-2025-41115 (CVSS:10.0) が FIX：権限昇格となりすましの恐れ

Grafana Patches CVSS 10.0 SCIM Flaw Enabling Impersonation and Privilege Escalation

2025/11/21 TheHackerNews — Grafana がリリースしたのは、特定のコンフィグ下で権限昇格やユーザーなりすましを許す可能性がある、深刻なセキュリティ脆弱性 CVE-2025-41115 に対処するアップデートである。この脆弱性は、CVSS スコア 10.0 と評価されており、ユーザー・プロビジョニングの自動化と管理を可能にする System for Cross-domain Identity Management (SCIM) コンポーネントに存在する。なお、SCIM は 2025年4月に導入され、現在はパブリック・プレビュー段階にある。

CISA が公開：ISP などへのガイドでサイバー犯罪を助長する BPH に対抗

CISA Issues New Guidance on Bulletproof Hosting Threat

2025/11/21 InfoSecurity — 防弾ホスティング (BPH：bulletproof hosting) インフラを利用したサイバー犯罪を抑制するために、米国の CISA はパートナーと共同で、ISP (internet service providers) やネットワーク防御担当者向けの新たなガイドを発表した。このガイドが詳述するのは、ランサムウェア／フィッシング／マルウェア配布などにより重要セクターを狙う攻撃において、脅威アクターたちが BPH を利用する方法である。

BlueVoyant 年次レポート 2025：世界規模のサプライチェーン侵害と TPRM プログラムの現状

Supply Chain Breaches Impact Almost All Firms Globally, BlueVoyant Reveals

2025/11/20 InfoSecurity — BlueVoyant の新たな調査によると、圧倒的多数 (97%) の組織がサプライチェーン侵害による悪影響を受けている。2024 年に実施された年次調査では、サードパーティ・リスク管理 (TPRM：Third-Party Risk Management) プロバイダーからの回答の 81% が、こうしたインシデントを報告していた。それと比べると、数値が大幅に増加している。

Asus Router 50,000 台を侵害：Operational Relay Box を構築する WrtHug とは？

Over 50,000 Asus Routers Hacked in ‘Operation WrtHug’

2025/11/20 SecurityWeek — Operational Relay Box (ORB) キャンペーンの一環として、ハッカーたちは既知の脆弱性を悪用し、インターネットからローカル・ストレージへのアクセスを可能にする、ASUS ルーターの AiCloud サービスを侵害した。この Operation WrtHug と呼ばれる攻撃で悪用されたバグは、CVE-2023-41345／CVE-2023-41346／CVE-2023-41347／CVE-2023-41348／CVE-2023-39780 (CVSS：8.8) などである。これらの脆弱性は、特殊文字に対する不十分なフィルタリングに起因し、深刻なコマンド・インジェクションを引き起こすものである。

Twonky Server の脆弱性 CVE-2025-13315／13316：深刻な認証バイパスに No Patch

Critical Twonky Server Vulnerabilities Let Attackers Bypass Authentication

2025/11/20 CyberSecurityNews — Twonky Server バージョン 8.5.2 には、深刻な認証バイパスの脆弱性 CVE-2025-13315／CVE-2025-13316 が存在する。Rapid7 が明らかにしたのは、これらの脆弱性が未認証の攻撃者に連鎖的に悪用され、ユーザーによる操作や有効な認証情報なしに、管理者アカウントが侵害される可能性があることだ。これらの脆弱性は、Twonky Server の Linux／Windows プラットフォームに影響を与え、サーバ・ソフトウェアへの完全な管理者アクセス権を、攻撃者に許すことになる。

