脆弱性速報
実際に悪用されている脆弱性(CISA KEV)を新着順に。各CVEに悪用確率(EPSS)と深刻度(CVSS)を添え、「今すぐ直すべきか」を防御目線で判断できるようにしたフィードです。
Palo Alto Networks PAN-OSは、ファイル名またはパスの外部制御脆弱性を含んでいます。この脆弱性の悪用に成功すると、管理Webインターフェースへのネットワークアクセス権を持つ認証済み攻撃者が、「nobody」ユーザーが読み取り可能なPAN-OSファイルシステム上のファイルを読み取ることが可能になります。
KEV掲載: 2025-02-20公式(NVD) →Palo Alto NetworksのPAN-OSの管理Webインターフェースに認証回避の脆弱性が存在します。この脆弱性により、管理Webインターフェースへのネットワークアクセスを持つ認証されていない攻撃者は、通常必要とされる認証をバイパスし、特定のPHPスクリプトを実行することができます。
KEV掲載: 2025-02-18公式(NVD) →SonicWallのSonicOSに含まれるSSLVPN認証メカニズムの不適切な認証脆弱性により、リモート攻撃者が認証をバイパスすることが可能です。
KEV掲載: 2025-02-18公式(NVD) →SimpleHelpリモートサポートソフトウェアに複数のパストトラバーサル脆弱性が存在し、認証されていないリモート攻撃者が細工されたHTTPリクエストを通じてSimpleHelpホストから任意のファイルをダウンロードできます。これらのファイルにはサーバー設定ファイルおよびハッシュ化されたユーザーパスワードが含まれる可能性があります。
KEV掲載: 2025-02-13公式(NVD) →Mitel 6800シリーズ、6900シリーズ、および6900wシリーズのSIPフォン（6970カンファレンスユニットを含む）は、ブートプロセス中の不十分なパラメータサニタイゼーションに起因する引数インジェクション脆弱性を含んでいます。この脆弱性を悪用されると、攻撃者がシステムのコンテキスト内で任意のコマンドを実行される可能性があります。
KEV掲載: 2025-02-12公式(NVD) →AppleのiOSおよびiPadOSに含まれる不正な認可の脆弱性により、物理的な攻撃者がロックされたデバイスのUSB制限モードを無効化することができます。
KEV掲載: 2025-02-12公式(NVD) →複数のZyxel DSL CPEデバイスの管理コマンドに認証後のコマンドインジェクション脆弱性が存在し、認証済み攻撃者がTelnet経由でOSコマンドを実行できる可能性があります。
KEV掲載: 2025-02-11公式(NVD) →複数のZyxel DSL CPEデバイスに含まれるCGIプログラムに認証後のコマンドインジェクション脆弱性が存在します。認証済みの攻撃者が細工されたHTTPリクエストを通じてOSコマンドを実行することが可能になる可能性があります。
KEV掲載: 2025-02-11公式(NVD) →Microsoft Windows Ancillary Function Driver for WinSockに含まれるヒープベースのバッファオーバーフロー脆弱性により、特権昇格が可能になり、ローカル攻撃者がSYSTEM権限を取得することができます。
KEV掲載: 2025-02-11公式(NVD) →Microsoft Windows Storageに含まれるリンク追跡の脆弱性により、権限昇格が可能になる可能性があります。この脆弱性により、攻撃者はサービスが利用不可になる原因となるデータを含むデータを削除できる可能性があります。
KEV掲載: 2025-02-11公式(NVD) →Trimble Citeworksには逆シリアル化の脆弱性が含まれています。認証されたユーザーが顧客のMicrosoft Internet Information Services（IIS）Webサーバーに対してリモートコード実行攻撃を実行できる可能性があります。
KEV掲載: 2025-02-07公式(NVD) →Microsoft Outlookに入力検証の不備が存在し、リモートコード実行を引き起こす可能性があります。本脆弱性の悪用に成功した場合、攻撃者はOfficeの保護ビューをバイパスしており、保護モードではなく編集モードで開くことが可能になります。
KEV掲載: 2025-02-06公式(NVD) →7-Zipには保護メカニズムの障害脆弱性が存在し、リモート攻撃者がMark-of-the-Webセキュリティ機能をバイパスして、現在のユーザーのコンテキストで任意のコードを実行することが可能です。
