脆弱性速報
実際に悪用されている脆弱性(CISA KEV)を新着順に。各CVEに悪用確率(EPSS)と深刻度(CVSS)を添え、「今すぐ直すべきか」を防御目線で判断できるようにしたフィードです。
DELMIA Aprisoの2020リリースから2025リリースに影響する信頼されていないデータの逆シリアル化の脆弱性により、リモートコード実行につながる可能性があります。
KEV掲載: 2025-09-11公式(NVD) →Sitecore Experience Manager（XM）およびSitecore Experience Platform（XP）における信頼されていないデータのデシリアライゼーション脆弱性により、コード インジェクションが可能になります。この問題は、Experience Manager（XM）：9.0以前およびExperience Platform（XP）：9.0以前のバージョンに影響を与えます。
KEV掲載: 2025-09-04公式(NVD) →複数の箇所において、使用後解放（use after free）により Chrome サンドボックスをエスケープして Android system_server を攻撃する可能性があります。これは追加の実行権限を必要としないローカル権限昇格につながる可能性があります。エクスプロイト実行には ユーザーの操作は不要です。
KEV掲載: 2025-09-04公式(NVD) →Linuxカーネルにおいて、以下の脆弱性が解決されました： posix-cpu-timers: handle_posix_cpu_timers()とposix_cpu_timer_del()間の競合状態を修正 終了中の非自動回収タスクがexit_notify()を既に通過し、IRQからhandle_posix_cpu_timers()を呼び出した場合、unlock_task_sighand()の直後に親プロセスまたはデバッガーによって回収される可能性があります。 同時にposix_cpu_timer_del()が実行されると、timer->it.cpu.firing != 0を検出できなくなります。cpu_timer_task_rcu()および/またはlock_task_sighand()が失敗するためです。 この問題を修正するため、run_posix_cpu_timers()にtsk->exit_stateチェックを追加してください。 CONFIG_POSIX_CPU_TIMERS_TASK_WORK=yの場合、exit_task_work()がexit_notify()の前に呼び出されるため、この修正は不要です。ただし、このチェックは依然として意味があります。この場合、task_work_add(&tsk->posix_cputimers_work.work)は失敗するためです。
KEV掲載: 2025-09-04公式(NVD) →TP-Link Archer C7(EU) V2およびTL-WR841N/ND(MS) V9の保護者制御ページに認証済みの遠隔コマンド実行(RCE)脆弱性が存在します。 本問題はArcher C7(EU) V2(241108より前)およびTL-WR841N/ND(MS) V9(241108より前)に影響します。 両製品はEOL(サポート終了)ステータスに達しています。より良いパフォーマンスとセキュリティを確保するため、新製品の購入を推奨しています。短期的に交換が難しい場合は、2番目の参照リンクからパッチをダウンロードしてインストールしてください。
KEV掲載: 2025-09-03公式(NVD) →TP-Link TL-WR841N dropbearpwd 不正な認証情報漏洩脆弱性。この脆弱性により、ネットワークに隣接する攻撃者は、影響を受けるTP-Link TL-WR841Nルーターにおける機密情報を漏洩させることができます。この脆弱性を悪用するために認証は必要ありません。 具体的な欠陥はhttpdサービス内に存在し、デフォルトではTCPポート80でリッスンしています。この問題は不正な認証に起因しています。攻撃者はこの脆弱性を利用して保存された認証情報を漏洩させ、さらなる侵害につながる可能性があります。 ZDI-CAN-19899でした。
KEV掲載: 2025-09-03公式(NVD) →TP-Link TL-WA855RE V5 20200415-rel37464デバイスは、同一ネットワーク上の認証されていない攻撃者が、TDDP_RESET POST要求を送信して工場出荷時リセットと再起動を実行することを許可します。攻撃者はその後、新しい管理者パスワードを設定することで、不正なアクセス制御を取得できます。
