CISA、積極的に悪用されるCVE-2025-59718をKEVカタログに追加

CISA、積極的に悪用される脆弱性をKEVカタログに追加

米国サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）は、積極的に悪用されている重大な脆弱性CVE-2025-59718をKnown Exploited Vulnerabilities（KEV）カタログに追加した。この追加は、連邦機関および組織が修正作業を優先する緊急性を強調するものである。

技術的詳細

• CVE ID: CVE-2025-59718
• KEVカタログへの追加日: 2025年12月16日
• 悪用状況: 野外での悪用が確認済み
• 影響を受ける製品: CISAまたはベンダーからの公開情報を待っている状態
• 脆弱性の種類: 詳細（例：リモートコード実行、権限昇格）はまだ非公開

CISAのKEVカタログは、積極的な悪用により重大なリスクをもたらす脆弱性に関する権威あるリソースとして機能する。連邦民間行政機関（FCEB）は、進行中の脅威から保護するため、指定された期日までにリストされた脆弱性を修正することが義務付けられている。

影響分析

CVE-2025-59718がKEVカタログに追加されたことは、以下を示している：

• 差し迫ったリスク: 脅威アクターがこの脆弱性を積極的に悪用しており、広範囲にわたる攻撃の可能性が高まっている。
• コンプライアンス要件: FCEB機関は、Binding Operational Directive（BOD）22-01に基づき、2026年1月6日までにこの脆弱性をパッチ適用または軽減する必要がある。
• 広範な脅威: BOD 22-01は連邦機関に適用されるが、民間組織もこの脆弱性の悪用状況を考慮し、優先的に対応することが強く推奨される。

推奨事項

1. 即時対応: 連邦機関は2026年1月6日までにCVE-2025-59718を修正する必要がある。民間組織も影響を評価し、遅滞なくパッチ適用または軽減策を実施すること。
2. 情報の監視: CISAのKEVカタログおよびベンダーからのアドバイザリを追跡し、技術的詳細が公開され次第確認すること。
3. 脅威ハンティング: CVE-2025-59718の悪用に関連する侵害指標（IoC）についてログを確認すること。
4. 防御策の実施: ネットワークセグメンテーション、エンドポイント検出および対応（EDR）、ゼロトラスト原則を導入し、潜在的な攻撃対象を制限すること。

CISAは、すべての関係者に対し、悪用の試みや脆弱性を報告ポータルを通じて報告するよう呼びかけている。

詳細については、CISAの公式アラートを参照のこと。