セキュリティレポート　2025/12/17

2025年12月17日2026年1月7日

12月度のサイバーセキュリティ動向は、ネットワーク境界デバイスにおける認証回避の深刻な脆弱性が複数報告され、非常に緊迫した状況となっています。

CVSSスコアがクリティカル級のこれらの問題は、既に積極的な悪用が確認されており、迅速な対応が不可欠です。

貴社のシステムがこれらの高リスクな脅威に晒されていないかを確認するため、本レポートにて最新の動向と直ちに講じるべき対策をご確認ください。

■ 今月のエグゼクティブサマリー

12月度は、ネットワーク境界デバイスにおける認証回避の深刻な脆弱性が複数報告されており、特に注意が必要です。

これらはCVSSスコアがクリティカル級であり、既に積極的に悪用が確認されている点で非常に危険性が高いです。

また、国内のEコマース企業であるアスクルで70万件超の記録が侵害されるなど、ランサムウェア攻撃によるデータ漏洩インシデントも多数報告されました。

今月は、特にFortinet製品における認証回避の脆弱性にご注意ください。これらはCVSSスコアが高く、一部は既に積極的に悪用が確認されています。お使いのシステムや製品が該当しないか確認し、 速やかなアップデートまたは回避策の適用 を強く推奨します。

■ Fortinet製品の認証回避の脆弱性

CVE-2025-59718およびCVE-2025-59719 (CVSSv3.1: 9.8/9.1): 複数のFortinet製品におけるSAML認証の暗号署名の検証不備に起因し、認証されていない攻撃者がFortiCloud SSOログイン認証をバイパスする恐れがあります。パッチ公開後わずか3日で既に悪用が確認されています。
影響: 攻撃者は不正なSSOログインで管理者権限にアクセスした後、デバイスの設定ファイルを窃取しており、このファイルにはハッシュ化された認証情報が含まれているため、オフラインで解読されるリスクがあります。
対策: 影響を受けるFortiOS、FortiWeb、FortiProxy、FortiSwitchManagerのバージョンを確認し、修正済みソフトウェアへのアップグレードを速やかに実施してください。また、暫定的な緩和策として「Allow administrative login using FortiCloud SSO」機能の無効化が推奨されています。

■ Apple WebKitのゼロデイ脆弱性: iOS、iPadOS、macOSのブラウザエンジン「WebKit」にゼロデイ脆弱性（CVE-2025-43529, CVE-2025-14174）が発見され、特定の標的を狙った標的型攻撃での悪用が確認されました。これらの脆弱性はCISAの「Known Exploited Vulnerabilities」カタログに追加されており、最新版へのアップデートが必須です。
■ 大規模な専門家データ漏洩: 保護されていない16TBのデータベースから、43億件もの専門家（LinkedIn形式）の記録が流出しました。氏名、メールアドレス、職歴などを含むこのデータは、AIを活用した標的型フィッシングやCEO詐欺などの大規模なソーシャルエンジニアリング攻撃の基盤として悪用される危険性があります。
■ ロシアのハッカーによる戦術変化: Amazonのレポートによると、ロシアの国家支援型脅威アクター（Sandwormなど）は、クリティカルインフラストラクチャへの攻撃において、ゼロデイの悪用よりも設定ミス（Misconfigurations）の悪用を好む傾向にシフトしていることが観察されています。これは、設定が不十分なネットワークエッジデバイスが狙われていることを示しています。

今月は特に、ネットワーク機器の脆弱性の緊急対応と、大規模データ漏洩によるソーシャルエンジニアリング攻撃リスクが目立ちました。

貴社のシステムがこれらの脅威に晒されていないか、今一度ご確認いただき、適切なセキュリティ対策を講じていただくようお願いいたします。