Microsoft – IoT OT Security News

SharePoint 標的の AiTM フィッシング・キャンペーンを検出：大規模かつ広範な BEC 活動へと拡大

Threat Actors Leverage SharePoint Services in Sophisticated AiTM Phishing Campaign

2026/01/24 CyberSecurityNews — SharePoint ファイル共有の悪用を通じてエネルギー業界の組織を標的とする、高度な中間者攻撃 (AiTM) フィッシング・キャンペーンが展開されていることを、Microsoft Defender の研究者が明らかにした。この多段階攻撃は、複数の組織におけるユーザー・アカウントを侵害し、大規模かつ広範なビジネス・メール詐欺 (BEC) 活動へと拡大している。

Azure の Private Endpoint デプロイメントに深刻な脆弱性：クラウド・リソースへの DoS 攻撃の可能性

Azure Private Endpoint Deployments Expose Cloud Resources to DoS Attacks

2026/01/21 gbhackers — Azure の Private Endpoint デプロイメントにおける深刻なアーキテクチャ上の弱点により、クラウド・リソースに対する偶発的／意図的なサービス拒否 (DoS) 攻撃が可能になる。この脆弱性は、Azure の Private DNS ゾーン解決とハイブリッド・ネットワーク・コンフィグとの相互作用に起因し、Azure Storage Account の 5% 超と、複数の重要サービスに影響を及ぼす可能性がある。

Windows Kerberos リレー攻撃の危険性：DNS CNAME ポイズニングの PoC エクスプロイトが登場

New Kerberos Relay Attack Uses DNS CNAME to Bypass Mitigations – PoC Released

2026/01/19 CyberSecurityNews — Windows Kerberos 認証に存在する深刻な脆弱性 CVE-2026-20929 により、Active Directory 環境における資格情報リレー攻撃にさらされる領域が大幅に拡大している。Windows クライアントが Kerberos サービス・チケットをリクエストするときの、DNS CNAME レスポンス処理の方法を悪用する攻撃者は、自身が制御するサービス向けのチケット・リクエストをシステムに対して強制し、従来の防御策を回避することが可能になる。

Windows SMB の脆弱性 CVE-2025-33073：認証リレー攻撃による Active Directory 侵害の可能性

Windows SMB Client Vulnerability Enables Attacker to Own Active Directory

2025/01/19 CyberSecurityNews — Windows SMB クライアント認証における深刻な脆弱性を介したNTLM リフレクションの悪用により、Active Directory 環境が侵害される可能性がある。この脆弱性 CVE-2025-33073 は不適切なアクセス制御に分類され、ネットワーク接続上で精巧に構成された認証リレー攻撃を用いる認可済みの攻撃者に対して、権限昇格を許す可能性がある。2025年6月のセキュリティパッチ公開から、すでに 7ヶ月が経過しているが、エンタープライズ・インフラ全体で適用が進んでいない状況が確認されている。

Azure SSO の深刻な脆弱性 CVE-2026-20965 が FIX：Windows Admin Center 全体への侵害の恐れ

Azure Identity Token Vulnerability Enables Tenant-Wide Compromise in Windows Admin Center

2026/01/15 CyberSecurityNews — Windows Admin Center の Azure Single Sign-On (SSO) 実装に、深刻度の高い脆弱性 CVE-2026-20965 が発見された。それにより、Azure VM および Arc 接続システムが、テナント全体にわたる不正アクセスのリスクにさらされている。この脆弱性が示すのは、不適切なトークン検証により、個々のマシンと Azure 環境全体との間に存在すべきセキュリティ境界が崩壊する恐れである。

CISA KEV 警告 26/01/13：Windows の脆弱性 CVE-2026-20805 を登録

U.S. CISA adds a flaw in Microsoft Windows to its Known Exploited Vulnerabilities catalog

2026/01/14 SecurityAffairs — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、Microsoft Windows の脆弱性 CVE-2026-20805 (CVSS：5.5) を、Known Exploited Vulnerabilities (KEV) に登録した。Microsoft の 2026年1月の Patch Tuesday では、Windows／Office／Azure／Edge／SharePoint／SQL Server／SMB／Windows 管理サービスに影響を与える 112 件の CVE がリリースされた。サードパーティ製の Chromium 修正プログラムを含めると、脆弱性の総数は 114 件となる。

