[![Logo](https://www.paloaltonetworks.com/wp-content/uploads/2021/07/PANW_Parent.png)](https://www.paloaltonetworks.jp/) [![Unit42 Logo](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/unit42-logo-white.svg)](https://unit42.paloaltonetworks.com/ja/) Menu * [セキュリティ コンサルティング](https://www.paloaltonetworks.com/unit42) * [**現在、攻撃を受けていますか?**](https://start.paloaltonetworks.com/contact-unit42.html) Japanese * [German](https://unit42.paloaltonetworks.com/de/microsoft-sharepoint-cve-2025-49704-cve-2025-49706-cve-2025-53770/) * [English](https://unit42.paloaltonetworks.com/microsoft-sharepoint-cve-2025-49704-cve-2025-49706-cve-2025-53770/) * [Spanish (LATAM)](https://unit42.paloaltonetworks.com/es-la/microsoft-sharepoint-cve-2025-49704-cve-2025-49706-cve-2025-53770/) * [French](https://unit42.paloaltonetworks.com/fr/microsoft-sharepoint-cve-2025-49704-cve-2025-49706-cve-2025-53770/) * [Japanese](https://unit42.paloaltonetworks.com/ja/microsoft-sharepoint-cve-2025-49704-cve-2025-49706-cve-2025-53770/) * [Korean](https://unit42.paloaltonetworks.com/ko/microsoft-sharepoint-cve-2025-49704-cve-2025-49706-cve-2025-53770/) * [Chinese (Traditional)](https://unit42.paloaltonetworks.com/zh-hant/microsoft-sharepoint-cve-2025-49704-cve-2025-49706-cve-2025-53770/) * [Threat Research Center](https://unit42.paloaltonetworks.com/ja/ "Threat Research") * [主なサイバー脅威](https://unit42.paloaltonetworks.com/ja/category/top-cyberthreats-ja/ "主なサイバー脅威") * [脆弱性](https://unit42.paloaltonetworks.com/ja/category/vulnerabilities-ja/ "脆弱性") [脆弱性](https://unit42.paloaltonetworks.com/ja/category/vulnerabilities-ja/) # Microsoft SharePointの脆弱性を積極的に悪用する攻撃活動 (7月31日更新） ![Clock Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-clock.svg) 5 分で読めます Related Products [![Advanced DNS Security icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/strata_RGB_logo_Icon_Color.png)Advanced DNS Security](https://unit42.paloaltonetworks.com/ja/product-category/advanced-dns-security-ja/ "Advanced DNS Security")[![Advanced Threat Prevention icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/strata_RGB_logo_Icon_Color.png)Advanced Threat Prevention](https://unit42.paloaltonetworks.com/ja/product-category/advanced-threat-prevention-ja/ "Advanced Threat Prevention")[![Advanced URL Filtering icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/strata_RGB_logo_Icon_Color.png)Advanced URL Filtering](https://unit42.paloaltonetworks.com/ja/product-category/advanced-url-filtering-ja/ "Advanced URL Filtering")[![Advanced WildFire icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/strata_RGB_logo_Icon_Color.png)Advanced WildFire](https://unit42.paloaltonetworks.com/ja/product-category/advanced-wildfire-ja/ "Advanced WildFire")[![Cloud-Delivered Security Services icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/strata_RGB_logo_Icon_Color.png)Cloud-Delivered Security Services](https://unit42.paloaltonetworks.com/ja/product-category/cloud-delivered-security-services-ja/ "Cloud-Delivered Security Services")[![Cortex icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/cortex_RGB_logo_Icon_Color.png)Cortex](https://unit42.paloaltonetworks.com/ja/product-category/cortex-ja/ "Cortex")[Cortex Cloud](https://unit42.paloaltonetworks.com/ja/product-category/cortex-cloud-ja/ "Cortex Cloud")[![Cortex XDR icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/cortex_RGB_logo_Icon_Color.png)Cortex XDR](https://unit42.paloaltonetworks.com/ja/product-category/cortex-xdr-ja/ "Cortex XDR")[![Cortex Xpanse icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/cortex_RGB_logo_Icon_Color.png)Cortex Xpanse](https://unit42.paloaltonetworks.com/ja/product-category/cortex-xpanse-ja/ "Cortex Xpanse")[![Cortex XSOAR icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/cortex_RGB_logo_Icon_Color.png)Cortex XSOAR](https://unit42.paloaltonetworks.com/ja/product-category/cortex-xsoar-ja/ "Cortex XSOAR")[![Managed Threat Hunting icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/unit42_RGB_logo_Icon_Color.png)Managed Threat Hunting](https://unit42.paloaltonetworks.com/ja/product-category/managed-threat-hunting-ja/ "Managed Threat Hunting")[![Next-Generation Firewall icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/strata_RGB_logo_Icon_Color.png)Next-Generation Firewall](https://unit42.paloaltonetworks.com/ja/product-category/next-generation-firewall-ja/ "Next-Generation Firewall")[![Unit 42 Incident Response icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/unit42_RGB_logo_Icon_Color.png)Unit 42 Incident Response](https://unit42.paloaltonetworks.com/ja/product-category/unit-42-incident-response-ja/ "Unit 42 Incident Response") * ![Profile Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-profile-grey.svg) 著者: * [Unit 42](https://unit42.paloaltonetworks.com/ja/author/unit42/) * ![Published Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-calendar-grey.svg) 公開日:2025年7月31日 * ![Tags Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-category.svg) カテゴリー * [主なサイバー脅威](https://unit42.paloaltonetworks.com/ja/category/top-cyberthreats-ja/) * [脆弱性](https://unit42.paloaltonetworks.com/ja/category/vulnerabilities-ja/) * ![Tags Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-tags-grey.svg) タグ: * [CL-CRI-1040](https://unit42.paloaltonetworks.com/ja/tag/cl-cri-1040-ja/) * [CVE-2025-49704](https://unit42.paloaltonetworks.com/ja/tag/cve-2025-49704-ja/) * [CVE-2025-49706](https://unit42.paloaltonetworks.com/ja/tag/cve-2025-49706-ja/) * [CVE-2025-53770](https://unit42.paloaltonetworks.com/ja/tag/cve-2025-53770-ja/) * [CVE-2025-53771](https://unit42.paloaltonetworks.com/ja/tag/cve-2025-53771-ja/) * [Microsoft](https://unit42.paloaltonetworks.com/ja/tag/microsoft-ja/) * [SharePoint](https://unit42.paloaltonetworks.com/ja/tag/sharepoint-ja/) * [Zero-day](https://unit42.paloaltonetworks.com/ja/tag/zero-day-ja/) * [![Download Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-download.svg)](https://unit42.paloaltonetworks.com/ja/microsoft-sharepoint-cve-2025-49704-cve-2025-49706-cve-2025-53770/?pdf=download&lg=ja&_wpnonce=c159619a8e "Click here to download") * [![Print Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-print.svg)](https://unit42.paloaltonetworks.com/ja/microsoft-sharepoint-cve-2025-49704-cve-2025-49706-cve-2025-53770/?pdf=print&lg=ja&_wpnonce=c159619a8e "Click here to print") 共有![Down arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/down-arrow.svg) * ![Link Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-share-link.svg) * [![Link Email](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-sms.svg)]( "Share in email") * [![Facebook Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-fb-share.svg)](https://www.facebook.com/sharer/sharer.php?u=https%3A%2F%2Funit42.paloaltonetworks.com%2Fja%2Fmicrosoft-sharepoint-cve-2025-49704-cve-2025-49706-cve-2025-53770%2F "Share in Facebook") * [![LinkedIn Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-linkedin-share.svg)]( "Share in LinkedIn") * [![Twitter Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-twitter-share.svg)]( "Share in Twitter") * [![Reddit Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-reddit-share.svg)](https://www.paloaltonetworks.com//www.reddit.com/submit?url=https%3A%2F%2Funit42.paloaltonetworks.com%2Fja%2Fmicrosoft-sharepoint-cve-2025-49704-cve-2025-49706-cve-2025-53770%2F&ts=markdown "Share in Reddit") * [![Mastodon Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-mastodon-share.svg)]( "Share in Mastodon") ## エグゼクティブ サマリー ### **2025年7月31日更新** ToolShellの悪用に関する調査により、オープンソースの[Mauri870](https://github.com/mauri870/ransomware/tree/master)ランサムウェアの亜種である「4L4MD4R」ランサムウェアの展開が明らかになりました。 2025年7月27日、エンコードされたPowerShellコマンドを用いた悪用の試みが失敗に終わったことから、hxxps://ice.theinnovationfactory\[.\]it/static/4l4md4r.exe ( 145.239.97\[.\]206 ) からランサムウェアをダウンロードして実行するよう設計されたローダーが発見されました。 このPowerShellコマンドは、リアルタイム監視の無効化と証明書の検証のバイパスを試みるものでした。詳細は「攻撃の範囲 (Scope of Attack)」のセクションに記載しています。 ### **2025年7月29日更新** Unit 42のテレメトリにより、2025年7月17日08:40 (UTC)から7月22日にかけて、CL-CRI-1040として追跡されている脅威活動に起因するCVE-2025-53770の悪用試行を捕捉しました。 CL-CRI-1040のIPアドレスによるSharePointサーバーに対するエクスプロイト前の脆弱性スキャンは、2025年7月17日06:58 (UTC)から観測されています。この攻撃試行のパターンは、SharePointサーバーの静的なターゲティングリストが使用されていることを示唆しています。 CL-CRI-1040の一部としてCVE-2025-53770を悪用しているIPアドレスの1つは、[マイクロソフトが言及した](https://www.microsoft.com/en-us/security/blog/2025/07/22/disrupting-active-exploitation-of-on-premises-sharepoint-vulnerabilities/)Storm-2603クラスターと重複します。私たちは現在、関与している攻撃者に関するさらなる知見を得るため、このクラスターの調査を行っています。 Unit 42では、セルフホステッド環境で運用されている Microsoft SharePoint サーバーを標的とした深刻かつ継続的な脅威活動を追跡しています。クラウドベースの環境（SharePoint Online）は影響を受けていませんが、セルフホステッドのSharePointを導入している組織、特に官公庁、教育機関、医療機関（病院を含む）、大企業などは差し迫ったリスクにさらされています。 Unit 42では、オンプレミス環境で運用されている Microsoft SharePoint サーバーを標的とした深刻かつ継続的な脅威活動を追跡しています。クラウドベースの環境（SharePoint Online）は影響を受けていませんが、オンプレミスのSharePointを導入している組織、特に官公庁、教育機関、医療機関（病院を含む）、大企業などは差し迫ったリスクにさらされています。 オンプレミスのMicrosoft SharePointサーバーは現在、複数の脆弱性（総称して「ToolShell」（[CVE-2025-49704、](https://translate.google.com/website?sl=en&tl=ja&hl=en&client=webapp&u=https://msrc.microsoft.com/update-guide/vulnerability/CVE-2025-49704) [CVE -2025-49706](https://translate.google.com/website?sl=en&tl=ja&hl=en&client=webapp&u=https://msrc.microsoft.com/update-guide/vulnerability/CVE-2025-49706)、[CVE-2025-53770](https://translate.google.com/website?sl=en&tl=ja&hl=en&client=webapp&u=https://msrc.microsoft.com/update-guide/vulnerability/CVE-2025-53770)、[CVE-2025-53771](https://translate.google.com/website?sl=en&tl=ja&hl=en&client=webapp&u=https://msrc.microsoft.com/update-guide/vulnerability/CVE-2025-53771)）により、広範囲かつ活発な攻撃にさらされています。これらの脆弱性により、攻撃者は認証情報の入力を必要とせずに、完全なリモートコード実行（RCE）を実行できます。侵害されたSharePointサーバーは、他の統合されたMicrosoftサービスへのゲートウェイとして機能する可能性があるため、組織にとって重大なリスクをもたらします。 これらのCVEに関する情報に加えて、マイクロソフトは[追加のガイダンス](https://msrc.microsoft.com/blog/2025/07/customer-guidance-for-sharepoint-vulnerability-cve-2025-53770/)も発表しています。以下の表1に、各脆弱性の概要、CVSSスコア、説明をまとめています。 |----------------------------------------------------------------------------------------|---------------------------------------------------------------|-------------| | **CVE** | **内容** | **CVSSスコア** | | [CVE-2025-49704](https://www.cve.org/CVERecord?id=CVE-2025-49704) | SharePointの認証処理に不備があり、認証済みの攻撃者がスプーフィングを実行可能。 | 8.8 | | [CVE-2025-49706](https://www.cve.org/CVERecord?id=CVE-2025-49706) | SharePointの認証処理に不備があり、認証済みの攻撃者がスプーフィングを実行可能。 | 6.5 | | [CVE-2025-53770](https://www.cve.org/CVERecord?id=CVE-2025-53770) | SharePoint Serverにおいて信頼されていないデータのデシリアライズにより、未認証の攻撃者がコードを実行可能。 | 9.8 | | [CVE-2025-53771](https://msrc.microsoft.com/update-guide/vulnerability/CVE-2025-53771) | SharePointにおけるパストラバーサルの脆弱性により、認証済みの攻撃者が制限付きディレクトリへアクセス可能。 | 6.5 | 表1. Microsoft SharePoint に影響を与える最近の脆弱性のリスト これらの脆弱性は、Microsoft SharePoint Enterprise Server 2016および2019に影響を与えます。また、CVE-2025-49706とCVE-2025-53770は、SharePoint Server Subscription Editionにも該当します。