Zero-Day – Page 2 – IoT OT Security News

Google Chrome のゼロデイ脆弱性 CVE-2025-10585：任意コード実行の可能性

Code Analysis Published for Chrome Type Confusion 0-Day Vulnerability

2025/09/22 gbhackers — 2025年9月16日付けで Google TAG (Threat Analysis Group) が公表したのは、V8 の TurboFan コンパイラ・コンポーネントに存在する、深刻なゼロデイ脆弱性 CVE-2025-10585 の情報である。長年にわたり、Google Chrome の V8 JavaScript エンジンは、世界中の数十億のユーザーに対して、スピードとセキュリティのバランスを取ってきた。この脆弱性を悪用する攻撃者は、タイプ・コンフュージョンを引き起こし、ブラウザ・プロセスのメモリを破損させ、最終的に任意のコード実行の可能性を得る。

TP-Link 製ルータのゼロデイ脆弱性 CVE-2025-9961：ASLR 回避による RCE と PoC

TP-Link Router Zero-Day Lets Attackers Execute Code by Bypassing ASLR

205/09/19 gbhackers — TP-Link 製ルータに存在する、ゼロデイ脆弱性 CVE-2025-9961 が発見された。この脆弱性を悪用する攻撃者は、Address Space Layout Randomization (ASLR) を回避し、リモートから任意のコードを実行できるという。この欠陥は CWMP (TR-069)に存在し、不正 SOAP リクエストを介してトリガーされる。その結果として、影響を受けるデバイスの完全な制御が奪われる可能性がある。

Google Chrome のゼロデイ脆弱性 CVE-2025-10585 などが FIX：悪用を観測

Google Chrome 0-Day Vulnerability Actively Exploited in the Wild – Patch Now

2025/09/18 CyberSecurityNews — Google が Chrome の緊急セキュリティ・アップデートを公開した。対象となるのは、現時点で悪用されている、深刻なゼロデイ脆弱性 CVE-2025-10585 である。この脆弱性は、2025年に Chrome で発見／修正された一連のゼロデイ脆弱性の中で、最新の事例である。ユーザーに対して強く推奨されるのは、速やかにブラウザを更新し、潜在的な攻撃から身を守ることである。

Microsoft 2025-09 月例アップデート：２件のゼロデイを含む 81件の脆弱性に対応

Microsoft September 2025 Patch Tuesday fixes 81 flaws, two zero-days

2025/09/09 BleepingComputer — 今日は、Microsoft の 2025年9月 Patch Tuesday の日だ。今月のパッチでは、81件の脆弱性に対するセキュリティ・アップデートが提供され、その中には、公開済みのゼロデイ脆弱性２件が含まれる。この月例パッチでは、”Critical” ９件が修正されている。そのうち５件はリモートコード実行の脆弱性、１件は情報漏洩の脆弱性、２件は権限昇格の脆弱性である。

Sitecore のゼロデイ CVE-2025-53690 が FIX：サンプル・コンフィグの悪用を Mandiant が発見

Google Warns of Zero-Day Vulnerability in Sitecore Products Allowing Remote Code Execution

2025/09/04 CyberSecurityNews — Sitecore 製品群に存在する深刻なゼロデイ脆弱性により、リモート・コード実行にいたる可能性がある。この脆弱性 CVE-2025-53690 は、ViewState のデシリアライゼーションの欠陥に起因し、現在も積極的に悪用されている。Mandiant の調査により明らかになったのは、2017 年以前の Sitecore 導入ガイドに含まれていた、オープンな ASP.NET マシンキーが、攻撃者により悪用されていたことだ。

WinRAR のゼロデイ脆弱性 CVE-2025-6218／8088：ポストエクスプロイトを想定して取るべき行動とは？

WinRAR 0-Day Vulnerabilities Exploited in Wild by Hackers – Detailed Case Study

2025/08/26 CyberSecurityNews — WinRAR において発見された２件の深刻なゼロデイ脆弱性だが、すでに積極的な悪用が始まっており、サイバー・セキュリティ情勢に深刻な影響が生じている。脆弱性 CVE-2025-6218 (CVSS：7.8)／CVE-2025-8088 (CVSS：8.4) は、細工されたアーカイブ・ファイルを配信する脅威アクターに対して、リモート・コード実行と永続的アクセスを許す攻撃ベクターを持つ。この状況が示すのは、圧縮ソフトウェアを常に最新に保ち、ファイル処理プロセスに堅牢なセキュリティ対策を実装することの重要性である。

