2025.12.10（水）
- 注目検索ワード
株式会社クオリティアは5月8日、Active! mail 6の脆弱性について発表した。影響を受けるシステムは以下の通り。
![FutureVuls PSIRT が可能にした事業部との「対話」を通して、自社製品の脆弱性対応を推進 [株式会社東芝] 画像](/imgs/p/WskKra9E7Ikkd0qzSpAbbW8JUgdCBQQDAgEA/48438.jpg)
何より、自分たちで開発する代わりに外部のツールを活用することで、製品の脆弱性管理に関して各事業部を支援するという本来の業務にいっそう集中できるようになったことも大きな効果だ。
2024年は金融機関にとって信頼を失いまくった1年だった。前代未聞クラスの内部不正の不祥事が、金融庁、東京証券取引所、野村証券、三菱UFJ銀行、三井住友信託銀行で発生した。これだけの大型不祥事が連続すると、恐怖！機動ビグ・ザムを量産されたみたいな絶望感だよ。インサイダー取引 量産型ビグ・ザムだ。やらせはせん！やらせはせんぞ！！
独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は5月8日、Apache Tomcatにおける複数の脆弱性について「Japan Vulnerability Notes（JVN）」で発表した。影響を受けるシステムは以下の通り。
![オーストラリア 重要インフラ安全保障法 ほか [Scan PREMIUM Monthly Executive Summary 2025年4月度] 画像](/imgs/p/WskKra9E7Ikkd0qzSpAbbW8JUgdCBQQDAgEA/48485.jpg)
Dragos 社は、オーストラリアの「重要インフラ安全保障法（SOCI 法）」に関する記事を投稿しています。筆者が注目した点は、同法が「食品・日用品供給事業者」や「データ保管・処理施設」を対象分野に含めている点です。
2025 年 3 月に、Apache 財団の Tomcat にて遠隔からの任意のコード実行につながる脆弱性が報告されています。
一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は4月30日、Ivanti Connect Secureなどにおける脆弱性（CVE-2025-22457）に関する注意喚起を発表した。影響を受けるシステムは以下の通り。
総務省は5月2日、いわゆる「偽基地局」からの携帯電話サービスへの混信について、注意喚起を発表した。
セイコーエプソン株式会社は4月28日、複数のエプソンプリンタ製品のWindows版プリンタドライバの脆弱性について発表した。
独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は4月28日、セイコーエプソン製Windows版プリンタードライバーにおける不適切なファイルアクセス権設定の脆弱性について「Japan Vulnerability Notes（JVN）」で発表した。
独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は4月25日、Quickエージェントにおける複数の脆弱性について「Japan Vulnerability Notes（JVN）」で発表した。
2025 年 1 月に、IObit 社の Malware Fighter にて管理者権限の奪取が可能となる脆弱性が報告されています。
独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は4月18日、Active! mailにおけるスタックベースのバッファオーバーフローの脆弱性について「Japan Vulnerability Notes（JVN）」で発表した。
独立行政法人情報処理推進機構（IPA）は4月16日、Oracle Java の脆弱性対策について発表した。影響を受けるシステムはサポートされている以下の Oracle 製品。
ニューヨーク州は、非常に不適切な設計のウェブサイトを運営し、誰でも容易に個人情報を平文で探せる状態だったとして、オールステート保険を提訴した。「情報漏えいの具体的な原因は、ナショナル・ジェネラルが設計し公開した安全性が低い Web サイトにある。しかし、より大きい意味での原因は、同社が合理的なデータセキュリティ対策の実施よりも利益を優先したことにある」と訴状には記載されている。
日本証券業協会はフィッシング及びマルウェアによる顧客情報詐取について、注意喚起を発表した。
2024 年 11 月に、Pandora FMS にて遠隔からの任意のコード実行が可能となる脆弱性の悪用手法が公開されています。
一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は4月14日、共通脆弱性評価システム CVSS v4 による評価採用の開始について「Japan Vulnerability Notes（JVN）」で発表した。
ここで登場するのがSSVC（Stakeholder-Specific Vulnerability Categorization）です。米CISA（サイバーセキュリティー・インフラセキュリティー庁）でも採用されており、CVSSに代わる新たな評価手法として注目されています。SSVCは脆弱性の「実際の悪用リスク」と「自社への影響の大きさ」を考慮した上で、対応の優先度を判断します。
マイクロソフトは4月3日、Booking.comのなりすましによるフィッシング攻撃が、認証情報窃盗マルウェアを配信したとブログ記事で発表した。
私たちは日本の上場企業 3,800 社以上を対象に、弊社で研究開発中のインターネット観測システムを用いて詳細な調査を実施しました。その結果は、セキュリティの専門家でさえ驚愕するものでした。
