脆弱性速報
実際に悪用されている脆弱性(CISA KEV)を新着順に。各CVEに悪用確率(EPSS)と深刻度(CVSS)を添え、「今すぐ直すべきか」を防御目線で判断できるようにしたフィードです。
Oracle E-Business Suite の Oracle Concurrent Processing 製品（コンポーネント：BI Publisher Integration）における脆弱性。影響を受けるサポート対象バージョンは 12.2.3～12.2.14。HTTP 経由のネットワークアクセスを持つ認証されていない攻撃者により容易に悪用可能な脆弱性で、Oracle Concurrent Processing を侵害される可能性があります。この脆弱性の成功した攻撃により、Oracle Concurrent Processing の完全な乗っ取りがもたらされる可能性があります。CVSS 3.1 ベーススコア 9.8（機密性、完全性、可用性への影響あり）。CVSS ベクトル：(CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H)
KEV掲載: 2025-10-06公式(NVD) →Mozilla Firefox 3.5.x から 3.5.14、3.6.x から 3.6.11、Thunderbird 3.1.6 前、3.0.x 前 3.0.10、SeaMonkey 2.x 前 2.0.10 では、JavaScript が有効な場合、nsCSSFrameConstructor::ContentAppended、appendChild メソッド、不正なインデックス追跡、および複数フレームの生成に関連するベクトルを通じて、リモート攻撃者が任意のコードを実行できます。これはメモリ破損をトリガーし、2010 年 10 月に Belmoo マルウェアによってワイルドで悪用されました。
KEV掲載: 2025-10-06公式(NVD) →Microsoft Internet Explorer 6、7、8におけるUse-after-free脆弱性により、リモート攻�ウィンドウのクリップ属性に関するCascading Style Sheets（CSS）トークンシーケンスに関連するベクトルを通じて、リモート攻撃者が任意のコードを実行できます。これは「無効なフラグ参照」問題または「初期化されていないメモリ破損脆弱性」としても知られており、2010年11月に野生で悪用されました。
KEV掲載: 2025-10-06公式(NVD) →Microsoft Windows XP SP2およびSP3、Windows Server 2003 SP2、Windows Vista SP2、Windows Server 2008 SP2、R2およびR2 SP1、Windows 7 GoldおよびSP1のカーネルモードドライバであるwin32k.sys内のTrueTypeフォント解析エンジンの未指定の脆弱性により、リモート攻撃者は、Wordドキュメントまたはウェブページ内の細工されたフォントデータを介して任意のコードを実行することが可能です。この脆弱性は2011年11月にDuquによって野生で悪用され、「TrueTypeフォント解析脆弱性」として知られています。
KEV掲載: 2025-10-06公式(NVD) →Microsoft Windows XP SP2および SP3、Windows Server 2003 SP2、Windows Vista SP2、Windows Server 2008 SP2およびR2 SP1、Windows 7 SP1、Windows 8、Windows 8.1、Windows Server 2012 GoldおよびR2、ならびにWindows RT GoldおよびWindows 8.1に搭載されているicardie.dllのInformationCardSigninHelper ClsassのActiveXコントロールの脆弱性により、Internet Explorerを通じてアクセスされた細工されたWebページに対して、リモートの攻撃者が任意のコードの実行またはサービス拒否(バッファオーバーフロー)を引き起こすことが可能です。2013年11月に実際の攻撃での悪用が報告されています。この脆弱性は「InformationCardSigninHelper Vulnerability」として知られています。
KEV掲載: 2025-10-06公式(NVD) →Linux v2.6.19-rc1以降に影響するnet/netfilter/x_tables.cのヒープ領域外書き込みの脆弱性が発見されました。この脆弱性により、攻撃者はユーザー名前空間を通じてヒープメモリ破損による特権昇格またはDoS(サービス拒否)を引き起こすことが可能です。
KEV掲載: 2025-10-06公式(NVD) →Windowsコモンログファイルシステムドライバ特権昇格の脆弱性
