Critical Qualcomm Vulnerabilities Allow Attackers to Execute Arbitrary Code Remotely
2025/09/02 CyberSecurityNews — Qualcomm Technologies の Data Network Stack and Multi-Mode Call Processor には、リモート攻撃者による任意コード実行を許す、深刻な脆弱性 CVE-2025-21483／CVE-2025-27034 が存在する。いずれも CVSS 3.1 スコアで 9.8 と評価されており、バッファ破損に起因するものである。これらの脆弱性が悪用されると、デバイスのセキュリティが侵害される可能性が生じる。
Continue reading “Qualcomm チップセットの脆弱性 CVE-2025-21483／CVE-2025-27034 が FIX：RCE の可能性”Zscaler data breach exposes customer info after Salesloft Drift compromise
2025/09/01 BleepingComputer — サイバー・セキュリティ企業 Zscaler が発したのは、Salesforce インスタンスにアクセスした脅威アクターが、サポート・ケースの内容を含む顧客情報を盗み出すという、同社が受けた侵害に関する警告である。この問題は、Salesforce に統合された Salesloft と Drift への侵害に起因する。攻撃者は OAuth トークンとリフレッシュ・トークンを盗み出し、顧客の Salesforce と Drift の環境にアクセスして機密データを窃取した。Zscaler はアドバイザリにおいて、このサプライチェーン攻撃により Salesforce インスタンスが影響を受け、同社の顧客情報が漏洩したと述べている。
Continue reading “Zscaler の顧客情報が侵害された：Salesloft の脆弱性に関連するインシデントが止まらない”High-Risk SQLi Flaw Exposes WordPress Memberships Plugin Users
2025/09/01 InfoSecurity — WordPress の 10,000 以上のサイトで会員登録と定期支払いの管理に使用されている、有料会員管理プラグイン Paid Membership Subscriptions に、深刻なセキュリティ問題が発見された。このプラグインのバージョン 2.15.1 以下には、未認証の SQL インジェクション (SQLi) の脆弱性 CVE-2025-49870 が存在する。したがって、攻撃者はログイン認証を必要とすることなく、悪意の SQL クエリをデータベースに注入できる。
Continue reading “WordPress Paid Membership プラグインの脆弱性 CVE-2025-49870 が FIX：深刻な SQLi の恐れ”SUSE Fleet: Plain Text Storage of Vulnerability Exploit Helm Values
2025/09/01 gbhackers — SUSE Fleet に存在する深刻な脆弱性 CVE-2024-52284 が、GitHub セキュリティ・アドバイザリ GHSA-6h9x-9j5v-7w9h で公開された。この欠陥は、機密性の高い認証情報などを取り込む可能性の高い Helm チャートの値を、BundleDeployment リソース内に平文で保存するものであり、GET／LIST 権限を持つ全てのユーザーが、それらの値を閲覧できる状態にある。Kubernetes クラスター向けの GitOps 管理ツールの脆弱性を発見したのは、セキュリティ研究の samjustus である。
Continue reading “SUSE Fleet の脆弱性 CVE-2024-52284：Helm 値の平文保存による情報漏洩の可能性”Critical Next.js Framework Vulnerability Let Attackers Bypass Authorization
2025/09/01 CyberSecurityNews — Next.js フレームワークに発見された、深刻な脆弱性 CVE-2025-29927 を悪用する攻撃者は、認証メカニズムを完全にバイパスするため、Web アプリケーションに深刻な脅威が生じている。この脆弱性は、Next.js ミドルウェア実行時の x-middleware-subrequest ヘッダの不適切な処理に起因し、機密性の高い管理領域や保護されたリソースへの不正アクセスを引き起こす可能性がある。
Continue reading “Next.jsフレームワークの脆弱性 CVE-2025-29927：新たな認証バイパス PoC ？”MediaTek Security Update – Patch for Multiple Vulnerabilities Across Chipsets
2025/09/01 CyberSecurityNews — MediaTek が公開したのは、最新のモデム・チップセットに存在する、複数の脆弱性に対処するための重要なセキュリティ情報であり、デバイス OEM 各社に対して直ちにアップデートを適用するよう強く推奨している。この公開情報は、OEM への非公開通知から２ヶ月後に公開されたものであり、現時点において、実環境での悪用事例は確認されていないという。
Continue reading “MediaTek モデム・チップセットの複数の脆弱性 が FIX：境界外アクセスとメモリ破損の可能性”Critical ImageMagick Vulnerability Allows Remote Code Execution
