ミニ・いんふぉめーしょん

目　次
【1】複数のApple製品に境界外書き込みの脆弱性
【2】Movable Typeに複数の脆弱性
【3】複数のMozilla製品に脆弱性
【4】Google Chromeに脆弱性
【5】JPCERT/CCが「標準から学ぶICSセキュリティ #8 ICSのシステムに対するセキュリティ要件」を公開
【6】フィッシング対策協議会が「SSL/TLSサーバー証明書における 有効期間短縮化について」を公開
※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/

【1】複数のApple製品に境界外書き込みの脆弱性
情報源
https://support.apple.com/ja-jp/124925

概要
複数のApple製品には、境界外書き込みの脆弱性があります。Appleは、今回修正された脆弱性について、特定の個人を標的とした限定的な攻撃で悪用された可能性があるという報告を確認しているとのことです。この問題は、当該製品を修正済みのバージョンに更新することで解決します。詳細は、開発者が提供する情報を参照してください。
関連文書
https://support.apple.com/ja-jp/124926

https://support.apple.com/ja-jp/124927

https://support.apple.com/ja-jp/124928

https://support.apple.com/ja-jp/124929

【2】Movable Typeに複数の脆弱性
情報源
https://jvn.jp/jp/JVN76729865/

概要
シックス・アパート株式会社が提供するMovable Typeには、複数の脆弱性があります。この問題は、当該製品を修正済みのバージョンに更新することで解決します。詳細は、開発者が提供する情報を参照してください。
関連文書
https://www.sixapart.jp/movabletype/news/2025/08/20-1100.html

【3】複数のMozilla製品に脆弱性
情報源
https://www.mozilla.org/en-US/security/advisories/mfsa2025-64/

概要
複数のMozilla製品には、脆弱性があります。Firefox、Firefox ESR、Firefox for iOS、Focus for iOS、Thunderbirdが影響を受けます。この問題は、当該製品を修正済みのバージョンに更新することで解決します。詳細は、開発者が提供する情報を参照してください。
関連文書
https://www.mozilla.org/en-US/security/advisories/mfsa2025-65/

https://www.mozilla.org/en-US/security/advisories/mfsa2025-66/

https://www.mozilla.org/en-US/security/advisories/mfsa2025-67/

https://www.mozilla.org/en-US/security/advisories/mfsa2025-68/

https://www.mozilla.org/en-US/security/advisories/mfsa2025-69/

https://www.mozilla.org/en-US/security/advisories/mfsa2025-70/

https://www.mozilla.org/en-US/security/advisories/mfsa2025-71/

https://www.mozilla.org/en-US/security/advisories/mfsa2025-72/

【4】Google Chromeに脆弱性
情報源
https://chromereleases.googleblog.com/2025/08/stable-channel-update-for-desktop_19.html

概要
Google Chromeには、脆弱性があります。この問題は、当該製品を修正済みのバージョンに更新することで解決します。詳細は、開発者が提供する情報を参照してください。

【5】JPCERT/CCが「標準から学ぶICSセキュリティ #8 ICSのシステムに対するセキュリティ要件」を公開
情報源
https://www.jpcert.or.jp/ics/20250821_ICSsecStandards-08.pdf

概要
JPCERT/CCは、「標準から学ぶICSセキュリティ #8 ICSのシステムに対するセキュリティ要件」を公開しました。ICSのシステムに対するセキュリティ認証基準をベースに、ICSのシステムが満たすべきセキュリティ要件を定義した IEC62443-3-3 「システムのセキュリティ要件とセキュリティ水準」について解説しています。
関連文書
https://www.jpcert.or.jp/ics/information07.html

【6】フィッシング対策協議会が「SSL/TLSサーバー証明書における 有効期間短縮化について」を公開
情報源
https://www.antiphishing.jp/report/wg/cert_explaindoc_20250819.html

概要
フィッシング対策協議会の証明書普及促進ワーキンググループは、「SSL/TLSサーバー証明書における 有効期間短縮化について」を公開しました。2025年4月にパブリックな証明書の要件を定める業界団体CA/Browser Forumで可決されたサーバー証明書の有効期限の段階的な短縮により、最終的に2029年3月15日以降に発行されるサーバー証明書の最大有効期間は47日まで短縮されます。本ドキュメントでは、この有効期間を短縮する目的について解説しています。