KEV掲載: 2025-10-06公式(NVD) →GNU Bash 4.3以前のbash43-026では、環境変数の値に含まれる関数定義を適切に解析していません。これにより、リモート攻�ーヤーが細工された環境を通じて任意のコマンドを実行できます。この脆弱性は、OpenSSHのsshd内のForceCommand機能、Apache HTTPサーバーのmod_cgiおよびmod_cgidモジュール、特定されていないDHCPクライアントによって実行されるスクリプト、および特権境界を越えた環境設定がBash実行と関連する他の状況に影響します。注：この脆弱性は、CVE-2014-6271、CVE-2014-7169、およびCVE-2014-6277の不完全な修正に起因するものです。
KEV掲載: 2025-10-02公式(NVD) →Jenkins バージョン 2.56 以前および 2.46.1 LTS 以前は、認証なしのリモートコード実行に対して脆弱です。認証されていないリモートコード実行の脆弱性により、攻撃者は シリアライズされた Java `SignedObject` オブジェクトを Jenkins CLI に送信でき、新しい `ObjectInputStream` を使用してデシリアライズされることで、既存のブラックリストベースの保護メカニズムをバイパスできます。この問題を修正するため、`SignedObject` をブラックリストに追加しています。また、Jenkins 2.54 の新しい HTTP CLI プロトコルを LTS 2.46.2 にバックポートし、remoting ベース（Java シリアライゼーション）CLI プロトコルを非推奨化して、デフォルトで無効にしています。
KEV掲載: 2025-10-02公式(NVD) →Meteobridge のウェブインターフェースは、CGI シェルスクリプトおよび C で記述されたウェブアプリケーションを通じて、Meteobridge 管理者が気象ステーション データの収集を管理し、Meteobridge システムを管理することを可能にしています。 このウェブインターフェースは、コマンドインジェクションに対して脆弱なエンドポイントを公開しています。 認証されていないリモート攻撃者は、影響を受けるデバイス上で昇格された権限（root）で任意のコマンド実行を獲得できます。
KEV掲載: 2025-10-02公式(NVD) →Juniper ScreenOS 6.2.0r15～6.2.0r18、6.3.0r12（6.3.0r12b前）、6.3.0r13（6.3.0r13b前）、6.3.0r14（6.3.0r14b前）、6.3.0r15（6.3.0r15b前）、6.3.0r16（6.3.0r16b前）、6.3.0r17（6.3.0r17b前）、6.3.0r18（6.3.0r18b前）、6.3.0r19（6.3.0r19b前）、および6.3.0r20（6.3.0r21前）において、SSH またはTELNETセッション中に未指定のパスワードを入力することにより、リモート攻撃者が管理者アクセスを取得することが可能である脆弱性が存在する。
KEV掲載: 2025-10-02公式(NVD) →libimagecodec.quram.soの境界外書き込みの脆弱性（SMR Sep-2025 Release 1より前のバージョン）により、リモート攻撃者が任意のコードを実行することを可能にします。
KEV掲載: 2025-10-02公式(NVD) →Fortraの GoAnywhere MFTのLicense Servletにおけるデシリアライゼーション脆弱性により、正当に偽造されたライセンス応答署名を持つ攻撃者は、任意の攻撃者制御オブジェクトをデシリアライズでき、コマンドインジェクションにつながる可能性があります。
KEV掲載: 2025-09-29公式(NVD) →Adminerはシングルなphpファイルのオープンソースデータベース管理ツールです。バージョン4.0.0以上4.7.9未満のAdminerにはサーバーサイドリクエストフォージェリの脆弱性が存在します。すべてのドライバをバンドルしているAdminerのバージョン（例：adminer.php）のユーザーが影響を受けます。この問題はバージョン4.7.9で修正されました。
KEV掲載: 2025-09-29公式(NVD) →Sudo 1.9.17p1より前のバージョンでは、--chrootオプション使用時にユーザー制御可能なディレクトリから/etc/nsswitch.confが読み込まれるため、ローカルユーザーがroot権限を取得できます。
KEV掲載: 2025-09-29公式(NVD) →Cisco IOS SoftwareおよびCisco IOS XE Softwareの簡易ネットワーク管理プロトコル(SNMP)サブシステムの脆弱性により、以下が可能になる可能性があります。 Cisco IOS SoftwareまたはCisco IOS XE Softwareを実行している影響を受けるデバイスに対して、認証された低権限のリモート攻撃者がサービス拒否(DoS)状態を引き起こす可能性があります。DoSを引き起こすには、攻撃者はSNMPv2c以前のリードオンリーコミュニティストリング、または有効なSNMPv3ユーザー認証情報を持つ必要があります。Cisco IOS XE Softwareを実行している影響を受けるデバイスに対して、認証された高権限のリモート攻撃者がrootユーザーとしてコードを実行する可能性があります。rootユーザーとしてコードを実行するには、攻撃者はSNMPv1またはv2cのリードオンリーコミュニティストリング、または有効なSNMPv3ユーザー認証情報と、影響を受けるデバイスの管理者またはprivilege 15認証情報を持つ必要があります。攻撃者は、IPv4またはIPv6ネットワークを介して、影響を受けるデバイスに細工されたSNMPパケットを送信することで、この脆弱性を悪用する可能性があります。 この脆弱性は、影響を受けるソフトウェアのSNMPサブシステムにおけるスタックオーバーフロー状態が原因です。悪用に成功した場合