Window DWM のゼロデイ脆弱性 CVE-2026-20805 が FIX：実環境での情報漏洩を確認

Microsoft Desktop Window Manager 0-Day Vulnerability Exploited in the wild

2026/01/14 CyberSecurityNews — 2026年1月13日の月例パッチで、Microsoft は Desktop Window Manager (DWM) に存在する深刻なゼロデイ情報漏洩の脆弱性を修正した。この脆弱性 CVE-2026-20805 を悪用するローカル攻撃者は、ALPC ポートを介して機密性の高いセクション・アドレスをはじめとするユーザーモード・メモリを露出させる恐れがある。この脆弱性は、すでに実環境での悪用が検知されており、さらなる権限昇格の連鎖を容易にするため、Windows システム全体に対する緊急のパッチ適用が求められている。

Microsoft 2026-01 月例アップデート：３件のゼロデイを含む 114件の脆弱性に対応

Microsoft January 2026 Patch Tuesday fixes 3 zero-days, 114 flaws

2026/01/13 BleepingComputer — Microsoft が公表した 2026年1月の Patch Tuesday では、114 件の脆弱性に対するセキュリティ・アップデートが提供されている。その中には、現時点で悪用されている１件の脆弱性と、公開済みの２件のゼロデイ脆弱性が含まれている。今月の Patch Tuesday では、深刻度 Critical に分類される８件の脆弱性が修正された。その内訳は、リモートコード実行の脆弱性が６件、権限昇格の脆弱性が２件である。

OAuth 2.0 認証フローを武器化：Microsoft Entra をバイパスしてトークンを収集する手法とは？

New OAuth Attack Lets Hackers Bypass Microsoft Entra Authentication and Steal Keys

2026/01/08 gbhackers — サイバー・セキュリティ対策担当者にとって年末は忙しい時期であるが、Microsoft Entra ID を標的とする新たな攻撃ベクターが研究者たちにより発見された。この攻撃ベクターは、正規の OAuth 2.0 認証フローを武器化し、特権アクセス・トークンを収集するものだ。PushSecurity が ConsentFix と名付けた手法は、ClickFix ソーシャル・エンジニアリング・パラダイムの進化形である。ファーストパーティである Microsoft アプリケーションの認証コードフローを悪用する脅威アクターは、デバイスのコンプライアンス・チェックや条件付きアクセス・ポリシーを回避できるようになる。

CISA KEV 警告 26/01/07：PowerPoint のコード・インジェクション脆弱性 CVE-2009-0556 登録

CISA Warns of Microsoft PowerPoint Code Injection Vulnerability Exploited in Attacks

2026/01/08 CyberSecurityNews — 米国の Cybersecurity and Infrastructure Security Agency (CISA) が発表したのは、Microsoft PowerPoint のコード・インジェクション脆弱性 CVE-2009-0556 に関する緊急アラートと、Known Exploited Vulnerabilities (KEV) カタログへの登録である。これは、2009年に公開された古い脆弱性であるが、現在も悪意ある PowerPoint ファイルを用いた任意のコード実行により実際に悪用されている。これにより、システムのセキュリティが侵害され、機密データへの不正アクセスが発生する可能性がある。

CISA KEV 警告 26/01/07：HPE OneView と PowerPoint の脆弱性を登録

CISA Flags Microsoft Office and HPE OneView Bugs as Actively Exploited

2026/01/08 TheHackerNews — 1月7日 (水) に米国の Cybersecurity and Infrastructure Security Agency (CISA) は、Microsoft Office と Hewlett Packard Enterprise (HPE) OneView に影響を及ぼす２件のセキュリティ欠陥を、Known Exploited Vulnerabilities (KEV) カタログに追加した。

Windows のカーネル・ドライバーと名前付きパイプ：ローカル権限昇格に焦点を当てたバグハンティング

Hunting Windows LPE Flaws Through Kernel Drivers and Named Pipes

2025/12/29 gbhackers — Windows システムの Local Privilege Escalation (LPE：ローカル権限昇格) の脆弱性特定に焦点を当てた、集中的なバグハンティング・プロジェクトが、Hackyboiz Whitehat School のセキュリティ研究者たちにより完了した。この調査の結果により、カーネル・ドライバーと名前付きパイプという、２つの主要な攻撃対象領域に深刻な脆弱性が見つかった。サイバーセキュリティ・チームにとって必要なことは、これらの領域への早急な対応を優先することである。

