Government – IoT OT Security News

CISA KEV 警告 26/01/22：Prettier／Vite Vitejs／Versa SD-WAN／Zimbra の脆弱性を KEV に登録

U.S. CISA adds Prettier , Vite Vitejs, Versa Concerto SD-WAN, and Synacor Zimbra flaws to its Known Exploited Vulnerabilities catalog

2026/01/23 SecurityAffairs — 米国 Cybersecurity and Infrastructure Security Agency (CISA) は、Prettier eslint-config-prettier／Vite Vitejs／Versa Concerto SD-WAN オーケストレーション・プラットフォーム／Synacor Zimbra Collaboration Suite に関する脆弱性を、Known Exploited Vulnerabilities (KEV) カタログに追加した。

CISA KEV 警告 26/01/21：Cisco Unified CM の脆弱性 CVE-2026-20045 を登録

Cisco Unified CM Zero-Day RCE Under Attack, CISA Issues Warning

2026/01/22 gbhackers — CISA は、Cisco Unified Communications Manager (Unified CM) に存在する深刻なリモート・コード実行 (RCE) 脆弱性 CVE-2026-20045 を、2026年1月21日に Known Exploited Vulnerabilities (KEV) カタログに追加した。このゼロデイ脆弱性が影響を及ぼす範囲は、Unified CM／Unified CM Session Management Edition (SME)／Unified CM IM & Presence Service／Cisco Unity Connection／Cisco Webex Calling Dedicated Instance などの、複数の Cisco Unified Communications 製品となる。

CISA KEV 警告 26/01/12：Gogs のパス・トラバーサル脆弱性 CVE-2025-8110 を登録

U.S. CISA adds a flaw in Gogs to its Known Exploited Vulnerabilities catalog

2026/01/12 SecurityAffairs — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、Gogs のパス・トラバーサルの脆弱性 CVE-2025-8110 (CVSS：8.7) を Known Exploited Vulnerabilities (KEV) カタログに登録した。Gogs (Go Git Service) は、Go で記述された軽量なオープンソースのセルフホスト型 Git サービスである。この脆弱性は、Gogs の PutContents API における不適切なシンボリックリンク処理に起因し、ローカルでのコード実行を引き起こすものである。

CISA KEV 警告 26/01/07：PowerPoint のコード・インジェクション脆弱性 CVE-2009-0556 登録

CISA Warns of Microsoft PowerPoint Code Injection Vulnerability Exploited in Attacks

2026/01/08 CyberSecurityNews — 米国の Cybersecurity and Infrastructure Security Agency (CISA) が発表したのは、Microsoft PowerPoint のコード・インジェクション脆弱性 CVE-2009-0556 に関する緊急アラートと、Known Exploited Vulnerabilities (KEV) カタログへの登録である。これは、2009年に公開された古い脆弱性であるが、現在も悪意ある PowerPoint ファイルを用いた任意のコード実行により実際に悪用されている。これにより、システムのセキュリティが侵害され、機密データへの不正アクセスが発生する可能性がある。

CISA KEV 警告 26/01/07：HPE OneView と PowerPoint の脆弱性を登録

CISA Flags Microsoft Office and HPE OneView Bugs as Actively Exploited

2026/01/08 TheHackerNews — 1月7日 (水) に米国の Cybersecurity and Infrastructure Security Agency (CISA) は、Microsoft Office と Hewlett Packard Enterprise (HPE) OneView に影響を及ぼす２件のセキュリティ欠陥を、Known Exploited Vulnerabilities (KEV) カタログに追加した。

CISA KEV 2025：４年間で蓄積された 1,484 件の脆弱性と最新の動向を分析する

CISA Expands KEV Catalog with 1,484 New Vulnerabilities as Active Exploitation Surges 20% in 2025

2026/01/06 CyberSecurityNews — 2025年12月時点で米国の Cybersecurity and Infrastructure Security Agency (CISA) は、Known Exploited Vulnerabilities (KEV) カタログを、1,484 件まで拡大した。それは、現在も実運用で悪用されている脆弱性に対抗するための、連邦政府における取り組みの重要な節目である。このデータベースは、2021年11月に 311 件の脆弱性から始まったが、これまでの４年間で大幅に拡張されており、公共／民間の両部門が直面する脅威環境の高度化を反映している。

米国によるベネズエラ侵攻：NetBlocks と Tor が示唆するサイバー空間の歪みとは？

What is happening to the Internet in Venezuela? Did the U.S. use cyber capabilities?

