TRENDnetのWi-Fi中継機「TEW-713RE」において、認証を必要としない深刻なコマンドインジェクションの脆弱（ぜいじゃく）性が見つかった。 この脆弱性はファームウェアバージョン1.02に存在し、CVE-2025-15471として識別されている。OSコマンドインジェクションの脆弱性とされ、悪用された場合、リモートからサイバー攻撃を受ける可能性がある。 認証なしでOSコマンドを直接実行可能な脆弱性　ベンダーは応答せず 問題となるのは、機器に組み込まれたWeb管理システムのエンドポイント「/goformX/formFSrvX」に存在する処理にある。このエンドポイントは、本来は再起動や設定反映など内部管理目的で使用される機能だが、認証前の状態でも外部からアクセス可能になっていることが確認されている。HTTPリクエスト内の「SZCMD」というパラメーターに指定された文字列を、そのままOS

2025年のMicrosoft製品の脆弱性分析レポート 2025年のMicrosoft製品の脆弱性報告は3500件を超え、依然として高水準で推移している。月例更新プログラムでの対応が続く中、23件のゼロデイ攻撃も確認された。攻撃の巧妙化やOffice 2016／2019のサポート終了によりリスクが増大する一方、IT管理者は更新時の不具合回避と迅速な適用の間で難しい判断を迫られている。 2025年のMicrosoft製品（Windows OS、Office、関連コンポーネント）に対する脆弱性（ぜいじゃく）報告は重複を含め3500件を超え、依然として高い水準を維持している。毎月、第2火曜日（米国時間）に提供される「月例更新プログラム（Patch Tuesday）」で解消される脆弱性は、1カ月当たり50～170件に及び、ITセキュリティ部門にとって更新プログラムの管理は大きな負担となっている。

「Google Chrome」に新たなゼロデイ脆弱（ぜいじゃく）性が発見された。Googleは米国時間11月17日に公開したセキュリティアドバイザリーの中で、同社の人気ブラウザーに影響を及ぼす深刻なセキュリティ上の欠陥について警告している。幸いにも、最新のアップデートによってこの脆弱性は修正された。 今回のゼロデイ脆弱性は「CVE-2025-13223」として識別されており、深刻度は「高」と評価されている。Googleによると、「Google Chromeのバージョン142.0.7444.175以前のV8における型の混乱（Type Confusion）により、細工されたHTMLページを通じてリモート攻撃者がヒープ破損を引き起こす可能性がある」と説明されている。 平易な言葉で言えば、ChromeのJavaScriptエンジン「V8」が特定のデータ型を正しく処理できず、メモリー破損を招くという

共同通信が8月28日夕方に配信した「FeliCa」の脆弱性に関する記事が話題になっている。当初はFeliCaが持つ暗号システムを破ってデータ改ざんが可能になるという速報ベースのものだったが、独自と題した続報では旧式のシステムが持つ暗号鍵の脆弱性を利用することで、新型のシステムにおいても攻撃が可能という詳細記事が配信された。 翌29日に地方紙などに配信された記事では実際に交通系ICカードの残高を変更したスクリーンショットが掲載されるなど、より報道がエスカレートしている。 情報公開のプロセス 今回、FeliCaにかかわる事業者から詳細情報が一切提供されておらず、技術的な解説は発見者の報告を介した当該の報道のみという状況で、危険性や安全性を論じられるほどの確かな情報が存在しない。そのうえで推測を交えて筆者の見解を述べれば、問題が発見されたからといって即座に自身が被害を受けたり、社会インフラが崩壊

ウチの会社にはゼロデイ攻撃なんて関係ない。対策しろといわれてもコストがかかりすぎる――。 経営層の中には、脅威を認識しながらもゼロデイ攻撃を対岸の火事とみなす人が少なくない。しかし、この認識は現実から大きくかけ離れている。実際、「Adobe Reader」や「Microsoft SharePoint」といった、企業で広く利用されるソフトウェアにも定期的にゼロデイ脆弱（ぜいじゃく）性が発見され、攻撃に悪用されている。 ZDIは2005年に独立系の脆弱性報奨金プログラム（バグバウンティー）として発足し、現在はトレンドマイクロが運営している。世界中の研究者から未公開の脆弱性情報を収集して報奨金を支払うほか、ベンダーへの修正要請や、公式パッチが提供される前に適用できる「バーチャルパッチ」による暫定防御の提供も行っている。Childs氏によると、設立当初はわずか1件だったバグ報告が、2023年には1