Microsoft BFS の脆弱性 CVE-2025-29970 が FIX：解放後メモリ使用脆弱性と権限昇格

Microsoft Brokering File System Vulnerability Let Attackers Escalate Privileges

2025/12/22 CyberSecurityNews — Microsoft が公表したのは、Brokering File System (BFS) ドライバに存在する、深刻な解放後メモリ使用 (use-after-free) の脆弱性 CVE-2025-29970 に対する修正プログラムの情報である。この脆弱性を悪用したローカル攻撃者は、任意のアプリケーションを起点として、Windows システム上で権限を昇格させることが可能となる。たとえそれらのアプリケーションがサンドボックス化されていても、その制限を回避して脆弱性が悪用されるため、エンタープライズ・セキュリティにとって深刻な懸念事項となる。

Office の脆弱性 CVE-2018-0802 が標的：Cloud Atlas 攻撃キャンペーンの感染チェーンを分析

Cloud Atlas Exploits Office Vulnerabilities to Execute Malicious Code

2025/12/19 gbhackers — Microsoft Office の旧来の脆弱性を悪用する Cloud Atlas 脅威グループは 2014年から活動しており、東ヨーロッパおよび中央アジアの組織に対して高度な攻撃を実施し、深刻なリスクをもたらし続けている。このグループにおける攻撃手段の拡張と感染チェーンの進化は、2025年上半期を通じてセキュリティ研究者により追跡および分析されてきた。その結果、これまで不明であったスクリプトおよび攻撃手法が明らかになった。

Windows Admin Center の脆弱性 CVE-2025-64669：ローカル権限昇格の恐れ

Windows Admin Center Vulnerability (CVE-2025-64669) Let Attackers Escalate Privileges

2025/12/16 CyberSecurityNews — Windows Admin Center (WAC) バージョン 2.4.2.1 において、新たなローカル権限昇格の脆弱性 CVE-2025-64669 が発見された。この脆弱性が影響を及ぼす範囲は、WAC 2411 以下のバージョンを実行している全ての環境である。脆弱性 CVE-2025-64669 は、”WindowsAdminCenter” フォルダの不適切なアクセス権限に起因する (詳細なパスは後述)。このフォルダは、一般のユーザーによる書き込みが可能でありながら、昇格された権限で実行されるサービスで用いられるものだ。

Microsoft バグバウンティが拡張：サードパーティ／オープンソースのコードも対象に

Microsoft Bug Bounty Program Expanded to Third-Party Code

2025/12/13 SecurityWeek — 12月12日 (木) に Microsoft が発表した “In Scope by Default” というアプローチは、バグバウンティ・プログラムを大幅に拡充し、サードパーティ製のコードとオープンソース・コードも対象にするものだ。対象となる深刻な脆弱性が、Microsoft のサービスに影響を与える場合に限り、その脆弱性を発見／報告した研究者はバグバウンティの対象となる。

CISA KEV 警告 25/12/09：Microsoft Windows／RARLAB WinRAR の脆弱性をカタログに追加

U.S. CISA adds Microsoft Windows and WinRAR flaws to its Known Exploited Vulnerabilities catalog

2025/12/10 SecurityAffairs — 米国の Cybersecurity and Infrastructure Security Agency (CISA) が発表したのは、Microsoft Windows および RARLAB WinRAR の脆弱性を Known Exploited Vulnerabilities (KEV) カタログに追加したことである。今回のカタログに追加された脆弱性は以下のとおりである。

CVE-2025-6218 (CVSS 7.8)：RARLAB WinRAR パス・トラバーサル脆弱性
CVE-2025-62221 (CVSS 7.8)：Microsoft Windows 解放後メモリ使用 (use-after-free) 脆弱性