目　次
【1】PostgreSQLに複数の脆弱性
【2】Seagate Toolkitに引用符で囲まれていない検索パスの脆弱性
【3】複数のIntel製品に脆弱性
【4】GitLabに複数の脆弱性
【5】複数のSAP製品に脆弱性
【6】Google Chromeに複数の脆弱性
【7】JPCERT/CCが「Cobalt Strike Beaconの機能をクロスプラットフォームへと拡張するツール「CrossC2」を使った攻撃」を公開
【8】複数のマイクロソフト製品に脆弱性
※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/

【1】PostgreSQLに複数の脆弱性
情報源
https://www.postgresql.org/about/news/postgresql-176-1610-1514-1419-1322-and-18-beta-3-released-3118/

概要
PostgreSQLには、複数の脆弱性があります。この問題は、当該製品を修正済みのバージョンに更新することで解決します。詳細は、開発者が提供する情報を参照してください。

【2】Seagate Toolkitに引用符で囲まれていない検索パスの脆弱性
情報源
https://jvn.jp/jp/JVN89385114/

概要
Seagate Technologyが提供するSeagate Toolkitには、引用符で囲まれていない検索パスの脆弱性があります。この問題は、当該製品を修正済みのバージョンに更新することで解決します。詳細は、開発者が提供する情報を参照してください。
関連文書
https://www.seagate.com/product-security/#security-advisories

【3】複数のIntel製品に脆弱性
情報源
https://jvn.jp/vu/JVNVU90372902/

概要
複数のIntel製品には、脆弱性があります。対象となる製品およびバージョンは多岐にわたります。詳細は、開発者が提供する情報を参照してください。
関連文書
https://www.intel.com/content/www/us/en/security-center/default.html

【4】GitLabに複数の脆弱性
情報源
https://about.gitlab.com/releases/2025/08/13/patch-release-gitlab-18-2-2-released/

概要
GitLabには、複数の脆弱性があります。この問題は、当該製品を修正済みのバージョンに更新することで解決します。詳細は、開発者が提供する情報を参照してください。

【5】複数のSAP製品に脆弱性
情報源
https://support.sap.com/ja/my-support/knowledge-base/security-notes-news/august-2025.html

概要
複数のSAP製品には、脆弱性があります。この問題は、当該製品を修正済みのバージョンに更新することで解決します。詳細は、開発者が提供する情報を参照してください。

【6】Google Chromeに複数の脆弱性
情報源
https://chromereleases.googleblog.com/2025/08/stable-channel-update-for-desktop_12.html

概要
Google Chromeには、複数の脆弱性があります。この問題は、当該製品を修正済みのバージョンに更新することで解決します。詳細は、開発者が提供する情報を参照してください。

【7】JPCERT/CCが「Cobalt Strike Beaconの機能をクロスプラットフォームへと拡張するツール「CrossC2」を使った攻撃」を公開
情報源
https://blogs.jpcert.or.jp/ja/2025/08/crossc2.html

概要
JPCERT/CCは、2024年9月から12月にかけて行われた攻撃キャンペーンで、Linux上で動作するCobalt Strike Beaconを作成可能な拡張ツールCrossC2を用いる手法を確認しました。本ブログでは、この攻撃キャンペーンで確認したマルウェアやツールの解説に加え、JPCERT/CCが公開したCrossC2の分析をサポートするツールを紹介しています。

【8】複数のマイクロソフト製品に脆弱性
情報源
https://www.jpcert.or.jp/at/2025/at250017.html

概要
複数のマイクロソフト製品には、脆弱性があります。この問題は、Microsoft Updateなどを用いて、更新プログラムを適用することで解決します。詳細は、開発者が提供する情報を参照してください。
関連文書
https://msrc.microsoft.com/blog/2025/08/202508-security-update/

目　次
【1】WordPress用プラグインAdvanced Custom FieldsにHTMLインジェクションの脆弱性
【2】Exchange Serverに権限昇格の脆弱性
【3】サトー製ラベルプリンタCL4/6NX-J PlusおよびCL4/6NX Plusシリーズに複数の脆弱性
【4】Google Chromeに脆弱性
【5】CSAジャパンのAIWG/CCMWGが「AICM（AI Controls Matrix） V1.0　日本語版」を公開
【6】SSL-VPN機能が有効化されたSonicWall製ファイアウォールGen 7以降を標的とする脅威活動について
【7】トレンドマイクロ製企業向けエンドポイントセキュリティ製品に複数のOSコマンドインジェクションの脆弱性に関する注意喚起
※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/

【1】WordPress用プラグインAdvanced Custom FieldsにHTMLインジェクションの脆弱性
情報源
https://jvn.jp/jp/JVN21048820/