2025/09/01 gbhackers — 広く使用されるオープンソース画像処理ソフトウェア ImageMagick に、深刻な脆弱性 CVE-2025-57803 (CVSS 3.1：9.8) が発見された。この脆弱性を悪用する攻撃者は、リモートからのコード実行を可能にするという。なお、この脆弱性の影響を受けるのは、ImageMagick 32-Bit 版のバージョン 7.1.2-2／6.9.13-28 未満である。
Continue reading “ImageMagick の脆弱性 CVE-2025-57803 が FIX：32-Bit 環境での RCE の可能性”IBM Watsonx Vulnerability Let Attackers Inject Malicious SQl Queries
2025/09/01 CyberSecurityNews — IBM が公表したのは、IBM Watsonx Orchestrate Cartridge for IBM Cloud Pak for Data に存在する、深刻なブラインド SQL インジェクション (SQLi) の脆弱性 CVE-2025-0165 (CVSS：7.6) に対するセキュリティ情報である。この脆弱性を悪用する低権限のリモート攻撃者は、悪意の SQL 文のインジェクションにより、機密性の高いバックエンド・データベースを侵害する可能性を手にする。
Continue reading “IBM Watsonx の脆弱性 CVE-2025-0165 が FIX：ブラインド SQLi にるデータベース侵害”Linux UDisks Daemon Vulnerability Allows Attackers Access to Privileged User Files
2025/09/01 CyberSecurityNews — Linux UDisks デーモンに、深刻なセキュリティ脆弱性 CVE-2025-8067 が発見された。この脆弱性を悪用することで、権限を持たない攻撃者であっても、特権ユーザーが所有するファイルへのアクセスを可能にするという。公開日は 2025年8月28日であり、その深刻度は CVSS v3 ベース・スコア 8.5 (Important) と評価されている。
Continue reading “Linux UDisks デーモンの脆弱性 CVE-2025-8067：ローカル権限昇格に対してパッチ未適用”Vulnerabilities in Sitecore CMS Platform Allow Excute Arbitrary Code Remotely
2025/08/31 gbhackers — Sitecore Experience Platform に存在する脆弱性 CVE-2025-53693／53691 の連鎖が、watchTowr Labs のセキュリティ研究者たちにより発見された。これらの脆弱性を悪用する攻撃者は、認証を必要とすることなく、企業の Web サイトを完全に侵害し、壊滅的な被害を及ぼすという。この調査で明らかにされたのは、標的 Web サイトのキャッシュ・システムを改竄するサイバー犯罪者が、権限を昇格させた後に、システム上でリモート・コードを実行する手法である。
Continue reading “Sitecore CMS の脆弱性 CVE-2025-53693／53691：連鎖による侵害シナリオとは？”Netskope Windows Client Vulnerability Enables Privilege Escalation via Rogue Server
2025/08/31 gbhackers — Netskope の Windows クライアントに、深刻なセキュリティ脆弱性が発見された。この脆弱性の悪用に成功した攻撃者は、低権限のユーザーから SYSTEM レベルのフルアクセスへと権限を昇格できる。この脆弱性 CVE-2025-0309 が影響を及ぼす範囲は、Netskope Windows クライアントのバージョン R129 未満であり、同社による緊急セキュリティ・アップデートが公開されている。
Continue reading “Netskope Windows Client の脆弱性 CVE-2025-0309 が FIX：SYSTEM レベルへの権限昇格の可能性”QNAP Flaw Allows Attackers to Bypass Authentication
2025/08/30 gbhackers — QNAP Systems が公開したのは、レガシー VioStor Network Video Recorder (NVR) システムの QVR ファームウェアに影響を及ぼす、複数の脆弱性に対処するセキュリティ・パッチである。2025年8月29日に同社は 、２件の深刻な脆弱性 CVE-2025-52856／CVE-2025-52861 を公表し、ユーザーに対して速やかなシステム更新を強く推奨し、潜在的な侵害を防ぐよう求めている。
Continue reading “QNAP VioStor NVR の脆弱性 CVE-2025-52856／52861 が FIX：認証バイパスとパス・トラバーサルの可能性”Critical Citrix 0-Day Vulnerability Exploited Since May, Leaving Global Entities Exposed
2025/08/30 CyberSecurityNews — Citrix NetScaler 製品に存在する深刻なゼロデイ脆弱性 CVE-2025-6543 は、パッチが公開される以前の 2025年5月ころから、脅威アクターにより積極的に悪用されていたという。当初、Citrix は、この脆弱性を “意図しない制御フローとサービス拒否につながるメモリ・オーバーフローの脆弱性” と過小評価していたが、その後に判明したのは、未認証のリモート・コード実行 (RCE) の脆弱性だった。それにより、世界中の政府機関や法務サービスに対して、広範なセキュリティ侵害が生じている。
