脆弱性速報
実際に悪用されている脆弱性(CISA KEV)を新着順に。各CVEに悪用確率(EPSS)と深刻度(CVSS)を添え、「今すぐ直すべきか」を防御目線で判断できるようにしたフィードです。
Google ChromeのMac版143.0.7499.110より前のバージョンにおけるANGLEのアウトオブバウンズメモリアクセス脆弱性により、リモート攻撃者は細工されたHTMLページを使用してアウトオブバウンズメモリアクセスを実行できました。(Chromiumセキュリティ重要度：高)
KEV掲載: 2025-12-12公式(NVD) →GeoServerはオープンソースサーバーで、ユーザーが地理空間データを共有および編集することができます。バージョン2.26.0から2.26.2未満およびバージョン2.25.6未満の間で、XML外部エンティティ（XXE）脆弱性が特定されました。このアプリケーションは/geoserver/wms操作GetMapの特定のエンドポイントを通じてXML入力を受け入れています。しかし、この入力は十分にサニタイズされていないか制限されていないため、攻撃者がXMLリクエスト内で外部エンティティを定義することができます。この問題はGeoServer 2.25.6、GeoServer 2.26.3、およびGeoServer 2.27.0で修正されています。
KEV掲載: 2025-12-11公式(NVD) →RARLAB WinRARディレクトリトラバーサルリモートコード実行脆弱性。この脆弱性により、リモート攻撃者は影響を受けるRARLAB WinRARインストール環境で任意のコードを実行できます。この脆弱性を悪用するにはユーザーの操作が必要であり、ターゲットは悪意のあるページにアクセスするか悪意のあるファイルを開く必要があります。 特定の欠陥はアーカイブファイル内のファイルパス処理に存在します。細工されたファイルパスにより、プロセスが意図しないディレクトリへのトラバーサルが発生する可能性があります。攻撃者はこの脆弱性を悪用して、現在のユーザーのコンテキストでコードを実行できます。以前はZDI-CAN-27198でした。
KEV掲載: 2025-12-09公式(NVD) →Windows Cloud Files Mini Filter Driverのuse after freeの脆弱性により、認可された攻撃者がローカルで権限昇格を実行可能になります。
KEV掲載: 2025-12-09公式(NVD) →D-Link Go-RT-AC750 GORTAC750_revA_v101b03およびGO-RT-AC750_revB_FWv200b02は、cgibin、hnap_mainを経由したバッファオーバーフローの脆弱性が存在します。
KEV掲載: 2025-12-08公式(NVD) →Array Networks ArrayOS AG 9.4.5.9 より前のバージョンはコマンドインジェクションを許可しており、2025年8月から12月にかけて実際の攻撃で悪用されました。
KEV掲載: 2025-12-08公式(NVD) →React Server Components バージョン19.0.0、19.1.0、19.1.1、および19.2.0に、以下のパッケージを含む認証前のリモートコード実行脆弱性が存在します：react-server-dom-parcel、react-server-dom-turbopack、およびreact-server-dom-webpack。脆弱なコードは、Server Function エンドポイントへのHTTPリクエストからのペイロードを安全でない方法で逆シリアル化します。
KEV掲載: 2025-12-05公式(NVD) →OpenPLC ScadaBRのLinux版0.9.1以前およびWindows版1.12.4以前では、認証されたリモートユーザーがview_edit.shtmを通じて任意のJSPファイルをアップロードして実行できる脆弱性が存在します。
KEV掲載: 2025-12-03公式(NVD) →複数の場所において、パーミッション回避により、バックグラウンドからアクティビティを起動する可能性があります。これにより、追加の実行権限を必要とせず、ローカル権限昇格につながる可能性があります。悪用には、ユーザーの操作は不要です。
KEV掲載: 2025-12-02公式(NVD) →DevicePolicyManagerService.javaのhasAccountsOnAnyUserメソッドにおいて、コードのロジックエラーにより、プロビジョニング後にデバイスオーナーを追加される可能性がある。これにより、追加の実行権限なしでローカル権限昇格につながる可能性がある。エクスプロイトに利用者操作は不要である。
KEV掲載: 2025-12-02公式(NVD) →OpenPLC ScadaBR（Linux上 0.9.1以前、Windows上 1.12.4以前）は、system_settings.shtmを介した保存型XSS脆弱性を許可しています。