KEV掲載: 2025-09-02公式(NVD) →iOS版WhatsApp v2.25.21.73以前、iOS版WhatsApp Business v2.25.21.78以前、およびMac版WhatsApp v2.25.21.78以前における連携デバイス同期メッセージの不完全な認可により、無関係なユーザーが標的のデバイス上で任意のURLからのコンテンツ処理をトリガーできる可能性がありました。本脆弱性がAppleプラットフォームのOS レベル脆弱性（CVE-2025-43300）と組み合わせることで、特定の標的ユーザーに対する高度な攻撃に悪用された可能性があると評価します。
KEV掲載: 2025-09-02公式(NVD) →FreePBXはオープンソースのウェブベースのグラフィカルユーザーインターフェースです。FreePBX 15、16、17のエンドポイントは、十分にサニタイズされていないユーザー供給データにより脆弱性を持ち、未認証のFreePBX Administratorへのアクセスが可能になることで、任意のデータベース操作とリモートコード実行につながります。この問題はエンドポイントバージョン15.0.66、16.0.89、および17.0.3でパッチが適用されています。
KEV掲載: 2025-08-29公式(NVD) →NetScalerがゲートウェイ（VPN仮想サーバー、ICAプロキシ、CVPN、RDPプロキシ）またはAAA仮想サーバーとして構成されている場合、NetScaler ADCおよびNetScaler Gatewayにおけるメモリオーバーフロー脆弱性により、リモートコード実行および/またはサービス妨害が発生する可能性がある （または） NetScaler ADC および NetScaler Gateway 13.1、14.1、13.1-FIPS、NDcPPにおいて、IPv6サービスまたはIPv6サーバーにバインドされたタイプ（HTTP、SSLまたはHTTP_QUIC）のLB仮想サーバー （または） NetScaler ADC および NetScaler Gateway 13.1、14.1、13.1-FIPS、NDcPPにおいて、DBS IPv6サービスまたはIPv6 DBSサーバーにバインドされたタイプ（HTTP、SSLまたはHTTP_QUIC）のLB仮想サーバー （または） タイプHDXのCR仮想サーバー
KEV掲載: 2025-08-26公式(NVD) →Citrix Session Recordingにおいて、セッション記録サーバーと同じイントラネット上の認証済みユーザーが攻撃者である場合、NetworkServiceアカウント権限での限定的なリモートコード実行
KEV掲載: 2025-08-25公式(NVD) →Gitは高速でスケーラブルな分散型バージョン管理システムであり、高度な機能と内部へのフルアクセスを提供する豊富なコマンドセットを備えています。設定値を読み込む際、Gitは末尾のキャリッジリターンとラインフィード（CRLF）を削除します。設定エントリを書き込む際、末尾にCRを含む値は引用符で囲まれないため、設定が後に読み込まれるときにCRが失われます。サブモジュールを初期化する際、サブモジュールパスに末尾のCRが含まれている場合、変更されたパスが読み込まれ、サブモジュールが不正な場所にチェックアウトされます。変更されたパスがサブモジュールのフックディレクトリを指すシンボリックリンクが存在し、サブモジュールに実行可能なpost-checkoutフックが含まれている場合、チェックアウト後にスクリプトが不意に実行される可能性があります。この脆弱性はv2.43.7、v2.44.4、v2.45.4、v2.46.4、v2.47.3、v2.48.2、v2.49.1、およびv2.50.1で修正されています。
KEV掲載: 2025-08-25公式(NVD) →Citrix Session Recordingに含まれる不正な権限管理の脆弱性により、NetworkServiceアカウントアクセスへの権限昇格が可能となる可能性があります。攻撃者は、セッション記録サーバーと同じWindows Active Directoryドメイン内の認証済みユーザーである必要があります。
KEV掲載: 2025-08-25公式(NVD) →Apple iOS、iPadOS、macOSに含まれるImage I/Oフレームワークの境界外書き込み脆弱性。
KEV掲載: 2025-08-21公式(NVD) →Trend Micro Apex One管理コンソール（オンプレミス）には、OS コマンドインジェクション脆弱性が存在します。認証前のリモート攻撃者がこの脆弱性を悪用して、悪意のあるコードをアップロードし、影響を受けるインストール環境でコマンドを実行される可能性があります。
KEV掲載: 2025-08-18公式(NVD) →N-able N-Centralは、ユーザー入力の不適切なサニタイズにより、コマンドインジェクション脆弱性を含んでいます。
KEV掲載: 2025-08-13公式(NVD) →N-able N-Central に含まれる安全でないデシリアライゼーション脆弱性があり、コマンド実行につながる可能性があります。