Google Chrome のゼロデイ脆弱性 CVE-2025-5419：PoC 公開と実環境での悪用

PoC Exploit Published for Chrome 0-Day Already Under Active Attack

2025/08/26 gbhackers — Google Chrome の深刻なゼロデイ脆弱性 CVE-2025-5419 (CVSS：7.5) に対する PoC エクスプロイトが、情報の提供から３ヶ月も経たずに公開されたが、それと同時に、実際の悪用事例も多数報告されている。この脆弱性は、Chrome の V8 JavaScript エンジンにおける境界外での読取／書込に起因し、137.0.7151.68 未満のバージョンに影響を及ぼす。その結果として、細工された HTML ページを介した、ヒープ破損が引き起こされる可能性がある。

Apple 0-Day 脆弱性 CVE-2025-43300 が FIX：ゼロクリック RCE の PoC も公開

PoC Exploit & Vulnerability Analysis Released for Apple 0-Day RCE Vulnerability

2025/08/25 CyberSecurityNews — Apple の画像処理インフラに影響を与える、深刻なゼロクリック・リモート・コード実行 (RCE) の脆弱性 CVE-2025-43300 に対して、詳細な PoC エクスプロイトと包括的な脆弱性分析が公開された。RawCamera.bundle 内の JPEG ロスレス解凍の Apple 実装に存在する、この脆弱性を悪用する攻撃者は、悪意を持って細工された DNG (Digital Negative) ファイルを通じて、ユーザー操作を必要とすることなく、コード実行を可能にする。

SAP の 0-Day 脆弱性を悪用：公開されたエクスプロイトにより攻撃試行が増加？

SAP 0-Day Exploit Reportedly Leaked by ShinyHunters Hackers

2025/08/19 gbhackers — SAP の深刻な脆弱性に対する、悪名高いハッカー集団 ShinyHunters による攻侵の状況が明らかにされた。それにより、企業の SAP 環境における脅威状況は著しく悪化している。この複数のゼロデイ脆弱性を連鎖的に利用するエクスプロイトが、Telegram の Scattered LAPSUS$ Hunters – ShinyHunters チャネルを介して漏洩したことが、その後の 2025年8月15日に VX Underground により明らかにされた。

N-able N-central RMM のゼロデイ脆弱性 CVE-2025-8875／8876 が FIX：RCE の可能性

1000+ Exposed N-able N-central RMM Servers Unpatched for 0-Day Vulnerabilities

2025/08/18 CyberSecurityNews — N-able が公表したのは、N-central RMM で発見された、２件のゼロデイ脆弱性 CVE-2025-8875／CVE-2025-8876 の影響を受ける 1,000台以上のサーバが、パッチ未適用の状態にあることだ。2025年8月15日の時点において、1,077件の固有 IP アドレスで旧バージョンの N-central の稼働が確認されており、MSP (Managed Service Provider) とユーザーに重大なリスクをもたらしている。すでに、これらの脆弱性は、CISA の Known Exploited Vulnerabilities (KEV) カタログにも登録されており、その深刻さが強調されている。

Elastic EDR のゼロデイ脆弱性 CVE-N/A：BSOD クラッシュに対して No Patch／Yes PoC

New Elastic EDR 0-Day Vulnerability Allows Attackers to Bypass Detection, Execute Malware, and Cause BSOD

2025/08/17 CyberSecurityNews — Elastic の EDR (Endpoint Detection and Response) ソリューションに存在するゼロデイ脆弱性が、Ashes Cybersecurity の調査により発見された。この脆弱性を悪用する攻撃者は、セキュリティ対策を回避した上で悪意のコード実行を達成し、BSOD (Blue screen of death) システム・クラッシュを引き起こす可能性を手にする。この脆弱性は、セキュリティ・ソフトウェアのコア・コンポーネントに存在し、防御のためのツールを、保護対象システムへの攻撃手段に変貌させてしまう。

Microsoft 2025-08 月例アップデート：１件のゼロデイを含む 107件の脆弱性に対応

Microsoft August 2025 Patch Tuesday fixes one zero-day, 107 flaws

2025/08/12 BleepingComputer — 今日は、Microsoft の 2025年8月 Patch Tuesday の日だ。今月のセキュリティ・アップデートは、107 件の脆弱性に対するセキュリティ・アップデートが取り込まれ、その中には、Windows Kerberos の公開済みゼロデイ脆弱性１件が含まれている。今回のセキュリティ・アップデートでは、13 件の Critical 脆弱性も修正されている。それらのうちの９件はリモートコード実行の脆弱性であり、３件は情報漏洩、１件は権限昇格となっている。