Windows Cloud Files Mini Filter の権限昇格の脆弱性 CVE-2025-62221：すでに悪用を観測

Windows Cloud Files Mini Filter Driver 0-Day Exploited for Privilege Escalation

2025/12/10 gbhackers — Microsoft が公表したのは、Windows Cloud Files Mini Filter Driver に存在する、深刻な権限昇格の脆弱性 CVE-2025-62221 に関する情報である。この脆弱性を悪用するローカル攻撃者は、脆弱なマシン上でシステム・レベルのアクセス権を取得する可能性がある。この脆弱性は 2025年12月9日の Patch Tuesday で公開／対処されているが、Windows 環境に対する重大なセキュリティ脅威として認識されている。

VS Code に悪意のパッケージ：DLL ハイジャックにより開発者の機密情報を盗み出す

Researchers Find Malicious VS Code, Go, npm, and Rust Packages Stealing Developer Data

2025/12/09 TheHackerNews — Microsoft Visual Studio Code (VS Code) マーケットプレイスに存在し、開発者のマシンに情報窃取型マルウェアを感染させる２つの新たなエクステンションが、サイバー・セキュリティ研究者たちにより発見／報告された。これら悪意の VS Code エクステンションは、プレミアム・ダークテーマや人工知能 (AI) 搭載のコーディング・アシスタントを装うが、実際には追加ペイロードのダウンロード／スクリーンショットの撮影／データ窃取といった隠れた機能を秘めている。それにより収集された情報は、攻撃者が管理するサーバに送信される。

Microsoft 2025-12 月例アップデート：３件のゼロデイを含む 57件の脆弱性に対応

Microsoft December 2025 Patch Tuesday fixes 3 zero-days, 57 flaws

2025/12/09 BleepingComputer — 今日は Microsoft の December 2025 Patch Tuesday の日だ。この月例セキュリティ更新プログラムでは、57 件の脆弱性が修正されている。そこには、現在悪用されている脆弱性１件と、公開済みゼロデイ脆弱性２件が含まれる。また、今回の月例セキュリティ更新プログラムでは、深刻度 Critical のリモート・コード実行の脆弱性３件も修正されている。

Chrome／Edge のエクステンションを悪用：430万人を感染させた ShadyPanda のキャンペーンとは？

4.3 Million Chrome and Edge Users Hacked in 7-Year ShadyPanda Malware Campaign

2025/12/01 CyberSecurityNews — ShadyPanda という高度な攻撃グループが、７年間にわたり Chrome および Edge の 430万人のユーザーをマルウェアに感染させてきたという。この攻撃グループは、ブラウザ・マーケットプレイスへの信頼を悪用し、おすすめ／検証済みと表示されたエクステンションを武器化することで、従来のセキュリティ・アラームにより検知されることなく、リモート・コード実行 (RCE) バックドアおよび大規模スパイウェア攻撃を展開してきた。

Microsoft Outlook の RCE 脆弱性 CVE-2024-21413：GitHub 上で PoC が公開

PoC Exploit Released for Critical Outlook 0-Click Remote Code Execution Vulnerability

2025/12/01 CyberSecurityNews — Microsoft Outlook に存在する、深刻なリモート・コード実行 (RCE) 脆弱性 CVE-2024-21413 の悪用を実証する PoC エクスプロイト・コードが公開された。この MonikerLink と呼ばれる脆弱性を悪用する攻撃者は、Outlook のセキュリティ機構の保護ビューを回避して、悪意のコード実行や資格情報の窃取を可能にする。

NTLM 認証への攻撃：いまもハッカーたちが悪用する４つの脆弱性とは？

Hackers Exploit NTLM Authentication Flaws to Target Windows Systems

2025/11/26 CyberSecurityNews — 最初の問題の発見から 20年以上が経った今でも、NTLM 認証プロトコルは世界中の Windows システムを悩ませ続けている。この問題は、2001年に理論上の脆弱性として始まったが、広範囲にわたるセキュリティ危機へと発展し、複数の NTLM の脆弱性を積極的に悪用する攻撃者は、さまざまな地域のネットワークに侵入している。

