IoT OT Security News

SonicWall ファイアウォールを標的とする攻撃：Akira ランサムウェアによるログイン試行を分析

Cybercriminals Target SonicWall Firewalls to Deploy Akira Ransomware via Malicious Login Attempts

2025/09/29 gbhackers — 侵害済の SonicWall SSL VPN 認証情報を悪用して、４時間以内に Akira を拡散させるという迅速な攻撃に、セキュリティ・チームは直面している。それは、同種の脅威として最短の滞留時間の記録である。この攻撃では、認証が成功 (多くはホスティング関連 ASN からの発信) した後の数分でポートスキャンが始まり、Impacket SMB ツールを悪用する探索が行われ、多様な環境に Akira が展開される。

脆弱性管理における AI の役割を調査：セキュリティ・エンジニアリングにおける人間の不可欠性

Can We Trust AI To Write Vulnerability Checks? Here’s What We Found

2025/09/29 BleepingComputer — 脆弱性の管理は常に競争である。攻撃者は素早く動き、スキャンには時間がかかる。スキャナが追いつかなければ、システムは無防備な状態に陥る。そのような中、 Intruder のセキュリティ・チームが立ち上げた検証プロジェクトは、AI を活用して高い品質基準を維持しながら、新しい脆弱性チェックを迅速に構築するためのものである。結局のところ、検出が確実でなければ、スピードは意味を持たない。また、実際の問題を見逃すチェックは役に立たないが、誤検知は効率を著しく悪化させる。この記事では、AI を用いて行った実験の方法と、上手く機能している点と、問題が残る点を紹介する。

Fortra GoAnywhere MFT の脆弱性 CVE-2025-10035：パッチ公開前のゼロデイ攻撃を確認

Fortra GoAnywhere Vulnerability Exploited as 0-Day Before Patch

2025/09/26 CyberSecurityNews — Fortra の GoAnywhere Managed File Transfer (MFT) ソリューションに存在する、深刻な脆弱性 CVE-2025-10035 (CVSS：10.0) は、同社によるパッチが公開された１週間も前から、ゼロデイ攻撃として積極的に悪用されていた。この脆弱性はコマンド・インジェクションの欠陥であり、認証を必要としないリモート・コード実行を可能にするという。セキュリティ企業 watchTowr が確認したのは、2025年9月10日 (Fortra の公式アドバイザリ発表の８日前) から、実環境での悪用が始まっていた証拠である。

Apache Airflow の脆弱性 CVE-2025-54831 が FIX：読み取り専用ユーザーによる機密情報の漏洩

Apache Airflow Vulnerability Lets Read-Only Users Access Sensitive Data

2025/09/26 gbhackers — Apache のメンテナーが公開したのは、Airflow 3.0.3 に存在する深刻なセキュリティ脆弱性 CVE-2025-54831 に関する情報である。この脆弱性を悪用する攻撃者は、読み取り権限だけを持つ場合であっても、Airflow API および Web インターフェイスを通じて、機密性の高い接続情報を閲覧できるという。それにより、Connections 内のシークレットの閲覧が、編集権限を保持するユーザーだけに限定されるという設計が損なわれ、認証情報などの機密データが漏洩する可能性がある。この Apache Airflow は、OSS のワークフロー・オーケストレーション・プラットフォームであり、データ・パイプラインのスケジュール設定と監視に広く利用されている。

Cisco ASA／FTD のゼロデイ脆弱性 CVE-2025-20333／20362 が FIX：積極的な悪用を観測

Cisco ASA 0-Day RCE Vulnerability Actively Exploited in the Wild

2025/09/26 CyberSecurityNews — Cisco が発行したのは、ASA (Adaptive Security Appliance)／FTD (Firewall Threat Defense) ソフトウェア・プラットフォームに存在し、現在も悪用されている深刻なゼロデイ脆弱性を警告する、緊急のセキュリティ・アドバイザリである。この脆弱性 CVE-2025-20333 (CVSS：9.9) を悪用する認証済みのリモート攻撃者は、影響を受けるデバイス上で root 権限による任意のコード実行の可能性を手にする。

悪意の MCP Server を発見：AI Agent を介して Postmark からのメール送信に不正な BCC を追加

Malicious MCP Server Discovered Stealing Sensitive Emails Using AI Agents

2025/09/26 gbhackers — 世界中の企業が MCP サーバを採用している。このツールにより、AI アシスタントに “神モード” の権限が付与され、メール送信／データベースクエリ実行といった面倒なタスクの自動化が可能になる。しかし、「これらのツールを作ったのは誰か」と、立ち止まって問うことは、誰もが見過ごしてきたことだ。今日、現実の世界で初めての、悪意の MCP サーバ postmark-mcp が登場し、そこで処理されるすべてのメールが静かに盗み出されている。