WinRAR のゼロデイ CVE-2025-8088 が FIX：フィッシングを介した RomCom マルウェア配信で悪用

WinRAR 0-Day in Phishing Attacks to Deploy RomCom Malware

2025/08/11 CyberSecurityNews — WinRAR に発見された深刻なゼロデイ脆弱性を悪用する攻撃者は、高度なフィッシング攻撃を通じて RomCom マルウェアを拡散させている。悪意のアーカイブ・ファイルを配信する攻撃者は、この脆弱性 CVE-2025-8088 (CVSS v3.1：8.4) を悪用することで、被害者のシステム上で任意のコード実行を可能にする。

Adobe AEM Forms のゼロデイ CVE-2025-54253／542540 が FIX：コード実行と不正アクセスの恐れ

Adobe AEM Forms 0-Day Vulnerability Let Attackers Execute Arbitrary Code

2025/08/06 CyberSecurityNews — Adobe が公開したのは、Java Enterprise Edition (JEE) 上の Adobe Experience Manager Forms に存在する、２件の深刻なゼロデイ脆弱性に対する緊急セキュリティ・アップデートである。これらの脆弱性の悪用に成功した攻撃者は、任意のコード実行やファイル・システムへの不正アクセスを引き起こす可能性を手にする。これらの脆弱性 CVE-2025-54253／CVE-2025-54254 に対して、Adobe は Critical と評価しており、PoC エクスプロイトも公開済みである。

SonicWall Firewall の未知のゼロデイが狙われている：Akira ランサムウェアによる侵害の拡大とは？

SonicWall Firewall Devices 0-day Vulnerability Actively Exploited by Akira Ransomware

2025/08/02 CyberSecurityNews — SonicWallファイアウォール・デバイスに存在すると推定されるゼロデイ脆弱性を、Akira ランサムウェアグループが積極的に悪用しているようだ。この脆弱性を悪用する攻撃者は、SonicWall の SSL VPN 機能を介して企業ネットワークへの初期アクセスを取得し、その後にランサムウェアを展開することが可能となる。2025年7月下旬にセキュリティ研究者たちが確認したのは、SonicWall デバイスを悪用するランサムウェア攻撃の大幅な増加である。既知の脆弱性に対するパッチが完全に適用されていても、ファイアウォールへの侵入が成功した事例が存在するため、ゼロデイ脆弱性の存在が示唆される状況になっている。

CrushFTP の深刻なゼロデイ CVE-2025-54309 が FIX：シンプルな攻撃経路と PoC の登場

CrushFTP Hit by Critical 0-Day RCE Vulnerability – Full Technical Details and PoC Published

2025/07/31 gbhackers — 人気のファイル転送サーバ・ソリューション CrushFTP に、深刻なゼロデイ脆弱性が存在することを、セキュリティ研究者たちが明らかにした。この脆弱性を悪用する攻撃者は、認証を必要とせずに、影響を受けるシステム上で任意でのコマンド実行の可能性を得る。この脆弱性 CVE-2025-54309 (CVSS：9.8) は、脆弱な CrushFTP システムを使用する組織にとって、差し迫った脅威となっている。

SharePoint ゼロデイ脆弱性 ToolShell：脅威ハンティング・クエリや緩和策などが公開される

Microsoft Releases Mitigations and Threat Hunting Queries for SharePoint Zero-Day

2025/07/22 CyberSecurityNews — 世界中の数千の組織が、Microsoft SharePoint サーバーの２つの深刻な脆弱性を悪用するサイバー攻撃を受けており、緊急警告と緊急パッチの適用が政府から促されている。先週末に Microsoft が発表したのは、オンプレミス環境の SharePoint サーバに存在する２つのゼロデイ脆弱性 CVE-2025-53770／CVE-2025-53771 が、攻撃者により悪用されている状況である。

CrushFTP のゼロデイ CVE-2025-54309 が FIX：未パッチ環境を狙う攻撃が急増

New CrushFTP 0-Day Vulnerability Exploited in the Wild to Gain Access to Servers

2025/07/19 CyberSecurityNews — CrushFTP ファイル転送プラットフォームに存在する、深刻なゼロデイ脆弱性 CVE-2025-54309 の詳細が公表された。その背景にあるのは、2025年7月18日午前9時 (CST) 以降において、ベンダーやアナリストたちが確認した、この脆弱性の活発な悪用である。この脆弱性 CVE-2025-54309 の悪用に成功した未承認の攻撃者は、HTTPS 経由で脆弱なサーバを侵害し、その管理権限を完全に奪うという。すでに CrushFTP は、7月1日頃にリリースしたビルドにより、この問題を修正している。しかし、アップデートが遅れている数千の組織は、依然として潜在的な攻撃対象となっている。