概要
WPEngine, Inc.が提供するWordPress用プラグインAdvanced Custom Fieldsには、HTMLインジェクションの脆弱性があります。この問題は、当該製品を修正済みのバージョンに更新することで解決します。詳細は、開発者が提供する情報を参照してください。
関連文書
https://www.advancedcustomfields.com/blog/acf-6-4-3-security-release/

【2】Exchange Serverに権限昇格の脆弱性
情報源
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2025-53786

概要
Microsoftが提供するExchange Serverのハイブリッド構成（オンプレミス版およびクラウド版を同時に利用した構成）には、権限昇格の脆弱性があります。本脆弱性に対応したHotfixは2025年4月に提供されており、適用後にはサービスプリンシパルの資格情報のリセットなどの対応も推奨されています。詳細は、開発者が提供する情報を参照してください。

【3】サトー製ラベルプリンタCL4/6NX-J PlusおよびCL4/6NX Plusシリーズに複数の脆弱性
情報源
https://jvn.jp/jp/JVN16547726/

概要
株式会社サトーが提供するラベルプリンタCL4/6NX-J PlusおよびCL4/6NX Plusシリーズには、複数の脆弱性があります。この問題は、バージョンアップまたはワークアラウンドを実施することで解決します。詳細は、開発者が提供する情報を参照してください。
関連文書
https://www.sato.co.jp/support/pdf/information_05.pdf

【4】Google Chromeに脆弱性
情報源
https://chromereleases.googleblog.com/2025/08/stable-channel-update-for-desktop.html

概要
Google Chromeには、複数の脆弱性があります。この問題は、当該製品を修正済みのバージョンに更新することで解決します。詳細は、開発者が提供する情報を参照してください。

【5】CSAジャパンのAIWG/CCMWGが「AICM（AI Controls Matrix） V1.0　日本語版」を公開
情報源
https://www.cloudsecurityalliance.jp/site/?p=39561

概要
日本クラウドセキュリティアライアンス（CSAジャパン）は、「AICM（AI Controls Matrix）V1.0 日本語版」を公開しました。本文書は、CSAのAIWGが策定した「AICM V1.0 Based on CCM V4.1」を翻訳したもので、クラウド環境における安全かつ信頼性の高いAIシステムの開発・導入・運用を支援することを目的としており、AI特有のリスクに対応する管理策についてまとめられています。

【6】SSL-VPN機能が有効化されたSonicWall製ファイアウォールGen 7以降を標的とする脅威活動について
情報源
https://www.jpcert.or.jp/newsflash/2025080701.html

概要
SonicWallが提供するSSL-VPN機能が有効化されたファイアウォールGen 7以降において、既知の脆弱性（CVE-2024-40766）に関連する脅威活動の可能性が報告されています。一方、アメリカのセキュリティ企業Arctic WolfやHuntressは、最新のパッチが適用された当該製品においても被害を受けるケースについて報告しており、本脅威活動がゼロデイ脆弱性による攻撃の可能性を示唆しています。当該製品を使用している場合は、SonicWallが提供する最新の情報を注視いただき、対策や緩和策の適用、侵害有無の調査や必要な対処などの実施をご検討ください。
関連文書
https://www.sonicwall.com/support/notices/gen-7-and-newer-sonicwall-firewalls-sslvpn-recent-threat-activity/250804095336430

【7】トレンドマイクロ製企業向けエンドポイントセキュリティ製品に複数のOSコマンドインジェクションの脆弱性に関する注意喚起
情報源
https://www.jpcert.or.jp/at/2025/at250016.html

概要
トレンドマイクロ株式会社が提供する企業向けエンドポイントセキュリティ製品には、複数のOSコマンドインジェクションの脆弱性があります。同社は、一部の脆弱性を悪用する攻撃をすでに確認しているとのことです。この問題に対する一時的な緩和策として、製品へのFixtoolの適用が推奨されています。なお、トレンドマイクロ株式会社は、2025年8月中旬に本脆弱性の恒久対策として、Critical Patchのリリースを予定しています。詳細は、開発者が提供する情報を参照してください。
関連文書
https://success.trendmicro.com/ja-JP/solution/KA-0020653

https://appweb.trendmicro.com/SupportNews/NewsDetail.aspx?id=5564

https://jvn.jp/vu/JVNVU92409854/

目　次
【1】PowerCMSに複数の脆弱性
【2】Node-SAMLに不適切な認証の脆弱性
【3】複数のApple製品に脆弱性
【4】Google Chromeに脆弱性
【5】SysTrackにファイル検索パスの制御不備の脆弱性
【6】Apache HTTP Server 2.4.64にRewriteCondディレクティブの実装不備の脆弱性
【7】WordPress用プラグインPost SMTPに不適切な権限チェックの脆弱性
【8】IPAが「脆弱性診断内製化ガイド」を公表
【9】IPAが「2025年度 夏休みにおける情報セキュリティに関する注意喚起」を公開
※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/