新たに見つかったActive Directoryの脆弱性対策と認証問題、その対処方法は？：Microsoft Azure最新機能フォローアップ（224） Active Directoryの脆弱性対策と認証の問題に関し、新たな複数フェーズを持つ脆弱性対策が見つかりました。そこで今回は、本件に関連した「複数フェーズを持つ脆弱性対策」と「認証におけるDESの廃止」「コンピュータアカウントのパスワード交換がうまくいかない事象」の3つのトピックを解説します。 Microsoft Azure最新機能フォローアップ Active Directoryの脆弱性対策と認証の問題とは？ 本稿では、Active Directoryの脆弱（ぜいじゃく）性対策と認証の問題に関して、3つのトピックを解説します。 1つ目は、「複数フェーズを持つ脆弱性対策（もしくは更新プログラム）」です。具体的には、以下のCVE（Comm

関連キーワード 脆弱性 | セキュリティ対策 脆弱（ぜいじゃく）性識別子「CVE」（Common Vulnerabilities and Exposures）は、脆弱性情報の一貫した共有を可能にする識別子として、世界各国で活用されている。2025年4月16日（現地時間）、CVEを管理する米国のIT研究団体MITREが運営する研究機関Center for Securing the Homeland（CSH）のバイスプレジデント兼ディレクターを務めるヨスリー・バルソウム氏が役員会に宛てた書簡が突如としてリークされた。その内容は、今後の脆弱性対策を脅かすものだった。どのような内容だったのか。 CVEに一体何が起こったのか？ 併せて読みたいお薦め記事 CVEの増加と攻撃者の狙い ランサムウェア集団Black Bastaの会話が流出　明らかになった攻撃者の“本音” ランサムウェアの半数以上が“あの侵

関連キーワード Google | 脆弱性対策 | ネットワーク・セキュリティ | ルータ Google傘下のセキュリティベンダーMandiantは2025年年3月12日（米国時間）、中国政府の支援が疑われる諜報活動グループ「UNC3886」が、Juniper Networks製のルーターで使われているネットワークOS「Junos OS」にバックドア（不正アクセスのための侵入口）を仕掛けていたことを公表した。 Ghost in the Router: China-Nexus Espionage Actor UNC3886 Targets Juniper Routers（出典：Google CloudのWebサイト）《クリックで拡大》 まるで「攻殻機動隊」？　その高度な手口とは 併せて読みたいお薦め記事 その他セキュリティ関連で人気の話題 身代金110億円「史上最悪級のランサムウェア被害」を防

英国のITニュースメディア「The Register」は2025年2月25日（現地時間）、Googleがショートメッセージサービス（SMS）を利用した認証コード送信を段階的に終了し、QRコードを使用するより安全な認証手法へ切り替えると報じた。 SMSを利用した多要素認証（MFA）は長年にわたり広く使用されてきたが、その安全性には大きな問題があった。特にSS7（Signaling System No.7）の脆弱（ぜいじゃく）性を悪用すれば、ハッカーや国家レベルの攻撃者が認証コードを傍受できる。この他、SIMスワッピングと呼ばれる手口を使うことで攻撃者が被害者の電話番号を乗っ取り、その番号宛に送信された認証コードを盗み取ることも可能だ。 「さよならSMS認証」Googleが段階的な廃止へ　他企業も追随か SMSを使ったMFAについて、米国国立標準技術研究所（NIST）は2016年にその使用を避