Google の AI セキュリティ Big Sleep の快挙：SQLite のゼロデイ CVE-2025-6965 を自律的に検知／特定

Google’s AI ‘Big Sleep’ Detects Critical SQLite 0-Day, Halts Ongoing Attacks

2025/07/16 gbhackers — Google のAI エージェントである Big Sleep が、SQLite に存在する深刻なゼロデイ脆弱性を発見／阻止したことで、サイバー／セキュリティの歴史に新たな記録が刻まれた。この件は、現実世界のサイバー攻撃を、AI システムが自ら阻止するという初めての事例である。このAIエージェントは、Google DeepMind と Project Zero が開発したものであり、悪用の試行を示す脅威情報に基づき、SQLite の脆弱性 CVE-2025-6965 を特定した。つまり、Google の支援により、大規模な攻撃が発生する前に、パッチ適用の調整が可能になったのだ。

Chrome／Chromium のゼロデイ脆弱性 CVE-2025-6558 が FIX：積極的な悪用は APT の仕業？

Urgent: Google Releases Critical Chrome Update for CVE-2025-6558 Exploit Active in the Wild

2025/07/16 TheHackerNews — 2025年7月15日 (火) に Google が発表したのは、Chrome Web ブラウザに存在する、６件のセキュリティ問題に対する修正であり、そのうち１件は既に悪用されていると述べている。この、深刻度の高い脆弱性は CVE-2025-6558 (CVSS：8.8) は、ANGLE／GPU コンポーネントにおける、信頼できない入力への不十分な検証に分類されるものだ。

Microsoft SQL Server のゼロデイ脆弱性 CVE-2025-49719 が FIX：情報漏洩にいたる可能性

Microsoft SQL Server 0-Day Vulnerability Exposes Sensitive Data Over Network

2025/07/09 CyberSecurityNews — Microsoft SQL Server に、深刻な情報漏洩の脆弱性が発見された。この脆弱性 CVE-2025-49719 の悪用に成功した未認証の攻撃者は、リモートから機密データにアクセスする可能性を手にする。この脆弱性は、SQL Server の不適切な入力検証に起因するものであり、認証やユーザー操作を必要とせずに、初期化されていないメモリの内容を漏洩させるという。

Nippon Steel Solutions 発生したデータ漏洩：道のゼロデイ脆弱性が悪用された

Nippon Steel Solutions 0-Day Network Vulnerability Exposes Users Personal Information

2025/07/08 CyberSecurityNews — Nippon Steel Solutions (NSS) が公表したのは、ネットワーク・インフラに存在していた未知の脆弱性を悪用するゼロデイ・サイバー攻撃を受け、顧客／従業員／パートナーたちの個人情報に、重大なデータ漏洩が発生したことだ。2025年3月7日の時点で検知されたインシデントは、深刻なセキュリティ侵害であり、直ちに封じ込め対策を実施した同社は、外部のサイバー・セキュリティ専門家と連携することで包括的な調査を開始した。

Microsoft 2025-07 月例アップデート：１件のゼロデイを含む 137件の脆弱性に対応

Microsoft July 2025 Patch Tuesday fixes one zero-day, 137 flaws

2025/07/08 BleepingComputer — 今日は、Microsoft の July 2025 Patch Tuesday の日だ。このパッチが提供するのは、Microsoft が公開した 137件の脆弱性に対するセキュリティ・アップデートであり、その中には１件のゼロデイ脆弱性が含まれている。今回の月例パッチでは、深刻度 Critical に分類される脆弱性 14件も修正されている。そのうちの 10件はリモート・コード実行の脆弱性、１件は情報漏洩の脆弱性、２件は AMD サイド・チャネル攻撃の脆弱性となっている。

CISA KEV 警告 25/07/02：Chrome の 0-Day 脆弱性 CVE-2025-6554 を KEV カタログに登録

CISA Warns of Chrome 0-Day Vulnerability Exploited in Attacks

2025/07/03 CyberSecurityNews — Google Chrome に存在する深刻なゼロデイ脆弱性に対して、CISA が緊急警告を発した。この脆弱性については、実際の攻撃での悪用が多数報告され、CISA の KEV (Known Exploited Vulnerabilities) カタログに追加された。この脆弱性 CVE-2025-6554 は、Chromium V8 JavaScript エンジンに影響を与えるものであり、世界中の組織に対して、早急な対応が求められている。

Chrome のゼロデイ脆弱性 CVE-2025-6554 が FIX：すでに活発な悪用を観測

Chrome 0-Day Vulnerability Exploited in the Wild to Execute Arbitrary Code – Patch Now