Windows Server WSUS の RCE 脆弱性 CVE-2025-59287：ShadowPad の配布と PoC のリリース

Attackers deliver ShadowPad via newly patched WSUS RCE bug

2025/11/24 SecurityAffairs — Windows WSUS の脆弱性 CVE-2025-59287 を悪用する脅威アクターたちが、ShadowPad マルウェアを配布していると、AhnLab Security Intelligence Center (ASEC) の研究者たちが報告した。ShadowPad は中国由来の APT グループに広く利用され、非公開で流通するバックドアである。この攻撃者は、WSUS サーバへのアクセス権を取得した後に、PowerCat を用いてシステム・シェルを取得し、”certutil” と “curl” により ShadowPad を取得しインストールしている。研究者たちは、この侵入チェーンと、ShadowPad の動作、推奨される防御策を詳細に説明している。

Azure Bastion の脆弱性 CVE-2025-49752：認証バイパスによる管理者権限取得の恐れ

Critical Vulnerability in Azure Bastion Let Attackers Bypass Authentication and Escalate privileges

2025/11/23 CyberSecurityNews — Azure Bastion の深刻な脆弱性 CVE-2025-49752 により、リモートの攻撃者が認証メカニズムをバイパスし、管理者レベルの権限を取得できる状況にある。この欠陥は認証バイパス脆弱性に分類され、クラウド・インフラへの安全な管理アクセスにおいて Azure Bastion に依存する組織に差し迫ったリスクをもたらすという。

Microsoft Office のゼロデイを $30,000 で販売：Zeroplayer 脅威アクターはロシア由来？

Threat Actors Allegedly Selling Microsoft Office 0-Day RCE Vulnerability on Hacking Forums

2025/11/20 CyberSecurityNews — Microsoft Office／Windows システムを標的とする、ゼロデイのリモート・コード実行 (RCE) 脆弱性とサンドボックス・エスケープを、Zeroplayer と呼ばれる脅威アクターがアンダーグラウンドで販売しているとの報道がなされている。このエクスプロイトは $30,000 で販売され、最新バージョンを含む大半の Office ファイル形式で動作し、パッチが完全に適用された Windows にも影響を与えるとされている。

Copilot のファイル操作に障害：Microsoft 365 の複数ユーザーに深刻な影響

Microsoft Investigating Copilot Issue On Processing Files

2025/11/19 CyberSecurityNews — Microsoft 365 の Microsoft Copilot に影響を及ぼす広範な問題について、同社による調査が開始された。ユーザーがファイルに対する操作を実行する際に、これらの問題が原因となり、重大な制限が生じている。公式の Microsoft 365 ステータス・チャネルを通じて、この事象を確認した同社は、管理上の参照用として追跡識別子 “CP1188020” を割り当てた。

Degital デバイドから AI デバイドへ：インフラへの投資と言語人口がカギになる – Microsoft

The next tech divide is written in AI diffusion

2025/11/17 HelpNetSecurity — Microsoft のレポートによると、あらゆる主要技術の歴史において、AI は最も速いペースで普及しているという。最初の主流リリースから３年以内に、12 億人以上が AI ツールを使用している。この成長は著しいものであるが、政府／産業界／セキュリティ・チームにおける負担は不均等である。

CISA KEV 警告 25/11/13：Firebox／Triofox／Windows の脆弱性をカタログに登録

U.S. CISA adds WatchGuard Firebox, Microsoft Windows, and Gladinet Triofox flaws to its Known Exploited Vulnerabilities catalog

2025/11/13 SecurityAffairs — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、WatchGuard Firebox／Microsoft Windows／Gladinet Triofox の脆弱性を Known Exploited Vulnerabilities (KEV) カタログに追加した。カタログに追加された脆弱性は以下のとおりである：

CVE-2025-9242 WatchGuard Firebox：境界外書き込みの脆弱性
CVE-2025-12480 Gladinet Triofox：不適切なアクセス制御脆弱性
CVE-2025-62215 Microsoft Windows：競合状態の脆弱性

Windows Kernel の権限昇格の脆弱性 CVE-2025-62215：すでに悪用試行が確認されている

Windows Kernel 0-Day Under Active Exploitation for Privilege Escalation

2025/11/12 gbhackers — Microsoft が公開したのは、現時点で積極的に悪用されている、Windows カーネルの深刻な脆弱性に関する情報である。この脆弱性 CVE-2025-62215 (2025年11月 Patch Tuesday で修正) を悪用する攻撃者は、脆弱な Windows システム上で権限を昇格し、上位アクセスを取得できる。この脆弱性は、複数のプロセスが共有リソースに同時にアクセスする際の不適切な同期に起因する、Windows カーネルにおける権限昇格の欠陥である。