Cisco 製品群の深刻な脆弱性が FIX：任意のシェル・コマンドの root 権限での実行

Critical Cisco Vulnerability Let Remote Attackers Execute Arbitrary Code on Firewalls and Routers

2025/09/26 CyberSecurityNews — Cisco が公表したのは、複数の Cisco プラットフォームの Web サービスに存在する、深刻なリモート・コード実行の脆弱性に関する警告である。この脆弱性 CVE-2025-20363 (CVSS 3.1：9.0) が影響を及ぼす範囲は、ASA／FTD／IOS／IOS XE／IOS XR ソフトウェアであり、CWE-122 に分類され、攻撃ベクターは (AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H) である。

GitLab CE／EE の複数の脆弱性が FIX：不正な JSON ペイロードによるサービス拒否攻撃

GitLab High-Severity Vulnerabilities Let Attackers Crash Instances

2025/09/26 CyberSecurityNews — GitLab が公開したのは、未認証の攻撃者により悪用され、セルフ・マネージド GitLab インスタンスをクラッシュさせる可能性のある、深刻度の高いサービス拒否 (DoS) 脆弱性 CVE-2025-10858／CVE-2025-8014 に関する情報である。それらの脆弱性が影響を及ぼす範囲は、Community Edition (CE)／Enterprise Edition (EE) のバージョン 18.4.1／18.3.3／18.2.7 未満であり、攻撃者に対して HTTP エンドポイントと GraphQL API の悪用を許すという。管理者にとって必要なことは、速やかなアップデートにより、サービスの中断とデータ損失の可能性を防ぐことである。

CISA 警告：Cisco ASA／Firepower の３つの脆弱性に対する緊急指令

CISA orders agencies to patch Cisco flaws exploited in zero-day attacks

2025/09/25 BleepingComputer — 米国の CISA (Cybersecurity and Infrastructure Security Agency) が連邦政府機関に対して発令したのは、ゼロデイ攻撃で悪用された Cisco 製ファイアウォール・デバイスの保護を命じる緊急指令である。9月25日の緊急指令 25-03 は、Adaptive Security Appliance (ASA)／Firepower Threat Defense (FTD) ソフトウェアにおける、脆弱性 CVE-2025-20333／CVE-2025-20362 へのパッチ適用を求めるものだ。

Salesforce Agentforce の脆弱性 CVE-2025-32711：間接プロンプト・インジェクションで CRM データを漏洩

Salesforce Patches Critical ForcedLeak Bug Exposing CRM Data via AI Prompt Injection

2025/09/25 TheHackerNews — AI エージェント構築プラットフォーム Salesforce Agentforce に影響を及ぼす、深刻な脆弱性 CVE-2025-32711 (CVSS：9.4) を、サイバー・セキュリティ研究者たちが公表した。この脆弱性を悪用する攻撃者は、間接的なプロンプト・インジェクションを通じて、CRM ツールから機密データを漏洩させる可能性を得る。この脆弱性は、2025年7月28日に Noma Security により発見／報告され、ForcedLeak というコードネームで呼ばれている。その影響が及ぶ範囲は、Web-to-Lead 機能を有効にした Salesforce Agentforce を使用している、すべてのユーザー組織である。

Linux Kernel ksmbd の脆弱性 CVE-2025-38561 が FIX：認証済みリモート・コード実行の恐れ

Linux Kernel ksmbd Vulnerability Allows Remote Attackers to Execute Arbitrary Code

2025/09/25 CyberSecurityNews — Linux Kernel の ksmbd SMB サーバに深刻な脆弱性 CVE-2025-38561 (CVSS：8.5) が発見された。この脆弱性を悪用する認証済みのリモート攻撃者は、影響を受けるシステム上で、任意のコード実行の可能性を得るため、Kernel ベースの SMB サーバ機能を利用する Linux システムにとって重大なセキュリティ・リスクとなっている。

NVIDIA Merlin の脆弱性 CVE-2025-23298 が FIX：ルート権限でのリモート・コード実行の可能性

NVIDIA Merlin Flaw Enables Remote Code Execution with Root Access

2025/09/25 gbhackers — NVIDIA の Merlin Transformers4Rec ライブラリに存在する、深刻な脆弱性を悪用する攻撃者は、ルート権限でリモート・コード実行を可能にすることが、Trend Micro の Zero Day Initiative (ZDI) 脅威ハンティングチームにより明らかにされた。この脆弱性 CVE-2025-23298 は、モデルのチェックポイント読み込み機能における安全ではないデシリアライズ処理に起因するものであり、Python の pickle シリアライゼーションに依存する機械学習フレームワークにおける、持続的なセキュリティ課題を浮き彫りにしている。