KEV掲載: 2025-11-28公式(NVD) →Oracle Fusion Middleware のIdentity Managerプロダクト(コンポーネント: REST WebServices)における脆弱性。影響を受けるサポート対象バージョンは12.2.1.4.0および14.1.2.1.0です。簡単に悪用可能な脆弱性であり、HTTPを経由したネットワークアクセスを持つ認証されていない攻撃者がIdentity Managerを侵害できます。この脆弱性への成功した攻撃により、Identity Managerの完全な乗っ取りが可能となります。CVSS 3.1基本スコア9.8(機密性、完全性、および可用性への影響)。CVSSベクトル:(CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H)
KEV掲載: 2025-11-21公式(NVD) →Google Chromeの142.0.7444.175より前のV8における型混同の脆弱性により、リモート攻撃者が細工されたHTMLページを通じてヒープ破損を悪用する可能性がありました。(Chromiumのセキュリティ重大度:高)
KEV掲載: 2025-11-19公式(NVD) →Fortinet FortiWebの8.0.0～8.0.1、7.6.0～7.6.5、7.4.0～7.4.10、7.2.0～7.2.11、7.0.0～7.0.11に存在するOS コマンドインジェクション (CWE-78) 脆弱性により、認証済み攻撃者が細工されたHTTPリクエストまたはCLIコマンドを経由して、基盤となるシステム上で不正なコード実行を行うことができる可能性があります。
KEV掲載: 2025-11-18公式(NVD) →Fortinet FortiWebの8.0.0～8.0.1、7.6.0～7.6.4、7.4.0～7.4.9、7.2.0～7.2.11、7.0.0～7.0.11における相対パストラバーサル脆弱性により、攻撃者が細工されたHTTPまたはHTTPSリクエストを通じてシステム上で管理者コマンドを実行される可能性があります。
KEV掲載: 2025-11-14公式(NVD) →Triofox 16.7.10368.56560より前のバージョンは、セットアップ完了後も初期セットアップページへのアクセスを許可する不適切なアクセス制御の脆弱性に対して脆弱です。
KEV掲載: 2025-11-12公式(NVD) →WatchGuard Fireware OSの境界外書き込み脆弱性により、リモートの認証されていない攻撃者が任意のコードを実行できる可能性があります。この脆弱性は、動的ゲートウェイピアで構成されたIKEv2を使用するモバイルユーザーVPNとブランチオフィスVPN の両方に影響します。本脆弱性はFireware OS 11.10.2から11.12.4_Update1まで、12.0から12.11.3まで、および2025.1に影響します。
KEV掲載: 2025-11-12公式(NVD) →Windows カーネルの不適切な同期を伴う共有リソースの並行実行（競合状態）により、認可された攻撃者がローカルで権限昇格を実行することが可能です。
KEV掲載: 2025-11-12公式(NVD) →libimagecodec.quram.so の SMR Apr-2025 Release 1 より前のバージョンにおける境界外書き込みの脆弱性により、リモート攻撃者が任意のコードを実行される可能性があります。
KEV掲載: 2025-11-10公式(NVD) →CWP（Control Web Panel またはCentOS Web Panel とも呼ばれる）0.9.8.1205 より前のバージョンでは、filemanager changePerm リクエストの t_total パラメータのシェルメタ文字を通じて、認証されていないリモートコード実行が可能です。有効な非root ユーザー名が既知である必要があります。
KEV掲載: 2025-11-04公式(NVD) →Gladinet CentreStackおよびTrioFoxのデフォルトインストールおよび設定において、認証なしでローカルファイルインクルージョン脆弱性が存在し、システムファイルの意図しない開示を招く可能性があります。この脆弱性の実際の悪用が確認されています。 本問題はGladinet CentreStackおよびTrioFoxの16.7.10368.56560以前のすべてのバージョンに影響します。
