脆弱性速報
実際に悪用されている脆弱性(CISA KEV)を新着順に。各CVEに悪用確率(EPSS)と深刻度(CVSS)を添え、「今すぐ直すべきか」を防御目線で判断できるようにしたフィードです。
D-Link DCS-2530L および DCS-2670L デバイスに、遠隔管理者パスワード漏洩を可能にする未指定の脆弱性が存在します。影響を受ける製品はサポート終了（EoL）および/またはサービス終了（EoS）である可能性があります。ユーザーは当該製品の使用を中止することをお勧めします。
KEV掲載: 2025-08-05公式(NVD) →D-Link DCS-2530L および DCS-2670L デバイスの cgi-bin/ddns_enc.cgi に、コマンドインジェクション脆弱性が存在します。影響を受ける製品はサポート終了(EoL)および/またはサービス終了(EoS)の可能性があります。ユーザーは当該製品の使用を中止すべきです。
KEV掲載: 2025-08-05公式(NVD) →D-Link DNR-322Lは、整合性チェックのないコードダウンロードの脆弱性を含んでおり、認証された攻撃者がデバイス上でOS レベルのコマンドを実行することを許可する可能性があります。影響を受けるプロダクトはサポート終了(EoL)および/またはサービス終了(EoS)の可能性があります。ユーザーはプロダクトの使用を中止すべきです。
KEV掲載: 2025-08-05公式(NVD) →Cisco Identity Services EngineのCisco ISEおよびCisco ISE-PICの特定のAPIに、ユーザーが供給する入力の検証が不十分であるため、インジェクション脆弱性が存在します。この脆弱性を悪用するために、攻撃者は細工されたAPIリクエストを送信することができます。この脆弱性を正常に悪用された場合、攻撃者は影響を受けるデバイス上でリモートコード実行を行い、ルート権限を取得できる可能性があります。
KEV掲載: 2025-07-28公式(NVD) →Cisco Identity Services EngineのCisco ISEおよびCisco ISE-PIC内の特定のAPIに注入脆弱性が存在し、ユーザーが供給した入力の検証が不十分であるため、攻撃者は細工されたAPIリクエストを送信してこの脆弱性を悪用できます。悪用に成功した場合、攻撃者は影響を受けたデバイス上でリモートコード実行を実行し、ルート権限を取得する可能性があります。
KEV掲載: 2025-07-28公式(NVD) →PaperCut NG/MFは、特定の条件下で、攻撃者がセキュリティ設定を変更したり任意のコードを実行したりする可能性がある、クロスサイトリクエストフォージェリ(CSRF)脆弱性を含んでいます。
KEV掲載: 2025-07-28公式(NVD) →CrushFTPは保護されていない代替チャネルの脆弱性を含んでいます。DMZプロキシ機能が使用されていない場合、AS2検証が不適切に処理され、その結果リモート攻撃者がHTTPS経由で管理者アクセスを取得できるようになります。
KEV掲載: 2025-07-22公式(NVD) →Microsoft SharePointには、認可された攻撃者がネットワーク経由でコード実行を可能にするコードインジェクション脆弱性が存在します。この脆弱性はCVE-2025-49706と組み合わせられる可能性があります。CVE-2025-53770はCVE-2025-49704のパッチ回避であり、CVE-2025-53770の更新プログラムはCVE-2025-49704のものよりも堅牢な保護を含んでいます。
KEV掲載: 2025-07-22公式(NVD) →Microsoft SharePointに、認証の不適切な実装による脆弱性が存在し、認可された攻撃者がネットワークを経由したなりすまし攻撃を実行できます。この脆弱性が正常に悪用された場合、攻撃者は機密情報を閲覧したり、公開されている情報に対して一部の変更を加えたりできる可能性があります。この脆弱性はCVE-2025-49704と組み合わせて悪用される可能性があります。CVE-2025-53771はCVE-2025-49706のパッチバイパスであり、CVE-2025-53771の修正プログラムはCVE-2025-49706の修正プログラムよりも堅牢な保護を提供しています。