Perplexity の Comet Browser：セキュリティ境界の変更が生み出すリスクとは？

Security gap in Perplexity’s Comet browser exposed users to system-level attacks

2025/11/20 HelpNetSecurity — Perplexity が開発した AI 搭載エージェント・ブラウザ Comet に深刻なセキュリティ上の問題が存在すると、SquareX の研究者たちが述べている。Comet の MCP API には、ブラウザに内蔵されているがユーザーには表示されないエクステンションが存在する。そこからユーザーのデバイスへ向けて、直接コマンドを発行することが可能であるため、その機能を攻撃者が悪用できると指摘されている。Comet は、ローカル・システム上でのアプリケーションの実行や、ファイルの読み取り、データの変更などを可能にしている。このレベルのアクセスは、”旧式” ブラウザではブロックされるのが通常であるが、一部の AI 搭載ブラウザは、この分離層を無効化していると研究者たちは指摘している。

N-able N-central の脆弱性 CVE-2025-9316／11700 が FIX：認証バイパスによる機密情報漏洩

Critical N-able N-central Vulnerabilities Allow attacker to interact with legacy APIs and read sensitive files

2025/11/20 CyberSecurityNews — N-able の N-central RMM (remote management and monitoring) プラットフォームの脆弱性 CVE-2025-9316／CVE-2025-11700 が報告された。Horizon3.ai によると、この脆弱性により、認証されていない攻撃者が認証を回避してレガシー API にアクセスし、認証情報やデータベース・バックアップを含む機密ファイルを流出させる可能性がある。

WordPress W3 Total Cache の脆弱性 CVE-2025-9501 が FIX：認証不要のリモート・コマンド実行

W3 Total Cache Security Vulnerability Exposes One Million WordPress Sites to RCE

2025/11/20 gbhackers — 広く利用されている WordPress プラグイン W3 Total Cache に深刻なセキュリティ脆弱性 CVE-2025-9501 が発見され、100 万以上の WordPress サイトが深刻なリスクに晒されている。この脆弱性を悪用する攻撃者は、ログイン認証情報を必要とせずに、影響を受けるサイトを完全に制御する可能性がある。

CISA KEV 警告 25/11/19：Google Chrome のゼロデイ CVE-2025-13223 を登録

CISA Warns of Google Chrome 0-Day Vulnerability Exploited in Attacks

2025/11/20 CyberSecurityNews — 米国の Cybersecurity and Infrastructure Security Agency (CISA) が発令したのは、Google Chrome のゼロデイ脆弱性に関する緊急アラートである。この脆弱性 CVE-2025-13223 は Chromium V8 JavaScript エンジンの欠陥であり、脅威アクターにより積極的に悪用され、世界中のユーザーにリモート・コード実行やデータ侵害の恐れが生じている。

SolarWinds Serv-U の脆弱性 CVE-2025-40547／40548／40549 が FIX：任意コード実行の可能性

SolarWinds Patches Three Critical Serv-U Vulnerabilities

2025/11/20 SecurityWeek — 今週に SolarWinds が発表したのは、Observability Self-Hosted に存在する深刻度 Medium の脆弱性に対するパッチである。それらの３件の脆弱性は、SolarWinds Serv-U 15.5.2.2.102 に影響を及ぼすものであり、すでにバージョン 15.5.3 のリリースで修正されている。

Palo Alto の GlobalProtect VPN Portal に 230万件の不正ログイン・アクセス：狙いはブルートフォース攻撃？

Hackers Attacking Palo Alto Networks’ GlobalProtect VPN Portals with 2.3 Million Attacks

2025/11/20 CyberSecurityNews — 2025年11月14日以降において、Palo Alto Networks の GlobalProtect VPN ポータルに対して、230 万件以上の悪意のセッションが仕掛けられていると、脅威インテリジェンス企業 GreyNoise が公表した。この攻撃は 24 時間以内に 40 倍に急増し、過去 90日間で最も活発な活動レベルを記録したという。このインシデントが浮き彫りにするのは、世界中のリモート・アクセス・システムに対するリスクの増大である。

Microsoft Office のゼロデイを $30,000 で販売：Zeroplayer 脅威アクターはロシア由来？

Threat Actors Allegedly Selling Microsoft Office 0-Day RCE Vulnerability on Hacking Forums