Cisco IOS／XE の脆弱性 CVE-2025-20160 が FIX：認証バイパスと機密データへの不正アクセスの可能性

Cisco IOS and XE Vulnerability Let Remote Attacker Bypass Authentication and Access Sensitive Data

2025/09/25 CyberSecurityNews — Cisco IOS ／IOS XE ソフトウェアの TACACS+ プロトコル実装に、深刻な脆弱性 CVE-2025-20160 が発見された。この脆弱性を悪用する未認証のリモート攻撃者は、認証制御のバイパスや機密データへの不正アクセスの可能性を手にする。この脆弱性は、必要とされる TACACS+ 共有秘密鍵のコンフィグレーションの有無を、ソフトウェアが適切に検証できないことに起因し、中間者 (MitM) 攻撃の隙を作り出す。すでに Cisco は、ソフトウェア・アップデートをリリースし、この問題に対処している。また、即時の緩和策も提供している。

ZendTo の脆弱性 CVE-2025-34508 が FIX：パス・トラバーサルによる機密データ窃取の可能性

ZendTo Vulnerability Let Attackers Bypass Security Controls and Access Sensitive Data

2024/09/25 CyberSecurityNews — ZendTo に深刻なパス・トラバーサルの脆弱性 CVE-2025-34508 が発見された。研究者たちが特定したのは、バージョン 6.15-7 以下の欠陥を突く認証されたユーザーがファイル・パスを操作し、ホスト・システムから機密データを取得できることだ。この問題が浮き彫りにするのは、Web ベースのファイル転送アプリケーションにおける根深いリスクである。

PyPI メンテナーを狙う新たなフィッシング攻撃：認証情報窃取のリスクと防御策

New Phishing Scam Aims at PyPI Maintainers to Steal Login Information

2024/09/25 gbhackers — ドメイン成りすまし型フィッシング・メールの新たな波が、再び Python のコミュニティとメンテナーたちを標的にしている。攻撃者がドメイン名を次々と変更するため、PyPI ユーザーは警戒を怠らず、アカウント保護のためにより強力な対策を講じる必要がある。最新の攻撃において、”アカウントのメンテナンスとセキュリティ手順” を装うメールを受け取ったメンテナーは、”メール・アドレスの確認” を促される。

暗号資産ウォレットを狙う Y Combinator 偽装フィッシング攻撃：GitHub 通知を悪用

Hackers Leverage GitHub Notifications to Mimic as Y Combinator to Steal Funds from Wallets

2025/09/25 CyberSecurityNews — GitHub の通知システムを悪用する高度なフィッシング・キャンペーンを仕掛けるサイバー犯罪者が、著名なスタート・アップアクセラレーター Y Combinator を装いながら偽の資金調達の機会をルアーにして、開発者の暗号通貨ウォレットを標的にしている。この攻撃は、GitHub の課題追跡システムを悪用し、プラットフォームの正規通知インフラを通じて既存のメール・セキュリティ・フィルタを迂回しながら、フィッシング通知を大量に拡散させている。

Google Firebase サービスのミスコンフィグによる機密データ漏洩：膨大なユーザー・データに影響

Multiple Apps on Google’s Firebase Platform Exposing Sensitive Data

2025/09/24 gbhackers — Firebase を利用するモバイル・アプリに広範な脆弱性が存在することが、ice0 の包括的なセキュリティ分析により明らかになった。Google Firebase サービスのミス・コンフィグにより、150 種類以上の人気アプリが、ユーザーの機密データを意図せず漏洩していた。このセキュリティ危機の規模は過去の事例を大きく上回り、世界中で大量にダウンロードされた、膨大な数のアプリに影響を及ぼす可能性がある。

Cisco IOS／IOS XE の SNMP ゼロデイ脆弱性 CVE-2025-20352：RCE／DoS と実環境での悪用

Cisco IOS 0-Day RCE Vulnerability Actively Exploited in the Wild

2025/09/24 CyberSecurityNews — Cisco が公表したのは、広く使用されている IOS／IOS XE ソフトウェアに存在するゼロデイ脆弱性 CVE-2025-20352 の情報であり、実環境で悪用されていることを確認しているという。この脆弱性は SNMP (Simple Network Management Protocol) サブシステムに存在し、リモート・コード実行 (RCE)／サービス拒否 (DoS) を引き起こす可能性がある。