なお、Microsoft 365のSharePoint Onlineはこれらの脆弱性の影響を受けないとされています。 現在、マイクロソフト セキュリティ レスポンス センター（MSRC）と密に連携し、最新情報の提供と影響を受ける組織への通知を進めています。状況は刻一刻と変化しており、マイクロソフトの最新の推奨事項を継続的に確認することが重要です。 当社では、これらのSharePointの脆弱性が実際に悪用されていることを確認しています。攻撃者は多要素認証（MFA）やシングルサインオン（SSO）などのID管理を迂回して特権アクセスを取得し、内部ネットワークへの侵入後、機密データの窃取、バックドアの設置、暗号鍵の奪取といった行為を行っています。 これらの脆弱性を利用した侵入はすでに発生しており、一部の環境では攻撃者が足場を確保している可能性があります。オンプレミスのSharePointがインターネットに公開されている場合、侵害されたものと見なすべきです。脆弱性に対するパッチ適用だけでは、完全なリスクの除去は困難です。 そのため、オンプレミスのSharePoint環境を運用している組織には、直ちに以下の対策を講じることを強く推奨します。 * 関連するすべてのセキュリティパッチの適用 * 暗号鍵および証明書などの暗号資材のローテーション * セキュリティ専門家によるインシデント対応の実施 パロアルトネットワークスでは、マイクロソフトが提供するパッチ適用または緩和策のガイダンスに従うことを推奨しています。対象となるCVEは、[CVE-2025-49704](https://msrc.microsoft.com/update-guide/vulnerability/CVE-2025-49704)、[CVE-2025-49706](https://msrc.microsoft.com/update-guide/vulnerability/CVE-2025-49706)、[CVE-2025-53770](https://msrc.microsoft.com/update-guide/vulnerability/CVE-2025-53770)、[CVE-2025-53771](https://msrc.microsoft.com/update-guide/vulnerability/CVE-2025-53771)です。 [CVE-2025-53770およびCVE-2025-53771に関しては、追加のガイダンスも提供されています。](https://msrc.microsoft.com/blog/2025/07/customer-guidance-for-sharepoint-vulnerability-cve-2025-53770/) パロアルトネットワークスのお客様は、以下の方法でこれらの脆弱性に対する防御を強化： * [Cortex Xpanse](https://docs-cortex.paloaltonetworks.com/p/XPANSE)は、公衆インターネット上で露出したSharePointデバイスを特定し、これらの発見を防御者にエスカレーションする機能を備えています。 * [Cortex XDR](https://docs-cortex.paloaltonetworks.com/p/XDR)エージェントバージョン8.7とコンテンツバージョン1870-19884（または1880-19902）は、CVE-2025-49704とCVE-2025-49706の悪用チェーンに関連する既知の悪用行為をブロックし、CVE-2025-5370とCVE-2025-53771の悪用チェーンに関連する既知の悪用行為を報告します。 * [Unit 42 インシデント レスポンス](https://start.paloaltonetworks.com/contact-unit42.html)チームは、お客様のリスクを低減するために、侵害を受けた際の支援だけでなくプロアクティブな評価を行うこともできます。 * [Cortex Xpanse](https://docs-cortex.paloaltonetworks.com/p/XPANSE)：インターネットに露出しているSharePointデバイスを検出し、担当者へ速やかにエスカレーション。 * [Cortex XDR](https://docs-cortex.paloaltonetworks.com/p/XDR)（バージョン8.7以降）：コンテンツバージョン1870-19884または1880-19902を使用して、CVE-2025-49704およびCVE-2025-49706に関連する既知の悪用をブロックし、CVE-2025-53770およびCVE-2025-53771に関連する悪用を検出・報告。 * [Unit 42インシデントレスポンスチーム](https://start.paloaltonetworks.com/contact-unit42.html)：侵害が発生した際の対応支援だけでなく、事前評価を通じたリスク低減にも対応。 | ****議論された脆弱性**** | [CVE-2025-49704](https://unit42.paloaltonetworks.com/ja/tag/cve-2025-49704-ja/), [CVE-2025-49706](https://unit42.paloaltonetworks.com/ja/tag/cve-2025-49706-ja/), [CVE-2025-53770](https://unit42.paloaltonetworks.com/ja/tag/cve-2025-53770-ja/), [CVE-2025-53771](https://unit42.paloaltonetworks.com/ja/tag/cve-2025-53771-ja/) | |------------------|------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------| ## 脆弱性の詳細 CVE-2025-49704およびCVE-2025-49706は、Microsoft SharePointに存在する重大な脆弱性であり、認証されていない脅威アクターが通常アクセスできない機能に不正にアクセスできるようになります。これらの脆弱性を連鎖的に悪用することで、攻撃者は脆弱なSharePointインスタンス上で任意のコマンドを実行することが可能になります。 現在、CVE-2025-49706の亜種を悪用した攻撃が、オンプレミスのSharePoint Serverユーザーを標的として活発に観測されています。この新たな亜種にはCVE-2025-53770が割り当てられています。加えて、マイクロソフトはCVE-2025-53771という4件目のSharePointの脆弱性も公表しています。 これらの脆弱性が特に深刻視される理由は、SharePointがOffice、Teams、OneDrive、OutlookなどのMicrosoftサービスと密接に統合されている点にあります。SharePointの侵害はその範囲にとどまらず、ネットワーク全体に対する侵入口となり得るのです。 ## CVE-2025-49706、CVE-2025-49704、CVE-2025-53770、CVE-2025-53771を悪用した攻撃の現状 ### **2025年7月31日更新 -- ToolShellを悪用したランサムウェア攻撃** ToolShellの悪用に関する調査により、オープンソースの[Mauri870](https://github.com/mauri870/ransomware/tree/master)ランサムウェアの亜種である「4L4MD4R」ランサムウェアが展開されたことが明らかになりました。2025年7月27日、エンコードされたPowerShellコマンドを用いた悪用の試みが失敗に終わったことから、hxxps://ice.theinnovationfactory\[.\]it/static/4l4md4r.exe ( 145.239.97\[.\]206 ) からランサムウェアをダウンロードして実行するよう設計されたローダーが発見されました。このPowerShellコマンドは、リアルタイム監視の無効化と証明書の検証のバイパスを試みるものでした。 4L4MD4Rペイロードの解析の結果、このペイロードがUPXでパックされ、GoLangで記述されていることが判明しました。実行されると、このサンプルはメモリ上でAES暗号化されたペイロードを復号し、復号したPEファイルをロードするためのメモリを割り当て、新しいスレッドを作成してこれを実行します。このランサムウェアはファイルを暗号化し、身代金として**0.005 BTC** を要求します。支払いのため、連絡先メールアドレス (m4\_cruise@proton\[.\]me) とビットコインウォレットアドレス (bc1qqxqe9vsvjmjqc566fgqsgnhlh87fckwegmtg6p) を提示します。 Mauri870ランサムウェアのソースコードで見られるように、このランサムウェアはデスクトップ上に2つのファイルを生成します。一つはランサムノートであるDECRYPTION\_INSTRUCTIONS.html、もう一つは暗号化されたファイルのリストであるENCRYPTED\_LIST.htmlです。さらに、このサンプルにはC2サーバーとしてbpp.theinnovationfactory\[.\]it:445が設定されており、暗号化されたJSONオブジェクトをPOSTリクエストで送信します。 図1aと図1bは、それぞれ攻撃者によるランサムノートと復号手順書を示しています。 ![コンピュータの画面上に表示された身代金要求書。暗号通貨での支払いを要求し、ファイルを復号化させるとともに、当局に連絡したりデータを改ざんしたりしないよう警告する文章が書かれている。メモには支払い方法が記載されており、要求に応じない場合はファイルを削除すると脅迫している。](https://unit42.paloaltonetworks.com/wp-content/uploads/2025/07/2025-07-31-TTI-post-image-01.png) 図1a. 4L4MD4Rからの身代金要求書。 ![DECRYPTION\_INSTRUCTIONS.txt」というランサムウェアのメモがテキストエディタで表示されているコンピュータの画面。このメモは、ファイルの復号化のためにビットコインでの支払いを要求し、連絡先情報を提供しています。プライバシー保護のため、一部の情報は編集されています。](https://unit42.paloaltonetworks.com/wp-content/uploads/2025/07/image-with-victim-ID-redacted.png) 図1b. 復号化の指示。 ### **2025年7月29日更新** Unit 42は、社内テレメトリソースからCVE-2025-53770の悪用試行に関連するアクティビティを収集・分析しました。我々が最初にCVE-2025-53770の悪用を観測したのは、2025年7月17日08:40 (UTC) から7月22日にかけてで、CL-CRI-1040と名付けたクラスターで追跡しているIPアドレスからのものでした。2025年7月17日06:58 (UTC) から、CL-CRI-1040に関連するIPアドレスが、悪用試行の前にSharePointサーバーが脆弱であるかどうかをチェックするためのテストを行っているのを観測しました。また、悪用試行のパターンから、攻撃者がSharePointサーバーの静的な標的リストを使用していることが示唆されました。 この活動に関連する攻撃者は、検知を回避するため、インフラとペイロードを迅速に変更することで、この短期間に戦術とテクニックを適応させているようです。これらの攻撃者は、悪用成功時にペイロードとして.NETモジュールを配信する手法から、同様の機能を持つw eb shell をペイロードとして使用する手法へと切り替えました。Web shell が公開ブログで議論された後、我々は攻撃者が以前に見られた.NETモジュールをペイロードとして配信する手法に戻るのを観測しました。 アトリビューション（攻撃元の特定）の観点から、CVE-2025-53770を悪用しているCL-CRI-1040の一部であるIPアドレスの1つは、**マイクロソフトによって解説された** Storm-2603クラスターと重複します。