2026/01/04 SecurityAffairs —2026年1月3日、米国はベネズエラに対して大規模な攻撃を開始し、同国の指導者である Nicolas Maduro 大統領とその妻を拘束した。Nicolas Maduro 大統領夫妻はニューヨークへ連行された後、連邦法に基づく訴追に直面しているが、夫妻はこれらの容疑を否認している。Donald Trump 大統領は、米国が一時的にベネズエラを統治し、石油生産を回復させると述べた。こうして事態が進展する中、ベネズエラ国民の間では、インターネットへのアクセスが遮断されるのではないかという懸念と、通信や行動が監視されているのではないかという恐れが広がっている。

Mongobleed CVE-2025-14847 から学ぶべきこと：無効化した認証／暗号化／アクセス制御

Lessons From Mongobleed Vulnerability (CVE-2025-14847) That Actively Exploited In The Wild

2026/01/02 CyberSecurityNews — 2025年12月下旬に MongoDB が公表したのは、Mongobleed と呼ばれる深刻な脆弱性 CVE-2025-14847 (CVSS：8.7) の存在である。この脆弱性は、サイバーセキュリティ・コミュニティに強い警戒感をもたらす出来事である。この脆弱性を悪用する未認証の攻撃者は、サーバメモリから直接機密データを窃取できるため、高い深刻度が与えられている。グローバルに見て、87,000 台を超える潜在的に脆弱な MongoDB インスタンスが露出している状況にある。したがって、この未認証によるメモリ漏洩の脆弱性は、最も深刻なデータベース・セキュリティ脅威の一つへと急速に展開している。

CISA KEV 警告 25/12/29：MongoDB の脆弱性 CVE-2025-14847 と登録

CISA Alerts on Active Exploitation of MongoDB Vulnerability CVE-2025-14847

2025/12/30 gbhackers — 米国 Cybersecurity and Infrastructure Security Agency (CISA) は、MongoDB Server の深刻な脆弱性 CVE-2025-14847 が、積極的に悪用されている状況について警告を発した。この脆弱性 MongoBleed は、2025年12月29日に CISA の Known Exploited Vulnerabilities (KEV) カタログへ追加された。それが示唆するのは、現実世界の攻撃で、脅威アクターたちが脆弱性 CVE-2025-14847 を継続的に標的としている実態である。

NIST が MITRE に $20m を投資：AI セキュリティ・プロジェクトを推進

NIST, MITRE Partner on $20m AI Centers For Manufacturing and Cybersecurity

2025/12/24 InfoSecurity — 米国の National Institute of Standards and Technology (NIST) が公表したのは、主要な AI セキュリティ・プロジェクトに対する $20m (2,000万ドル) の投資であり、AI 分野における米国のリーダーシップを支援するためのものだ。この投資は、新設される研究開発センター “AI Economic Security Center for US Manufacturing Productivity” と “AI Economic Security Center to Secure US Critical Infrastructure from Cyber Threats” に充てられる。

CISA KEV 警告 25/12/17：Cisco／SonicWall／ASUS の脆弱性を登録

U.S. CISA adds Cisco, SonicWall, and ASUS flaws to its Known Exploited Vulnerabilities catalog

2025/12/18 SecurityAffairs — 米国の Cybersecurity and Infrastructure Security Agency (CISA) が公表したのは、Cisco ／SonicWall／ASUS の脆弱性を Known Exploited Vulnerabilities (KEV) カタログに追加したことである。今回、カタログに追加された脆弱性は以下のとおりである。

CVE-2025-20393 (CVSS：10.0) Cisco の複数製品の不適切な入力検証
CVE-2025-40602 (CVSS：6.6) SonicWall SMA 1000 の不十分な認証
CVE-2025-59374 (CVSS：9.3) ASUS Live Update の悪意のコード実行

CISA KEV 警告 25/12/17：Fortinet 製品群の脆弱性 CVE-2025-59718 を登録

CISA Adds Fortinet Vulnerability to KEV Catalog After Active Exploitation

2025/12/17 CyberSecurityNews — 米国の Cybersecurity and Infrastructure Security Agency (CISA) が 2025年12月16日に発表したのは、Fortinet の脆弱性 CVE-2025-59718 の Known Exploited Vulnerabilities (KEV) カタログへの追加である。米連邦政府の組織が必要な修復措置を適用する最終期限として、2025年12月23日が指定されている。この措置は、この脆弱性が実際に悪用されている実態と、組織のネットワークに対する差し迫った脅威を反映したものである。この脆弱性は、FortiOS／FortiSwitchMaster／FortiProxy／FortiWeb を含む複数の Fortinet セキュリティ製品に影響を及ぼす。

CISA KEV 警告 25/12/15：Apple と Gladinet CentreStack の脆弱性を登録

U.S. CISA adds Apple and Gladinet CentreStack and Triofox flaws to its Known Exploited Vulnerabilities catalog

2025/12/15 SecurityAffairs — 米国の Cybersecurity and Infrastructure Security Agency (CISA) が公表したのは、Apple と Gladinet の CentreStack／Triofox の脆弱性を既知の悪用脆弱性 (KEV) カタログに登録したことである。カタログに追加された脆弱性は以下のとおりである。