Continue reading “Citrix NetScaler のゼロデイ脆弱性 CVE-2025-6543：2025年5月からの悪用を示唆 – 蘭 NCSC”NodeBB Vulnerability Let Attackers Inject Boolean-Based Blind and PostgreSQL Error-Based Payloads
2025/08/29 CyberSecurityNews — NodeBB バージョン 4.3.0 に、深刻な SQL インジェクションの脆弱性 CVE-2025-50979 が発見された。この脆弱性は NodeBB の検索カテゴリ API エンドポイントに存在し、未認証のリモート攻撃者に対して、ブール値ベースのブラインド・ペイロード／PostgreSQL エラーベースのペイロードの注入を許すものである。この CVE-2025-50979 が悪用されると、不正なデータ・アクセスや情報漏洩に加えて、システム侵害の可能性が生じる。
Continue reading “NodeBB の SQL インジェクション脆弱性 CVE-2025-50979：ブール値／エラーベースのペイロード注入が可能”PhpSpreadsheet Library Vulnerability Enables Attackers to Feed Malicious HTML Input
2025/08/29 CyberSecurityNews — 広く使用されている PhpSpreadsheet ライブラリで確認されたのは、深刻なサーバサイド・リクエスト・フォージェリ (SSRF) の脆弱性 CVE-2025-54370 (CVSS v4.0：8.7) の存在である。この脆弱性は、phpoffice/phpspreadsheet パッケージの複数のバージョンに影響するため、内部ネットワーク・リソースを悪用する攻撃者に対して、サーバ・セキュリティの侵害を許す可能性が高まっている。
Cisco Nexus 3000 and 9000 Series Vulnerability Let Attackers Trigger DoS Attack
2025/08/28 CyberSecurityNews — Cisco が発表したのは、Nexus 3000／9000 Series スイッチ向け NX-OS ソフトウェアの、Intermediate System-to-Intermediate System (IS-IS) 機能に存在する、深刻な脆弱性を警告するセキュリティ・アドバイザリである。この脆弱性 CVE-2025-20241 は、CVSS 3.1 ベース・スコア 7.4 (High) と評価されている。認証されていない Layer 2 隣接攻撃者が、不正な パケットを送信することで IS-IS プロセスを再起動させ、デバイスのリロードによるサービス拒否 (DoS) 状態を引き起こす恐れが生じる。
Continue reading “Cisco Nexus 3000／9000 の脆弱性 CVE-2025-20241 が FIX：DoS 攻撃の可能性”FreePBX Servers Hit by 0-Day Exploit, Disable Internet Access Advised
2025/08/28 gbhackers — FreePBX の商用 Endpoint Manager モジュールに深刻なゼロデイ脆弱性が発見されたことで、ユーザー組織の管理者たちに求められるのは、自社システムへのパブリック・インターネット・アクセスを直ちに無効化することである。Sangoma FreePBX Security Team が確認したのは、インターネットに Administrator Control Panel が公開されているシステムにおいては、攻撃者が制御するエクスプロイト・コードにより未認証でのリモート・コード実行が可能になることだ。そのため、8月26日の時点で Sangoma FreePBX 緊急アドバイザリを公開し、その後のロックダウン対策の継続を促すフォローアップを発表した。
Continue reading “FreePBX のゼロデイ脆弱性 CVE-2025-57819：インターネット遮断が推奨される”Kea DHCP Server Vulnerability Let Remote Attacker Crash With a Single Crafted Packet
2025/08/28 CyberSecurityNews — 広く利用されている ISC Kea DHCP サーバに新たに発見された脆弱性は、世界中のネットワーク・インフラに深刻なセキュリティ・リスクをもたらすものだ。この脆弱性 CVE-2025-40779 を悪用するリモート攻撃者は、細工したパケットを１つだけ送信することで、DHCP サービスをクラッシュさせ、組織全体のネットワーク運用に支障をきたす可能性を持つ。この脆弱性が影響を及ぼす範囲は、Kea DHCP サーバの複数のバージョン 2.7.1～2.7.9／3.0.0／3.1.0 となる。
Continue reading “ISC Kea DHCP の脆弱性 CVE-2025-40779 が FIX：細工されたユニキャスト・パケットでクラッシュ”Cisco IMC Virtual Keyboard Video Monitor Let Attacker Direct User to Malicious Website