KEV掲載: 2025-09-29公式(NVD) →Libraesva ESG 4.5～5.5.x（5.5.7未満）では、圧縮されたメール添付ファイルを経由したコマンドインジェクションが可能です。ESG 5.0については5.0.31で修正がリリースされています。ESG 5.1については5.1.20で修正がリリースされています。ESG 5.2については5.2.31で修正がリリースされています。ESG 5.4については5.4.8で修正がリリースされています。ESG 5.5については5.5.7で修正がリリースされています。
KEV掲載: 2025-09-29公式(NVD) →更新：2025年11月5日、Ciscoは、CVE-2025-20333およびCVE-2025-20362の影響を受けるCisco Secure ASA SoftwareまたはCisco Secure FTD Softwareを実行しているデバイスに対する新しい攻撃バリアントを認識しました。この攻撃により、パッチが適用されていないデバイスが予期せず再起動し、サービス拒否（DoS）状態が発生する可能性があります。Ciscoは、このアドバイザリの「固定ソフトウェア」[「#fs」]セクションに記載されている固定ソフトウェアリリースにアップグレードすることを、すべてのお客様に強く推奨しています。 Cisco Secure Firewall Adaptive Security Appliance（ASA）SoftwareおよびCisco Secure Firewall Threat Defense（FTD）Softwareのレスト型アクセスVPN関連の制限されたURLエンドポイントに対し、認証なしでアクセスすることができる脆弱性が、VPNウェブサーバーに存在します。本来、認証なしではアクセスできないはずのエンドポイントに、認証されていないリモート攻撃者がアクセスできる可能性があります。 この脆弱性は、HTTP(S)リクエストのユーザー入力の検証不十分が原因で発生しています。攻撃者は、細工されたHTTPリクエストをターゲットデバイス上のウェブサーバーに送信することで、この脆弱性を悪用する可能性があります。攻撃が成功した場合、攻撃者は認証なしで制限されたURLにアクセスすることができる
KEV掲載: 2025-09-25公式(NVD) →Cisco Secure Firewall Adaptive Security Appliance (ASA) SoftwareおよびCisco Secure Firewall Threat Defense (FTD) Softwareに存在するVPN Webサーバーの脆弱性により、認証済みのリモート攻撃者が影響を受けるデバイス上で任意のコードを実行できる可能性があります。 この脆弱性は、HTTP(S)リクエストのユーザー入力の不正な検証に由来します。有効なVPNユーザー認証情報を持つ攻撃者は、影響を受けるデバイスに細工されたHTTPリクエストを送信することにより、この脆弱性を悪用できます。悪用に成功した場合、攻撃者はroot権限で任意のコードを実行でき、影響を受けるデバイスの完全な侵害につながる可能性があります。
KEV掲載: 2025-09-25公式(NVD) →Google ChromeのV8における型混同により、バージョン140.0.7339.185より前のGoogle Chromeでは、細工されたHTMLページを介してヒープ破損を悪用する可能性がある脆弱性が存在していました。(Chromiumセキュリティ重大度：高)
KEV掲載: 2025-09-23公式(NVD) →DELMIA Aprisoの2020リリースから2025リリースに影響する信頼されていないデータの逆シリアル化の脆弱性により、リモートコード実行につながる可能性があります。
KEV掲載: 2025-09-11公式(NVD) →Sitecore Experience Manager（XM）およびSitecore Experience Platform（XP）における信頼されていないデータのデシリアライゼーション脆弱性により、コード インジェクションが可能になります。この問題は、Experience Manager（XM）：9.0以前およびExperience Platform（XP）：9.0以前のバージョンに影響を与えます。