現在、このクラスターを調査し、関与するアクターに関するさらなる情報を得ています。 ### **初期偵察** CVE-2025-53770の悪用を試みる前に、脅威アクターは、リモートサーバーが脆弱なバージョンのSharePointを実行していることを確認するため、初期の偵察フェーズを実行したようです。2025年7月17日06:58 (UTC) から、User-Agentがpython-requests/2.32.3でリファラーフィールドがない、/\_layouts/15/ToolPane.aspx?DisplayMode=Edit\&a=/ToolPane.aspxへのHTTP GETリクエストを以下のIPアドレスから観測しました。 * 45\.86.231\[.\]241 * 51\.161.152\[.\]26 * 91\.236.230\[.\]76 * 92\.222.167\[.\]88 Cortex Xpanseのテレメトリによると、これらのIPアドレスはすべて[Safing Privacy Network (SPN)](https://safing.io/spn/) に関連する出口ノードです。我々は、攻撃者が悪用試行に先立ち、自身の標的リストをチェックするためのテストスクリプトからこれらのHTTP GETリクエストを送信する際に、SPNを使用して場所を隠そうとしたと考えています。HTTP GETリクエストから、以下のIPアドレスからの悪用試行のHTTP POSTリクエストまでが同じ順序で行われているため、攻撃者は標的リストを使用していたと考えています。 * 96\.9.125\[.\]147 * 107\.191.58\[.\]76 * 104\.238.159\[.\]149 ### **配信されたペイロード** 前述の通り、以下のIPアドレスは、CVE-2025-53770の悪用成功時に異なるペイロードを配信するにもかかわらず、CL-CRI-1040に関連付けられています。 * 96\.9.125\[.\]147 * 107\.191.58\[.\]76 * 104\.238.159\[.\]149 テレメトリにより、96.9.125\[.\]147が7月17日08:58 (UTC) にSharePointの脆弱性悪用を開始し、ペイロードとしてqlj22mpcという名前のカスタム.NETアセンブリモジュールを配信したことが確認されました。翌日の7月18日、このIPアドレスはbjcloiyqという新しいペイロードを配信しました。これらの.NETモジュールはいずれも、SharePointサーバーから暗号化MachineKeysをパイプ文字（「|」）で区切られた文字列としてHTTPレスポンス内で窃取するものであり、攻撃者はこれを将来のサーバーアクセスに利用できます。 7月18日と19日、CL-CRI-1040のIPアドレス107.191.58\[.\]76と104.238.159\[.\]149は、CVE-2025-53770の悪用成功時に全く新しいペイロードを配信しました。これらのIPアドレスは、脆弱性を悪用した後に.NETモジュールを実行する代わりに、「バリエーション2」と「バリエーション3」のセクションで説明されているエンコードされたPowerShellコマンドを実行するペイロードを配信し、Webシェルを[spinstall0.aspx](https://www.virustotal.com/gui/file/92bb4ddb98eeaf11fc15bb32e71d0a63256a0ed826a03ba293ce3a8bf057a514).に保存しました。 このWebシェルは、spinstall0.aspxにアクセスした際にSharePointサーバーから暗号化MachineKeyをパイプ文字（「|」）で区切られた文字列として窃取するために配信されました。これは、前述の.NETモジュールと同じMachineKeysフィールドを同じ順序で応答するものです。 CVE-2025-53770を悪用するCL-CRI-1040に関連する攻撃者は、作戦中に戦術とテクニックを適応させる能力を示しています。彼らはペイロードとして.NETモジュールを使用する手法から、同様の機能を持つWebシェルペイロードへと切り替えました。その後、[Eye Security社のCVE-2025-53770](https://research.eye.security/sharepoint-under-siege/)の悪用に関する調査ブログなどでweb shell が公開されると、ペイロードとして.NETモジュールを使用する手法に再び戻りました。 ### **標的リスト** 我々は、攻撃者が標的リストを使用していたことを示唆する標的パターンに気づきました。時間に基づいて彼らの活動を整理し、4つの異なる標的にわたる活動のサンプルを抽出しました。影響を受けた組織を秘匿するため、標的をIPv4 1、IPv4 2、IPv4 3、およびドメイン1と呼称します。 まず、91.236.230\[.\]76が以下の順序で/\_layouts/15/ToolPane.aspx?DisplayMode=Edit\&a=/ToolPane.aspxへのHTTP GETリクエストを実行しているのを観測しました。 * IPv4 1 -- 2025年7月17日 07:29 UTC * IPv4 2 -- 2025年7月17日 07:32 UTC * IPv4 3 -- 2025年7月17日 07:33 UTC * ドメイン1 -- 2025年7月17日 07:52 UTC 次に、96.9.125\[.\]147のIPアドレスが、リファラーを/\_layouts/SignOut.aspxとして、同じ標的エイリアスに対して同じ順序でSharePointの脆弱性を悪用しようとする際に、/\_layouts/15/ToolPane.aspx?DisplayMode=Edit\&a=/ToolPane.aspxへのHTTP POSTリクエストを発行しているのを観測しました。 * IPv4 1 - 2025年7月17日 09:31 UTC * IPv4 2 - 2025年7月17日 09:36 UTC * IPv4 3 - 2025年7月17日 09:37 UTC * ドメイン1 - 2025年7月17日 10:17 UTC 翌日の2025年7月18日には、107.191.58\[.\]76が/\_layouts/15/ToolPane.aspx?DisplayMode=Edit\&a=/ToolPane.aspxへのHTTP POSTリクエストに続いて/\_layouts/15/spinstall0.aspxへのHTTP GETリクエストを同じ順序で発行しているのを確認しました。 * IPv4 1 - 2025年7月18日 14:01 UTC * IPv4 2 - 2025年7月18日 14:05 UTC * IPv4 3 - 2025年7月18日 14:07 UTC * ドメイン1 - 2025年7月18日 15:01 UTC 最後に、その翌上記のパターンは、最初の一連のテスト要求全体にわたって、個々のイベント間に同様の差分を持つ同じターゲットのシーケンスを示しており、その後に 3 つのエクスプロイト要求セットが続きます。日（2025年7月19日）には、104.238.159\[.\]149から107.191.58\[.\]76と同じHTTP POSTおよびGETリクエストのアクティビティを確認しました。 * IPv4 1 - 2025年7月19日 03:43 UTC * IPv4 2 - 2025年7月19日 03:48 UTC * IPv4 3 - 2025年7月19日 03:49 UTC * ドメイン1 - 2025年7月19日 04:41 UTC 上記のパターンは、最初の一連のテスト要求全体にわたって、個々のイベント間に同様の差分を持つ同じターゲットのシーケンスを示しており、その後に 3 つのエクスプロイト要求セットが続きます。 ### **アトリビューション（攻撃元の特定）** CVE-2025-53770を悪用しているのが確認されたCL-CRI-1040のIPアドレス104.238.159\[.\]149は、マイクロソフトによってStorm-2603と名付けられたクラスターにも関連付けられています。マイクロソフトはまた、Storm-2603がspinstall0.aspxという名前のWebシェルを配信し、そのSHA256ハッシュ値が92bb4ddb98eeaf11fc15bb32e71d0a63256a0ed826a03ba293ce3a8bf057a514であると述べており、これは104.238.159\[.\]149に関連する活動の我々の観測結果と直接的に重複します。 我々は、CL-CRI-1040がStorm-2603と重複すると中程度の確信度で評価しており、このクラスターに関するさらなる洞察を得るために、CL-CRI-1040に関連する活動の分析を継続します. Unit 42をはじめ、マイクロソフトを含む複数の組織が、これらの脆弱性が広範囲かつ積極的に悪用されていることを確認しています。 遠隔測定により、SharePoint ToolShell 攻撃キャンペーンは、2 つの明確なフェーズを経て明らかに進化していることが判明しました： * プレPoCフェーズ * 広範囲に及ぶポストPoCフェーズ エンドポイント遠隔測定に基づき、経時的に観察されたパターンを示すアクティビティ量表現を作成しました（図 1）。 ![アクティビティ・ボリューム・オーバー・タイム」と題された棒グラフは、様々な日付におけるアクティビティ・ボリュームの変動を示している。Y軸は活動量、X軸は2025年7月17日から2025年7月24日までの日付範囲を示す。](https://unit42.paloaltonetworks.com/wp-content/uploads/2025/07/image5-1.png) 図2. エンドポイント・テレメトリーに基づく経時的な活動量。 ### 活動スケジュール * 2025年5月17日：[サイバーセキュリティニュースは](https://cybersecuritynews.com/pwn2own-0-day-vulnerabilities/)、Pwn2Own Berlinにおいて、Viettel Cyber SecurityのDinh Ho Anh Khoa（@\_l0gg）氏が、SharePointの2件の脆弱性を連結して不正アクセスを実現したと報じました。これらは後にCVE-2025-49704およびCVE-2025-49706として登録されました。@\_l0gg氏はこの攻撃チェーンを「ToolShell」と名付けています。 * 2025年7月8日：マイクロソフトは、CVE-2025-49704およびCVE-2025-49706を公開しました。公開当時、これらの脆弱性はまだ実際には悪用されていないと報告されていました。 * 2025年7月14日：CVEの公開から1週間も経たないうちに、[Code White GmbH](https://infosec.exchange/@codewhitesec/114851715379861407)の攻撃的セキュリティチームが、SharePointのこれらの脆弱性に関連する未認証のエクスプロイトチェーンを再現可能であることを実証しました。 * 2025年7月19日：マイクロソフトは、新たにCVE-2025-53770およびCVE-2025-53771に関する情報を公開しました。公開時点ですでに両脆弱性は悪用されており、特にCVE-2025-53770はCVE-2025-49706の亜種であると説明されています。 * 2025年7月21日現在：複数の概念実証（PoC：Proof of Concept）がGitHub上に公開されています。 Unit 42のマネージド脅威ハンティングチームは、2025年7月17日以降、3種類の異なる悪用アクティビティのバリエーションを確認しています。 バリエーション1 このバリエーションでは、PowerShellコマンドを呼び出すコマンドシェル経由のコマンド実行が観測されました。攻撃者は、エンドポイント上の web.config ファイルを順に処理し、その内容を debug\_dev.js という名前のファイルに保存しようとしていました。 図3に、観測されたコマンドの一例を示します。 ![パスと拡張子を含むコードをテキスト エディターで表示するスクリーンショット。](https://unit42.paloaltonetworks.com/wp-content/uploads/2025/07/word-image-910058-147577-1.png) 図3. SharePointの脆弱性を悪用した攻撃で観測されたコマンドの例。 