2025/08/28 CyberSecurityNews — Cisco が公表したのは、Integrated Management Controller (IMC) の Virtual Keyboard Video Monitor (vKVM) コンポーネントに存在する、深刻度の高いオープン・リダイレクトの脆弱性に関する情報である。この脆弱性 CVE-2025-20317 は、CVSS 3.1 ベース・スコアで 7.1 と評価されている。この脆弱性を悪用する未認証のリモート攻撃者は、影響を受けるデバイスのユーザーを悪意の Web サイトへとリダイレクトし、フィッシングなどのソーシャル・エンジニアリングを通じて、認証情報を不正に取得する可能性を手にする。
Continue reading “Cisco IMC vKVM の脆弱性 CVE-2025-20317：悪意の Web サイトへ誘導の可能性”Critical Chrome Use After Free Vulnerability Let Attackers Execute Arbitrary Code
2025/08/27 CyberSecurityNews — Google が公開したのは、ANGLE グラフィック・ライブラリに存在する深刻な解放後メモリ使用 (use-after-free) 脆弱性 CVE-2025-9478 に対処するための、Chrome の緊急セキュリティ・アップデートである。この脆弱性は Windows／Mac／Linux プラットフォームにおける Chrome バージョン 139.0.7258.154／.155 未満に影響を及ぼし、その悪用に成功した攻撃者は、侵害したシステム上で任意のコード実行の可能性を手にする。
Continue reading “Google Chrome の脆弱性 CVE-2025-9478 が FIX：解放後メモリ使用による任意のコード実行”28,000+ Citrix Servers Exposed to Active 0-Day RCE Vulnerability Exploited in the Wild
2025/08/27 CyberSecurityNews — Citrix NetScaler のゼロデイ脆弱性 CVE-2025-7775 は、深刻なリモート・コード実行 (RCE) を引き起こすものであり、世界中の 28,000 台を超える Citrix インスタンスに影響を及ぼすものだ。すでに、この脆弱性は悪用されており、米国の Cybersecurity and Infrastructure Security Agency (CISA) は、Known Exploited Vulnerabilities (KEV) カタログに登録している。
Continue reading “Citrix NetScaler のゼロデイ脆弱性 CVE-2025-7775 が FIX：悪用の検出と CISA KEV への登録”IPFire Firewall Admin Panel Vulnerability Enables Persistent JavaScript Injection
2025/08/27 gbhackers — IPFire 2.29 の Web ベース・ファイアウォール・インターフェイス (firewall.cgi) に存在する、深刻な脆弱性 CVE-2025-50975 を悪用する認証済みの Admin は、永続的な JavaScript コードの挿入を可能にするという。この脆弱性を悪用されると、セッションハイジャック／管理権限の不正行使／内部ネットワークへのピボット攻撃などに発展する可能性がある。 この蓄積型のクロスサイト・スクリプティング (XSS) の脆弱性は、ファイアウォール管理が複数の Admin により分担される環境で、特に深刻なリスクをもたらすという。
Continue reading “IPFire の脆弱性 CVE-2025-50975：蓄積型 XSS による永続的 JavaScript コード挿入と PoC”PoC Exploit Released for CrushFTP 0-day Vulnerability (CVE-2025-54309)
2025/08/27 CyberSecurityNews — CrushFTP ファイル転送サーバに影響を及ぼす、深刻な認証バイパスの脆弱性 CVE-2025-54309 を標的とする PoC エクスプロイトが公開された。この脆弱性を悪用するリモート攻撃者は、AS2 検証処理における競合状態を介して管理者権限を取得し、認証メカニズムを完全に回避できる。
Continue reading “CrushFTP の脆弱性 CVE-2025-54309：新たな PoC エクスプロイトが公開”Nagios Flaw Enables Remote Attackers to Run Arbitrary JavaScript via XSS
2025/08/27 gbhackers — Nagios が公表したのは、エンタープライズ監視プラットフォーム Nagios XI の Graph Explorer 機能で発見された、深刻なクロスサイト・スクリプティング (XSS) の脆弱性の情報である。この脆弱性を悪用するリモート攻撃者は、ユーザーのブラウザ上で任意の JavaScript を実行できる可能性がある。この脆弱性は、セキュリティ研究者 Marius Lihet により責任を持って開示されたものであり、2024年8月12日にリリースされた 2024R2.1 で、修正済みとなっている。
Continue reading “Nagios XI Graph Explorer 脆弱性 CVE-N/A：XSS による任意のJavaScript 実行”NVIDIA NeMo AI Curator Enables Code Execution and Privilege Escalation