KEV掲載: 2025-07-22公式(NVD) →SysAid On-Prem のサーバー URL 処理機能に XML 外部実体参照（XXE）の不適切な制限に関する脆弱性が存在します。この脆弱性により、管理者アカウントの乗っ取りとファイル読み取り機能が可能になります。
KEV掲載: 2025-07-22公式(NVD) →SysAid On-Premはチェックイン処理機能において、XML外部エンティティ参照の不適切な制限脆弱性を含んでおり、これによって管理者アカウントの乗っ取りおよびファイル読み取りプリミティブが可能になります。
KEV掲載: 2025-07-22公式(NVD) →Google Chromiumに含まれるANGLEおよびGPU機能の不適切な入力検証脆弱性です。この脆弱性により、遠隔の攻撃者が細工されたHTMLページを利用して、サンドボックスエスケープを実行する可能性があります。この脆弱性は、Google Chrome、Microsoft Edge、Operaなど、Chromiumを利用する複数のウェブブラウザに影響を与える可能性があります。
KEV掲載: 2025-07-22公式(NVD) →Microsoft SharePoint Serverのオンプレミス版には、信頼できないデータのデシリアライゼーション脆弱性が存在し、認可されていない攻撃者がネットワーク経由でコード実行を行うことが可能です。この脆弱性はCVE-2025-53771と組み合わせて悪用される可能性があります。CVE-2025-53770はCVE-2025-49704のパッチ回避脆弱性であり、CVE-2025-53770の更新プログラムはCVE-2025-49704の更新プログラムよりも堅牢な保護を含んでいます。
KEV掲載: 2025-07-20公式(NVD) →Fortinet FortiWebには、細工されたHTTPまたはHTTPSリクエストを介して、認証なしの攻撃者が不正なSQLコードまたはコマンドを実行できる可能性があるSQL インジェクション脆弱性が含まれています。
KEV掲載: 2025-07-18公式(NVD) →Wing FTP Serverには、ヌル文字の不適切な無効化の脆弱性が存在し、ユーザセッションファイルへの任意のLuaコード注入が可能です。これにより、FTPサービスの権限（デフォルトではrootまたはSYSTEM）で任意のシステムコマンドを実行されるおそれがあります。
KEV掲載: 2025-07-14公式(NVD) →Citrix NetScaler ADCおよびGatewayには、入力検証の不十分さに起因するバウンダリ外読み取り脆弱性が存在します。この脆弱性により、NetScalerがGateway（VPN仮想サーバー、ICAプロキシ、CVPN、RDPプロキシ）またはAAA仮想サーバーとして構成されている場合に、メモリのオーバーリード(範囲外読み取り)が発生する可能性があります。
KEV掲載: 2025-07-10公式(NVD) →PHPMailerには、ユーザーが供給した入力値のサニタイズに失敗したことに起因するコマンドインジェクション脆弱性が存在します。具体的には、この問題は「class.phpmailer.php」スクリプトの「mail()」関数に影響を与えます。攻撃者はこの問題を悪用して、アプリケーションのコンテキスト内で任意のコードを実行することが可能です。エクスプロイトに失敗すると、サービス妨害状態が発生します。
KEV掲載: 2025-07-07公式(NVD) →Rails Ruby on Railsのaction Viewに経路走査脆弱性が存在します。特別に細工されたacceptヘッダと`render file:`の呼び出しを組み合わせることで、対象サーバ上の任意のファイルがレンダリングされ、ファイルの内容が開示される可能性があります。
KEV掲載: 2025-07-07公式(NVD) →Synacor Zimbra Collaboration Suite (ZCS)のProxyServletコンポーネントにサーバーサイドリクエストフォージェリ(SSRF)の脆弱性が存在します。
KEV掲載: 2025-07-07公式(NVD) →Multi-Router Looking Glass (MRLG) はバッファオーバーフロー脆弱性を含んでおり、リモート攻撃者が任意のメモリ書き込みとメモリ破損を引き起こす可能性があります。
