Authentication Bypass

• F5 BIG-IP APM の脆弱性（CVE-2025-53521）が認証不要で遠隔コード実行につながる危険な性質に変更されました。
• 同脆弱性を悪用した攻撃の実感が確認されており、JPCERT/CCは国内利用者の影響調査を推奨しています。
• 対象バージョンの修正適用や、特定コマンドによる侵害検出の手続きが公表されています。

この脆弱性情報の性質変更（認証不要遠隔実行）と攻撃実証の確認は、管理基盤である BIG-IP APM の安全性に直接脅威を及ぼすため、即時的な対策と調査が不可欠です。

• Arctic Wolf らは、インターネットに公開されている未修正の Quest KACE システム管理専用機（SMA）に影響する重大な認証回避欠陥 CVE-2025-32975 が攻撃に使われている可能性を検出したと発表した。
• この脆弱性を利用した攻撃者は、無認証で合法ユーザーを偽装し、専用機全体の管理権限を取得するために初期アクセスを果たしていたようである。
• 影響を受けたシステムは教育機関に所在している可能性が示されているが、具体的な動機や背後にいる組織の特定は未定であり、関係者は即座にパッチ適用を推奨している。

重大な認証回避欠陥が実際に攻撃で利用され、管理者権限乗っ取りを可能にするため、管理専用ツールを使用する多くの組織が直面する即時のリスクである。

• Honeywell IQ4x BMS Controller に重要な機能に対する認証の欠如という脆弱性が発見されました。
• 遠隔攻撃により管理者権限アカウントが作成され、正規オペレーターへのアクセス制限がかからなくなります。
• 開発者は認識していますが現在修正を提供しておりません。

BMS システムの制御機能に認証がないため、物理的な建物のセキュリティや設備運用に直接影響する深刻なリスクです。