Microsoft 2025-11 月例アップデート：１件のゼロデイを含む 63件の脆弱性に対応

Microsoft November 2025 Patch Tuesday fixes 1 zero-day, 63 flaws

2025/11/11 BleepingComputer — 今日は Microsoft の November 2025 Patch Tuesday の日だ。このパッチに含まれるのは、63 件の脆弱性に対するセキュリティ・アップデートであり、その中には現在悪用されているゼロデイ脆弱性１件がある。今回の Patch Tuesday では、深刻度 Critical の脆弱性４件が修正されている。そのうち２件はリモート・コード実行の脆弱性であり、権限昇格と情報漏洩の脆弱性が１件ずつとなる。

AI Chat におけるプライバシーとリスク：Microsoft が詳述する Whisper Leak というサイドチャネル攻撃

AI chat privacy at risk: Microsoft details Whisper Leak side-channel attack

2025/11/09 SecurityAffairs — Microsoft が発表したのは、Whisper Leak と呼ばれる新たなサイドチャネル攻撃に関する情報である。具体的に言うと、ネットワーク・トラフィックを監視する攻撃者は、データが暗号化されている場合であっても、リモートの言語モデルを使用してユーザーが会話した内容を推測できるという。この脆弱性により、企業／個人ユーザーがストリーミング AI システムと交わした会話から機密情報が漏洩し、深刻なプライバシー・リスクが生じる可能性があると、同社は警告している。

VS Code エクステンションを悪用する Kimsuky：ランサムウェアと永続化のためのキャンペーンとは？

Threat Actors May Abuse VS Code Extensions to Deploy Ransomware and Use GitHub as C2 Server

2025/11/07 CyberSecurityNews — 開発者向けエクステンションを感染経路として悪用する北朝鮮の脅威アクターが、その攻撃戦略を進化させている。最近のセキュリティ調査によると、2012年から活動する国家支援グループ Kimsuky は、 JavaScript ベースのマルウェアを用いてシステムに侵入し、永続的な Command-and-Control (C2) インフラを構築しているという。これまでの攻撃は、政府機関／シンクタンク／専門家を標的とする活動に集中していたが、今回のキャンペーンが示すのは、技術力の拡大とサプライチェーン攻撃の高度化である。

Microsoft Teams の複数の脆弱性：Check Point が報告したメッセージ改竄と通知偽装とは？

Attackers Exploit Microsoft Teams Flaws to Manipulate Messages and Fake Notifications

2025/11/05 gbhackers — Microsoft Teams に存在する４件の深刻な脆弱性について、Check Point Research がレポートを公表した。それらの脆弱性を悪用する攻撃者は、経営幹部のなりすまし／メッセージの改竄／通知の書き換え／ビデオと音声通話での身元偽装などが可能になっていた。なお、一連の脆弱性は、2024年5月8日から 2025年10月の間に修正されているという。

OneDrive を悪用する新手の DLL サイドローディング攻撃：PoC が示す悪意のコード実行とは？

Hackers Abuse OneDrive.exe via DLL Sideloading to Run Malicious Code

2025/11/05 gbhackers — Microsoft の OneDrive アプリケーションを悪用して、検知されることなく悪意のコードを実行する高度な攻撃手法が、セキュリティ研究者たちにより発見された。この攻撃で用いられる DLL サイドローディングと呼ばれる手法は、Windows のライブラリ読み込みの仕組みを悪用して正規のアプリケーションを騙し、攻撃者が制御する DLL をロードさせるものである。膨大な数のマシンに OneDrive が導入されているエンタープライズ環境において、この手口は深刻な脅威となる。

Windows WSUS CVE-2025-59287：TCP ポート 8530/8531 への積極的な偵察を観測

Hackers Actively Scanning TCP Ports 8530/8531 for WSUS CVE-2025-59287

2025/11/03 gbhackers — Windows Server Update Services (WSUS) インフラを標的とする不審なネットワーク・トラフィックの急増を、SANS Internet Storm Center のセキュリティ研究者たちが公表した。この偵察活動は、特に TCP ポート 8530 および 8531 に重点を置いている。これらのポートは、先日に公開された CVE-2025-59287 の影響を受ける WSUS サーバの、暗号化／非暗号化の通信チャネルに相当する。