KEV掲載: 2025-11-04公式(NVD) →XWikiプラットフォームは、その上に構築されたアプリケーションのためにランタイムサービスを提供する汎用ウィキプラットフォームです。ゲストは`SolrSearch`への要求を通じて任意のリモートコード実行を実行できます。これはXWikiインストール全体の機密性、完全性および可用性に影響を与えます。ログインせずにインスタンス上で再現するには、`<host>/xwiki/bin/get/Main/SolrSearch?media=rss&text=%7D%7D%7D%7B%7Basync%20async%3Dfalse%7D%7D%7B%7Bgroovy%7D%7Dprintln%28"Hello%20from"%20%2B%20"%20search%20text%3A"%20%2B%20%2823%20%2B%2019%29%29%7B%7B%2Fgroovy%7D%7D%7B%7B%2Fasync%7D%7D%20`にアクセスしてください。出力がある場合、RSSフィードのタイトルに`Hello from search text:42`が含まれていれば、そのインスタンスは脆弱です。この脆弱性はXWiki 15.10.11、16.4.1および16.5.0RC1でパッチが適用されています。ユーザーはアップグレードすることをお勧めします。アップグレードできないユーザーは、`SolrSearchMacros.xml`の955行目にある`Main.SolrSearchMacros`を編集して、`macros.vm#L2824`の`rawResponse`マクロと一致するように、フィードのコンテンツを単に出力する代わりに`application/xml`のコンテンツタイ
KEV掲載: 2025-10-30公式(NVD) →VMware Aria OperationsおよびVMware Toolsに、ローカル権限昇格の脆弱性が存在します。非管理者権限を持つ悪意のあるローカルユーザーが、VMware Toolsがインストールされており、SDMP有効化されたAria Operationsによって管理されているVM上で、この脆弱性を悪用して、同一VM上でroot権限に昇格させる可能性があります。
KEV掲載: 2025-10-30公式(NVD) →DELMIA Apriso（Release 2020～Release 2025）に存在する認可の欠落脆弱性により、攻撃者がアプリケーションへの特権アクセスを取得できる可能性があります。
KEV掲載: 2025-10-28公式(NVD) →DELMIA Apriso のリリース 2020 からリリース 2025 に影響する、コード生成の不適切な制御 (コードインジェクション) の脆弱性により、攻撃者は任意のコードを実行できる可能性があります。
KEV掲載: 2025-10-28公式(NVD) →Windows Server Update Serviceにおける信頼されていないデータの逆シリアル化により、権限のない攻撃者がネットワーク経由でコード実行を行うことが可能になります。
KEV掲載: 2025-10-24公式(NVD) →Adobe Commerce バージョン 2.4.9-alpha2、2.4.8-p2、2.4.7-p7、2.4.6-p12、2.4.5-p14、2.4.4-p15 および以前のバージョンは、不正なインプット検証脆弱性の影響を受けます。攻撃者がこれを悪用することで、セッションハイジャックを実現でき、機密性および整合性への影響が高くなります。この問題の悪用にはユーザーの操作は必要ありません。
KEV掲載: 2025-10-24公式(NVD) →Lanscope Endpoint Manager (オンプレミス) (クライアントプログラム(MR)および検出エージェント(DA))は、受け取ったリクエストの送信元を不適切に検証しており、特別に細工されたパケットを送信することで、任意のコード実行を可能にする脆弱性があります。
KEV掲載: 2025-10-22公式(NVD) →Kentico Xperience のステージング同期サーバーコンポーネントのパスワード処理に存在する認証回避の脆弱性により、サーバー定義の None タイプを介した認証バイパスが可能になります。この認証回避により、攻撃者は管理オブジェクトを制御できます。この問題は Xperience 13.0.178 以前に影響します。
KEV掲載: 2025-10-20公式(NVD) →Oracle E-Business Suite の Oracle Configurator 製品（コンポーネント：Runtime UI）における脆弱性。影響を受けるサポート対象バージョンは 12.2.3～12.2.14。HTTP 経由でネットワークアクセスを有する未認証の攻撃者が Oracle Configurator を侵害可能な、容易に悪用可能な脆弱性。この脆弱性の成功した攻撃により、機密データへの無許可アクセス、または Oracle Configurator がアクセス可能な全データへの完全なアクセスが結果として生じる可能性がある。CVSS 3.1 ベーススコア 7.5（機密性への影響）。CVSS ベクトル：(CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N)。
KEV掲載: 2025-10-20公式(NVD) →Windows SMBの不適切なアクセス制御により、認可された攻撃者がネットワーク経由で権限を昇格できます。