KEV掲載: 2025-08-13公式(NVD) →Microsoft Internet Explorerにはメモリ破損脆弱性が存在し、リモートコード実行を許可します。影響を受ける製品はサポート終了(EoL)および/またはサービス終了(EoS)である可能性があります。ユーザーは製品の使用を中止する必要があります。
KEV掲載: 2025-08-12公式(NVD) →Microsoft Office Excelには、特別に細工されたExcelファイルが開かれた場合に悪用可能なリモートコード実行脆弱性が存在します。この悪意のあるファイルは、メール添付ファイルとして配信されるか、悪意のあるWebサイトでホストされる可能性があります。攻撃者はこの脆弱性を悪用して、特別に細工されたExcelファイルを作成し、そのファイルが開かれた場合に、影響を受けるシステム上で任意のコードを実行することができます。
KEV掲載: 2025-08-12公式(NVD) →RARLAB WinRARのWindows版に、パストラバーサル脆弱性が存在します。この脆弱性により、攻撃者が悪意のあるアーカイブファイルを作成することで、任意のコード実行が可能となる可能性があります。
KEV掲載: 2025-08-12公式(NVD) →D-Link DCS-2530L および DCS-2670L デバイスに、遠隔管理者パスワード漏洩を可能にする未指定の脆弱性が存在します。影響を受ける製品はサポート終了（EoL）および/またはサービス終了（EoS）である可能性があります。ユーザーは当該製品の使用を中止することをお勧めします。
KEV掲載: 2025-08-05公式(NVD) →D-Link DNR-322Lは、整合性チェックのないコードダウンロードの脆弱性を含んでおり、認証された攻撃者がデバイス上でOS レベルのコマンドを実行することを許可する可能性があります。影響を受けるプロダクトはサポート終了(EoL)および/またはサービス終了(EoS)の可能性があります。ユーザーはプロダクトの使用を中止すべきです。
KEV掲載: 2025-08-05公式(NVD) →D-Link DCS-2530L および DCS-2670L デバイスの cgi-bin/ddns_enc.cgi に、コマンドインジェクション脆弱性が存在します。影響を受ける製品はサポート終了(EoL)および/またはサービス終了(EoS)の可能性があります。ユーザーは当該製品の使用を中止すべきです。
KEV掲載: 2025-08-05公式(NVD) →PaperCut NG/MFは、特定の条件下で、攻撃者がセキュリティ設定を変更したり任意のコードを実行したりする可能性がある、クロスサイトリクエストフォージェリ(CSRF)脆弱性を含んでいます。
KEV掲載: 2025-07-28公式(NVD) →Cisco Identity Services EngineのCisco ISEおよびCisco ISE-PICの特定のAPIに、ユーザーが供給する入力の検証が不十分であるため、インジェクション脆弱性が存在します。この脆弱性を悪用するために、攻撃者は細工されたAPIリクエストを送信することができます。この脆弱性を正常に悪用された場合、攻撃者は影響を受けるデバイス上でリモートコード実行を行い、ルート権限を取得できる可能性があります。
KEV掲載: 2025-07-28公式(NVD) →Cisco Identity Services EngineのCisco ISEおよびCisco ISE-PIC内の特定のAPIに注入脆弱性が存在し、ユーザーが供給した入力の検証が不十分であるため、攻撃者は細工されたAPIリクエストを送信してこの脆弱性を悪用できます。悪用に成功した場合、攻撃者は影響を受けたデバイス上でリモートコード実行を実行し、ルート権限を取得する可能性があります。
KEV掲載: 2025-07-28公式(NVD) →CrushFTPは保護されていない代替チャネルの脆弱性を含んでいます。DMZプロキシ機能が使用されていない場合、AS2検証が不適切に処理され、その結果リモート攻撃者がHTTPS経由で管理者アクセスを取得できるようになります。
KEV掲載: 2025-07-22公式(NVD) →Microsoft SharePointに、認証の不適切な実装による脆弱性が存在し、認可された攻撃者がネットワークを経由したなりすまし攻撃を実行できます。この脆弱性が正常に悪用された場合、攻撃者は機密情報を閲覧したり、公開されている情報に対して一部の変更を加えたりできる可能性があります。この脆弱性はCVE-2025-49704と組み合わせて悪用される可能性があります。CVE-2025-53771はCVE-2025-49706のパッチバイパスであり、CVE-2025-53771の修正プログラムはCVE-2025-49706の修正プログラムよりも堅牢な保護を提供しています。
KEV掲載: 2025-07-22公式(NVD) →SysAid On-Premはチェックイン処理機能において、XML外部エンティティ参照の不適切な制限脆弱性を含んでおり、これによって管理者アカウントの乗っ取りおよびファイル読み取りプリミティブが可能になります。