CVE-2025-43529：Apple の複数製品における WebKit の解放後メモリ使用
CVE-2025-14611：Gladinet CentreStack／Triofox のハードコードされた暗号鍵

CISA KEV 警告 25/12/12：Google Chromium／Sierra Wireless AirLink の脆弱性を登録

U.S. CISA adds Google Chromium and Sierra Wireless AirLink ALEOS flaws to its Known Exploited Vulnerabilities catalog

2025/12/13 SecurityAffairs — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、Google Chromium および Sierra Wireless AirLink ALEOS の脆弱性を Known Exploited Vulnerabilities (KEV) カタログに追加した。

カタログに登録された脆弱性は以下のとおりだ：

CVE-2025-14174：Google Chromium の境界外メモリアクセスの欠陥
CVE-2018-4063：Sierra Wireless の危険なファイル・アップロードの欠陥

CISA KEV 警告 25/12/11：OSGeo GeoServer の脆弱性 CVE-2025-58360 を登録

CISA Warns of OSGeo GeoServer 0-Day Vulnerability Exploited in Attacks

2025/12/12 CyberSecurityNews — OSGeo GeoServer が公開したのは、広く利用されているオープンソース地理データ共有サーバの、深刻なセキュリティ脆弱性に関する緊急アドバイザリである。それに並行して CISA も、この脆弱性を Known Exploited Vulnerabilities (KEV) カタログに追加した。この措置が示すのは、公共部門と民間部門を標的とする攻撃において、このゼロデイ脆弱性が脅威アクターたちに積極的に悪用されている状況である。新たに公開された脆弱性は CVE-2025-58360 として追跡され、XML 外部エンティティ (XXE) 参照の不適切な制限に分類される。

CISA KEV 警告 25/12/09：Microsoft Windows／RARLAB WinRAR の脆弱性をカタログに追加

U.S. CISA adds Microsoft Windows and WinRAR flaws to its Known Exploited Vulnerabilities catalog

2025/12/10 SecurityAffairs — 米国の Cybersecurity and Infrastructure Security Agency (CISA) が発表したのは、Microsoft Windows および RARLAB WinRAR の脆弱性を Known Exploited Vulnerabilities (KEV) カタログに追加したことである。今回のカタログに追加された脆弱性は以下のとおりである。

CVE-2025-6218 (CVSS 7.8)：RARLAB WinRAR パス・トラバーサル脆弱性
CVE-2025-62221 (CVSS 7.8)：Microsoft Windows 解放後メモリ使用 (use-after-free) 脆弱性

CISA KEV 警告 25/12/09：React Server Components の RCE 脆弱性 CVE-2025-55182 を登録

CISA Adds Critical React2Shell Vulnerability to KEV Catalog Following Active Exploitation

2025/12/09 CyberSecurityNews — Meta React Server Components に影響を与える、深刻な脆弱性 CVE-2025-55182 が Known Exploited Vulnerabilities (KEV) カタログに追加された。それが意味するのは、米連邦政府においても、この脆弱性 React2Shell が広範に悪用されている状況である。このリモート・コード実行の脆弱性は、React Server Components を利用する組織にとって差し迫った脅威となっている。脆弱性 CVE-2025-55182 は、React Server Function エンドポイントに送信されるペイロードを、React Server Components がデコードする際の方法に起因する。

CISA KEV 警告 25/12/09：D-Link ルータの脆弱性 CVE-2022-37055 を登録

CISA Warns of D-Link Routers Buffer Overflow Vulnerability Exploited in Attacks

2025/12/09 CyberSecurityNews — D-Link ルーターに影響を与える深刻なバッファ・オーバーフロー脆弱性 CVE-2022-37055 が、CISA の Known Exploited Vulnerabilities (KEV) カタログに追加された。それが示すのは、すでに米連邦政府内の実環境で、この脆弱性の悪用が確認されていることである。この脆弱性は、影響を受ける D-Link ネットワーク・デバイスに依存する組織のネットワークに深刻なリスクをもたらすものだ。

CISA KEV 警告 25/12/02：Android フレームワークの脆弱性 CVE-2025-48572／48633 を登録

CISA Warns of Android 0-Day Vulnerability Exploited in Attacks

2025/12/03 CyberSecurityNews — 米国の CISA は、Android フレームワークで実際に悪用が確認されている、２件の深刻な脆弱性を Known Exploited Vulnerabilities (KEV) カタログに追加した。これらの脆弱性により Android OS が標的化され、世界中の多数のデバイスに影響を与える恐れがある。CISA は 2025年12月2日に、Android フレームワークの権限昇格の脆弱性 CVE-2025-48572 と、情報漏洩の脆弱性 CVE-2025-48633 を KEV カタログに追加した。連邦政府機関および重要インフラ事業者には、2025年12月23日までにパッチを適用することを義務付けられている。

