脆弱性速報
実際に悪用されている脆弱性(CISA KEV)を新着順に。各CVEに悪用確率(EPSS)と深刻度(CVSS)を添え、「今すぐ直すべきか」を防御目線で判断できるようにしたフィードです。
ASUS RT-AX55デバイスはOSコマンドインジェクション脆弱性を含んでおり、リモートの認証済み攻撃者が任意のコマンドを実行できる可能性があります。CVE-2023-41346で表現されています。
KEV掲載: 2025-06-02公式(NVD) →Craft CMS に、仮に不変であると想定されるウェブパラメータの外部制御脆弱性が存在します。この脆弱性により、認証されていないクライアントが、サーバー上の既知のローカルファイル位置に PHP コードなどの任意の値を導入することが可能になる可能性があります。この脆弱性は、CVE-2025-32432 で示されている CVE-2024-58136 と組み合わせることができます。
KEV掲載: 2025-06-02公式(NVD) →ConnectWiseのScreenConnectに不正な認証脆弱性が存在します。この脆弱性により、ViewStateコードインジェクション攻撃が可能となり、マシンキーが侵害された場合、リモートコード実行につながる可能性があります。
KEV掲載: 2025-06-02公式(NVD) →Samsung MagicINFO 9 Serverには、攻撃者がシステム権限で任意のファイルを書き込むことを可能にするパストトラバーサル脆弱性が含まれています。
KEV掲載: 2025-05-22公式(NVD) →Ivanti Endpoint Manager Mobile (EPMM) の API コンポーネントに認証回避の脆弱性が存在します。この脆弱性により、攻撃者は細工された API リクエストを通じて、適切な認証情報がなくても保護されたリソースにアクセスすることができます。この脆弱性は Spring Framework オープンソースライブラリの不安全な実装に起因しています。
KEV掲載: 2025-05-19公式(NVD) →Ivanti Endpoint Manager Mobile (EPMM)のAPIコンポーネントにコード注入脆弱性が存在し、認証済み攻撃者が細工されたAPIリクエストを介して任意のコードをリモートで実行することが可能です。この脆弱性は、CVE-2025-35036で表現されるHibernate Validatorオープンソースライブラリの不安全な実装に起因しています。
KEV掲載: 2025-05-19公式(NVD) →ZKTeco BioTimeのiclock APIにはパストラバーサル脆弱性が存在し、認証されていない攻撃者が細工されたペイロードを供給することで任意のファイルを読み取ることが可能です。
KEV掲載: 2025-05-19公式(NVD) →MDaemon Email Serverは、HTMLメール経由で任意のJavaScriptコードを読み込むことを可能にするクロスサイトスクリプティング(XSS)脆弱性を含んでいます。この脆弱性により、リモート攻撃者が悪意のあるコードを実行できます。
KEV掲載: 2025-05-19公式(NVD) →Zimbraコラボレーションは、ZimbraウェブメールのクラシックユーザーインターフェイスのCalendarInvite機能に含まれるクロスサイトスクリプティング(XSS)脆弱性を持っています。攻撃者は細工されたカレンダーヘッダーを含むメールメッセージを通じてこの脆弱性を悪用し、任意のJavaScriptコードの実行につながる可能性があります。
KEV掲載: 2025-05-19公式(NVD) →Srimax Output Messengerには、攻撃者が意図されたディレクトリの外側にある機密ファイルにアクセスすることを可能にするディレクトリトラバーサル脆弱性が含まれています。これは設定情報の漏洩または任意のファイルアクセスにつながる可能性があります。
KEV掲載: 2025-05-19公式(NVD) →DrayTek Vigor2960、Vigor300B、およびVigor3900ルーターは、コンポーネントのウェブ管理インターフェース内の/cgi-bin/mainfunction.cgi/apmcfguploadファイルの未知の関数に起因するOSコマンドインジェクション脆弱性を含んでいます。
KEV掲載: 2025-05-15公式(NVD) →SAP NetWeaver Visual Composerのメタデータアップローダーに含まれる逆シリアライゼーション脆弱性により、権限を持つ攻撃者が信頼できないまたは悪意のあるコンテンツを逆シリアライゼーションすることで、ホストシステムの機密性、整合性、および可用性を侵害される可能性があります。