2025/11/20 CyberSecurityNews — Microsoft Office／Windows システムを標的とする、ゼロデイのリモート・コード実行 (RCE) 脆弱性とサンドボックス・エスケープを、Zeroplayer と呼ばれる脅威アクターがアンダーグラウンドで販売しているとの報道がなされている。このエクスプロイトは $30,000 で販売され、最新バージョンを含む大半の Office ファイル形式で動作し、パッチが完全に適用された Windows にも影響を与えるとされている。

悪意の ‘Free’ VPN エクステンションに御用心：Chrome Web Store から 900 万件以上もインストール

Malicious ‘Free’ VPN Extension with 9 Million Installs Hijacks Traffic and Steals Browsing Data

2025/11/20 gbhackers — LayerX Security のセキュリティ研究者が公表したのは、ユーザー・トラフィックを傍受して閲覧データを盗み出すことを目的とする、悪意の VPN／広告ブロック・エクステンションを介した巧妙なキャンペーンである。このキャンペーンは、憂慮すべきパターンを示している。これらのエクステンションを背後で操る脅威アクターは、繰り返されてきた検出と削除の後も、より高度な回避機能を備える亜種を継続的にリリースしている。

Cline AI の４つの脆弱性：プロンプト・インジェクションによるコード実行とデータ漏洩

Cline AI Coding Agent Vulnerabilities Enables Prompt Injection, Code Execution, and Data Leakage

2025/11/20 CyberSecurityNews — Cline は、380 万回インストールされ、GitHub で 5 万2000 以上のスターを獲得している、オープンソースの AI コーディング・エージェントである。このエージェントに存在する４つの深刻なセキュリティ脆弱性を悪用する攻撃者は、悪意のあるソースコード・リポジトリを介して任意のコードを実行し、機密データの窃取を可能にするという。Mindgard の研究者たちが、これらの脆弱性を発見したのは、Claude Sonnet と無料の Sonic モデルをサポートする、人気の VSCode エクステンションの調査中のことだった。

Ollama の脆弱性 CVE-N/A が FIX：悪意のモデル・ファイルを介した RCE

Ollama Flaws Let Hackers Run Any Code Using Malicious Model Files

2025/11/20 gbhackers — GitHub で人気を博すオープンソース・プロジェクトであり、155,000 以上のスターを獲得している Ollama に、深刻なセキュリティ脆弱性 CVE-N/A が発見された。この脆弱性を悪用する攻撃者は、脆弱なシステム上で任意のコード実行の可能性を得る。これらの脆弱性は、Ollama のバージョン 0.7.0 未満に影響を及ぼすものであり、このプラットフォームにより LLM をローカルで実行している、数多くの AI 愛好家や開発者を危険にさらしている。

Shadow AI インシデント：2030年までに 40% 以上の企業で発生 – Gartner

Gartner: 40% of Firms to Be Hit By Shadow AI Security Incidents

2025/11/20 infosecurity — Gartner の予測は、2030年までに世界の組織の 40%以上が、未承認の AI ツールの使用により、セキュリティおよびコンプライアンスのインシデントに見舞われるというものだ。サイバー・セキュリティ責任者を対象として、2025年の初めに実施された同社の調査によると、公開されている GenAI を従業員が職場で使用している証拠がある、もしくは、その疑いがあると、69％が回答しているという。

CVE データはコミュニティが守るべきもの：現状を分析しながら分散化を提言する

Can a Global, Decentralized System Save CVE Data?

2025/11/19 DarkReading — セキュリティ・データ・アナリストであり CVE.ICU を主催する Jerry Gamblin によると、いまの脆弱性情報を取り巻く課題である、収集／追跡／報告などをタイムリーに拡充していくためには、Common Vulnerabilities and Exposures (CVE) システムの刷新が必要になるという。現実を見れば、事実上 MITRE と NIST (National Institute of Standards and Technology) が管理するデータ・リポジトリである National Vulnerability Database (NVD) は、脆弱性の分析において依然として遅れをとっている。