図3に示すコマンドは、以下の処理を実行します： * web.config ファイルを探索するためのソースディレクトリを指定 * debug\_dev.js という空のファイルを作成 * ソースディレクトリ内の web.config ファイルを順に処理 * web.config ファイルが存在する場合、その内容を debug\_dev.js に追記 バリエーション2 別のバリエーションでは、IISプロセスワーカー（w3wp.exe）がコマンドシェルを起動し、以下の図4に示すBase64エンコードされたPowerShellコマンドを実行するのを確認しました。 ![ファイル パスとシステム コマンドを含む、エンコードおよびデコードされた Base64 文字列の行を示すコンピュータ コードのスクリーンショット。](https://unit42.paloaltonetworks.com/wp-content/uploads/2025/07/word-image-913358-147577-2.png) 図4. このバリエーションで観測されたBase64エンコードされたPowerShellコマンド 図4のコマンドは、C:\\PROGRA~1\\COMMON~1\\MICROS~1\\WEBSER~1\\16\\TEMPLATE\\LAYOUTS\\spinstall0.aspx にファイルを作成し、変数 $base64string に格納されたBase64文字列をデコードしてそのファイルに書き込みます。spinstall0.aspx はWebシェルとして機能し、ViewStateの暗号化キーを偽造するために必要な ValidationKeys や DecryptionKeys、およびサーバーの CompatabilityMode を取得する複数の関数を実行することができます。 図5は、図4のコマンドによって作成された spinstall0.aspx ファイルの内容を示しています。 ![名前空間を参照するスクリプトを含むコードを表示するスクリーンショット。](https://unit42.paloaltonetworks.com/wp-content/uploads/2025/07/word-image-916199-147577-3.png) 図5.spinstall0.aspxの内容 。 ### バリエーション３: このヴァリエーションはヴァリエーション2とほぼ同じだが、若干の違いがあります： * spinstall0.aspxファイルを以下のパスに書き込みます：C:¥PROGRA~1COMMON~1MICROS~1WEBSER~115¥TEMPLATE¥LAYOUTS¥spinstall0.aspx * その違いは、15と16のディレクトリです。 * 変数名の1文字への変更 * 最後にsleep関数を呼び出す 下の図6は、このバリエーションの一例を示しています。 ![プログラミング コードのブロックを表示するコンピューター画面のスクリーンショット。](https://unit42.paloaltonetworks.com/wp-content/uploads/2025/07/word-image-918939-147577-4.png) 図6.搾取活動のバリエーション3。 ## 中間ガイダンス パロアルトネットワークスおよびUnit 42は、Microsoft Security Response Center（MSRC）と緊密に連携し、以下の重要な対策を推奨しています： * **脅威の封じ込め**：脆弱性のあるオンプレミスのSharePointサーバーは、完全に保護・修復されるまで、速やかにインターネットから切り離してください。 * **パッチの適用と強化**：マイクロソフトが提供するすべての関連セキュリティパッチを適用してください。特に、暗号鍵などの機密情報のローテーションと、関連する認証情報のリセットが不可欠です。 * **専門的なインシデント対応の実施**：不十分な対応や誤った安心感は、長期的な被害の原因となります。侵害を受けた可能性のある組織に対しては、確立されたバックドアの検出や、環境からの脅威の完全排除を目的とした、専門チームによる包括的な侵害調査と対応を強く推奨します。 また、パロアルトネットワークスは、以下のCVEに関するマイクロソフトのパッチ適用および緩和ガイダンスに従うことを推奨しています： * [CVE-2025-49704](https://msrc.microsoft.com/update-guide/vulnerability/CVE-2025-49704) * [CVE-2025-49706](https://msrc.microsoft.com/update-guide/vulnerability/CVE-2025-49706) * [CVE-2025-53770](https://msrc.microsoft.com/update-guide/vulnerability/CVE-2025-53770) * [CVE-2025-53771](https://msrc.microsoft.com/update-guide/vulnerability/CVE-2025-53771) [CVE-2025-53770およびCVE-2025-53771](https://msrc.microsoft.com/blog/2025/07/customer-guidance-for-sharepoint-vulnerability-cve-2025-53770/)については、マイクロソフトが追加ガイダンスを公開しています。マイクロソフトによれば、CVE-2025-53770に対する更新プログラムは、CVE-2025-49704に対するものよりも強力な保護を提供しており、CVE-2025-53771に対する更新プログラムについても、CVE-2025-49706に対するものより高い防御性能があるとされています。 **2025年7月25日更新** ： [マイクロソフト社では](https://www.microsoft.com/en-us/security/blog/2025/07/22/disrupting-active-exploitation-of-on-premises-sharepoint-vulnerabilities/)、マシンキーのローテーションについて以下のことを推奨しています。 * Microsoftのセキュリティ更新プログラムを適用する * ASP.NETマシンキーを再度ローテーションする * IIS Webサーバーを再起動する ## Unit 42 マネージド脅威ハンティングサービス Unit 42のマネージド脅威ハンティングチームは、Cortex XDRと以下のXQLクエリを活用して、これらの脆弱性を悪用する試みを顧客全体で継続的に監視しています。Cortex XDRをご利用のお客様も、同じXQLクエリを用いて、悪用の兆候を自ら検索することが可能です。 // Note: This query will only work on agents 8.7 or higher // Description: This query leverages DotNet telemetry to identify references to ToolPane.exe, and extracts fields to provide additional context. dataset = xdr\_data | fields \_time, agent\_hostname, actor\_effective\_username, actor\_process\_image\_name, actor\_process\_image\_path, actor\_process\_command\_line, dynamic\_event\_string\_map, event\_thread\_context, event\_type | filter event\_type = ENUM.DOT\_NET and actor\_process\_image\_name = "w3wp.exe" and event\_thread\_context contains "ToolPane.aspx" // Extract the IIS application pool name from command line | alter IIS\_appName = arrayindex(regextract(actor\_process\_command\_line, "\\-ap\\s+\\"(\[^\\"\]+)\\""), 0) // Extract fields from the dynamic\_string\_string\_map: // EventSrcIP - Logged IP address by the IIS server // RequestURI - The requested URL by the threat actor // Payload - time he decoded .NET payload from exploitation // Headers - HTTP request headers | alter EventSrcIP = trim(json\_extract(dynamic\_event\_string\_map, "$.27"), "\\""), RequestURI = trim(json\_extract(dynamic\_event\_string\_map, "$.26"), "\\""), Payload = trim(json\_extract(dynamic\_event\_string\_map, "$.30"), "\\""), Headers = trim(json\_extract(dynamic\_event\_string\_map, "$.32"), "\\"") // Extract the X-Forwarded-For headers from the Headers field in an attempt to identify the source of exploitation | alter x\_forwarded\_for\_header = regextract(lowercase(Headers), "\\|(?:client-ip|x-forwarded-for)\\:((?:25\[0-5\]|2\[0-4\]\[0-9\]|1\[0-9\]\[0-9\]|\[1-9\]\[0-9\]|\[1-9\])(?:\\.