KEV掲載: 2025-09-04公式(NVD) →複数の箇所において、使用後解放（use after free）により Chrome サンドボックスをエスケープして Android system_server を攻撃する可能性があります。これは追加の実行権限を必要としないローカル権限昇格につながる可能性があります。エクスプロイト実行には ユーザーの操作は不要です。
KEV掲載: 2025-09-04公式(NVD) →Linuxカーネルにおいて、以下の脆弱性が解決されました： posix-cpu-timers: handle_posix_cpu_timers()とposix_cpu_timer_del()間の競合状態を修正 終了中の非自動回収タスクがexit_notify()を既に通過し、IRQからhandle_posix_cpu_timers()を呼び出した場合、unlock_task_sighand()の直後に親プロセスまたはデバッガーによって回収される可能性があります。 同時にposix_cpu_timer_del()が実行されると、timer->it.cpu.firing != 0を検出できなくなります。cpu_timer_task_rcu()および/またはlock_task_sighand()が失敗するためです。 この問題を修正するため、run_posix_cpu_timers()にtsk->exit_stateチェックを追加してください。 CONFIG_POSIX_CPU_TIMERS_TASK_WORK=yの場合、exit_task_work()がexit_notify()の前に呼び出されるため、この修正は不要です。ただし、このチェックは依然として意味があります。この場合、task_work_add(&tsk->posix_cputimers_work.work)は失敗するためです。
KEV掲載: 2025-09-04公式(NVD) →TP-Link Archer C7(EU) V2およびTL-WR841N/ND(MS) V9の保護者制御ページに認証済みの遠隔コマンド実行(RCE)脆弱性が存在します。 本問題はArcher C7(EU) V2(241108より前)およびTL-WR841N/ND(MS) V9(241108より前)に影響します。 両製品はEOL(サポート終了)ステータスに達しています。より良いパフォーマンスとセキュリティを確保するため、新製品の購入を推奨しています。短期的に交換が難しい場合は、2番目の参照リンクからパッチをダウンロードしてインストールしてください。
KEV掲載: 2025-09-03公式(NVD) →TP-Link TL-WR841N dropbearpwd 不正な認証情報漏洩脆弱性。この脆弱性により、ネットワークに隣接する攻撃者は、影響を受けるTP-Link TL-WR841Nルーターにおける機密情報を漏洩させることができます。この脆弱性を悪用するために認証は必要ありません。 具体的な欠陥はhttpdサービス内に存在し、デフォルトではTCPポート80でリッスンしています。この問題は不正な認証に起因しています。攻撃者はこの脆弱性を利用して保存された認証情報を漏洩させ、さらなる侵害につながる可能性があります。 ZDI-CAN-19899でした。
KEV掲載: 2025-09-03公式(NVD) →TP-Link TL-WA855RE V5 20200415-rel37464デバイスは、同一ネットワーク上の認証されていない攻撃者が、TDDP_RESET POST要求を送信して工場出荷時リセットと再起動を実行することを許可します。攻撃者はその後、新しい管理者パスワードを設定することで、不正なアクセス制御を取得できます。
KEV掲載: 2025-09-02公式(NVD) →iOS版WhatsApp v2.25.21.73以前、iOS版WhatsApp Business v2.25.21.78以前、およびMac版WhatsApp v2.25.21.78以前における連携デバイス同期メッセージの不完全な認可により、無関係なユーザーが標的のデバイス上で任意のURLからのコンテンツ処理をトリガーできる可能性がありました。本脆弱性がAppleプラットフォームのOS レベル脆弱性（CVE-2025-43300）と組み合わせることで、特定の標的ユーザーに対する高度な攻撃に悪用された可能性があると評価します。
KEV掲載: 2025-09-02公式(NVD) →FreePBXはオープンソースのウェブベースのグラフィカルユーザーインターフェースです。FreePBX 15、16、17のエンドポイントは、十分にサニタイズされていないユーザー供給データにより脆弱性を持ち、未認証のFreePBX Administratorへのアクセスが可能になることで、任意のデータベース操作とリモートコード実行につながります。この問題はエンドポイントバージョン15.0.66、16.0.89、および17.0.3でパッチが適用されています。