2025年のアカウント乗っ取りの被害額は $262 Million：金融機関を装う状況を FBI が報告

Account Takeover Fraud Caused $262 Million in Losses in 2025: FBI

2025/11/26 SecurityWeek — FBI の報告によると、アカウント乗っ取り (ATO：account takeover) 詐欺に関与するサイバー犯罪者により、2025年1月以降において $262 million 以上の損失が引き起こされているという。FBI が受け取った 5,100件以上の報告や苦情から確認されたのは、金融機関になりすました脅威アクターが、さまざまな規模の組織や個人から、金銭や情報を盗んでいる状況である。

CISA KEV 警告 25/11/21：Oracle Identity Manager の RCE 脆弱性 CVE-2025-61757 を登録

CISA warns Oracle Identity Manager RCE flaw is being actively exploited

2025/11/21 BleepingComputer — 積極的な攻撃で悪用されている Oracle Identity Manager の CVE-2025-61757 は、ゼロデイ攻撃の可能性がある脆弱性だ。この脆弱性 CVE-2025-61757 は、Searchlight Cyber のアナリスト Adam Kues と Shubham Shah が発見／公開した、Oracle Identity Manager の認証前リモートコード実行 (RCE) の脆弱性である。

CISA が公開：ISP などへのガイドでサイバー犯罪を助長する BPH に対抗

CISA Issues New Guidance on Bulletproof Hosting Threat

2025/11/21 InfoSecurity — 防弾ホスティング (BPH：bulletproof hosting) インフラを利用したサイバー犯罪を抑制するために、米国の CISA はパートナーと共同で、ISP (internet service providers) やネットワーク防御担当者向けの新たなガイドを発表した。このガイドが詳述するのは、ランサムウェア／フィッシング／マルウェア配布などにより重要セクターを狙う攻撃において、脅威アクターたちが BPH を利用する方法である。

CISA KEV 警告 25/11/19：Google Chrome のゼロデイ CVE-2025-13223 を登録

CISA Warns of Google Chrome 0-Day Vulnerability Exploited in Attacks

2025/11/20 CyberSecurityNews — 米国の Cybersecurity and Infrastructure Security Agency (CISA) が発令したのは、Google Chrome のゼロデイ脆弱性に関する緊急アラートである。この脆弱性 CVE-2025-13223 は Chromium V8 JavaScript エンジンの欠陥であり、脅威アクターにより積極的に悪用され、世界中のユーザーにリモート・コード実行やデータ侵害の恐れが生じている。

CISA KEV 警告 25/11/18：FortiWeb の脆弱性 CVE-2025-58034 を登録

CISA Warns of Fortinet FortiWeb OS Command Injection Vulnerability Exploited in the Wild

2025/11/19 CyberSecurityNews — Fortinet FortiWeb アプライアンスに影響を与える深刻な脆弱性について、Cybersecurity and Infrastructure Security Agency (CISA) が緊急警告を発した。この脆弱性は、現在、脅威アクターによる活発な攻撃で悪用されている。2025年11月18日に CISA は、脆弱性 CVE-2025-58034 を Known Exploited Vulnerabilities (KEV) カタログに追加し、影響を受ける製品を使用している組織に差し迫ったリスクが生じていることを警告した。

CISA 2015 の延長はどうなる？2026年1月30日までの短期資金調達法案で復活するのか？

Senators expect 10-year extension of cyber data-sharing law in future budget package

2025/11/18 nextgov — サイバー・セキュリティの基盤となる情報共有権限を 10年間延長する法案は、政府資金で全額賄う広範な歳出法案の 1 つとして可決される可能性があると、上院議員たちが 11月18日 (火) に述べている。Cybersecurity Information Sharing Act of 2015 は、9 月下旬の政府機関の閉鎖により失効している。政府が再開される 2026年1月30日までの短期資金調達法案の中で、この法律を一時的に復活させることを議会は目論んでいる。

CISA KEV 警告 25/11/04：Fortinet FortiWeb の脆弱性 CVE-2025-64446 を登録

U.S. CISA adds Fortinet FortiWeb flaw to its Known Exploited Vulnerabilities catalog

2025/11/15 SecurityAffairs — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、Fortinet FortiWeb の脆弱性 CVE-2025-64446 (CVSS：9.1) を Known Exploited Vulnerabilities (KEV) カタログに追加した。この脆弱性は、Fortinet FortiWeb 8.0.0～8.0.1／7.6.0～7.6.4／7.4.0～7.4.9／7.2.0～7.2.11／7.0.0～7.0.11 に存在する相対パス・トラバーサルを原因とするものだ。この脆弱性を悪用する攻撃者は、脆弱なデバイスに細工した HTTP／HTTPS リクエストを送信することで、標的システム上で管理コマンドを実行できる。