(?:25\[0-5\]|2\[0-4\]\[0-9\]|1\[0-9\]\[0-9\]|\[1-9\]\[0-9\]|\[0-9\])){3})\\|") | fields \_time, agent\_hostname, actor\_effective\_username, actor\_process\_image\_path, actor\_process\_command\_line, IIS\_appName, dynamic\_event\_string\_map, event\_thread\_context, EventSrcIP, x\_forwarded\_for\_header, RequestURI, Payload, Headers |-------------------------------------------------------------|-----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------| | 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 | // Note: This query will only work on agents 8.7 or higher // Description: This query leverages DotNet telemetry to identify references to ToolPane.exe, and extracts fields to provide additional context. dataset = xdr\_data | fields \_time, agent\_hostname, actor\_effective\_username, actor\_process\_image\_name, actor\_process\_image\_path, actor\_process\_command\_line, dynamic\_event\_string\_map, event\_thread\_context, event\_type | filter event\_type = ENUM.DOT\_NET and actor\_process\_image\_name = "w3wp.exe" and event\_thread\_context contains "ToolPane.aspx" // Extract the IIS application pool name from command line | alter IIS\_appName = arrayindex(regextract(actor\_process\_command\_line, "\\-ap\\s+\\"(\[^\\"\]+)\\""), 0) // Extract fields from the dynamic\_string\_string\_map: // EventSrcIP - Logged IP address by the IIS server // RequestURI - The requested URL by the threat actor // Payload - time he decoded .NET payload from exploitation // Headers - HTTP request headers | alter EventSrcIP = trim(json\_extract(dynamic\_event\_string\_map, "$.27"), "\\""), RequestURI = trim(json\_extract(dynamic\_event\_string\_map, "$.26"), "\\""), Payload = trim(json\_extract(dynamic\_event\_string\_map, "$.30"), "\\""), Headers = trim(json\_extract(dynamic\_event\_string\_map, "$.32"), "\\"") // Extract the X-Forwarded-For headers from the Headers field in an attempt to identify the source of exploitation | alter x\_forwarded\_for\_header = regextract(lowercase(Headers), "\\|(?:client-ip|x-forwarded-for)\\:((?:25\[0-5\]|2\[0-4\]\[0-9\]|1\[0-9\]\[0-9\]|\[1-9\]\[0-9\]|\[1-9\])(?:\\.(?:25\[0-5\]|2\[0-4\]\[0-9\]|1\[0-9\]\[0-9\]|\[1-9\]\[0-9\]|\[0-9\])){3})\\|") | fields \_time, agent\_hostname, actor\_effective\_username, actor\_process\_image\_path, actor\_process\_command\_line, IIS\_appName, dynamic\_event\_string\_map, event\_thread\_context, EventSrcIP, x\_forwarded\_for\_header, RequestURI, Payload, Headers | // Description: This query identifies specific files being written to the observed file paths during exploitation. This query may identify false-positive, legitimate files. dataset = xdr\_data | fields \_time, agent\_hostname, causality\_actor\_process\_image\_name, causality\_actor\_process\_command\_line, actor\_process\_image\_name, actor\_process\_command\_line, action\_file\_name, action\_file\_path, action\_file\_extension, action\_file\_sha256, event\_type, event\_sub\_type | filter event\_type = ENUM.FILE and event\_sub\_type in (ENUM.FILE\_WRITE, ENUM.FILE\_CREATE\_NEW) and lowercase(action\_file\_path) ~= "web server extensions\\\\1\[5-6\]\\\\template\\\\layouts" and lowercase(action\_file\_extension) in ("asp", "aspx", "js", "txt", "css") | filter lowercase(actor\_process\_image\_name) in ("powershell.exe", "cmd.exe", "w3wp.exe") | comp values(action\_file\_name) as action\_file\_name, values(action\_file\_path) as action\_file\_path, values(actor\_process\_command\_line) as actor\_process\_command\_line by agent\_hostname, actor\_process\_image\_name addrawdata = true |-------------|------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------| | 1 2 3 4 5 6 | // Description: This query identifies specific files being written to the observed file paths during exploitation. This query may identify false-positive, legitimate files. dataset = xdr\_data | fields \_time, agent\_hostname, causality\_actor\_process\_image\_name, causality\_actor\_process\_command\_line, actor\_process\_image\_name, actor\_process\_command\_line, action\_file\_name, action\_file\_path, action\_file\_extension, action\_file\_sha256, event\_type, event\_sub\_type | filter event\_type = ENUM.FILE and event\_sub\_type in (ENUM.FILE\_WRITE, ENUM.FILE\_CREATE\_NEW) and lowercase(action\_file\_path) ~= "web server extensions\\\\1\[5-6\]\\\\template\\\\layouts" and lowercase(action\_file\_extension) in ("asp", "aspx", "js", "txt", "css") | filter lowercase(actor\_process\_image\_name) in ("powershell.exe", "cmd.exe", "w3wp.exe") | comp values(action\_file\_name) as action\_file\_name, values(action\_file\_path) as action\_file\_path, values(actor\_process\_command\_line) as actor\_process\_command\_line by agent\_hostname, actor\_process\_image\_name addrawdata = true | // Description: This query identifies the IIS Process Worker, w3wp invoking a command shell which executes a base64 encodedPowerShell command. This is not specific to the CVE, and may catch potential other post-exploitation activity. dataset = xdr\_data | fields \_time, agent\_hostname, causality\_actor\_process\_image\_name, actor\_process\_image\_name, actor\_process\_command\_line, action\_process\_image\_name, action\_process\_image\_command\_line , event\_type, event\_sub\_type | filter event\_type = ENUM.PROCESS and event\_sub\_type = ENUM.PROCESS\_START and lowercase(causality\_actor\_process\_image\_name) = "w3wp.exe" and lowercase(actor\_process\_image\_name) = "cmd.exe" and lowercase(action\_process\_image\_name) = "powershell.exe" and action\_process\_image\_command\_line ~= "(?:\[A-Za-z0-9+\\/\]{4})\*(?:\[A-Za-z0-9+\\/\]{4}|\[A-Za-z0-9+\\/\]{3}=|\[A-Za-z0-9+\\/\]{2}={2})" |---------|----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------| | 1 2 3 4 | // Description: This query identifies the IIS Process Worker, w3wp invoking a command shell which executes a base64 encodedPowerShell command. This is not specific to the CVE, and may catch potential other post-exploitation activity. dataset = xdr\_data | fields \_time, agent\_hostname, causality\_actor\_process\_image\_name, actor\_process\_image\_name, actor\_process\_command\_line, action\_process\_image\_name, action\_process\_image\_command\_line , event\_type, event\_sub\_type | filter event\_type = ENUM.PROCESS and event\_sub\_type = ENUM.PROCESS\_START and lowercase(causality\_actor\_process\_image\_name) = "w3wp.exe" and lowercase(actor\_process\_image\_name) = "cmd.exe" and lowercase(action\_process\_image\_name) = "powershell.exe" and action\_process\_image\_command\_line ~= "(?:\[A-Za-z0-9+\\/\]{4})\*(?:\[A-Za-z0-9+\\/\]{4}|\[A-Za-z0-9+\\/\]{3}=|\[A-Za-z0-9+\\/\]{2}={2})" | ## 結論 パロアルトネットワークスでは、このエクスプロイトによる悪用の実態と、このエクスプロイトの手軽さと有効性に基づいて、マイクロソフト社のガイダンスに従って組織を保護することを強く推奨しています。