KEV掲載: 2025-07-22公式(NVD) →SysAid On-Prem のサーバー URL 処理機能に XML 外部実体参照（XXE）の不適切な制限に関する脆弱性が存在します。この脆弱性により、管理者アカウントの乗っ取りとファイル読み取り機能が可能になります。
KEV掲載: 2025-07-22公式(NVD) →Microsoft SharePointには、認可された攻撃者がネットワーク経由でコード実行を可能にするコードインジェクション脆弱性が存在します。この脆弱性はCVE-2025-49706と組み合わせられる可能性があります。CVE-2025-53770はCVE-2025-49704のパッチ回避であり、CVE-2025-53770の更新プログラムはCVE-2025-49704のものよりも堅牢な保護を含んでいます。
KEV掲載: 2025-07-22公式(NVD) →Google Chromiumに含まれるANGLEおよびGPU機能の不適切な入力検証脆弱性です。この脆弱性により、遠隔の攻撃者が細工されたHTMLページを利用して、サンドボックスエスケープを実行する可能性があります。この脆弱性は、Google Chrome、Microsoft Edge、Operaなど、Chromiumを利用する複数のウェブブラウザに影響を与える可能性があります。
KEV掲載: 2025-07-22公式(NVD) →Microsoft SharePoint Serverのオンプレミス版には、信頼できないデータのデシリアライゼーション脆弱性が存在し、認可されていない攻撃者がネットワーク経由でコード実行を行うことが可能です。この脆弱性はCVE-2025-53771と組み合わせて悪用される可能性があります。CVE-2025-53770はCVE-2025-49704のパッチ回避脆弱性であり、CVE-2025-53770の更新プログラムはCVE-2025-49704の更新プログラムよりも堅牢な保護を含んでいます。
KEV掲載: 2025-07-20公式(NVD) →Fortinet FortiWebには、細工されたHTTPまたはHTTPSリクエストを介して、認証なしの攻撃者が不正なSQLコードまたはコマンドを実行できる可能性があるSQL インジェクション脆弱性が含まれています。
KEV掲載: 2025-07-18公式(NVD) →Wing FTP Serverには、ヌル文字の不適切な無効化の脆弱性が存在し、ユーザセッションファイルへの任意のLuaコード注入が可能です。これにより、FTPサービスの権限（デフォルトではrootまたはSYSTEM）で任意のシステムコマンドを実行されるおそれがあります。
KEV掲載: 2025-07-14公式(NVD) →Citrix NetScaler ADCおよびGatewayには、入力検証の不十分さに起因するバウンダリ外読み取り脆弱性が存在します。この脆弱性により、NetScalerがGateway（VPN仮想サーバー、ICAプロキシ、CVPN、RDPプロキシ）またはAAA仮想サーバーとして構成されている場合に、メモリのオーバーリード(範囲外読み取り)が発生する可能性があります。
KEV掲載: 2025-07-10公式(NVD) →PHPMailerには、ユーザーが供給した入力値のサニタイズに失敗したことに起因するコマンドインジェクション脆弱性が存在します。具体的には、この問題は「class.phpmailer.php」スクリプトの「mail()」関数に影響を与えます。攻撃者はこの問題を悪用して、アプリケーションのコンテキスト内で任意のコードを実行することが可能です。エクスプロイトに失敗すると、サービス妨害状態が発生します。
KEV掲載: 2025-07-07公式(NVD) →Rails Ruby on Railsのaction Viewに経路走査脆弱性が存在します。特別に細工されたacceptヘッダと`render file:`の呼び出しを組み合わせることで、対象サーバ上の任意のファイルがレンダリングされ、ファイルの内容が開示される可能性があります。
KEV掲載: 2025-07-07公式(NVD) →Synacor Zimbra Collaboration Suite (ZCS)のProxyServletコンポーネントにサーバーサイドリクエストフォージェリ(SSRF)の脆弱性が存在します。
KEV掲載: 2025-07-07公式(NVD) →Multi-Router Looking Glass (MRLG) はバッファオーバーフロー脆弱性を含んでおり、リモート攻撃者が任意のメモリ書き込みとメモリ破損を引き起こす可能性があります。
KEV掲載: 2025-07-07公式(NVD) →
優先度 = KEV(実際に悪用中) ＋ EPSS(30日内に悪用される確率) ＋ CVSS(深刻度) の合成。防御目的のフィードで、攻撃コードやPoCは扱いません。各CVEの詳細は公式(NVD)へリンクします。