2025/07/01 CyberSecurityNews — Google がリリースしたのは、Chrome ブラウザの深刻なゼロデイ脆弱性に対処するための、緊急セキュリティ・アップデートである。この脆弱性 CVE-2025-6554 (深刻度 High) は、すでに悪用が確認されている。この脆弱性は、Chrome の V8 JavaScript エンジンにおけるタイプ・コンフュージョンに起因する。この脆弱性の悪用に成功した攻撃者は、影響を受けるシステム上で任意のコード実行の可能性を手にする。

FreeType のゼロデイ脆弱性 CVE-2025-27363：Paragon スパイウェアによる悪用が判明？

FreeType Zero-Day Found by Meta Exploited in Paragon Spyware Attacks

2025/06/20 SecurityWeek — この FreeType の脆弱性は、情報開示の当初から悪用の可能性が指摘されていたが、イスラエルの監視ソリューション・プロバイダー Paragon による攻撃と関連していることが、Meta 傘下の WhatsApp により明らかにされた。2025年3月中旬に Meta は、FreeType OSS ライブラリに存在する境界外書込の脆弱性 CVE-2025-27363 の情報を、Facebook のセキュリティ・アドバイザリに掲載し、ユーザーに注意を促していた。この脆弱性には、任意のコード実行につながる可能性があり、アドバイザリにも「実環境で悪用された可能性がある」と記されていた。

Chrome のゼロデイ脆弱性 CVE-2025-2783：APT グループ Team46 による積極的な悪用を観測

Hackers Exploiting Chrome Zero‑Day Vulnerability in the Wild

2025/06/17 gbhackers — Google Chrome に新たに発見されたゼロデイ脆弱性 CVE-2025-2783 が、高度なサイバー・スパイ活動において、ハッカーたちにより積極的に悪用されている。セキュリティ研究者は、この脆弱性を悪用する標的型攻撃の急増を確認しており、攻撃元については APT グループ Team46 (別名 TaxOff) だとしている。

WebDAV のゼロデイ脆弱性 CVE-2025-33053：APT による悪用と PoC エクスプロイトの提供

PoC Exploit Released for Critical WebDAV 0-Day RCE Vulnerability Exploited by APT Hackers

2025/06/13 CyberSecurityNews — WebDAV 実装における深刻なゼロデイ脆弱性 CVE-2025-33053 により、リモートコード実行が可能となっているが、その PoC エクスプロイト・コードが GitHub で公開されている。企業ネットワークを標的とする標的型攻撃において、APT グループによる、この脆弱性の積極的な悪用が報告されている。このエクスプロイトは、悪意の URL ショートカット・ファイルと、WebDAV サーバ・コンフィグを組み合わせ、標的へのイニシャル・アクセスと、侵害後のラテラル・ムーブメントを達成するものだ。

Windows SMB Client のゼロデイ脆弱性 CVE-2025-33073 が FIX：Kerberos リレー攻撃とは？

Windows SMB Client Zero-Day Vulnerability Exploited via Reflective Kerberos Relay Attack

2025/06/12 gbhackers — 新たに公開された “Reflective Kerberos Relay Attack” と呼ばれる脆弱性 CVE-2025-33073 により、Windows のセキュリティ状況が揺らいでいる。この脆弱性は、 RedTeam Pentesting により発見され、Microsoft が2025年6月10日の Patch Tuesday で修正プログラムを公開したものだ。この脆弱性により、SMB 署名を強制しないドメイン参加 Windows システムにおいて、低権限の Active Directory ユーザーが、NT AUTHORITY\SYSTEM へと権限を昇格できることが判明した。

Windows WebDAV ゼロデイ CVE-2025-33053 の悪用：APT グループ Stealth Falcon の高度な戦略

APT Hackers Exploited Windows WebDAV 0-Day RCE Vulnerability in the Wild to Deploy Malware

2025/06/10 CyberSecurityNews — APT グループ Stealth Falcon による高度なサイバー攻撃キャンペーンでは、未知とされてきたゼロデイ脆弱性が悪用され、トルコの大手防衛企業を標的とする、リモートからマルウェアが実行された。この攻撃では、リモート・コード実行の脆弱性 CVE-2025-33053 が悪用された。それにより脅威アクターは、正規の Windows ツールの作業ディレクトリを操作し、攻撃者が管理する WebDAV サーバからの、悪意のファイル実行を可能にしていた。