KEV掲載: 2025-07-07公式(NVD) →Google Chromium V8に型混同の脆弱性が存在します。この脆弱性により、リモート攻撃者が細工されたHTMLページを介して任意の読み取り/書き込みを実行できる可能性があります。この脆弱性は、Google Chrome、Microsoft Edge、Operaなど、Chromiumを利用する複数のウェブブラウザに影響を及ぼす可能性があります。
KEV掲載: 2025-07-02公式(NVD) →TeleMessage TM SGNLに、セキュアでないデフォルト設定を使用したリソースの初期化の脆弱性が存在します。この脆弱性は、Spring Boot Actuatorが/heapdumpURIで公開されたヒープダンプエンドポイントで構成される方法に依存しています。
KEV掲載: 2025-07-01公式(NVD) →TeleMessage TM SGNLには、権限のない制御領域へのコアダンプファイルの露出脆弱性が含まれています。この脆弱性はJSPアプリケーションに基づいており、ヒープ内容が「コアダンプ」とほぼ同等であり、以前HTTPで送信されたパスワードがこのダンプに含まれる可能性があります。
KEV掲載: 2025-07-01公式(NVD) →Citrix NetScaler ADC およびGatewayに含まれるバッファオーバーフロー脆弱性により、意図しない制御フローとサービス拒否が発生します。NetScalerはGateway（VPN仮想サーバー、ICAプロキシ、CVPN、RDPプロキシ）またはAAA仮想サーバーとして構成されている必要があります。
KEV掲載: 2025-06-30公式(NVD) →D-Link DIR-859ルーターには、HTTPPOSTリクエストハンドラーコンポーネントの/hedwig.cgiファイルにパストトラバーサル脆弱性が存在します。serviceパラメーターを../../../../htdocs/webinc/getcfg/DHCPS6.BRIDGE-1.xmlの入力で操作することにより、セッションデータの漏洩が可能になり、権限昇格および不正なデバイス制御が実現される可能性があります。この脆弱性はレガシーD-Link製品に影響します。関連するすべてのハードウェアリビジョンは製品のサポート終了(EOL)またはサービス終了(EOS)ライフサイクルに達しており、ベンダーの指示に従って廃棄および交換する必要があります。
KEV掲載: 2025-06-25公式(NVD) →AMI MegaRAC SPxのRedfish Host Interfaceには、なりすまし(スプーフィング)による認証回避脆弱性が存在します。この脆弱性が悪用された場合、機密性、完全性、および/または可用性の喪失に至る可能性があります。
KEV掲載: 2025-06-25公式(NVD) →Fortinet FortiOSには、ハードコードされた認証情報の使用に関する脆弱性が含まれており、攻撃者はハードコードされたキーの知識を利用して、FortiOS設定バックアップファイル内の機密データを暗号化できる可能性があります。
KEV掲載: 2025-06-25公式(NVD) →Linuxカーネルは不適切な所有権管理の脆弱性を含んでおり、Linux カーネルの OverlayFS サブシステムで、ユーザーが nosuid マウントから別のマウントへ機能を持つファイルをコピーする際の無許可のアクセスが発見されました。このuid マッピングバグにより、ローカルユーザーはシステム上で特権を昇格させることができます。
KEV掲載: 2025-06-17公式(NVD) →TP-Link TL-WR940N V2/V4、TL-WR841N V8/V10、およびTL-WR740N V1/V2は、コンポーネント/userRpm/WlanNetworkRpmを経由したコマンドインジェクション脆弱性を含んでいます。影響を受ける製品はサポート終了（EoL）および/またはサービス終了（EoS）である可能性があります。ユーザーは製品の使用を中止すべきです。
KEV掲載: 2025-06-16公式(NVD) →Apple iOS、iPadOS、macOS、watchOS、およびvisionOSは、iCloudリンク経由で共有された悪意のある写真またはビデオを処理する際に、未指定の脆弱性を含んでいます。