2025/08/27 CyberSecurityNews — NVIDIA が発表したのは、NeMo Curator プラットフォームに存在する、深刻な脆弱性 CVE-2025-23307 に対処する緊急セキュリティ情報である。この脆弱性が影響を及ぼす範囲は、Windows／Linux／macOS プラットフォームのバージョン 25.07 未満であり、攻撃者による悪意のあるコード実行と権限昇格を可能にするとされる。この欠陥は、NeMo Curator のファイル処理メカニズムにおける不適切な入力検証に起因し、悪意のファイルを作成する攻撃者に対して、コード・インジェクション攻撃を許す可能性がある。
Continue reading “NVIDIA NeMo Curator の脆弱性 CVE-2025-23307：ローカル・コード実行と権限昇格の可能性”Securden Unified PAM Flaw Allows Attackers to Bypass Authentication
2025/08/26 gbhackers — Securden Unified PAM は、包括的特権アクセス管理プラットフォームであり、多様な環境における人間／マシン／AI の ID 認証情報を保存／管理／監視するものだ。Rapid7 の Vector Command を用いるレッドチーム演習により、セキュリティ研究者たちが発見したのは、このプラットフォームに存在する、認証バイパス／無制限ファイル・アップロード／パス・トラバーサル／共有インフラリスクなどの、４件の深刻な脆弱性である。それらを悪用する攻撃者は、機密パスワードの取得／任意のコード実行／マルチテナント・ゲートウェイ侵害などの可能性を手にする。
Continue reading “Securden Unified PAM の複数の脆弱性が FIX：認証バイパスや RCE などの可能性”WinRAR 0-Day Vulnerabilities Exploited in Wild by Hackers – Detailed Case Study
2025/08/26 CyberSecurityNews — WinRAR において発見された２件の深刻なゼロデイ脆弱性だが、すでに積極的な悪用が始まっており、サイバー・セキュリティ情勢に深刻な影響が生じている。脆弱性 CVE-2025-6218 (CVSS：7.8)／CVE-2025-8088 (CVSS：8.4) は、細工されたアーカイブ・ファイルを配信する脅威アクターに対して、リモート・コード実行と永続的アクセスを許す攻撃ベクターを持つ。この状況が示すのは、圧縮ソフトウェアを常に最新に保ち、ファイル処理プロセスに堅牢なセキュリティ対策を実装することの重要性である。
Continue reading “WinRAR のゼロデイ脆弱性 CVE-2025-6218／8088：ポストエクスプロイトを想定して取るべき行動とは？”PoC Exploit Published for Chrome 0-Day Already Under Active Attack
2025/08/26 gbhackers — Google Chrome の深刻なゼロデイ脆弱性 CVE-2025-5419 (CVSS：7.5) に対する PoC エクスプロイトが、情報の提供から３ヶ月も経たずに公開されたが、それと同時に、実際の悪用事例も多数報告されている。この脆弱性は、Chrome の V8 JavaScript エンジンにおける境界外での読取／書込に起因し、137.0.7151.68 未満のバージョンに影響を及ぼす。その結果として、細工された HTML ページを介した、ヒープ破損が引き起こされる可能性がある。
Continue reading “Google Chrome のゼロデイ脆弱性 CVE-2025-5419：PoC 公開と実環境での悪用”New Stealthy Malware Hijacking Cisco, TP-Link, and Other Routers for Remote Control
2025/08/26 gbhackers — Cisco／TP-Link などの重要インフラ・デバイスを標的とする、高度なマルウェア攻撃キャンペーンを、FortiGuard Labs が発見した。この Gayfemboy マルウェアは、新たな Mirai 亜種であり、高度な回避技術とマルチ・プラットフォーム対応の機能を備えている。すでに、DrayTek／TP-Link／Raisecom／Cisco などの脆弱性を悪用し、バックドア・アクセスと分散型サービス拒否 (DDoS) 攻撃の機能を備えた、永続的なボットネット・インフラを構築している。
Continue reading “新たな Mirai 亜種が登場：Cisco／TP-Link などの脆弱性を標的に DDoS 攻撃を実行”CISA Adds Three Exploited Vulnerabilities to KEV Catalog Affecting Citrix and Git
2025/08/26 TheHackerNews — 8月25日 (月) に、米国の Cybersecurity and Infrastructure Security Agency (CISA) は、現在も悪用されている証拠に基づき、３件の脆弱性を Known Exploited Vulnerabilities (KEV) に登録した。それらは、Citrix Session Recording の脆弱性 CVE-2024-8068／CVE-2024-8069と、Git の脆弱性 CVE-2025-48384 である。
Continue reading “CISA KEV 警告 25/08/25：Citrix と Git の脆弱性３件を KEV カタログに登録”0-Click Zendesk Flaw Lets Hackers Hijack Accounts and View All Tickets
2025/08/25 gbhackers — Zendesk の Android SDK に、深刻なゼロクリック脆弱性が発見された。この脆弱性を悪用する攻撃者は、ユーザーの操作を必要とせずにサポート・アカウントを乗っ取り、すべてのチケットを収集できるという。この脆弱性は、Zendesk モバイル・アプリにおけるトークン生成および保存メカニズムの欠陥に起因するものであり、非公開のバグ報奨金プログラムで発見されたという。