Windows の脆弱性 CVE-2025-9491：APT による 2017 年からの悪用が判明

Unpatched Windows vulnerability continues to be exploited by APTs (CVE-2025-9491)

2025/10/31 HelpNetSecurity — 国家の支援を受ける脅威アクターやサイバー犯罪グループが、Windows の脆弱性 CVE-2025-9491 (ZDI-CAN-25373) を、2017 年から悪用し続けていることが明らかになった。Arctic Wolf Labs の脅威研究者たちは、「新たに検知した攻撃キャンペーンが、 UNC6384 に起因すると高い確信を持って評価している。過去に記録された UNC6384 の攻撃との間で、マルウェア・ツール／戦術的手順／標的の選択／インフラの重複などの証拠があり、この帰属を特定した」と述べている。

Windows WSUS の脆弱性 CVE-2025-59287：大規模な偵察とデータ窃取の活動を確認

Attackers Exploit Windows Server Update Services Flaw to Steal Sensitive Organizational Data

2025/10/31 gbhackers — Windows Server Update Services (WSUS) に発見された脆弱性 CVE-2025-59287 が、実際に悪用されていることを Sophos の研究者たちが確認した。この脆弱性を悪用する脅威アクターが、世界中の組織から機密データを収集しているという。このリモート・コード実行の脆弱性の悪用においては認証が不要であるため、企業ネットワークへの侵入と、重要な情報の窃取を試行する攻撃者にとって、価値の高い標的となっている。

Windows Cloud Files Minifilter の脆弱性 CVE-2025-55680：権限昇格などの恐れ

Microsoft Windows Cloud Files Minifilter Privilege Escalation Vulnerability Exploited

2025/10/30 CyberSecurityNews — Microsoft が公表したのは、Windows Cloud Files Minifilter ドライバに存在する、深刻な競合状態の脆弱性 CVE-2025-55680 に対する修正の情報である。この脆弱性を悪用するローカルの攻撃者は権限を昇格し、システムのあらゆる場所に任意のファイルを作成する可能性を得る。この脆弱性は、2024年3月に Exodus Intelligence の研究者により発見され、2025年10月の Patch Tuesday で修正されている。攻撃ベクターとして、DLL サイドローディングを介した SYSTEM レベル・アクセスを許可する可能性があることから、CVSS スコアは 7.8 である。

Windows Server WSUS の脆弱性 CVE-2025-59287 の悪用を確認：CISA が警告

CISA Alerts on Active Exploitation of WSUS Vulnerability

2025/10/30 gbhackers — 2025年10月29日に米国の Cybersecurity and Infrastructure Security Agency (CISA) は、Windows Server Update Services (WSUS) の深刻な脆弱性 CVE-2025-59287 の積極的な悪用を警告した。この警告は同日中に更新され、脆弱なシステムの特定や潜在的な脅威の検知に関する重要な情報が追加された。

新たなフィッシング・パターンの検出：MIME エンコードとメール件名への不可視文字の挿入

New Phishing Attack Using Invisible Characters Hidden in Subject Line Using MIME Encoding

2025/10/28 gbhackers — MIME エンコードの悪用により、メールの件名に埋め込まれた不可視の Unicode 文字を武器化する高度なフィッシング手法を、セキュリティ研究者たちが発見した。この手法は、メール・セキュリティ専門家の間でも、ほとんど知られていない。エンド・ユーザーによるメール操作を損なわずに、その手口を進化させる攻撃者が自動フィルタリング・システムを回避していく状況が、この発見により明らかになった。

Microsoft WSUS の脆弱性 CVE-2025-59287：広範な悪用試行が観察されている

Hackers Exploiting Microsoft WSUS Vulnerability In The Wild – 2800 Instances Exposed Online