Microsoft 2025-06 月例アップデート：２件のゼロデイを含む 66件の脆弱性に対応

Microsoft June 2025 Patch Tuesday fixes exploited zero-day, 66 flaws

2025/06/10 BleepingComputer — 今日は、Microsoft June 2025 Patch Tuesday の日だ。このパッチにより、66件の脆弱性に対するセキュリティ・アップデートが提供されるが、その中には、現時点で悪用されている脆弱性１件と、すでに情報が公開されている脆弱性１件が含まれる。今回の月例パッチでは、10件の Critical 脆弱性が修正されている。そのうちの８件はリモート・コード実行の脆弱性であり、２件は権限昇格の脆弱性である。

Qualcomm のゼロデイ脆弱性 CVE-2025-21479／21480／27038 が FIX：すでに悪用を観測

Qualcomm fixed three zero-days exploited in limited, targeted attacks

2025/06/02 SecurityAffairs — Qualcomm が公表したのは、限定的な標的型攻撃で悪用されている３件のゼロデイ脆弱性 CVE-2025-21479／CVE-2025-21480／CVE-2025-27038 への修正である。これら３件の脆弱性は、Google Android セキュリティチームにより報告されたものだ。Google Threat Analysis Group のレポートには、「いずれの脆弱性も、限定的かつ標的を絞った攻撃で、悪用されている可能性がある」と記されている。

Cityworks のゼロデイ脆弱性 CVE-2025-0994 が FIX：中国由来の UAT-6382 が IIS を攻撃中

Cityworks Zero-Day Vulnerability Used by UAT-638 Hackers to Infect IIS Servers with Shell Malware

2025/05/22 gbhackers — 広く利用される資産管理システム Cityworks において、ゼロデイのリモート・コード実行の脆弱性 CVE-2025-0994 が積極的に悪用されていることを、Cisco Talos が発見した。この深刻な脆弱性を悪用するのは、中国語圏の脅威アクターとして追跡される UAT-6382 というグループだと、高い確度で推定されている。このグループは、2025年1月以降において、米国の地方自治体のネットワークを標的としている。

Linux SMB のゼロデイ脆弱性 CVE-2025-37899：特定したのは ChatGPT を操る研究者

Linux Kernel Zero-Day SMB Vulnerability Discovered via ChatGPT

2025/05/22 gbhackers — Linux Kernel SMB サーバに存在するゼロデイ脆弱性 CVE-2025-37899 を、OpenAI o3 言語モデルを使用するセキュリティ研究者が発見した。この脆弱性は、SMB の “logoff” コマンド・ハンドラに存在する、メモリ解放後使用 (use-after-free) のバグであり、リモートの攻撃者に対して、カーネル権限での任意のコード実行の可能性を与えるものだ。AI 支援による脆弱性研究において、この発見は大きな進歩であり、同時実行パスの理解を必要とする、複雑なメモリ安全性の問題を、LLM が効果的に特定できることを実証している。

Grafana の Zero-Day 脆弱性 CVE-2025-4123 が FIX：深刻な XSS と悪意のリダイレクション

Grafana Zero-Day Vulnerability Allows Attackers to Redirect Users to Malicious Sites

2025/05/22 gbhackers — Grafana が公表したのは、深刻度の高いクロスサイト・スクリプティング (XSS) の脆弱性に関する情報であり、すべてのバージョンを対象にセキュリティ・パッチがリリースされた。この脆弱性 CVE-2025-4123 を悪用する攻撃者は、任意の JavaScript コードを実行でき、悪意の Web サイトへとユーザーをリダイレクトする。この脆弱性が公開され、ユーザーに危険が迫る可能性があることが露見したことで、Grafana Labs は予定を早めてパッチをリリースした。

Mozilla Firefox のゼロデイ脆弱性 CVE-2025-4918／4919 が FIX：Pwn2Own Berlin 2025 で公表

Mozilla fixes Firefox zero-days exploited at hacking contest

2025/05/19 BleepingComputer — Mozilla が公表したのは、先日に開催された Pwn2Own Berlin 2025 ハッキング・コンテストで実証された、Firefox の２件のゼロデイ脆弱性に対処するための、緊急セキュリティ・アップデートのリリースである。これらの修正の対象には、Firefox の Desktop／Android および、２つの Extended Support Releases (ESR) が含まれる。これらの脆弱性が報告された、5月17日 (土) の Pwn2Own から、わずか数時間後に修正版はリリースされている。

Microsoft 2025-05 月例アップデート：５件のゼロデイを含む 72件の脆弱性に対応

Microsoft May 2025 Patch Tuesday fixes 5 exploited zero-days, 72 flaws

2025/05/13 BleepingComputer — 今日は Microsoft の May 2025 Patch Tuesday の日だ。このパッチでは、72件の脆弱性に対するセキュリティ・アップデートが提供されるが、その中には、現時点で悪用されている５件の脆弱性、すでに公開されている２件のゼロデイ脆弱性が含まれるす。なお、今回の月例パッチでは、深刻度 Critical の脆弱性が６件も修正されている。そのうち５件はリモートコード実行の脆弱性であり、もう１件は情報漏洩の脆弱性である。