CISA KEV 警告 25/11/13：Firebox／Triofox／Windows の脆弱性をカタログに登録

U.S. CISA adds WatchGuard Firebox, Microsoft Windows, and Gladinet Triofox flaws to its Known Exploited Vulnerabilities catalog

2025/11/13 SecurityAffairs — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、WatchGuard Firebox／Microsoft Windows／Gladinet Triofox の脆弱性を Known Exploited Vulnerabilities (KEV) カタログに追加した。カタログに追加された脆弱性は以下のとおりである：

CVE-2025-9242 WatchGuard Firebox：境界外書き込みの脆弱性
CVE-2025-12480 Gladinet Triofox：不適切なアクセス制御脆弱性
CVE-2025-62215 Microsoft Windows：競合状態の脆弱性

CISA KEV 警告 25/11/04：Control Web Panel の脆弱性 CVE-2025-48703 を登録

CISA Warns of Control Web Panel OS Command Injection Vulnerability Exploited in Attacks

2025/11/05 CyberSecurityNews — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、Control Web Panel (CWP：旧称 CentOS Web Panel) に存在する深刻な OS コマンドインジェクション脆弱性を Known Exploited Vulnerabilities (KEV) カタログに登録した。この脆弱性 CVE-2025-48703 を悪用する未認証のリモート攻撃者は、最小限の条件さえクリアすれば脆弱なシステム上で任意のコマンドを実行できる。

CISA KEV 警告 22/11/04：Gladinet と Triofox の脆弱性 CVE-2025-11371 を登録

CISA Issues Alert on Gladinet CentreStack and Triofox Vulnerabilities Under Active Exploitation

2025/11/05 gbhackers — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、Gladinet CentreStack と Triofox に影響を与える深刻な脆弱性を Known Exploited Vulnerabilities (KEV) カタログに追加した。それが示すのは、連邦政府の組織において、この脆弱性が実際に悪用されていることだ。この脆弱性 CVE-2025-11371 は、機密性の高いシステム・ファイルを外部の第三者に公開するため、これらのクラウド・ファイル共有プラットフォームを利用する組織に深刻なリスクをもたらす。

LANSCOPE の脆弱性 CVE-2025-61932：中国政府が支援する BRONZE BUTLER が悪用

Threat Actors Exploit LANSCOPE Endpoint Manager Zero-Day Vulnerability to Steal Confidential Data

2025/10/31 gbhackers — 2025年の半ばに、Sophos Counter Threat Unit (CTU) の研究者たちが公表したのは、中国政府が支援する BRONZE BUTLER の脅威アクターが、MOTEX LANSCOPE Endpoint Manager の深刻なゼロデイ脆弱性 CVE-2025-61932 を悪用したことである。この攻撃者は、企業ネットワークへの不正アクセスと機密データの窃取を試みる、高度なサイバー攻撃キャンペーンを展開していた。この発見が示すのは、10年以上にわたりサイバー・セキュリティの脅威状況において大きな存在感を示してきた、この高度な脅威グループによる攻撃パターンの新たな兆しである。

CISA KEV 警告 25/10/30：XWiki／VMware Aria／VMware Tools の脆弱性を登録

U.S. CISA adds XWiki Platform, and Broadcom VMware Aria Operations and VMware Tools flaws to its Known Exploited Vulnerabilities catalog

2025/10/30 SecurityAffairs — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、XWiki Platform／VMware Aria Operations／VMware Tools に存在する脆弱性を Known Exploited Vulnerabilities (KEV) カタログに登録した。カタログに登録された脆弱性は以下のとおりである：

CVE-2025-24893 (CVSS スコア：9.8)：XWiki Platform における式評価インジェクションの脆弱性
CVE-2025-41244 (CVSS スコア：7.8)：VMware Aria Operations／VMware Tools における不適切に定義された権限の脆弱性

Windows Server WSUS の脆弱性 CVE-2025-59287 の悪用を確認：CISA が警告

CISA Alerts on Active Exploitation of WSUS Vulnerability

2025/10/30 gbhackers — 2025年10月29日に米国の Cybersecurity and Infrastructure Security Agency (CISA) は、Windows Server Update Services (WSUS) の深刻な脆弱性 CVE-2025-59287 の積極的な悪用を警告した。この警告は同日中に更新され、脆弱なシステムの特定や潜在的な脅威の検知に関する重要な情報が追加された。

政府機関を標的とする Gamaredon のフィッシング活動：WinRARの脆弱性 CVE-2025-8088 を悪用

Gamaredon Phishing Campaign Exploits WinRAR Vulnerability to Target Government Agencies