日々の生活や企業活動に必要不可欠となっている無線LAN（Wi-Fi）。その規格の一部に、新たな脆弱性が見つかった。イタリアと米国の研究者グループが2025年1月に報告した。脆弱性を悪用すれば、端末の通信速度を大きく低下させられるという。この脆弱性を突く攻撃手法は「BREAK（Beamforming Report Eavesdropping AttacK）」と名付けられた。一体、どのような攻撃なのだろうか。 「フィードバック」を暗号化していない 今回の脆弱性は、Wi-Fiの規格であるWi-Fi 5（IEEE 802.11ac）以降に実装されている「MU-MIMO（Multi-User Multiple-Input Multiple-Output）」という技術に存在する。Wi-Fi 5以降に準拠したWi-Fi機器全てが対象になるので、世界中で200億台以上の機器が影響を受ける可能性があるという

関連キーワード 人工知能 | サイバー攻撃 | セキュリティ 生成AI（人工知能）ツールの中核技術である大規模言語モデル（LLM）を巡り、さまざまなセキュリティリスクが指摘されている。2024年8月に米ラスベガスで開催された年次セキュリティカンファレンス「Black Hat USA 2024」で、NVIDIAの主席AI・ML（機械学習）セキュリティアーキテクト、リチャード・ハラング氏はLLMの脅威を説明した。同氏が注意を呼び掛ける、LLMを狙った「2大攻撃手法」とは何か。 「RAG」が危ない？　LLMの2大脅威はこれだ 併せて読みたいお薦め記事 LLM（大規模言語モデル）を巡る脅威とは 「生成AIが攻撃を受ける」とはどういうこと？　LLMの脅威“10選” 生成AIからデータが盗まれていることも……？　LLMの10大脅威 間接プロンプトインジェクション ハラング氏はLLMを狙った攻撃手法の一

関連キーワード Intel（インテル） | CPU | 脆弱性 セキュリティベンダーEclypsiumの調査によって、ファームウェアメーカーPhoenix Technologies製のファームウェア「Phoenix SecureCore」に深刻な脆弱（ぜいじゃく）性が存在することが明らかになった。Phoenix SecureCoreは、コンピュータのハードウェアとOS間のインタフェース規格「UEFI」（Unified Extensible Firmware Interface）準拠のファームウェアだ。この脆弱性は複数のIntel製CPUと数百種類のPCに影響を与える可能性があるという。どのような脆弱性なのか。 “PCの最深部”ファームウェアを狙う脆弱性とは？ 併せて読みたいお薦め記事 さまざまな脆弱性情報 VMware ESXiに脆弱性　Microsoftが「ランサムウェアでの悪用を確認」

サイバートラストは、組み込み機器やIoT機器を開発、製造する企業向けに、製品出荷後の脆弱性調査サービスを提供する。製品内の脆弱性の把握、深刻度の判定など、国際セキュリティ標準への適合をサポートする。 サイバートラストは2024年7月10日、組み込み機器やIoT（モノのインターネット）機器を開発、製造する企業向けに、出荷後の製品に対する脆弱（ぜいじゃく）性調査サービスの提供を開始した。 同サービスは、医療機器や自動車向け機器、防衛装備品、欧州で使用する機器などを対象とし、製品内の脆弱性の把握、深刻度の判定など、国際セキュリティ標準への適合をサポートする。これによりサービス導入企業は、製品の脆弱性対応にかかるリソースを軽減し、次の製品開発に注力できる。 提供するサービスは、IoT機器向けLinux OS「EMLinux」をベースとしたシステムを対象とする「EMLinuxカスタムメンテナンスサー

バッファローは5月23日、情報通信研究機構（NICT）の指摘を受けて実施した、Wi-Fiルーター「WSR-1166DHPシリーズ」などのbotウイルス感染に関する調査結果を発表した。botに感染した端末は遠隔操作により攻撃の踏み台にされるおそれがあり、該当製品を使用しているユーザーに対し、パスワードの変更やファームウェアの更新を呼び掛けている。 同モデルのbot感染増加が判明したのは5月21日。NICTのサイバー攻撃観測・分析システム「NICTER」の解析チームが、botに感染したバッファロー製Wi-Fiルーターの増加をNICTERで観測していること、同モデルの感染が目立つことなどをX（旧Twitter）に投稿していた。それを受けバッファローは、NICTER解析チームと連携して調査を進めていることを22日に発表し、新たな事実が分かり次第公開するとしていた。 対象の製品を利用していること、そ

