<<< JPCERT/CC WEEKLY REPORT 2025-08-14 >>>

■08/03(日)〜08/09(土) のセキュリティ関連情報

目　次

【1】WordPress用プラグインAdvanced Custom FieldsにHTMLインジェクションの脆弱性

【2】Exchange Serverに権限昇格の脆弱性

【3】サトー製ラベルプリンタCL4/6NX-J PlusおよびCL4/6NX Plusシリーズに複数の脆弱性

【4】Google Chromeに脆弱性

【5】CSAジャパンのAIWG/CCMWGが「AICM（AI Controls Matrix） V1.0　日本語版」を公開

【6】SSL-VPN機能が有効化されたSonicWall製ファイアウォールGen 7以降を標的とする脅威活動について

【7】トレンドマイクロ製企業向けエンドポイントセキュリティ製品に複数のOSコマンドインジェクションの脆弱性に関する注意喚起

【1】WordPress用プラグインAdvanced Custom FieldsにHTMLインジェクションの脆弱性

情報源

https://jvn.jp/jp/JVN21048820/

概要

WPEngine, Inc.が提供するWordPress用プラグインAdvanced Custom Fieldsには、HTMLインジェクションの脆弱性があります。この問題は、当該製品を修正済みのバージョンに更新することで解決します。詳細は、開発者が提供する情報を参照してください。

関連文書

https://www.advancedcustomfields.com/blog/acf-6-4-3-security-release/

【2】Exchange Serverに権限昇格の脆弱性

情報源

https://msrc.microsoft.com/update-guide/vulnerability/CVE-2025-53786

概要

Microsoftが提供するExchange Serverのハイブリッド構成（オンプレミス版およびクラウド版を同時に利用した構成）には、権限昇格の脆弱性があります。本脆弱性に対応したHotfixは2025年4月に提供されており、適用後にはサービスプリンシパルの資格情報のリセットなどの対応も推奨されています。詳細は、開発者が提供する情報を参照してください。

【3】サトー製ラベルプリンタCL4/6NX-J PlusおよびCL4/6NX Plusシリーズに複数の脆弱性

情報源

https://jvn.jp/jp/JVN16547726/

概要

株式会社サトーが提供するラベルプリンタCL4/6NX-J PlusおよびCL4/6NX Plusシリーズには、複数の脆弱性があります。この問題は、バージョンアップまたはワークアラウンドを実施することで解決します。詳細は、開発者が提供する情報を参照してください。

関連文書

https://www.sato.co.jp/support/pdf/information_05.pdf

【4】Google Chromeに脆弱性

情報源

https://chromereleases.googleblog.com/2025/08/stable-channel-update-for-desktop.html

概要

Google Chromeには、複数の脆弱性があります。この問題は、当該製品を修正済みのバージョンに更新することで解決します。詳細は、開発者が提供する情報を参照してください。

【5】CSAジャパンのAIWG/CCMWGが「AICM（AI Controls Matrix） V1.0　日本語版」を公開

情報源

https://www.cloudsecurityalliance.jp/site/?p=39561

概要

日本クラウドセキュリティアライアンス（CSAジャパン）は、「AICM（AI Controls Matrix）V1.0 日本語版」を公開しました。本文書は、CSAのAIWGが策定した「AICM V1.0 Based on CCM V4.1」を翻訳したもので、クラウド環境における安全かつ信頼性の高いAIシステムの開発・導入・運用を支援することを目的としており、AI特有のリスクに対応する管理策についてまとめられています。

【6】SSL-VPN機能が有効化されたSonicWall製ファイアウォールGen 7以降を標的とする脅威活動について

情報源

https://www.jpcert.or.jp/newsflash/2025080701.html

概要

SonicWallが提供するSSL-VPN機能が有効化されたファイアウォールGen 7以降において、既知の脆弱性（CVE-2024-40766）に関連する脅威活動の可能性が報告されています。一方、アメリカのセキュリティ企業Arctic WolfやHuntressは、最新のパッチが適用された当該製品においても被害を受けるケースについて報告しており、本脅威活動がゼロデイ脆弱性による攻撃の可能性を示唆しています。当該製品を使用している場合は、SonicWallが提供する最新の情報を注視いただき、対策や緩和策の適用、侵害有無の調査や必要な対処などの実施をご検討ください。

関連文書

https://www.sonicwall.com/support/notices/gen-7-and-newer-sonicwall-firewalls-sslvpn-recent-threat-activity/250804095336430

【7】トレンドマイクロ製企業向けエンドポイントセキュリティ製品に複数のOSコマンドインジェクションの脆弱性に関する注意喚起

情報源

https://www.jpcert.or.jp/at/2025/at250016.html

概要

トレンドマイクロ株式会社が提供する企業向けエンドポイントセキュリティ製品には、複数のOSコマンドインジェクションの脆弱性があります。同社は、一部の脆弱性を悪用する攻撃をすでに確認しているとのことです。この問題に対する一時的な緩和策として、製品へのFixtoolの適用が推奨されています。なお、トレンドマイクロ株式会社は、2025年8月中旬に本脆弱性の恒久対策として、Critical Patchのリリースを予定しています。詳細は、開発者が提供する情報を参照してください。

関連文書

https://success.trendmicro.com/ja-JP/solution/KA-0020653

https://appweb.trendmicro.com/SupportNews/NewsDetail.aspx?id=5564

https://jvn.jp/vu/JVNVU92409854/

■JPCERT/CCからのお願い