2025/10/28 gbhackers — WinRAR の深刻なパス・トラバーサル脆弱性 CVE-2025-8088 を悪用する悪名高い脅威グループ Gamaredon が、政府機関を標的とする巧妙なフィッシング攻撃キャンペーンを展開していると、Gen Threat Labs のサイバー・セキュリティ研究者たちが明らかにした。この攻撃者が用いる手口は、無害に見える PDF 文書を開かせるだけで、悪意のペイロードを密かに展開するという、武器化された RAR アーカイブの配布である。

CISA KEV 警告 25/10/24：Microsoft WSUS／Adobe Commerce／Magento の脆弱性を登録

U.S. CISA adds Microsoft WSUS, and Adobe Commerce and Magento Open Source flaws to its Known Exploited Vulnerabilities catalog

2025/10/24 SecurityAffairs — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、Microsoft WSUS／Adobe Commerce／Magento Open Source の脆弱性を Known Exploited Vulnerabilities (KEV) カタログに追加した。カタログに追加された脆弱性のリストは以下の通りである：

CVE-2025-54236：Adobe Commerce／Magento の不適切な入力検証
CVE-2025-59287：Microsoft WSUS の信頼されていないデータのデシリアライズ

CISA KEV 警告 25/10/20：Oracle EBS／Windows SMB／Kentico／Apple の脆弱性を登録

Five New Exploited Bugs Land in CISA’s Catalog — Oracle and Microsoft Among Targets

2025/10/20 TheHackerNews — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は５件のキュリティ脆弱性を、Known Exploited Vulnerabilities (KEV) カタログに登録した。その中には、先日に公表された Oracle E-Business Suite (EBS) に影響を及ぼす脆弱性が含まれており、連邦政府機関への攻撃でも悪用されたことになる。この脆弱性 CVE-2025-61884 (CVSS：7.5) は、Oracle Configurator のランタイム・コンポーネントに存在するサーバサイド・リクエスト・フォージェリ (SSRF) の欠陥であり、攻撃者に対して重要なデータへの不正アクセスを許すものだ。CISA は、「この脆弱性は、認証を必要としないリモートからの悪用が可能だ」と述べている。

CISA KEV 警告 25/10/15：Adobe Experience Manager の脆弱性 CVE-2025-54253 を登録

CISA Warns Of Adobe Experience Manager Forms 0-Day Vulnerability Exploited In Attacks

2025/10/16 CyberSecurityNews — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、Adobe Experience Manager Forms に存在する深刻なコード実行の脆弱性に対する緊急アラートを発令し、Known Exploited Vulnerabilities (KEV) に登録した。この脆弱性 CVE-2025-54253 (CVSS：9.8) が影響を及ぼす範囲は、Java Enterprise Edition (JEE) ソフトウェアであり、それを悪用する攻撃者は、脆弱なシステム上で任意のコード実行の可能性を手にする。

CISA KEV 警告 25/10/14：SKYSEA／Rapid7／Windows／IGEL OS の脆弱性を KEV に登録

U.S. CISA adds SKYSEA Client View, Rapid7 Velociraptor, Microsoft Windows, and IGEL OS flaws to its Known Exploited Vulnerabilities catalog

2025/10/16 SecurityAffairs — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、OracSKYSEA Client View／Rapid7 Velociraptor／Microsoft Windows／IGEL OS の脆弱性を、Known Exploited Vulnerabilities (KEV) カタログに追加した。それらの脆弱性は、以下のとおりである。

CVE-2016-7836：SKYSEA Client View における不適切な認証
CVE-2025-6264：Rapid7 Velociraptor の不適切なデフォルト権限
CVE-2025-24990：Microsoft Windows の不適切なポインタ参照
CVE-2025-47827：IGEL OS における有効期限切れのキーの使用
CVE-2025-59230：Microsoft Windows の不適切なアクセス制御

CISA KEV 警告 25/10/07：Zimbra ZCS の脆弱性 CVE-2025-27915 を登録

U.S. CISA adds Synacor Zimbra Collaboration Suite (ZCS) flaw to its Known Exploited Vulnerabilities catalog

2025/10/07 SecurityAffairs — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、Synacor Zimbra Collaboration Suite (ZCS) の脆弱性 CVE-2025-27915 を、Known Exploited Vulnerabilities (KEV) カタログに登録した。この脆弱性 CVE-2025-27915 は、Zimbra Collaboration Suite のバージョン 9.0～10.1 に存在する、蓄積型 XSS の欠陥であり、ICS ファイル (iCalendar 形式) における HTML サニタイズの不備に起因する。悪意の ICS エントリを取り込んだメールを被害者が開くと、<ontoggle> イベントを介して JavaScript が実行され、攻撃者によるセッションの乗っ取り／メール転送設定の変更／データ窃取が引き起こされる。

CISA KEV 警告 25/10/06：Oracle／Mozilla／Windows／Linux／IE の脆弱性を KEV カタログに登録

U.S. CISA adds Oracle, Mozilla, Microsoft Windows, Linux Kernel, and Microsoft IE flaws to its Known Exploited Vulnerabilities catalog