関連キーワード Google | サイバー攻撃 | スパイウェア Googleのセキュリティ研究部隊Threat Analysis Group（TAG）と、Google傘下のセキュリティベンダーMandiantは2024年3月にセキュリティレポート「We're All in this Together: A Year in Review of Zero-Days Exploited In-the-Wild in 2023」を公開した。このレポートによれば、さまざまな脆弱（ぜいじゃく）性が存在する中でも、さまざまなIT製品に影響し得る“ある脆弱性”が特に危険だ。 Googleが指摘、特に危険な脆弱性とは 併せて読みたいお薦め記事 連載：ある調査で分かった脅威の実態 前編：Googleが調査、「ゼロデイ攻撃」増加の背景に“あの商用ツール” 無視できない、スパイウェアによる脅威 そのiPhone

関連キーワード サイバー攻撃 | マルウェア | セキュリティ サイバー犯罪集団「Camaro Dragon」（カマロドラゴン）が、中国のネットワーク機器ベンダーTP-Link製のルーターを狙った攻撃活動を実施している――。セキュリティベンダーCheck Point Software Technologiesは2023年5月、こう発表した。中国政府が支援しているとみられるCamaro Dragonは、どのようにしてTP-Link製ルーターを狙っているのか。 TP-Link製ルーターに侵入する手口は？ 併せて読みたいお薦め記事 ルーターを狙った攻撃には要注意だ プロ調査で脆弱性が大量に見つかってしまった“残念”な無線LANルーターとは？ 「無線LANルーターの7割は侵入可能」　研究者が明らかにした“驚きの手口” Check Pointの研究部隊によると、Camaro Dragonはマルウェア

Innovative Tech： このコーナーでは、テクノロジーの最新研究を紹介するWebメディア「Seamless」を主宰する山下裕毅氏が執筆。新規性の高い科学論文を山下氏がピックアップし、解説する。Twitter: ＠shiropen2 米テキサス大学サンアントニオ校と米コロラド大学コロラドスプリングス校に所属する研究者らが発表した論文「Near-Ultrasound Inaudible Trojan（NUIT）: Exploit Your Speaker to Attack Your Microphone」は、スマートフォンやスマートスピーカーの音声アシスタント（Siri、Google Assistant、Alexa、Cortana）に対する不可聴攻撃を提案した研究報告である。 その手口は、インターネット（動画や音楽、Web会議など）を通じて、人間には聞こえない音を流し、リモートでス

サイバーセキュリティ企業のAlaskan Cyber Watchに勤めるロイス・ウィリアムズ氏が、Javaのログ出力ライブラリ・Log4jに発見されたゼロデイ脆弱性「Log4Shell」に関するチートシートを公開しています。チートシートは随時更新されており、Log4Shellのエクスプロイトから身を守るための対応や回避策、Log4Shellの影響があるプロダクトやすでに対策を講じたと発表しているサービスもまとめられているので、お役立ちです。 Tech Solvency: The Story So Far: CVE-2021-44228 (Log4Shell log4j vulnerability). https://www.techsolvency.com/story-so-far/cve-2021-44228-log4j-log4shell/ ゼロデイ脆弱性「Log4Shell」について

産業用アプリストアの脆弱性を悪用したワークステーションからの侵入：スマート工場に潜むサイバーセキュリティリスク（2）（1/2 ページ） スマート工場化が加速する一方で高まっているのがサイバー攻撃のリスクである。本連載ではトレンドマイクロがまとめた工場のスマート化に伴う新たなセキュリティリスクについての実証実験研究の結果を基に注意すべきセキュリティリスクを考察する。第2回目となる今回は、開発に不可欠なEWS（エンジニアリングワークステーション）の役割と、EWSの接続先である産業用のアプリケーションストアに着目する。 工場でIoT（モノのインターネット）など先進のデジタル技術を活用するスマート工場化への動きが活発化している。しかし、一方で高まっているのが、サイバー攻撃のリスクである。トレンドマイクロは2020年5月11日、工場のスマート化に伴う新たなセキュリティリスクについての実証実験研究の結