DNN Platform の脆弱性 CVE-2025-59545 が FIX：Prompt モジュールに存在する危険な欠陥

Critical DNN Platform Vulnerability Let Attackers Execute Malicious Scripts

2025/09/24 gbhackers — DNN (DotNetNuke) プラットフォームの Prompt モジュールに、深刻な蓄積型クロスサイト・スクリプティング (XSS) の脆弱性 CVE-2025-59545 (CVSS v3.1：9.8：Critical) が発見された。この脆弱性を悪用する低権限の攻撃者は、特権ユーザーの権限で任意のスクリプト挿入／実行を可能にする。この脆弱性は、Daniel Valadas により、GHSA-2qxc-mf4x-wr29 として公開されたものであり、DotNetNuke.Core パッケージのバージョン 10.1.0 未満に影響を及ぼす。

GitHub にホストされたマルウェア：Malwarebytes／LastPass／Citibank／SentinelOne などを装う手口とは？

Weaponized Malware: GitHub Hosts Malware from Malwarebytes, LastPass, Citibank, SentinelOne, and More

2025/09/24 gbhackers — Mac ユーザーを標的とする大規模な攻撃キャンペーンで、偽の GitHub ページが悪用され、人気の正規アプリケーションを装う情報窃取マルウェアが拡散された。偽装されたソフトウェアに含まれていたのは、Malwarebytes for Mac／LastPass／Citibank／SentinelOne などの、数多くの有名ブランドである。ブランドへの成りすまし自体は目新しいものではないが、今回の攻撃キャンペーンが示した戦術の進化は、サイバー犯罪者がユーザーを誘導して有害なコードをインストールさせる手口にある。

CISA の GeoServer インシデント分析：米国連邦機関のネットワークが侵害された理由は？

CISA Details That Hackers Gained Access to a U.S. Federal Agency Network Via GeoServer RCE Vulnerability

2025/09/24 CyberSecurityNews — 米国の CISA が、包括的なサイバー・セキュリティ勧告を公開した。この勧告が詳述するのは、GeoServer の深刻なリモート・コード実行の脆弱性 CVE-2024-36401 を悪用する脅威アクターが、米国連邦行政機関のネットワークに侵入した経緯である。３週間にわたり検知されなかった、このインシデントが浮き彫りにするのは、連邦機関における脆弱性管理とインシデント対応体制の深刻な欠陥である。

Shai-Hulud 自己複製ワームが npm レジストリの 500 以上のパッケージを侵害：CISA が警告

CISA Warns of Shai-Hulud Self-Replicating Worm Compromised 500+ Packages in npm Registry

2025/09/24 CyberSecurityNews — CISA が発令した緊急セキュリティ・アラートは、世界最大の JavaScript パッケージ・レジストリである、npmjs.com に対する大規模なソフトウェア・サプライチェーン攻撃に対するものである。500 以上の npm パッケージに侵入した Shai-Hulud と呼ばれる自己複製型ワームは、開発者の認証情報および npm 公開ワークフローを悪用して拡散する、悪意のコードを注入するものだ。

CISA KEV 警告 25/09/24：Google Chrome のゼロデイ脆弱性 CVE-2025-10585 を登録

CISA Issues Alert on Actively Exploited Google Chrome 0-Day Vulnerability

2025/09/24 gbhackers — 米国の CISA (Cybersecurity and Infrastructure Security Agency) が発令したのは、現在も悪用されている Google Chrome のゼロデイ脆弱性に対する、緊急のセキュリティ・アラートである。この脆弱性 CVE-2025-10585 は、Google Chromium の V8 JavaScript／WebAssembly エンジンに影響を及ぼし、世界中のユーザーに重大なセキュリティリスクをもたらすものであり、KEV (Known Exploited Vulnerabilities) カタログにも追加された。

ShadowV2 キャンペーン：AWS Docker と DevOps を悪用する DDoS-as-a-Service

ShadowV2 Botnet Infects AWS Docker Containers to Launch DDoS Campaign

2025/09/24 gbhackers — Darktrace の最新調査により、従来型マルウェアと DevOps テクノロジーを組み合わせる攻撃キャンペーンが確認された。この攻撃の中心には、GitHub CodeSpaces でホストされる Python ベースの C2 (Command and Control) フレームワークが存在する。脅威アクターは、Python スプレッダーにより開始される多段階の Docker デプロイを悪用し、その後に、RESTful な登録／ポーリング機構を持つ Go ベースの RAT を展開するという。

SonicWall SMA デバイスの OVERSTEP ルートキット対策：緊急パッチによるマルウェア除去

SonicWall Issues Emergency Patch to Remove ‘OVERSTEP’ Rootkit Malware on SMA Devices