Continue reading “Zendesk Android SDK の脆弱性：ゼロクリック攻撃により任意のユーザー・アカウント侵害が可能”Critical Tableau Server Flaws Allows Malicious File Uploads
2025/08/25 gbhackers — Salesforce が公表したのは、Tableau Server／Desktop に存在する、複数の深刻な脆弱性の修正に関する情報である。これらの脆弱性を悪用する攻撃者は、悪意のファイルをアップロードし、任意のコード実行の可能性を手にする。これらの脆弱性は、2025年8月22日に公表されたが、すでに 2025年7月22日の時点で、メンテナンス・リリースにより修正されている。
Continue reading “Tableau Server の複数の脆弱性：悪意のファイル・アップロードによるコード実行の可能性”PoC Exploit & Vulnerability Analysis Released for Apple 0-Day RCE Vulnerability
2025/08/25 CyberSecurityNews — Apple の画像処理インフラに影響を与える、深刻なゼロクリック・リモート・コード実行 (RCE) の脆弱性 CVE-2025-43300 に対して、詳細な PoC エクスプロイトと包括的な脆弱性分析が公開された。RawCamera.bundle 内の JPEG ロスレス解凍の Apple 実装に存在する、この脆弱性を悪用する攻撃者は、悪意を持って細工された DNG (Digital Negative) ファイルを通じて、ユーザー操作を必要とすることなく、コード実行を可能にする。
Continue reading “Apple 0-Day 脆弱性 CVE-2025-43300 が FIX：ゼロクリック RCE の PoC も公開”AI Systems Capable of Generating Working Exploits for CVEs in Just 10–15 Minutes
2025/08/22 gbhackers — 公開されている脆弱性 (CVE) に対する有効なエクスプロイトを、わずか 10～15 分で自動生成できる人工知能システムが、サイバー・セキュリティ研究者たちにより開発された。このシステムは、１つのエクスプロイトを約 $1 というコストで生成できるという。したがって、防御側が依拠してきた、従来からのセキュリティ対応スケジュールに対して、根本的な挑戦を突き付けるものとなる。
Continue reading “AI によるエクスプロイト開発：１件あたり $1 のコストで所要時間は僅か 10〜15 分”14 Million-Download SHA JavaScript Library Exposes Users to Hash Manipulation Attacks
2025/08/25 gbhackers — 広く使用されている sha.js npm パッケージに、深刻なセキュリティ脆弱性 CVE-2025-9288 が発見された。この脆弱性により、数百万ものアプリケーションが高度なハッシュ操作攻撃にさらされ、暗号演算が侵害されることで、機密システムへの不正アクセスの可能性が生じている。影響を受けるのは、sha.js ライブラリのバージョン 2.4.11 以下であり、JavaScript エコシステム全体で 1,400 万回以上もダウンロードされているものだ。
Windows Docker Desktop Vulnerability Allows Full Host Compromise
2025/08/22 gbhackers — Docker Desktop for Windows に、深刻な脆弱性 CVE-2025-9074 が発見された。この脆弱性を悪用する攻撃者は、任意のコンテナから単純なサーバサイド・リクエスト・フォージェリ (SSRF) 攻撃を仕掛け、ホスト・システム全体を侵害できる状況にあったという。2025年8月にリリースされた Docker Desktop バージョン 4.44.3 において、この脆弱性は修正されている。
Azure’s Default API Connection Vulnerability Enables Full Cross-Tenant Compromise
2025/08/22 CyberSecurityNews — Microsoft Azure の API Connection インフラに存在する深刻な脆弱性により、世界中の複数の Azure テナントのリソースの侵害が可能であったようだ。セキュリティ研究者である Gulbrandsrud は、この脆弱性の発見により $40,000 報奨金を獲得し、Black Hat プレゼンテーションに参加する資格を得た。この侵害は、Azure の共有 API Management (APIM) インスタンス・アーキテクチャを悪用するものであり、Key Vault／Azure SQL Database／Jira／Salesforce などのサードパーティ・サービスへの不正アクセスが、テナントの境界を越えて可能であったという。
Continue reading “Microsoft Azure における API Connection の脆弱性：テナント間の侵害が可能に”Critical Apple 0-Day Vulnerability Actively Exploited in the Wild – Update Now