2025/10/27 CyberSecurityNews — Microsoft の Windows Server Update Services (WSUS) に存在する深刻な脆弱性を、ハッカーたちが悪用している。セキュリティ研究者たちが報告しているのは、この脆弱性を標的とする広範な攻撃の試みである。脆弱性 CVE-2025-59287 (CVSS 3.1：9.8) を悪用する攻撃者は、パッチ未適用の WSUS サーバ上でリモート・コード実行を可能にする。この攻撃が成功すると、企業ネットワーク全体が脅威アクターの制御下に置かれることになる。

Qilin ランサムウェアの攻撃手法を分析：MS ペイント／メモ帳の悪用による情報窃取と二重恐喝

Qilin Ransomware Exploits MSPaint and Notepad to Locate Sensitive Files

2025/10/27 gbhackers — 2025年後半に Qilin (旧称 Agenda) ランサムウェア・グループは、ファイル暗号化と公開データ漏洩の二重恐喝戦略を軸とする攻撃キャンペーンにより、製造／科学サービス／卸売などの業種を中心に毎月 40件以上の被害者情報を公開し、世界で最も影響力のあるランサムウェア集団の一つに躍り出た。

Copilot Studio を悪用する CoPhish 攻撃が拡大：OAuth トークンを窃取する新たな攻撃手法

New CoPhish Attack Exploits Copilot Studio to Exfiltrate OAuth Tokens

2025/10/27 CyberSecurityNews — CoPhish と呼ばれる高度なフィッシング手法は、Microsoft Copilot Studio を悪用してユーザーを騙し、Microsoft Entra ID アカウントへの不正アクセスを攻撃者に許可させるものだ。Datadog Security Labs が命名したこの手法は、正規の Microsoft ドメイン上でホストされるカスタマイズ可能な AI エージェントを悪用することで、従来の OAuth 同意攻撃を巧妙に偽装し、信頼性を装いながらユーザーの疑念を回避するものである。この攻撃は、最近のレポートで詳細が明らかにされたものだ。それが浮き彫りにするのは、Microsoft が同意ポリシーの強化に努めているにもかかわらず、クラウドベースの AI ツールに継続的な脆弱性が存在することだ。

Windows ファイル・プレビューはデフォルトで OFF：Mark of the Web に基づく File Explorer の変更とは？

Microsoft Boosts Windows Security by Disabling File Previews for Downloads

2025/10/24 gbhackers — Microsoft は、Windows File Explorer に大幅なセキュリティ強化を導入した。2025年10月14日以降にリリースされたセキュリティ更新プログラムの一環として、インターネットからダウンロードしたファイルに対して、プレビュー・パネルが自動的に無効になる。この予防的対策は、ネットワーク認証に使用される NTLM ハッシュや、機密性の高い認証情報を盗み出すために、攻撃者が長年にわたり悪用してきた脆弱性に対処するものだ。この脆弱性により、ラテラル・ムーブメントやアカウントの乗っ取りが懸念され続けてきた。

OAuth プロンプトを用いるフィッシング：アクセス・トークンを騙し取って Microsoft アカウントを侵害

New Phishing Wave Uses OAuth Prompts to Take Over Microsoft Accounts

2025/10/24 gbhackers — OAuth 認証プロンプトを巧妙に操作する新たなフィッシング攻撃が、Microsoft アカウント保有者を狙っている。この攻撃者の手口は、ユーザーに直接パスワードの入力を求めるのではなく、正規の Microsoft 認証画面を装うことでユーザーを欺き、悪意のアプリケーションへの許可を促すものだ。この手法により、従来のパスワード保護や多要素認証が回避されるため、標的とされるユーザーはきわめて危険な状況にある。

IIS サーバをへの攻撃キャンペーン：サンプル ASP.NET マシンキーによる HijackServer の拡散

IIS Servers Hijacked via Exposed ASP.NET Machine Keys — Malicious Modules Injected in the Wild

2025/10/24 gbhackers — インターネット上に公開されている ASP.NET マシンキーを悪用し、世界中の数百台の Internet Information Services (IIS) サーバを侵害する高度なサイバー攻撃キャンペーンを、セキュリティ研究者たちが発見した。この攻撃は、2025年8月下旬から 9月上旬にかけて検出されたものであり、これまで文書化されていなかった HijackServer と呼ばれる悪意あるモジュールが展開された。このモジュールは、正規の Web サーバを検索エンジン操作のツールに変えるものであり、永続的なバックドア・アクセスを維持するという。