KEV掲載: 2025-08-29公式(NVD) →NetScalerがゲートウェイ（VPN仮想サーバー、ICAプロキシ、CVPN、RDPプロキシ）またはAAA仮想サーバーとして構成されている場合、NetScaler ADCおよびNetScaler Gatewayにおけるメモリオーバーフロー脆弱性により、リモートコード実行および/またはサービス妨害が発生する可能性がある （または） NetScaler ADC および NetScaler Gateway 13.1、14.1、13.1-FIPS、NDcPPにおいて、IPv6サービスまたはIPv6サーバーにバインドされたタイプ（HTTP、SSLまたはHTTP_QUIC）のLB仮想サーバー （または） NetScaler ADC および NetScaler Gateway 13.1、14.1、13.1-FIPS、NDcPPにおいて、DBS IPv6サービスまたはIPv6 DBSサーバーにバインドされたタイプ（HTTP、SSLまたはHTTP_QUIC）のLB仮想サーバー （または） タイプHDXのCR仮想サーバー
KEV掲載: 2025-08-26公式(NVD) →Gitは高速でスケーラブルな分散型バージョン管理システムであり、高度な機能と内部へのフルアクセスを提供する豊富なコマンドセットを備えています。設定値を読み込む際、Gitは末尾のキャリッジリターンとラインフィード（CRLF）を削除します。設定エントリを書き込む際、末尾にCRを含む値は引用符で囲まれないため、設定が後に読み込まれるときにCRが失われます。サブモジュールを初期化する際、サブモジュールパスに末尾のCRが含まれている場合、変更されたパスが読み込まれ、サブモジュールが不正な場所にチェックアウトされます。変更されたパスがサブモジュールのフックディレクトリを指すシンボリックリンクが存在し、サブモジュールに実行可能なpost-checkoutフックが含まれている場合、チェックアウト後にスクリプトが不意に実行される可能性があります。この脆弱性はv2.43.7、v2.44.4、v2.45.4、v2.46.4、v2.47.3、v2.48.2、v2.49.1、およびv2.50.1で修正されています。
KEV掲載: 2025-08-25公式(NVD) →Citrix Session Recordingにおいて、セッション記録サーバーと同じイントラネット上の認証済みユーザーが攻撃者である場合、NetworkServiceアカウント権限での限定的なリモートコード実行
KEV掲載: 2025-08-25公式(NVD) →Citrix Session Recordingに含まれる不正な権限管理の脆弱性により、NetworkServiceアカウントアクセスへの権限昇格が可能となる可能性があります。攻撃者は、セッション記録サーバーと同じWindows Active Directoryドメイン内の認証済みユーザーである必要があります。
KEV掲載: 2025-08-25公式(NVD) →Apple iOS、iPadOS、macOSに含まれるImage I/Oフレームワークの境界外書き込み脆弱性。
KEV掲載: 2025-08-21公式(NVD) →Trend Micro Apex One管理コンソール（オンプレミス）には、OS コマンドインジェクション脆弱性が存在します。認証前のリモート攻撃者がこの脆弱性を悪用して、悪意のあるコードをアップロードし、影響を受けるインストール環境でコマンドを実行される可能性があります。
KEV掲載: 2025-08-18公式(NVD) →N-able N-Centralは、ユーザー入力の不適切なサニタイズにより、コマンドインジェクション脆弱性を含んでいます。
KEV掲載: 2025-08-13公式(NVD) →N-able N-Central に含まれる安全でないデシリアライゼーション脆弱性があり、コマンド実行につながる可能性があります。
KEV掲載: 2025-08-13公式(NVD) →RARLAB WinRARのWindows版に、パストラバーサル脆弱性が存在します。この脆弱性により、攻撃者が悪意のあるアーカイブファイルを作成することで、任意のコード実行が可能となる可能性があります。
KEV掲載: 2025-08-12公式(NVD) →Microsoft Internet Explorerにはメモリ破損脆弱性が存在し、リモートコード実行を許可します。影響を受ける製品はサポート終了(EoL)および/またはサービス終了(EoS)である可能性があります。ユーザーは製品の使用を中止する必要があります。
KEV掲載: 2025-08-12公式(NVD) →Microsoft Office Excelには、特別に細工されたExcelファイルが開かれた場合に悪用可能なリモートコード実行脆弱性が存在します。この悪意のあるファイルは、メール添付ファイルとして配信されるか、悪意のあるWebサイトでホストされる可能性があります。攻撃者はこの脆弱性を悪用して、特別に細工されたExcelファイルを作成し、そのファイルが開かれた場合に、影響を受けるシステム上で任意のコードを実行することができます。
KEV掲載: 2025-08-12公式(NVD) →
優先度 = KEV(実際に悪用中) ＋ EPSS(30日内に悪用される確率) ＋ CVSS(深刻度) の合成。防御目的のフィードで、攻撃コードやPoCは扱いません。各CVEの詳細は公式(NVD)へリンクします。