2025/08/21 CyberSecurityNews — Apple が公開した、iOS／iPadOS 向けの緊急セキュリティ・アップデートは、基盤となる Image I/O フレームワークに存在する、深刻なゼロデイ脆弱性を修正するものだ。この脆弱性 CVE-2025-43300 は、高度な標的型攻撃における、実際の悪用が確認されている。
Continue reading “Apple iOS／iPadOS のゼロデイ脆弱性 CVE-2025-43300 が FIX：標的型攻撃での悪用を確認”High-Severity Mozilla Flaws Allow Remote Code Execution
2025/08/21 gbhackers — Mozilla がリリースした Firefox 142 は、影響を受けるシステムにおいて、リモート攻撃者に対して任意のコード実行などを許す、複数の深刻な脆弱性に対処するためのものである。2025年8月19日に公開された、Mozilla Foundation Security Advisory 2025-64 で解説されるのは、深刻なリモート・コード実行 (RCE)／サービス拒否 (DoS)／スプーフィング 攻撃につながる恐れのある、９件の脆弱性に関する情報である。
Continue reading “Mozilla 製品における複数の脆弱性が FIX：RCE／DoS／Spoofing などの可能性”Commvault Backup Suite Flaws Allow Attackers to Breach On-Premises Systems
2025/08/21 gbhackers — Commvault バックアップ／データ管理ソフトウェアに存在する深刻な脆弱性群を、WatchTowr Labs のセキュリティ研究者たちが発見した。それらの脆弱性は、攻撃者によるリモート・コード実行 (RCE) やオンプレミス・インフラ侵害を可能にするものであるという。バックアップ・ソリューションを Commvault に依存する組織にとって、これらの欠陥は重大な脅威となる。
Continue reading “Commvault Backup Suite の複数の脆弱性：オンプレミス・インフラ侵害に No Patch／Yes PoC”Threat Actors Allegedly Listed Windows Zero-Day RCE Exploit For Sale on Dark Web
2025/08/20 CyberSecurityNews — 脅威アクターと称する人物が、Windows のゼロデイ・リモート・コード実行 (RCE) エクスプロイトを $125k で販売している。完全にアップデートされた Windows 10／11 および Windows Server 2022 システムを標的とするエクスプロイトだと、この脅威アクターは主張している。
Continue reading “Windows RCE ゼロデイ・エクスプロイトを $125k で販売：Windows 10／11／Server 2022 が標的”Copilot Vulnerability Breaks Audit Logs and Access Files Secretly for Hackers
2025/08/20 CyberSecurityNews — Microsoft M365 向けの Copilot に、深刻なセキュリティ脆弱性が発見された。この脆弱性が、インサイダーに悪用されると、公式の監査ログに記録を残すことなく、機密ファイルへのアクセス／操作が可能となっていた。この脆弱性を修正した Microsoft は、正式な CVE の発行や顧客への通知を行わなかったと報じられている。その結果としてユーザー企業は、修正前のセキュリティ・ログが不完全であっても気付かない状況に置かれている。
Continue reading “Copilot の脆弱性により M365 監査ログの完全性に問題：CVE 発行と詳細報告を拒絶する Microsoft”Hackers Exploiting Apache ActiveMQ Vulnerability to Gain Access to Cloud Linux Systems
2025/08/20 CyberSecurityNews — Apache ActiveMQ の深刻なリモート・コード実行の脆弱性 CVE-2023-46604 を悪用し、クラウド・ベースの Linux システムを侵害する、巧妙なキャンペーンの存在が明らかになった。このケースにおける攻撃者は、悪用後の脆弱性にパッチを適用することで、排他的アクセスの維持と検出の回避を図っており、国家レベル攻撃者だけが実施するとされる、高度な運用セキュリティ対策を施している。
Continue reading “Apache ActiveMQ の CVE-2023-46604 が標的のキャンペーン：SSH 改変による永続的バックドアの確立”CodeRabbit’s Production Servers RCE Vulnerability Enables Write Access on 1M Repositories
2025/08/20 CyberSecurityNews — CodeRabbit の本番環境インフラで確認された、深刻なリモート・コード実行 (RCE) 脆弱性により、100万以上のコード・リポジトリへの不正アクセスが、プライベート・リポジトリを含むかたちで可能になっていた。このプラットフォームの静的解析ツール統合を悪用する攻撃者は、機密 API 認証情報を窃取し、GitHub App 秘密鍵を掌握することで、リポジトリへの書込権限の取得が可能な状況にあった。この脆弱性は、2024年12月に発見され、2025年1月に責任あるかたちで開示された。
Continue reading “CodeRabbit 本番環境サーバにおける RCE 脆弱性：100 万件以上のリポジトリに影響が生じた可能性”Chrome High-Severity Vulnerability Could Let Attackers Run Arbitrary Code