KEV掲載: 2025-02-06公式(NVD) →Sophos XG Firewallの「HTTP/Sブックマーク」機能に存在するバッファオーバーフロー脆弱性により、リモートコード実行が可能です。
KEV掲載: 2025-02-06公式(NVD) →CyberoamOS (CROS)のWebAdminに、認証されていない攻撃者が任意のSQLステートメントをリモートで実行できるSQL Injection脆弱性が存在します。
KEV掲載: 2025-02-06公式(NVD) →Dante Discoveryは、mDNSResponder.exeにおけるプロセス制御の脆弱性を含んでおり、DLLサイドローディング攻撃を許可しています。ローカル攻撃者は、Dante Application Libraryのこの脆弱性を悪用して、任意のコードを実行できます。
KEV掲載: 2025-02-06公式(NVD) →Linuxカーネルに含まれるUSBビデオクラス(UVC)ドライバのuvc_parse_streamingコンポーネントに境界外書き込み脆弱性があり、物理的な権限昇格が可能になる可能性があります。
KEV掲載: 2025-02-05公式(NVD) →Paessler PRTG Network Monitorは、ローカルファイルインクルージョン脆弱性を含んでおり、リモートの認証されていない攻撃者が読み取り・書き込み権限（管理者を含む）を持つユーザーを作成できます。
KEV掲載: 2025-02-04公式(NVD) →Apache OFBizは、リモート攻撃者が不正なアクセスを得ることを可能にする強制ブラウジング脆弱性を含んでいます。
KEV掲載: 2025-02-04公式(NVD) →Microsoft .NET Frameworkに、攻撃者にObjRef URIを公開する情報漏洩の脆弱性が存在し、最終的にはリモートコード実行を可能にします。
KEV掲載: 2025-02-04公式(NVD) →Paessler PRTG Network MonitorにOS コマンドインジェクション脆弱性が存在します。この脆弱性により、管理者権限を持つ攻撃者がPRTG システム管理者ウェブコンソール経由でコマンドを実行できます。
KEV掲載: 2025-02-04公式(NVD) →Apple iOS、macOS、およびその他のApple製品には、悪意のあるアプリケーションが権限昇格を実行することを可能にするUse-After-Free脆弱性が含まれています。
KEV掲載: 2025-01-29公式(NVD) →SonicWall SMA1000 アプライアンス管理コンソール (AMC) およびセントラル管理コンソール (CMC) に信頼されていないデータの逆シリアル化脆弱性が存在し、リモートの認証されていない攻撃者が任意のOSコマンドを実行できる可能性があります。
KEV掲載: 2025-01-24公式(NVD) →jQueryに持続的なクロスサイトスクリプティング(XSS)脆弱性が存在します。HTMLタグで囲まれた悪意を持って形成された信頼できない入力を渡すと、jQueryのDOM操作関数がユーザーのブラウザのコンテキストで信頼できないコードを実行する可能性があります。
KEV掲載: 2025-01-23公式(NVD) →Aviatrix Controllerに、認証なしの攻撃者が任意のコードを実行できるOSコマンドインジェクション脆弱性が存在します。シェルメタ文字を/v1/apiに送信し、list_flightpath_destination_instancesのcloud_typeパラメータまたはflightpath_connection_testのsrc_cloud_typeパラメータを経由して悪用される可能性があります。
KEV掲載: 2025-01-16公式(NVD) →Fortinet FortiOSおよびFortiProxyに認証バイパスの脆弱性が存在し、Node.js WebSocketモジュールへの細工されたリクエストを通じて、認証されていないリモート攻撃者がスーパー管理者権限を取得される可能性があります。
KEV掲載: 2025-01-14公式(NVD) →Microsoft Windows Hyper-Vの NT Kernel Integration VSPにはヒープベースのバッファオーバーフロー脆弱性が存在し、ローカル攻撃者がSYSTEM権限を取得することを可能にします。
KEV掲載: 2025-01-14公式(NVD) →Microsoft Windows Hyper-V NT Kernel Integration VSPに存在するUse-After-Free脆弱性により、ローカル攻撃者はSYSTEM権限を取得することが可能になります。