KEV掲載: 2025-05-15公式(NVD) →Fortinet FortiFone、FortiVoice、FortiNDR、およびFortiMailに、細工されたHTTPリクエストを通じて、リモートの認証されていない攻撃者が任意のコードまたはコマンドを実行することを可能にするスタックベースのオーバーフロー脆弱性が含まれています。
KEV掲載: 2025-05-14公式(NVD) →Microsoft Windows スクリプティング エンジンに型混同の脆弱性が存在し、特別に細工されたURLを介して、認可されていない攻撃者がネットワーク越しにコードを実行できます。
KEV掲載: 2025-05-13公式(NVD) →Microsoft Windows Common Log File System (CLFS) ドライバーに含まれるヒープベースのバッファオーバーフロー脆弱性により、認可された攻撃者がローカルで権限昇格を行うことができます。
KEV掲載: 2025-05-13公式(NVD) →Microsoft Windows DWMコアライブラリに含まれるユーズアフターフリー脆弱性により、認可された攻撃者がローカルで権限昇格を行うことが可能です。
KEV掲載: 2025-05-13公式(NVD) →Microsoft Windows WinSock用補助機能ドライバに、認可された攻撃者が管理者権限に昇格することを可能にするuse-after-free脆弱性が含まれています。
KEV掲載: 2025-05-13公式(NVD) →Microsoft Windows共通ログファイルシステム(CLFS)ドライバーに、認可された攻撃者がローカルで権限昇格を行うことを可能にするuse-after-freeの脆弱性が存在します。
KEV掲載: 2025-05-13公式(NVD) →TeleMessage TM SGNLには、アーカイブバックエンドがTM SGNLアプリケーションユーザーからのメッセージの平文コピーを保持する隠れた機能脆弱性が含まれています。
KEV掲載: 2025-05-12公式(NVD) →複数のGeoVisionデバイスにOSコマンドインジェクション脆弱性が存在し、リモート認証なしの攻撃者が任意のシステムコマンドをインジェクションして実行することが可能です。影響を受けるプロダクトはサポート終了（EoL）および/またはサービス終了（EoS）の可能性があります。ユーザーは製品の利用を中止すべきです。
KEV掲載: 2025-05-07公式(NVD) →複数のGeoVisionデバイスに、OSコマンドインジェクションの脆弱性が存在します。この脆弱性により、認証されていないリモートの攻撃者が任意のシステムコマンドをインジェクションして実行することが可能です。影響を受ける製品はライフサイクル終了（EoL）および/またはサポート終了（EoS）である可能性があります。ユーザーは製品の使用を中止すべきです。
KEV掲載: 2025-05-07公式(NVD) →FreeTypeには、TrueType GXおよび可変フォントファイルに関連するフォント部分グリフ構造を解析する際に、境界外書き込み脆弱性が含まれており、任意のコード実行を許可する可能性があります。
KEV掲載: 2025-05-06公式(NVD) →Langflowの/api/v1/validate/codeエンドポイントに認証不足の脆弱性が存在し、リモートの認証されていない攻撃者が細工されたHTTPリクエストを通じて任意のコードを実行できます。
KEV掲載: 2025-05-05公式(NVD) →Commvault Command Centerに存在するパストトラバーサル脆弱性により、リモートの認証されていない攻撃者が任意のコードを実行できます。
KEV掲載: 2025-05-02公式(NVD) →Yiiフレームワークに含まれる代替パスの不適切な保護の脆弱性により、リモート攻撃者が任意のコードを実行できる可能性があります。この脆弱性は、CVE-2025-32432で表現されているCraft CMSを含む、Yiiを実装する他の製品に影響を与える可能性があります。
KEV掲載: 2025-05-02公式(NVD) →Apache HTTP Serverのmod_rewriteに出力の不適切なエスケープ脆弱性が存在します。攻撃者はURLをファイルシステム上の場所にマップでき、サーバーで提供することが許可されていますが、意図的または直接的にはいかなるURLからもアクセス不可な場所にマップできます。その結果、コード実行またはソースコード開示が発生する可能性があります。