2025/10/07 SecurityAffairs — 米国 Cybersecurity and Infrastructure Security Agency (CISA) は、Oracle／Linux Kernel／Mozilla／Microsoft Windows／Microsoft Internet Explorer の脆弱性を Known Exploited Vulnerabilities (KEV) カタログに登録した。以下に、今回追加された脆弱性の概要を示す。

CVE-2010-3765：Mozilla におけるリモート・コード実行の脆弱性
CVE-2010-3962：Internet Explorer におけるメモリ破損の脆弱性
CVE-2011-3402：Windows におけるリモートコード実行の脆弱性
CVE-2013-3918：Windows における境界外書き込みの脆弱性
CVE-2021-22555：Linux カーネルにおける境界外書き込みの脆弱性
CVE-2021-43226：Windows における権限昇格の脆弱性
CVE-2025-61882：Oracle E-Business Suite における RCE の脆弱性

CISA KEV 警告 25/10/02：GNU Bash／Juniper ScreenOS／Jenkins／Meteobridge／Samsung の脆弱性を登録

U.S. CISA adds Smartbedded Meteobridge, Samsung, Juniper ScreenOS, Jenkins, and GNU Bash flaws to its Known Exploited Vulnerabilities catalog

2025/10/04 SecurityAffairs — 米国の Cybersecurity and Infrastructure Security Agency (CISA) が、Smartbedded Meteobridge／Samsung／Juniper ScreenOS／Jenkins／GNU Bash の脆弱性を KEV (Known Exploited Vulnerabilities) カタログに登録した。これらの脆弱性は以下の通りである。

CVE-2014-6278：GNU Bash OS コマンド・インジェクション
CVE-2015-7755：Juniper ScreenOS 不適切な認証
CVE-2017-1000353：Jenkins リモート・コード実行
CVE-2025-4008：Meteobridge のコマンド・インジェクション
CVE-2025-21043：Samsung モバイル・デバイスの境界外書き込み

米国法 CISA 2015 は存続できるのか？議会の膠着が引き起こすインテリジェンス共有の危機とは？

Expired US Cyber Law Puts Data Sharing and Threat Response at Risk

2025/10/02 InfoSecurity — 米国政府が公表したのは、サイバー脅威インテリジェンスの共有において、法的責任から企業を保護する重要な米国法が、政府予算をめぐる議会の膠着状態の中で合意に至らず失効したという事実である。CISA 2015 (2015 Cybersecurity Information Sharing Act) は、Automated Indicator Sharing Program (AIS) と呼ばれる任意のプログラムを通じて、サイバー脅威データを交換する際に、企業を訴訟から保護するものであった。この法律は、米国議会が期限前に延長を決議しない限り、9月30日に失効すると予想されていた。

Cisco IOS／IOS XE の SNMP 脆弱性 CVE-2025-20352：攻撃での悪用を CISA が警告

CISA Warns of Cisco IOS and IOS XE SNMP Vulnerabilities Exploited in Attacks

2025/10/01 CyberSecurityNews — Cisco IOS／IOS XE の SNMP (Simple Network Management Protocol) 実装が、実際の攻撃で悪用されているとの報告を受け、CISA が警告を発している。2025年8月に公開された脆弱性 CVE-2025-20352 は、SNMP エンジンにおける深刻なバッファ・オーバーフローに起因し、未認証のリモート攻撃者に対して任意のコード実行を許す可能性がある。

CISA KEV 警告 25/09/29：Cisco IOS／Fortra／Libraesva／Linux Sudo／Adminer の脆弱性を登録

U.S. CISA adds Adminer, Cisco IOS, Fortra GoAnywhere MFT, Libraesva ESG, and Sudo flaws to its Known Exploited Vulnerabilities catalog

2025/09/30 SecurityAffairs — 米国の CISA (Cybersecurity and Infrastructure Security Agency) は、Cisco IOS／Fortra GoAnywhere MFT／Libraesva ESG／Linux Sudo／Adminer の脆弱性を KEV (Known Exploited Vulnerabilities) カタログに登録した。

CVE-2025-20352：Cisco IOS／IOS XE：スタック・オーバーフロー
CVE-2025-10035：Fortra GoAnywhere：信頼できないデータのデシリアライズ
CVE-2025-59689：Libraesva ESG：コマンド・インジェクション
CVE-2025-32463：Linux Sudo：信頼できない制御範囲からの機能の組み込み
CVE-2021-21311：Adminer：サーバサイド・リクエスト・フォージェリ