KEV掲載: 2025-06-16公式(NVD) →Wazuhは信頼されていないデータの逆シリアル化脆弱性を含んでおり、Wazuhサーバー上でリモートコード実行を許可します。
KEV掲載: 2025-06-10公式(NVD) →Microsoft Windowsに、ファイル名またはパスの外部制御の脆弱性が存在します。この脆弱性により、攻撃者はインターネットショートカットファイルのWorkingDirectory属性で指定されたリモートWebDAV場所からコードを実行できる可能性があります。
KEV掲載: 2025-06-10公式(NVD) →Erlang Erlang/OTP SSHサーバーに重要な機能の認証欠落脆弱性が存在します。この脆弱性により、攻撃者は有効な認証情報なしで任意のコマンドを実行でき、認証なしでのリモートコード実行(RCE)につながる可能性があります。SSHプロトコルメッセージの処理方法における欠陥を悪用することで、悪意のある行為者は影響を受けるシステムへの不正なアクセスを獲得できます。この脆弱性は、Erlang/OTP SSHサーバーを実装する様々な製品に影響を与える可能性があります。これには、Cisco、NetApp、SUSEを含みますが、これに限定されません。
KEV掲載: 2025-06-09公式(NVD) →RoundCube Webmailに、クロスサイトスクリプティングの脆弱性が存在します。この脆弱性により、遠隔の攻撃者が、program/actions/mail/show.phpのmessage_body()関数における不十分なサニタイズの問題を悪用した細工されたメールメッセージを通じて、被害者のメールを盗聴および送信することが可能になります。
KEV掲載: 2025-06-09公式(NVD) →Google Chromium V8に、細工されたHTMLページを介してヒープ破損を悪用する可能性のある越界読み取り・書き込み脆弱性が含まれています。この脆弱性は、Google Chrome、Microsoft Edge、Operaを含む、Chromiumを利用する複数のWebブラウザに影響を及ぼす可能性があります。
KEV掲載: 2025-06-05公式(NVD) →複数のQualcommチップセットに不適切な認可の脆弱性が存在します。この脆弱性により、特定のコマンドシーケンスを実行する際にGPUマイクロノード内での認可されていないコマンド実行に起因するメモリ破損が発生する可能性があります。
KEV掲載: 2025-06-03公式(NVD) →複数のQualcommチップセットに不正な認可の脆弱性が存在します。この脆弱性により、特定のコマンドシーケンスを実行する際にGPUマイクロノード内で不正なコマンド実行が発生し、メモリ破損につながります。
KEV掲載: 2025-06-03公式(NVD) →複数のQualcommチップセットにおいて、解放後の使用(use-after-free)の脆弱性が存在します。この脆弱性は、ChromeでAdreno GPUドライバを使用してグラフィックスをレンダリングする際にメモリ破損を引き起こす可能性があります。
KEV掲載: 2025-06-03公式(NVD) →Craft CMSにはコード注入脆弱性が含まれています。影響を受けたバージョンのユーザーは、php.iniの設定で`register_argc_argv`が有効になっている場合、リモートコード実行の脆弱性にさらされています。
KEV掲載: 2025-06-02公式(NVD) →ASUS Lyra MiniおよびASUS GT-AC2900デバイスに不適切な認証の脆弱性が存在し、攻撃者が管理インターフェースへの不正アクセスを行うことを許可します。影響を受けるプロダクトはサポート終了（EoL）および/またはサービス終了（EoS）の可能性があります。ユーザーはプロダクトの使用を中止すべきです。
KEV掲載: 2025-06-02公式(NVD) →
優先度 = KEV(実際に悪用中) ＋ EPSS(30日内に悪用される確率) ＋ CVSS(深刻度) の合成。防御目的のフィードで、攻撃コードやPoCは扱いません。各CVEの詳細は公式(NVD)へリンクします。