KEV掲載: 2025-05-01公式(NVD) →SonicWall SMA100アプライアンスのSSL-VPN管理インターフェースに、OSコマンドインジェクション脆弱性が存在します。この脆弱性により、管理者権限を持つ認証済みのリモート攻撃者が、「nobody」ユーザーとして任意のコマンドを注入実行することが可能になります。
KEV掲載: 2025-05-01公式(NVD) →SAP NetWeaver Visual Composer Metadata Uploader に、認証なしで潜在的に悪意のある実行可能バイナリをアップロードできる無制限ファイルアップロード脆弱性が存在します。
KEV掲載: 2025-04-29公式(NVD) →Qualitia Active! Mailはスタックベースのバッファオーバーフロー脆弱性を含んでおり、リモートの認証されていない攻撃者が特別に細工されたリクエストを通じて任意のコードを実行するか、サービス拒否を引き起こすことができます。
KEV掲載: 2025-04-28公式(NVD) →Commvault Webサーバーに、リモート認証済み攻撃者がWebシェルを作成および実行することを可能にする特定されていない脆弱性が含まれています。
KEV掲載: 2025-04-28公式(NVD) →Broadcom Brocade Fabric OSは、管理者権限を持つローカルユーザーが完全なroot権限で任意のコードを実行できるようにするコード注入脆弱性が含まれています。
KEV掲載: 2025-04-28公式(NVD) →Microsoft Windows NTLMには、ファイル名またはパスの外部制御の脆弱性が存在し、認可されていない攻撃者がネットワーク経由でスプーフィングを実行することを許可します。
KEV掲載: 2025-04-17公式(NVD) →Apple iOS、iPadOS、macOS、およびその他のApple製品に、悪意のある細工がされたメディアファイル内のオーディオストリームを処理する際にコード実行を許可するメモリ破損脆弱性が存在します。
KEV掲載: 2025-04-17公式(NVD) →AppleのiOS、iPadOS、macOS、およびその他のApple製品には、攻撃者がポインタ認証をバイパスすることを可能にする任意の読み書き脆弱性が含まれています。
KEV掲載: 2025-04-17公式(NVD) →SonicWall SMA100アプライアンスの管理インターフェースにOSコマンドインジェクション脆弱性が存在します。この脆弱性により、認証済みのリモート攻撃者が「nobody」ユーザーとして任意のコマンドを注入でき、コード実行につながる可能性があります。
KEV掲載: 2025-04-16公式(NVD) →Linuxカーネルに含まれるUSB-audioドライバの境界外アクセス脆弱性により、システムへの物理的アクセスを有する攻撃者は、悪意のあるUSBデバイスを使用してシステムメモリを改ざんする可能性、権限昇格を行う可能性、または任意のコードを実行する可能性があります。
KEV掲載: 2025-04-09公式(NVD) →Linux カーネルの USB オーディオドライバに境界外読み取り脆弱性が存在し、ローカルの特権ユーザーが機密情報を取得される可能性があります。
KEV掲載: 2025-04-09公式(NVD) →Gladinet CentreStackとTriofoxは、ViewState整合性検証に使用される鍵を管理する方法に、ハードコードされた暗号化鍵の脆弱性が存在します。この脆弱性を悪用すると、攻撃者はViewStateペイロードを偽造してサーバー側の逆シリアル化を実行でき、リモートコード実行が可能になります。
KEV掲載: 2025-04-08公式(NVD) →Microsoft Windows Common Log File System (CLFS) ドライバに使用後解放(use-after-free)の脆弱性が含まれており、認可された攻撃者がローカルで権限昇格を実行することが可能です。
KEV掲載: 2025-04-08公式(NVD) →CrushFTPのHTTP認可ヘッダーに認証回避脆弱性が存在し、リモートの認証されていない攻撃者が既知またはゲッサブル可能なユーザーアカウント（例：crushadmin）に認証できる可能性があり、完全な侵害につながる恐れがあります。
KEV掲載: 2025-04-07公式(NVD) →
優先度 = KEV(実際に悪用中) ＋ EPSS(30日内に悪用される確率) ＋ CVSS(深刻度) の合成。防御目的のフィードで、攻撃コードやPoCは扱いません。各CVEの詳細は公式(NVD)へリンクします。