パロアルトネットワークスとUnit 42は、最新情報を入手するために、引き続き状況を監視していきます。 パロアルトネットワークスは、本調査結果をサイバー脅威アライアンス(CTA)のメンバーと共有しています。CTAの会員は、この情報を利用して、その顧客に対して迅速に保護を提供し、悪意のあるサイバー アクターを組織的に妨害しています。[サイバー脅威アライアンス](https://www.cyberthreatalliance.org/)について詳細をリンクよりご確認いただけます。 パロアルトネットワークスのお客様は、以下のような当社製品によってより安全に保護されています。新たな関連情報が明らかになり次第、本脅威情報は更新されます。 ## Microsoft SharePointの脆弱性を悪用する攻撃に対するパロアルトネットワークス製品の対策 パロアルトネットワークスのお客様は、各種製品の保護機能やアップデートを活用することで、今回の脅威に関連する攻撃の特定と防御を行うことができます。 もし、侵害の可能性がある場合や緊急の対応が必要な場合は、[Unit 42インシデントレスポンスチーム](https://start.paloaltonetworks.com/contact-unit42.html)までご連絡ください： * 北米（フリーダイヤル）：+1 (866) 486-4842（866.4.UNIT42） * イギリス：+44.20.3743.3660 * ヨーロッパ・中東：+31.20.299.3130 * アジア：+65.6983.8730 * 日本：+81.50.1790.0200 * オーストラリア：+61.2.4062.7950 * インド：00080005045107 ### 高度な脅威防御機能を備えた次世代ファイアウォール [Advanced Threat Prevention](https://docs.paloaltonetworks.com/advanced-threat-prevention/administration)セキュリティ サブスクリプションを備えた[次世代ファイアウォール](https://docs.paloaltonetworks.com/ngfw)[は、](https://translate.google.com/website?sl=en&tl=ja&hl=en&client=webapp&u=https://docs.paloaltonetworks.com/ngfw)次の脅威防止シグネチャを通じて CVE-2025-49704、CVE-2025-49706、および CVE-2025-53771 の悪用をブロックするのに役立ちます: [96481](https://threatvault.paloaltonetworks.com/?query=96481), [96436,](https://threatvault.paloaltonetworks.com/?query=96436)[96496](https://threatvault.paloaltonetworks.com/?query=96496). ### 次世代ファイアウォール向けクラウド配信型セキュリティサービス [高度な URL フィルタリング](https://docs.paloaltonetworks.com/pan-os/10-1/pan-os-new-features/url-filtering-features/advanced-url-filtering)と高度な [DNS セキュリティ](https://docs.paloaltonetworks.com/dns-security)[は、](https://translate.google.com/website?sl=en&tl=ja&hl=en&client=webapp&u=https://docs.paloaltonetworks.com/dns-security)このアクティビティに関連付けられている既知の IP アドレスを悪意のあるものとして識別します。 ### **Cortex** [Cortex は、Cortex Response and Remediation Pack](https://translate.google.com/website?sl=en&tl=ja&hl=en&client=webapp&u=https://xsoar.pan.dev/docs/reference/playbooks/cve-2025-49704-and-cve-2025-49706-and-cve-2025-53770-and-cve-2025-53771---microsoft-share-point-tool-shell-vulnerability-chain)の一部としてプレイブックをリリースしました。 SharePointの「ToolShell」アラートまたは手動キックオフによってトリガーされるこのプレイブックは、まず軽量なXQLクエリを使用してすべてのSharePointホストのフィンガープリントを取得します。その後、以下の項目を並行して探索します。 * ディスク上に新しく書き込まれたウェブシェル * CVE エクスプロイトと Web シェル アクセスのトラフィック ログ * 攻撃者のIPとペイロードを取得するための.NETテレメトリ * Unit 42の指標とローカルに抽出されたデータを統合するIoC * 搾取前後の行動 確認されたインジケーターはすべて自動的にブロックされます。 この実行は、マシン キーのローテーション、2025 年 7 月のパッチ リンク、および脅威ハンティングの検出結果の集中ビューを公開して終了します。 ### **Cortex Cloud** [Cortex Cloud](https://translate.google.com/website?sl=en&tl=ja&hl=en&client=webapp&u=https://docs-cortex.paloaltonetworks.com/r/Cortex-CLOUD/Cortex-Cloud-Posture-Management-Release-Notes/July-2025)バージョン 1.2 は、CVE-2025-49704 および CVE-2025-49706 の悪用チェーンに関連する脆弱性を検出し、既知の悪用アクティビティをブロックし、CVE-2025-53770 および CVE-2025-53771 のチェーンに関連する既知の悪用アクティビティを報告できます。 ### **Cortex XDRとXSIAM** [コンテンツ バージョン 1870-19884 (または 1880-19902) を含むCortex XDR](https://docs-cortex.paloaltonetworks.com/p/XDR)エージェント バージョン 8.7 は、CVE-2025-49704 および CVE-2025-49706 のエクスプロイト チェーンに関連する既知のエクスプロイト アクティビティをブロックし、CVE-2025-53770 および CVE-2025-53771 のチェーンに関連する既知のエクスプロイト アクティビティを報告します。 ### [**Cortex** Xpanse](https://docs-cortex.paloaltonetworks.com/p/XPANSE) [Cortex Xpanse は](https://translate.google.com/website?sl=en&tl=ja&hl=en&client=webapp&u=https://docs-cortex.paloaltonetworks.com/p/XPANSE)、パブリックインターネット上に公開されている SharePoint デバイスを特定し、その検出結果を防御担当者にエスカレーションする機能を備えています。お客様は、Xpanse Attack Surface Testing にオプトインすることもできます。これにより、お客様は、公開されている SharePoint サーバー全体にわたって CVE-2025-53770 の外部脆弱性スキャンを開始できます。SharePoint Server Attack Surface Rule が有効になっていることを確認することで、インターネット上に公開されている SharePoint へのアラート通知を有効にすることができます。特定された検出結果は、[Threat Response Center](https://docs-cortex.paloaltonetworks.com/r/Cortex-XPANSE/2/Cortex-Xpanse-Expander-User-Guide/Threat-Response-Center)または Expander のインシデントビューで確認できます。これらの検出結果は、ASM モジュールをご購入いただいた Cortex XSIAM のお客様もご利用いただけます。 ## 侵害の兆候 表 2 は、Unit 42 によって観測された SharePoint エクスプロイト活動に関連する指標のリストとその説明を示しています。 |---------------------------------------------------------------------------------------------------------------|--------------------------------| | **インジケータ** | 内 | | 107.191.58\[.\]76 | 搾取元, 配信 spinstall0.aspx | | 104.238.159\[.\]149 | 搾取元, 配信 spinstall0.aspx | | 96.9.125\[.\]147 | 搾取元, モジュールqlj22mpc と bjcloiyq | | 139.144.199\[.\]41 | 搾取元 | | 89.46.223\[.\]88 | 搾取元 | | 45.77.155\[.\]170 | 搾取元 | | 154.223.19\[.\]106 | 搾取元 | | 185.197.248\[.\]131 | 搾取元 | | 149.40.50\[.\]15 | 搾取元 | | 64.176.50\[.\]109 | 搾取元 | | 149.28.124\[.\]70 | 搾取元 | | 206.166.251\[.\]228 | 搾取元 | | 95.179.158\[.\]42 | 搾取元 | | 86.48.9\[.\]38 | 搾取元 | | 128.199.240\[.\]182 | 搾取元 | | 212.125.27\[.\]102 | 搾取元 | | 91.132.95\[.