CISA KEV 警告 25/05/07：GeoVision の脆弱性 CVE-2024-6047／11120 を登録

U.S. CISA adds GoVision device flaws to its Known Exploited Vulnerabilities catalog

2025/05/08 SecurityAffairs — 米国 Cybersecurity and Infrastructure Security Agency (CISA) は、GeoVision の脆弱性 CVE-2024-6047 と CVE-2024-11120 を、Known Exploited Vulnerabilities (KEV) カタログに追加した。いずれも、未認証の攻撃者に対して、コマンド・インジェクションを許す脆弱性である。

Microsoft CLFS の脆弱性 CVE-2025-29824：ランサムウェア攻撃での積極的な悪用を観測

Zero-Day CLFS Vulnerability (CVE-2025-29824) Exploited in Ransomware Attacks

2025/05/07 SecurityOnline — Microsoft の Common Log File System (CLFS) ドライバに存在する、ゼロデイの権限昇格の脆弱性 CVE-2025-29824 を悪用する高度な攻撃を、Symantec の Threat Hunter Team が発見した。この脆弱性を積極的に悪用するのは、Play ランサムウェア (PlayCrypt) を背後で操る、脅威グループ Balloonfly である。2025年4月8日の時点で、脆弱性 CVE-2025-29824 には公式パッチがリリースされているが、それに先行して、この活動は発生していた。

SAP NetWeaver の脆弱性 CVE-2025-31324：第二波の攻撃を観測

Second Wave of Attacks Hitting SAP NetWeaver After Zero-Day Compromise

2025/05/06 SecurityWeek — SAP NetWeaver インスタンスに存在する、ゼロデイ脆弱性を悪用する脅威アクターたちが、第二波の攻撃を開始していると、エンタープライズ・アプリケーション・セキュリティ Onapsis が警告している。このゼロデイ脆弱性 CVE-2025-31324 (CVSS：10.0) は、2025年4月の Security Patch Day の速報を SAP が更新し、この脆弱性に対処する新たな注記を追加した後の、4月24日に公開されたものだ。

WordPress OttoKit Plugin の脆弱性 CVE-2025-27007 が FIX：すでに悪用が始まっている

CVE-2025-27007: Critical OttoKit WordPress Plugin Flaw Exploited After Disclosure, 100K+ Sites at Risk

2025/05/06 SecurityOnline — 10万件以上のアクティブ・インストール数を誇る、人気の WordPress プラグイン OttoKit に発見された深刻な脆弱性により、無数の Web サイトがセキュリティ侵害の危険にさらされている。この脆弱性 CVE-2025-27007 (CVSS 9.8) は、Denver Jackson により発見され、Patchstack ゼロデイ・バグ報奨金プログラムを通じて公開された。そして、公開から１時間も経たないうちに悪用が始まってしまったという。

Craft CMS の脆弱性 CVE-2025-32432 の悪用を検出：Yii の脆弱性との連鎖が発生

Craft CMS RCE exploit chain used in zero-day attacks to steal data

2025/04/25 BleepingComputer — Craft CMS に影響を及ぼす２件の脆弱性が、ゼロデイ攻撃で連鎖的に利用され、サーバへの侵入ベクターとなり、データ窃取にいたるという攻撃が発生し、現在も悪用が続いていると、CERT Orange Cyberdefense が警告している。これらの脆弱性は、侵害を受けたサーバの調査に招集された、Orange Cyberdefense の CSIRT により発見されたものだ。

Apple のゼロデイ脆弱性 CVE-2025-31200／31201 が FIX：サイバースパイによる悪用を確認

Urgent Apple Security Patch: Zero-Day Exploits Target iPhones

2025/04/16 SecurityOnline — Apple が公表したのは、macOS／iOS／iPadOS／tvOS／visionOS などで構成される、エコシステム全体を対象とする緊急セキュリティ・アップデートのリリースに関する情報である。それにより、２つのゼロデイ脆弱性が修正されたが、すでに特定の iPhone ユーザーを標的とする、極めて高度な攻撃で積極的に悪用されているという。

CISA KEV 警告 25/04/09：Linux Kernel の脆弱性 CVE-2024-53197／53150 を登録

CISA Warns of Actively Exploited Linux Kernel Vulnerabilities (CVE-2024-53197, CVE-2024-53150)