2025/09/24 gbhackers — SonicWall SMA アプライアンス上に残存する OVERSTEP コンポーネントを、特定／削除するためのパッチには、強化されたファイル整合性チェックが導入されている。また、今回の更新により SMA システムは、将来における同様のカーネル・レベル脅威に対する防御が強化されるという。

GitHub の公式通知を悪用するフィッシング・キャンペーンを検知：公式を模倣する巧妙なメール

Hackers Exploit GitHub Notifications to Launch Phishing Attacks

2025/09/23 gbhackers — GitHub の公式通知システムを悪用し、認証情報を窃取するためのペイロードを配信する、新たなフィッシング・キャンペーンが、サイバー・セキュリティ研究者たちにより発見された。つまり、オープンソース・コントリビューターたちが、GitHub の通信チャネルに寄せる信頼を悪用する攻撃者は、従来からのメール・フィルターやソーシャル・エンジニアリング防御を回避できる。

IIS Server を介した SEO ポイズニング：BadIIS という巧妙なモジュールを検出

Hackers Hijacking IIS Servers Using Malicious BadIIS Module to Serve Malicious Content

2025/09/23 CyberSecurityNews — Operation Rewrite と呼ばれる高度なサイバー攻撃が、Microsoft の Internet Information Services (IIS) の Web サーバを乗っ取り、SEO ポイズニングと呼ばれる手法を用いて悪意のあるコンテンツを提供するという攻撃を活発化させている。2025年3月の時点で、この状況を検知した Palo Alto Networks は、BadIIS と呼ばれる悪意の IIS モジュールを使用する、中国語圏の脅威アクターによる攻撃であると、高い確度で結論付けている。

最初の侵入から横方向への移動までの平均時間は 18 分：最新の脅威について調査

Threat Actors Breach Enterprise Infrastructure Within 18 Minutes of Initial Access

2025/09/23 gbhackers — 攻撃者たちは、企業ネットワーク侵入の足掛かりを加速させている。ReliaQuest が実施した 2025年 6月／7月／8月の調査では、最初の侵入から横方向への移動までの平均時間 (breakout time) はわずか 18 分に短縮されている。ある注目すべきインシデントでは、Akira ランサムウェアのオペレーターが、SonicWall VPN への初期侵入から６分後に横方向への移動を達成していた。この急速なペースアップが浮き彫りにするのは、検知ギャップを埋め、対応プロセスを自動化することが、ユーザー組織にとって急務であることだ。

22.2 Tbps の史上最大規模 DDoS 攻撃：Cloudflare が自律防御に成功

22.2 Tbps DDoS Attack Breaks Internet With New World Record

2025/09/23 CyberSecurityNews — Cloudflare が公表したのは、史上最大規模の分散型サービス拒否 (DDoS) 攻撃を、自律的に軽減したという成果についての情報である。この大規模攻撃は、前例のない 22.2 テラビット／秒 (Tbps)、106 億パケット／秒 (Bpps) のピークに達し、サイバー脅威の規模における、新たな警戒すべき基準を示すものである。

GitHub が npmセキュリティを大幅に刷新：より強力な認証と信頼できる公開を導入

GitHub Introduces npm Security with Stronger Authentication and Trusted Publishing

2025/09/25 gbhackers — 今日のテクノロジーを支えるオープンソース・ソフトウェアにより、世界中の開発者たちは、ツール／ライブラリ／アプリケーションの構築／共有を可能にしている。しかし、イノベーションを促進するオープン性は、それと同時に深刻なセキュリティ課題ももたらす。攻撃者は npm などのパッケージ・レジストリを標的とし、アカウントを侵害して悪意あるコードを挿入する。この状況を受け、GitHub は npm のセキュリティを大幅に刷新し、強力な認証方式／有効期間の短いトークン／信頼できる公開に重点を置くようにした。これらの変更は、オープンソース・コミュニティを保護し、ソフトウェア・サプライチェーンの安全の確保を目的としている。

Libraesva ESG の脆弱性 CVE-2025-59689 が FIX：添付ファイル経由で任意コマンド実行の恐れ

Libraesva ESG Vulnerability Let Attackers Inject Malicious Commands

2025/09/23 CyberSecurityNews — Libraesva ESG (Email Security Gateways) で発見された、深刻な脆弱性 CVE-2025-59689 に対する修正プログラムが公開された。この脆弱性を悪用する攻撃者は、細工されたメール添付ファイルを通じて任意のコマンドを実行できる。この問題が影響を及ぼす範囲は、広く利用される複数のバージョンにまたがり、すでに国家に支援される攻撃者により悪用されていると、セキュリティ研究者たちは指摘している。

