ATP – IoT OT Security News

ZYXEL ATP／USG 認証回避の脆弱性 CVE-2025-9133：No Patch に対する緩和策は？

ZYXEL Authorization Bypass Vulnerability Let Attackers View and Download System Configuration

2025/10/21 CyberSecurityNews — Zyxel の ATP／USG シリーズ・ファイアウォールに存在する深刻な脆弱性を悪用する攻撃者は、認証制御を回避して機密性の高いシステム・コンフィグにアクセスできるようになる。この脆弱性 CVE-2025-9133 が影響を及ぼす範囲は、ファームウェア・バージョン V5.40 (ABP5.0) 以下を実行しているデバイスであり、２要素認証 (2FA) プロセス中であっても、設定情報の不正な表示およびダウンロードが可能になる。

SAP NetWeaver の脆弱性 CVE-2025-31324：積極的な悪用を支える中国の攻撃インフラが見えてきた

Chinese hackers behind attacks targeting SAP NetWeaver servers

2025/05/09 BleepingComputer — SAP NetWeaver インスタンスに影響を及ぼす、最も深刻度の高い脆弱性を狙う攻撃が、中国の脅威アクターにより進行中であると、Forescout Vedere Labs のセキュリティ研究者たちが結論付けている。SAP が 4月24日にリリースしたのは、NetWeaver Visual Composer における認証を必要としないファイル・アップロードの脆弱性 CVE-2025-31324 に対処する緊急パッチである。その直前に、サイバー・セキュリティ企業 ReliaQuest が、この脆弱性が攻撃の標的となっていると確認したが、そこから数日後にパッチがリリースされたことになる。

ZLoader マルウェアの改良版：DNS トンネリング機能／インタラクティブなシェルを搭載

ZLoader Malware Returns With DNS Tunneling to Stealthily Mask C2 Comms

2024/12/11 TheHackerNews — ZLoader マルウェアの新バージョンが、Zscaler ThreatLabz の研究者たちにより発見された。2024年1月に再登場した ZLoader だが、その後もツールを改良し続け、C2 (command-and-control) 通信に DNS トンネルを使用する方向へと進化している。

Chrome の脆弱性 CVE-2024-5274 の PoC が公開：すでに悪用が確認されている

CVE-2024-5274: Chrome Zero-Day Exploited by APT29, PoC Exploit Published

2024/08/30 SecurityOnline — Google Chrome のゼロデイ脆弱性 CVE-2024-5274 (CVSS 8.8) の技術的な詳細と PoC エクスプロイト・コードが公開され、世界中へとリスクが拡大する可能性が出てきた。この脆弱性は、Chrome の V8 JavaScript エンジンにおけるタイプ・コンフュージョンの欠陥だと説明されている。この脆弱性の悪用に成功した攻撃者は、悪意のコード実行を達成し、さまざまなサイバー攻撃にいたる可能性が生じる。