2025/04/10 SecurityOnline — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、Linux Kernel で新たに発見された２つの脆弱性を、Known Exploited Vulnerabilities (KEV) カタログに追加し、それぞれの脆弱性の武器化について警告を発している。

Windows CLFS の脆弱性 CVE-2025-29824：PipeMagic RAT を介したランサムウェア攻撃で悪用

PipeMagic Trojan Exploits Windows Zero-Day Vulnerability to Deploy Ransomware

2025/04/09 TheHackerNews — Microsoft が明らかにしたのは、Windows Common Log File System (CLFS) に影響を及ぼす、すでに修正済みのセキュリティ脆弱性を、ゼロデイとして悪用するランサムウェア・グループが、標的を絞り込んだ攻撃を仕掛けていることだ。同社は、「この標的には、米国の IT 分野および不動産業界や、ベネズエラの金融業界、スペインのソフトウェア企業、サウジアラビアの小売業界などが含まれる」と述べている。

CISA KEV 警告 25/04/08：Windows CLFS と Gladinet CentreStack の脆弱性を登録

Critical Vulnerabilities: CISA Alerts to Windows CLFS and Gladinet CentreStack Threats

2025/04/09 SecurityOnline — 4月8日付で米国の Cybersecurity and Infrastructure Security Agency (CISA) は、２件の深刻な脆弱性を Known Exploited Vulnerabilities (KEV) カタログに追加し、ユーザーに対して速やかにパッチを適用するよう促している。１つ目は、Microsoft Windows Common Log File System (CLFS) の脆弱性 CVE-2025-29824 であり、２つ目は、Gladinet CentreStack の脆弱性 CVE-2025-30406 である。

Android のゼロデイ脆弱性 CVE-2024-53197／53150 が FIX：実際の攻撃での悪用を確認

Google fixed two actively exploited Android zero-days

2025/04/08 SecurityAffairs — Google が公表した、2025年4月の Android セキュリティ・アップデートは、62件の脆弱性に対処するものである。このアップデートには、標的型攻撃で悪用されている２件のゼロデイ脆弱性 CVE-2024-53197／CVE-2024-53150 が含まれる。脆弱性 CVE-2024-53197 は、Linux カーネルの問題であり、ALSA USB オーディオに影響を与えるものだ。悪意のデバイスにより、設定値を悪用されると、境界外メモリ・アクセスを引き起こす可能性が生じるという。

Microsoft 2025-04 月例アップデート：１件のゼロデイを含む 134件の脆弱性に対応

Microsoft April 2025 Patch Tuesday fixes exploited zero-day, 134 flaws

2025/04/08 BleepingComputer — 今日は Microsoft の April 2025 Patch Tuesday の日だ。今回のパッチでは、134件の脆弱性に対するセキュリティ・アップデートが提供され、その中には、現時点で悪用されているゼロデイ脆弱性１件が含まれる。なお、今回の月例パッチでは、Critical レベルの脆弱性が 11件も修正されているが、そこにはリモートコード実行の脆弱性も含まれている。

EncryptHub の悪意と SkorikARI の善意：600+ の組織を侵害し Microsoft にはバグを報告する人物とは？

EncryptHub’s dual life: Cybercriminal vs Windows bug-bounty researcher

2024/04/07 BleepingComputer — 618 の組織に対する情報漏洩インシデントに関与したとされる、悪名高い脅威アクター・グループ EncryptHub は、Microsoft に対しても２件の Windows ゼロデイ脆弱性を報告したとみられ、サイバー犯罪とセキュリティ研究の境界線をまたぐ、矛盾した人物の姿を明らかにしている。

Apple の深刻な３つの脆弱性：iOS 16.7.11／iPadOS 16.7.11／macOS 14.7.5 などにパッチ・バックポート

Apple Backports Fixes for Three Actively Exploited Zero-Days Targeting Older Devices

2025/04/01 SecurityOnline — Apple が公表したのは、標的型攻撃で悪用された３つのゼロデイ脆弱性に対処するために、iOS／iPadOS／macOS の旧バージョン向けにバックポートされた、セキュリティ・パッチをリリースに関する情報である。この脆弱性は、2025年3月の時点で修正されたものだが、今回のリリースにより、iOS 16.7.11／iPadOS 16.7.11／iOS 15.8.4／iPadOS 15.8.4／macOS Sonoma 14.7.5 でも修正されたことになる。Apple は、「iOS バージョン 17.2 以下に対して、この脆弱性が、積極的に悪用された可能性があるという報告を認識している」と、更新されたアドバイザリで明らかにした。