LastPass が ClickFix 攻撃を警告：GitHub を介して Mac ユーザー標的の偽ソフトを配布

LastPass: Fake password managers infect Mac users with malware

2025/09/22 BleepingComputer — MacOS ユーザーを標的とし、不正な GitHub リポジトリを通じて人気製品を装う悪質なソフトウェアを配布するキャンペーンについて、LastPass が警告している。具体的に言うと、それらの偽アプリは、Google／Bing などの検索エンジン最適化 (SEO) 戦略で宣伝され、ClickFix 攻撃を通じて Atomic (AMOS) 情報窃取マルウェアを配信している。

Windows の脆弱性 CVE-2024-38217：LNK Stomping 攻撃によるセキュリティ回避手法を解明

Hackers Bypassing Windows Mark of the Web Files Using LNK Stomping Attack

2025/09/22 CyberSecurityNews — LNK Stomping と呼ばれる高度な攻撃手法が、Windows セキュリティに対する重大な脅威として台頭している。この脅威は、オペレーティング・システムがショートカット・ファイルを処理する際の根本的な欠陥を悪用し、セキュリティ制御をバイパスするものである。この脆弱性 CVE-2024-38217 は、2024年9月10日の時点で修正プログラムが公開されたものであり、Windows ショートカット (LNK ファイル) を操作する攻撃者が、Mark of the Web (MoTW) セキュリティ機能を回避し、セキュリティ警告を発動させずに、悪意のコードを実行する可能性を生み出している。

Google Chrome のゼロデイ脆弱性 CVE-2025-10585：任意コード実行の可能性

Code Analysis Published for Chrome Type Confusion 0-Day Vulnerability

2025/09/22 gbhackers — 2025年9月16日付けで Google TAG (Threat Analysis Group) が公表したのは、V8 の TurboFan コンパイラ・コンポーネントに存在する、深刻なゼロデイ脆弱性 CVE-2025-10585 の情報である。長年にわたり、Google Chrome の V8 JavaScript エンジンは、世界中の数十億のユーザーに対して、スピードとセキュリティのバランスを取ってきた。この脆弱性を悪用する攻撃者は、タイプ・コンフュージョンを引き起こし、ブラウザ・プロセスのメモリを破損させ、最終的に任意のコード実行の可能性を得る。

MITRE ATT&CK 2026 は見送り：Microsoft／SentinelOne／Palo Alto は独立した製品検証に注力

Microsoft, SentinelOne, and Palo Alto Networks Withdraw from 2026 MITRE ATT&CK Evaluations

2025/09/22 CyberSecurityNews — サイバー・セキュリティ業界を代表する３社である、Microsoft／SentinelOne／Palo Alto Networks は、2026年の MITRE ATT&CK 評価への参加を見送ることを発表した。この協調的な活動からの撤退は、大手セキュリティ企業が独立した製品検証に取り組む方法に大きな転換をもたらすものである。３社とも、社内のイノベーションと顧客重視の取り組みへの戦略的リソース再配分を理由としている。

Oracle Database Scheduler の悪用：脅威アクターによるランサムウェア展開とネットワーク侵入

Threat Actors Exploit Oracle Database Scheduler to Infiltrate Corporate Networks

2025/09/22 gbhackers — Oracle Database Scheduler の外部ジョブ機能を悪用する脅威アクターが、企業のデータベース・サーバ上で任意のコマンドを実行している。それにより、ステルス性の高い初期攻撃の足掛かりが確立され、迅速な権限昇格を可能にする。攻撃者は “extjobo.exe” 実行ファイルを利用して、エンコードされた PowerShell コマンドの実行、Ngrok による暗号化トンネルの確立、ランサムウェアの展開を行い、強力なクリーンアップ・ルーチンにより検出を回避している。最近のインシデント対応で確認されたのは、SYS ユーザーとして繰り返し接続を試みる攻撃者が、公開されている Oracle Database インスタンスを標的としていたことだ。

AI 搭載マルウェア MalTerminal の発見：GPT-4 を悪用してランサムウェアを生成

First-ever AI-powered ‘MalTerminal’ Malware Uses OpenAI GPT-4 to Generate Ransomware Code

2025/09/20 CyberSecurityNews — MalTerminal と呼ばれる AI 搭載マルウェアは、OpenAI の GPT-4 モデルを悪用することでランサムウェアやリバースシェルなどのコードを動的に生成し、脅威の開発と展開の方法に重大な変化をもたらしている。この発見は、AI 搭載マルウェア PromptLock の分析に続くものであり、攻撃者が大規模言語モデル (LLM) を武器化する明確な傾向を示している。