KEV掲載: 2025-10-20公式(NVD) →Kentico Xperienceの認証バイパス脆弱性は、ダイジェスト認証におけるステージングシンクサーバーのパスワード処理で空のSHA1ユーザー名を悪用することで認証をバイパスできます。認証バイパスにより、攻撃者は管理オブジェクトを制御できます。この問題はXperience 13.0.172以前に影響します。
KEV掲載: 2025-10-20公式(NVD) →この問題は、改善された境界チェックにより対処されました。この問題は、tvOS 15.6、watchOS 8.7、iOS 15.6およびiPadOS 15.6、macOS Monterey 12.5、Safari 15.6で修正されています。ウェブコンテンツの処理により、任意のコード実行が発生する可能性がありました。
KEV掲載: 2025-10-20公式(NVD) →Adobe Experience Manager バージョン 6.5.23 以前は、任意のコード実行につながる可能性がある設定不備の脆弱性の影響を受けます。攻撃者はこの脆弱性を悪用してセキュリティメカニズムをバイパスし、コードを実行することができます。この問題の悪用にはユーザーインタラクションは不要であり、スコープが変更されます。
KEV掲載: 2025-10-15公式(NVD) →SKYSEA Client View Ver.11.221.03以前は、管理コンソールプログラムとのTCP接続における認証処理の脆弱性により、リモートコード実行を許可します。
KEV掲載: 2025-10-14公式(NVD) →Microsoftは、サポート対象のWindowsオペレーティングシステムに標準でシップされているサードパーティのAgereモデムドライバの脆弱性を認識しています。これはltmdm64.sysドライバの今後の削除に関するお知らせです。このドライバは10月の累積更新で削除されています。このドライバに依存するファックスモデムハードウェアはWindows上で動作しなくなります。Microsoftはこのハードウェアへの既存の依存関係を削除することを推奨しています。
KEV掲載: 2025-10-14公式(NVD) →Windows Remote Access Connection Managerにおけるアクセス制御の不備により、認可された攻撃者がローカルで権限昇格を行うことができます。
KEV掲載: 2025-10-14公式(NVD) →IGEL OS 11より前のバージョンにおいて、igel-flash-driverモジュールが暗号化署名を不適切に検証するため、Secure Bootを回避することが可能です。最終的に、検証されていないSquashFSイメージから細工されたルートファイルシステムをマウントできます。
KEV掲載: 2025-10-14公式(NVD) →Grafanaはモニタリングとオブザーバビリティのためのオープンソースプラットフォームです。Grafanaバージョン8.0.0-beta1から8.3.0（パッチ適用版を除く）はディレクトリトラバーサル脆弱性の影響を受けており、ローカルファイルへのアクセスが可能になります。脆弱な URL パスは `<grafana_host_url>/public/plugins//` です。ここで、<plugin_id> はインストールされているプラグインのプラグイン ID です。Grafana Cloud は今までのところ脆弱性の影響を受けていません。ユーザーはパッチ適用版8.0.7、8.1.8、8.2.7、または8.3.1にアップグレードすることが推奨されます。GitHub セキュリティアドバイザリには、脆弱な URL パス、緩和方法、および開示タイムラインに関する詳細情報が含まれています。
KEV掲載: 2025-10-09公式(NVD) →Zimbra Collaboration (ZCS) 9.0、10.0、10.1に発見された問題。Classic Web Clientにおいて、ICSファイル内のHTMLコンテンツの不十分なサニタイゼーションに起因する保存型クロスサイトスクリプティング(XSS)脆弱性が存在します。ユーザーが悪意あるICSエントリを含むメールメッセージを表示する際、<details>タグ内のontoggleイベント経由で埋め込まれたJavaScriptが実行されます。これにより攻撃者は被害者のセッション内で任意のJavaScriptを実行でき、メールフィルターを設定して攻撃者の制御するアドレスへメッセージをリダイレクトさせるなどの不正な動作につながる可能性があります。その結果、攻撃者はメールリダイレクトおよびデータ流出を含む被害者のアカウントに対する不正な動作を実行できます。
KEV掲載: 2025-10-07公式(NVD) →
優先度 = KEV(実際に悪用中) ＋ EPSS(30日内に悪用される確率) ＋ CVSS(深刻度) の合成。防御目的のフィードで、攻撃コードやPoCは扱いません。各CVEの詳細は公式(NVD)へリンクします。