KEV掲載: 2025-01-14公式(NVD) →Microsoft Windows Hyper-V NT Kernel Integration VSPに含まれるuse-after-free脆弱性により、ローカル攻撃者がSYSTEM権限を取得される可能性があります。
KEV掲載: 2025-01-14公式(NVD) →Qlik Senseは、攻撃者が権限を昇格させ、ソフトウェアをホストするバックエンドサーバー上でHTTPリクエストを実行することを可能にするHTTPトンネリング脆弱性を含んでいます。
KEV掲載: 2025-01-13公式(NVD) →BeyondTrust Privileged Remote Access（PRA）およびRemote Support（RS）に、OS コマンドインジェクション脆弱性が存在します。この脆弱性は、既存の管理者権限を持つ攻撃者が悪意のあるファイルをアップロードすることで悪用されます。この脆弱性の悪用に成功すると、リモート攻撃者がサイトユーザーのコンテキスト内で基盤となるオペレーティングシステムコマンドを実行することが可能になります。
KEV掲載: 2025-01-13公式(NVD) →Ivanti Connect Secure、Policy Secure、およびZTA Gatewaysに含まれるスタックベースのバッファオーバーフローにより、認証なしでのリモートコード実行が可能になります。
KEV掲載: 2025-01-08公式(NVD) →Mitel MiCollabに含まれるパストトラバーサルの脆弱性により、攻撃者は認可されていない未認証のアクセスを取得する可能性があります。この脆弱性はCVE-2024-55550と組み合わせることができ、未認証のリモート攻撃者がサーバー上の任意のファイルを読み取ることを可能にします。
KEV掲載: 2025-01-07公式(NVD) →Oracle WebLogic Serverは、Fusion Middlewareスイート内の製品であり、IIOP またはT3経由でネットワークアクセスを有する認証されていない攻撃者が悪用可能な、特定されていない脆弱性を含んでいます。
KEV掲載: 2025-01-07公式(NVD) →Mitel MiCollabに含まれるパストラバーサル脆弱性により、管理者権限を持つ認証済み攻撃者が入力値の不十分なサニタイズ処理により、システム内のローカルファイルを読み取ることが可能になります。この脆弱性はCVE-2024-41713と組み合わせて悪用される可能性があり、CVE-2024-41713により認証なしのリモート攻撃者がサーバー上の任意のファイルを読み取ることができます。
KEV掲載: 2025-01-07公式(NVD) →Palo Alto NetworksのPAN-OSに含まれるDNS Securityの機能において、悪意あるDNSパケットの解析とログ記録に脆弱性が存在します。この脆弱性を悪用すると、認証されていない攻撃者がファイアウォールをリモートで再起動することが可能になります。この条件を繰り返し引き起こす試みは、ファイアウォールをメンテナンスモードに移行させる原因となります。
KEV掲載: 2024-12-30公式(NVD) →Acclaim Systems USAHERDSは、ハードコードされた認証情報の脆弱性を含んでおり、攻撃者がこのアプリケーションを実行するシステム上でリモートコード実行を実現できる可能性があります。MachineKeyは、別の脆弱性またはその他のチャネルを通じて取得する必要があります。
KEV掲載: 2024-12-23公式(NVD) →BeyondTrust Privileged Remote Access (PRA) および Remote Support (RS) にコマンドインジェクション脆弱性が存在し、認証されていない攻撃者がサイトユーザーとして実行されるコマンドを注入することが可能です。
KEV掲載: 2024-12-19公式(NVD) →NUUO NVRminiデバイスにはOSコマンドインジェクション脆弱性が含まれています。この脆弱性により、writeuploaddirコマンドのuploaddirパラメータにおけるシェルメタ文字を介したリモートコマンド実行が可能になります。
KEV掲載: 2024-12-18公式(NVD) →NUUO NVRmini2デバイスには認証不足の脆弱性が存在し、認証されていない攻撃者が暗号化されたTARアーカイブをアップロードすることが可能です。これにより、任意のユーザーを追加されるおそれがあります。
KEV掲載: 2024-12-18公式(NVD) →
優先度 = KEV(実際に悪用中) ＋ EPSS(30日内に悪用される確率) ＋ CVSS(深刻度) の合成。防御目的のフィードで、攻撃コードやPoCは扱いません。各CVEの詳細は公式(NVD)へリンクします。