PhaaS の台頭を分析：74 カ国 316 ブランドを偽装する 17,500 件の悪意のドメイン

17,500 Phishing Domains Target 316 Brands Across 74 Countries in Global PhaaS Surge

2025/09/19 TheHackerNews — Lighthouse および Lucid として知られる Phishing-as-a-Service (PhaaS) への調査の結果として、74 カ国の 316 ブランドを標的とする、17,500 以上のフィッシング・ドメインへの関与が判明している。Netcraft は新たなレポートで、「最近の傾向として、PhaaS の導入が大幅に増加している。PhaaS 事業者が月額料金で提供するフィッシング・ソフトウェアには、世界各国の数百のブランドを偽装するテンプレートがプリ・インストールされている」と指摘している。

Fortra GoAnywhere の脆弱性 CVE-2025-10035 が FIX：コマンド・インジェクションの恐れ

Fortra warns of max severity flaw in GoAnywhere MFT’s License Servlet

2025/09/19 BleepingComputer — Fortra が公表したのは、GoAnywhere MFT の License Servlet に存在する、コマンド・インジェクション攻撃に悪用され得る深刻な脆弱性 CVE-2025-10035 についての警告と、セキュリティ・アップデートのリリースに関する情報である。GoAnywhere MFT は、Web ベースのマネージド・ファイル転送ツールであり、組織によるファイルの安全な転送をサポートし、また、共有ファイルにアクセスしたユーザーの監査ログを維持するものだ。

Ivanti EPMM に展開されているマルウェア：標的とされる脆弱性を CISA が分析

CISA Analyzes Malware From Ivanti EPMM Intrusions

2025/09/19 SecurityWeek — 米国のサイバー・セキュリティ機関である CISA は、Ivanti Endpoint Manager Mobile (EPMM) の２つの脆弱性を標的とする、マルウェアに関する技術情報を公開した。その対象となる脆弱性 CVE-2025-4427 (CVSS：5.3)／CVE-2025-4428 (CVSS：7.2) は、ハッカーたちによる攻撃で悪用された後の、2025年5月13日に公表された。

SolarWinds がアドバイザリを公表：Salesloft Drift 接続は未使用のため問題はなし

SolarWinds Releases Advisory on Salesloft Drift Security Incident

2025/09/19 CyberSecurityNews — SolarWinds が公開したのは、Salesforce の Salesloft Drift 統合に関連するセキュリティ・インシデントに関するアドバイザリである。このインシデントにより、同社に不正なデータ・アクセスが発生した。この侵害により、SolarWinds のシステムが影響を受けていないことが確認されたが、最優先で対応が進められているという。

RDP vs SSH：セキュリティ／効率性／運用を成功に導くための重要なプロトコル選択

RDP vs SSH Comparison – Features, Protocols, Security, and Use Cases

2025/09/19 CyberSecurityNews — Remote Desktop Protocol (RDP) と Secure Shell (SSH) は、組織の IT システム管理方法に大きな変化をもたらしている。これらのツールにより、どこからでも従業員たちは自身のコンピュータにアクセスし、制御できるようになり、チームの連携を強化している。RDP と SSH は、職場環境への安全な接続を可能にすることで、今日のデジタル世界における柔軟性と生産性を支えている。つまり、リモート接続の基盤として、RDP と SSH という２つのプロトコルが注目されている。

GoAnywhere MFT の脆弱性 CVE-2025-10035 が FIX：容易な任意のコマンド実行やシステム全体

Critical GoAnywhere MFT Platform Vulnerability Exposes Enterprises to Remote Exploitation

2025/09/19 CyberSecurityNews — Fortra が公表したのは、GoAnywhere Managed File Transfer (MFT) プラットフォームの License Servlet コンポーネントに存在する、デシリアライゼーションの脆弱性に関する情報である。この脆弱性 CVE-2025-10035 (CVSS：10.0：Critical)を悪用する未認証の攻撃者は、偽造したライセンス・レスポンス署名を送信することで、攻撃者が提供するオブジェクトの Java デシリアライゼーションをトリガーできる。その結果として、任意のコマンド実行やシステム全体への侵害につながる可能性がある。

ScreenConnect の武器化：AsyncRAT／PowerShell RAT を展開する二重化の戦術

Weaponized ScreenConnect App Spreads AsyncRAT and PowerShell RAT

2025/09/19 gbhackers — ConnectWise ScreenConnect などのリモート監視／管理のためのツールは、IT 管理を簡素化することで評価を確立している一方で、高度な攻撃者の注目を集めている。攻撃者たちは、ScreenConnect の信頼できるインストール環境と高いシステム権限を悪用することで、そのインストーラーをトロイの木馬化している。具体的に言うと、AsyncRAT とカスタムされた PowerShell RAT という、２種類の Remote Access Trojans (RAT) を、米国の組織を標的として展開している。