CISA 警告：Cisco ASA／Firepower の３つの脆弱性に対する緊急指令

CISA orders agencies to patch Cisco flaws exploited in zero-day attacks

2025/09/25 BleepingComputer — 米国の CISA (Cybersecurity and Infrastructure Security Agency) が連邦政府機関に対して発令したのは、ゼロデイ攻撃で悪用された Cisco 製ファイアウォール・デバイスの保護を命じる緊急指令である。9月25日の緊急指令 25-03 は、Adaptive Security Appliance (ASA)／Firepower Threat Defense (FTD) ソフトウェアにおける、脆弱性 CVE-2025-20333／CVE-2025-20362 へのパッチ適用を求めるものだ。

CISA の GeoServer インシデント分析：米国連邦機関のネットワークが侵害された理由は？

CISA Details That Hackers Gained Access to a U.S. Federal Agency Network Via GeoServer RCE Vulnerability

2025/09/24 CyberSecurityNews — 米国の CISA が、包括的なサイバー・セキュリティ勧告を公開した。この勧告が詳述するのは、GeoServer の深刻なリモート・コード実行の脆弱性 CVE-2024-36401 を悪用する脅威アクターが、米国連邦行政機関のネットワークに侵入した経緯である。３週間にわたり検知されなかった、このインシデントが浮き彫りにするのは、連邦機関における脆弱性管理とインシデント対応体制の深刻な欠陥である。

CISA KEV 警告 25/09/24：Google Chrome のゼロデイ脆弱性 CVE-2025-10585 を登録

CISA Issues Alert on Actively Exploited Google Chrome 0-Day Vulnerability

2025/09/24 gbhackers — 米国の CISA (Cybersecurity and Infrastructure Security Agency) が発令したのは、現在も悪用されている Google Chrome のゼロデイ脆弱性に対する、緊急のセキュリティ・アラートである。この脆弱性 CVE-2025-10585 は、Google Chromium の V8 JavaScript／WebAssembly エンジンに影響を及ぼし、世界中のユーザーに重大なセキュリティリスクをもたらすものであり、KEV (Known Exploited Vulnerabilities) カタログにも追加された。

Ivanti EPMM に展開されているマルウェア：標的とされる脆弱性を CISA が分析

CISA Analyzes Malware From Ivanti EPMM Intrusions

2025/09/19 SecurityWeek — 米国のサイバー・セキュリティ機関である CISA は、Ivanti Endpoint Manager Mobile (EPMM) の２つの脆弱性を標的とする、マルウェアに関する技術情報を公開した。その対象となる脆弱性 CVE-2025-4427 (CVSS：5.3)／CVE-2025-4428 (CVSS：7.2) は、ハッカーたちによる攻撃で悪用された後の、2025年5月13日に公表された。

Ivanti EPMM の脆弱性 CVE-2025-4427／4428 を武器化：CISA が警告するマルウェアとは？

CISA Alerts of Hackers Targeting Ivanti Endpoint Manager Mobile Vulnerabilities to Distribute Malware

2025/09/19 gbhackers — Ivanti EPMM (Endpoint Manager Mobile) に存在する、深刻な脆弱性 CVE-2025-4427 (認証バイパス)／CVE-2025-4428 (コードインジェクション) を武器化したサイバー脅威アクターたちが、侵害したサーバ上に高度なローダーとリスナーを展開している。このマルウェアを構成する２つのコンポーネントは、Loader 1 (web-install.jar／ReflectUtil.class／SecurityHandlerWanListener.class) と、Loader 2 (web-install.jar／WebAndroidAppInstaller.class) であり、Apache Tomcat 環境に任意コードを挿入して永続性を維持するよう設計されている。

CISA KEV 警告 25/09/04：Sitecore／Android／Linux の脆弱性を登録

U.S. CISA adds Sitecore, Android, and Linux flaws to its Known Exploited Vulnerabilities catalog

2025/09/05 SecurityAffairs — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、Sitecore／Android／Linux の脆弱性を、Known Exploited Vulnerabilities (KEV) に登録した。それらの脆弱性は、以下のものである。

CVE-2025-38352：Linux カーネルにおける Time-of-Check／Time-of-Use (TOCTOU) 競合状態の脆弱性。
CVE-2025-48543：Android ランタイムにおける権限昇格の脆弱性。
CVE-2025-53690：Sitecore 複数群における信頼されていないデータのデシリアライゼーションの脆弱性。

Google に対する米地裁の判決：Chrome ビジネスの売却は強制しないが検索データを他社に共有せよ

Google Won’t Be Forced to Sell Chrome, But Must Share Search Data With Rivals

2025/09/03 CyberSecurityNews — Google に対して米コロンビア地裁が命じたのは、Chrome 所有権の売却は強制しないが、重要な検索データは競合他社に共有すべきという内容である。9月2日 (火) に司法省の反トラスト局が発表した判決は、10年以上にわたり市場を支配してきた Google の検索独占に対する、政府による継続的な戦いにおける大勝利である。