【1】PowerCMSに複数の脆弱性
情報源
https://jvn.jp/vu/JVNVU93412964/

概要
アルファサード株式会社が提供するPowerCMSには、複数の脆弱性があります。この問題は、当該製品を修正済みのバージョンに更新することで解決します。詳細は、開発者が提供する情報を参照してください。
関連文書
https://www.powercms.jp/news/release-powercms-671-531-461.html

【2】Node-SAMLに不適切な認証の脆弱性
情報源
https://github.com/node-saml/node-saml/security/advisories/GHSA-4mxg-3p6v-xgq3

概要
SAML認証を実装するためのライブラリNode-SAMLには、不適切な認証の脆弱性があります。この問題は、当該ライブラリを修正済みのバージョンに更新することで解決します。詳細は、開発者が提供する情報を参照してください。

【3】複数のApple製品に脆弱性
情報源
https://support.apple.com/ja-jp/124149

概要
複数のApple製品には、脆弱性があります。この問題は、当該製品を修正済みのバージョンに更新することで解決します。詳細は、開発者が提供する情報を参照してください。
関連文書
https://support.apple.com/ja-jp/124147

https://support.apple.com/ja-jp/124148

https://support.apple.com/ja-jp/124150

https://support.apple.com/ja-jp/124151

https://support.apple.com/ja-jp/124152

https://support.apple.com/ja-jp/124153

https://support.apple.com/ja-jp/124154

https://support.apple.com/ja-jp/124155

【4】Google Chromeに脆弱性
情報源
https://chromereleases.googleblog.com/2025/07/stable-channel-update-for-desktop_29.html

概要
Google Chromeには、脆弱性があります。この問題は、当該製品を修正済みのバージョンに更新することで解決します。詳細は、開発者が提供する情報を参照してください。

【5】SysTrackにファイル検索パスの制御不備の脆弱性
情報源
https://jvn.jp/vu/JVNVU90163061/

概要
Lakeside Softwareが提供するSysTrackには、ファイル検索パスの制御不備の脆弱性があります。この問題は、当該製品にHotfixを適用することで解決します。詳細は、開発者が提供する情報を参照してください。
関連文書
https://documentation.lakesidesoftware.com/en/Content/Release%20Notes/Agent/10_10_0%20Hotfix%20Agent%20Release%20Notes%20On%20Premises.htm?tocpath=Release%20Notes%7CAgent%7C_____13

【6】Apache HTTP Server 2.4.64にRewriteCondディレクティブの実装不備の脆弱性
情報源
https://jvn.jp/vu/JVNVU95131187/

概要
Apache HTTP Server 2.4.64には、RewriteCondディレクティブの実装不備の脆弱性があります。この問題は、当該製品を修正済みのバージョンに更新することで解決します。詳細は、開発者が提供する情報を参照してください。
関連文書
https://httpd.apache.org/security/vulnerabilities_24.html#2.4.65

【7】WordPress用プラグインPost SMTPに不適切な権限チェックの脆弱性
情報源
https://patchstack.com/articles/account-takeover-vulnerability-affecting-over-400k-installations-patched-in-post-smtp-plugin/

概要
WordPress用プラグインPost SMTPには、不適切な権限チェックの脆弱性があります。この問題は、当該製品を修正済みのバージョンに更新することで解決します。詳細は、開発者が提供する情報を参照してください。
関連文書
https://wordpress.org/plugins/post-smtp/#developers

【8】IPAが「脆弱性診断内製化ガイド」を公表
情報源
https://www.ipa.go.jp/jinzai/ics/core_human_resource/final_project/2025/Vulnerability-assessment.html

概要
独立行政法人情報処理推進機構（IPA）は、「脆弱性診断内製化ガイド」を公表しました。本ガイドは、脆弱性診断の内製化を検討する企業の支援を目的とし、内製化を進める上での基本的な考え方や導入ステップ、関連組織との連携方法などを具体的に整理しています。

【9】IPAが「2025年度 夏休みにおける情報セキュリティに関する注意喚起」を公開
情報源
https://www.ipa.go.jp/security/anshin/heads-up/alert20250801.html

概要
独立行政法人情報処理推進機構（IPA）は、「2025年度 夏休みにおける情報セキュリティに関する注意喚起」を公開しました。長期休暇における、個人の利用者、企業や組織の利用者、企業や組織の管理者、それぞれの対象者に対して取るべき対策を説明しています。