HubSpot Jinjava に RCE の脆弱性 CVE-2025-59340 が FIX：数千サイトに影響を及ぼす可能性

HubSpot’s Jinjava Engine Flaw Exposes Thousands of Sites to RCE Attacks

2025/09/19 gbhackers — HubSpot の Jinjava テンプレート・エンジンに、深刻なセキュリティ脆弱性 CVE-2025-59340 が発見された。この脆弱性は CVSS スコア 10.0 と評価され、深刻度の高さを示しており、数千の Web サイト／アプリをリモート・コード実行 (RCE) 攻撃の脅威にさらす可能性がある。

ChatGPT 系エージェントによる CAPTCHA 回避が示すもの：プロンプト・インジェクションの脅威

ChatGPT Tricked Into Bypassing CAPTCHA Security and Enterprise Defenses

2025/09/19 CyberSecurityNews — ChatGPT エージェントでは、自身の安全プロトコルを回避して CAPTCHA を解読することが可能であり、広く利用される AI とボット対策システムの、安全対策と堅牢性に重大な懸念が生じている。SPLX の調査によると、プロンプト・インジェクションと呼ばれる手法を用いることで、AI エージェントは組み込みポリシーを破るように誘導され、単純な CAPTCHA 課題だけではなく、より複雑な画像ベースの CAPTCHA も解読できる恐れがある。

Ivanti EPMM の脆弱性 CVE-2025-4427／4428 を武器化：CISA が警告するマルウェアとは？

CISA Alerts of Hackers Targeting Ivanti Endpoint Manager Mobile Vulnerabilities to Distribute Malware

2025/09/19 gbhackers — Ivanti EPMM (Endpoint Manager Mobile) に存在する、深刻な脆弱性 CVE-2025-4427 (認証バイパス)／CVE-2025-4428 (コードインジェクション) を武器化したサイバー脅威アクターたちが、侵害したサーバ上に高度なローダーとリスナーを展開している。このマルウェアを構成する２つのコンポーネントは、Loader 1 (web-install.jar／ReflectUtil.class／SecurityHandlerWanListener.class) と、Loader 2 (web-install.jar／WebAndroidAppInstaller.class) であり、Apache Tomcat 環境に任意コードを挿入して永続性を維持するよう設計されている。

GitHub Actionsワークフローに悪意のコードを注入：PyPI 公開トークン窃取の恐れ

Hackers Injecting Malicious Code into GitHub Actions Workflows to Steal PyPI Publishing Tokens

2025/09/15 CyberSecurityNews — Python Package Index (PyPI) の公開トークンを盗み出すという広範なキャンペーンの一環として、攻撃者たちは GitHub Actions ワークフローに悪意のコードを挿入した。それにより、一部のトークンが GitHub シークレットから盗まれたが、PyPI 管理者によると、プラットフォーム自体は侵害されておらず、盗まれたトークンが使用された証拠も確認されていないという。

ShinyHunters の活動を分析：音声フィッシングに特化した技術に AI 悪用が加わっている

New ‘shinysp1d3r’ Ransomware-as-a-Service Targets VMware ESXi in Ongoing Development

2025/09/18 gbhackers — AI を悪用する ShinyHunters が、ボイスフィッシング／サプライチェーン侵入に加えて、企業ネットワークへの直接アクセスを提供する従業員や請負業者といった悪意の内部関係者を介して、その活動を拡大していると、EclecticIQ のアナリストたちが高い確信を持って評価している。ShinyHunters は、小売／航空／通信などの業界で利用される SSO (single sign-on) プラットフォームへの、不正アクセスを提供するボイスフィッシング・キットを活用するために、Scattered Spider と The Com のメンバーに依存している可能性が高いとされる。

SonicWall がアドバイザリを提供：コンフィグ・バックアップの流出を想定した事後対策

SonicWall Advises Users to Reset Logins After Config Backup Leak

2025/09/18 gbhackers — 最近の情報漏洩により、ファイアウォール・コンフィグのバックアップが流出したことを受け、SonicWall は顧客に対して、すべてのログイン認証情報のリセットを強く推奨している。SonicWall は、リスクの最小化と安全なアクセス回復のために、封じ込め／修復／監視という３つの段階を重視している。ユーザーにとって必要なことは、封じ込め (さらなる漏洩阻止) → 修復 (パスワードと共有秘密のリセット) → 監視 (不正活動の検出) を順番に実行することである。