2025/08/20 gbhackers — Google が公表したのは、影響を受けるシステム上で攻撃者に対して、任意のコード実行を許す深刻な脆弱性に対処する、Chrome の緊急セキュリティ・アップデートのリリースである。それにより、Windows／Mac 用にはバージョン 139.0.7258.138／.139 が、Linux 用にはバージョン 139.0.7258.138 が提供されている。この脆弱性 CVE-2025-9132 は、V8 JavaScript エンジンに影響を及ぼし、世界中の数百万人の Chrome ユーザーに深刻なリスクをもたらすという。
Continue reading “Google Chrome の脆弱性 CVE-2025-9132 が FIX：任意のコード実行の可能性”CISA Alerts on Active Exploitation of Trend Micro Apex One Vulnerability
2025/08/19 gbhackers — Cybersecurity and Infrastructure Security Agency (CISA) は、Trend Micro Apex One の深刻な脆弱性 CVE-2025-54948 を、Known Exploited Vulnerabilities (KEV) カタログに追加した。この脆弱性は、管理コンソールのオンプレミス環境に影響を及ぼし、世界中の組織に深刻なリスクをもたらすものであり、このエンタープライズ・セキュリティ・プラットフォームを標的とする悪用の活発化が警告されている。
Continue reading “CISA KEV 警告 25/08/19：Trend Micro Apex One の脆弱性 CVE-2025-54948 を登録”SAP 0-Day Exploit Reportedly Leaked by ShinyHunters Hackers
2025/08/19 gbhackers — SAP の深刻な脆弱性に対する、悪名高いハッカー集団 ShinyHunters による攻侵の状況が明らかにされた。それにより、企業の SAP 環境における脅威状況は著しく悪化している。この複数のゼロデイ脆弱性を連鎖的に利用するエクスプロイトが、Telegram の Scattered LAPSUS$ Hunters – ShinyHunters チャネルを介して漏洩したことが、その後の 2025年8月15日に VX Underground により明らかにされた。
Continue reading “SAP の 0-Day 脆弱性を悪用：公開されたエクスプロイトにより攻撃試行が増加？”New Research Uncovers Connection Between VPN Apps and Multiple Security Vulnerabilities
2025/08/19 CyberSecurityNews — 複数の VPN アプリケーションにまたがる深刻な脆弱性が、７億人以上のユーザーに影響を及ぼしていることが、包括的なセキュリティ分析により判明した。この脆弱性により、VPN が保証するはずのプライバシー／セキュリティが、大きく損なわれる可能性が露呈している。アリゾナ州立大学／Citizen Lab／Bowdoin University のサイバー・セキュリティ専門家の調査により、３つの VPN プロバイダー・グループは、所有権を共有しているだけはではなく、セキュリティ上の欠陥も共有し、通信の傍受と解読の危険にユーザーをさらしていることも明らかになった。
Continue reading “複数の VPN アプリに存在する脆弱性：コードの所有権だけではなく欠陥も共有？”PipeMagic Malware Imitates ChatGPT App to Exploit Windows Vulnerability and Deploy Ransomware
2025/08/19 gbhackers — PipeMagic マルウェアを背後で操るのは、金銭目的の脅威アクター Storm-2460 だとされており、常に変化し続けるサイバー脅威の顕著な例を示している。このマルウェアは、GitHub 上の正規のオープンソース ChatGPT デスクトップ・アプリケーションを装っている。この高度なモジュール式のバックドアは、Windows の Common Log File System (CLFS) における、権限昇格の脆弱性 CVE-2025-29824 を悪用し、標的型攻撃を容易にするものだ。
Continue reading “PipeMagic マルウェアが ChatGPT アプリを偽装：Windows の脆弱性 CVE-2025-29824 を悪用”Technical Details of SAP 0-Day Exploitation Script Used to Achieve RCE Disclosed
2025/08/19 CyberSecurityNews — SAP システムを標的とする、高度なゼロデイ攻撃スクリプトが公開された。このスクリプトは、世界中の企業環境に深刻なリスクをもたらす、リモート・コード実行機能を備えるものだ。この悪意のペイロードは、特に SAP NetWeaver Application Server の脆弱性 CVE-2025–31324 を標的とし、ICM (Internet Communication Manager) コンポーネントの欠陥を突き、不正なシステム・アクセスを確立する。
Continue reading “SAP NetWeaver のゼロデイ CVE-2025–31324 を悪用：高度な RCE スクリプトの詳細が公開”
IoT OT Security News 
You must be logged in to post a comment.