\]60 | 搾取元 | | C:\\PROGRA~1\\COMMON~1\\MICROS~1\\WEBSER~1\\16\\TEMPLATE\\LAYOUTS\\spinstall0.aspx | エンコードされたコマンド実行後に作成されるファイル | | C:\\PROGRA~1\\COMMON~1\\MICROS~1\\WEBSER~1\\15\\TEMPLATE\\LAYOUTS\\spinstall0.aspx | エンコードされたコマンド実行後に作成されるファイル | | C:\\Program Files\\Common Files\\microsoft shared\\Web Server Extensions\\16\\TEMPLATE\\LAYOUTS\\debug\_dev.js | PowerShellコマンド実行後に作成されるファイル | | 4A02A72AEDC3356D8CB38F01F0E0B9F26DDC5CCB7C0F04A561337CF24AA84030 | .NETモジュール qlj22mpc - 初期ハッシュを観測 | | B39C14BECB62AEB55DF7FD55C814AFBB0D659687D947D917512FE67973100B70 | .NETモジュール bjcloiyq | | FA3A74A6C015C801F5341C02BE2CBDFB301C6ED60633D49FC0BC723617741AF7 | .NETモジュール - ViewStateをターゲットにする | | 390665BDD93A656F48C463BB6C11A4D45B7D5444BDD1D1F7A5879B0F6F9AAC7E | .NETモジュール | | 66AF332CE5F93CE21D2FE408DFFD49D4AE31E364D6802FFF97D95ED593FF3082 | .NETモジュール | | 7BAF220EB89F2A216FCB2D0E9AA021B2A10324F0641CAF8B7A9088E4E45BEC95 | .NETモジュール | | 92bb4ddb98eeaf11fc15bb32e71d0a63256a0ed826a03ba293ce3a8bf057a514 | spinstall0.aspx web shell | | 33067028e35982c7b9fdcfe25eb4029463542451fdff454007832cf953feaf1e | 4L4MD4Rランサムウェアのサンプル | | hxxps\[:\]//ice.theinnovationfactory\[.\]it/static/4l4md4r.exe | 4L4MD4Rランサムウェアのダウンロードおよび実行URL | | bpp.theinnovationfactory\[.\]it | 4L4MD4RランサムウェアのC2サーバー | | 145.239.97\[.\]206 | 4L4MD4RランサムウェアのC2ドメイン | 表2. Unit 42が観測したSharePointの悪用活動に関連するインジケーター ## **その他のリソース** * [オンプレミスの SharePoint 脆弱性の能動的悪用を阻止する](https://www.microsoft.com/en-us/security/blog/2025/07/22/disrupting-active-exploitation-of-on-premises-sharepoint-vulnerabilities/) - Microsoft Security * [Unit 42 Threat Briefing](https://www.brighttalk.com/webcast/10903/649025?utm_source=PaloAltoNetworks&utm_medium=brighttalk&utm_campaign=649025)｜Microsoft SharePoint の能動的悪用に対する防御 - Unit 42 Threat Briefing Webinar on BrightTALK トップに戻る ### タグ * [CL-CRI-1040](https://unit42.paloaltonetworks.com/ja/tag/cl-cri-1040-ja/ "CL-CRI-1040") * [CVE-2025-49704](https://unit42.paloaltonetworks.com/ja/tag/cve-2025-49704-ja/ "CVE-2025-49704") * [CVE-2025-49706](https://unit42.paloaltonetworks.com/ja/tag/cve-2025-49706-ja/ "CVE-2025-49706") * [CVE-2025-53770](https://unit42.paloaltonetworks.com/ja/tag/cve-2025-53770-ja/ "CVE-2025-53770") * [CVE-2025-53771](https://unit42.paloaltonetworks.com/ja/tag/cve-2025-53771-ja/ "CVE-2025-53771") * [Microsoft](https://unit42.paloaltonetworks.com/ja/tag/microsoft-ja/ "Microsoft") * [SharePoint](https://unit42.paloaltonetworks.com/ja/tag/sharepoint-ja/ "SharePoint") * [Zero-day](https://unit42.paloaltonetworks.com/ja/tag/zero-day-ja/ "zero-day") [Threat Research Center](https://unit42.paloaltonetworks.com/ja/ "Threat Research") [次ページ:Unit 42のアトリビューション フレームワークの紹介](https://unit42.paloaltonetworks.com/ja/unit-42-attribution-framework/ "Unit 42のアトリビューション フレームワークの紹介") ### 目次 * ### 関連記事 * [フロンティアAIモデルによるソフトウェア セキュリティの破綻](https://unit42.paloaltonetworks.com/ja/ai-software-security-risks/ "article - table of contents") * [Microsoft WSUSのリモートコード実行の脆弱性（CVE-2025-59287）、実環境における活発な悪用を確認（11月3日更新）](https://unit42.paloaltonetworks.com/ja/microsoft-cve-2025-59287/ "article - table of contents") * [Jingle Thief: クラウドベースのギフトカード詐欺キャンペーンの実態](https://unit42.paloaltonetworks.com/ja/cloud-based-gift-card-fraud-campaign/ "article - table of contents") ## 関連項目 脆弱性 リソース ![Pictorial representation of a severe Linux vulnerability. Close-up of a woman wearing glasses and focusing intently on a computer screen.](https://unit42.paloaltonetworks.com/wp-content/uploads/2026/05/05_Vulnerabilities_1920x900-2-1-786x368.jpg) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/07/top-threats.svg)主なサイバー脅威](https://unit42.paloaltonetworks.com/ja/category/top-cyberthreats-ja/) 2026年5月5日 [#### Copy Fail:ここ数年で最も深刻なLinuxの脅威について必要な知識](https://unit42.paloaltonetworks.com/ja/cve-2026-31431-copy-fail/) * [Containers](https://unit42.paloaltonetworks.com/ja/tag/containers-ja/ "Containers") * [CVE-2026-31431](https://unit42.paloaltonetworks.com/ja/tag/cve-2026-31431/ "CVE-2026-31431") * [Kubernetes](https://unit42.paloaltonetworks.com/ja/tag/kubernetes-ja/ "Kubernetes") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/cve-2026-31431-copy-fail/ "Copy Fail:ここ数年で最も深刻なLinuxの脅威について必要な知識") ![Pictorial representation of BeyondTrust vulnerability CVE-2026-1731. Digital art depicting a stylized mountain range with vibrant blue and red hues. The peaks are accentuated by glowing particles and an abstract, starry backdrop, creating a futuristic landscape.](https://unit42.paloaltonetworks.com/wp-content/uploads/2026/02/14_Overview_1920x900-786x368.jpg) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/07/top-threats.svg)主なサイバー脅威](https://unit42.paloaltonetworks.com/ja/category/top-cyberthreats-ja/) 2026年2月19日 [#### BeyondTrustの深刻な脆弱性（CVE-2026-1731）の悪用においてVShellおよびSparkRATを確認](https://unit42.paloaltonetworks.com/ja/beyondtrust-cve-2026-1731/) * [Bash](https://unit42.paloaltonetworks.com/ja/tag/bash-ja/ "bash") * [CVE-2026-1731](https://unit42.paloaltonetworks.com/ja/tag/cve-2026-1731/ "CVE-2026-1731") * [Powershell](https://unit42.paloaltonetworks.com/ja/tag/powershell-ja/ "Powershell") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/beyondtrust-cve-2026-1731/ "BeyondTrustの深刻な脆弱性（CVE-2026-1731）の悪用においてVShellおよびSparkRATを確認") ![](https://unit42.paloaltonetworks.com/wp-content/uploads/2026/02/AdobeStock_1020436911-786x440.jpeg) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/07/top-threats.svg)主なサイバー脅威](https://unit42.paloaltonetworks.com/ja/category/top-cyberthreats-ja/) 2026年2月17日 [#### 野放し状態で悪用されているIvanti EPMMの深刻な脆弱性](https://unit42.paloaltonetworks.com/ja/ivanti-cve-2026-1281-cve-2026-1340/) * [CVE-2026-1281](https://unit42.paloaltonetworks.com/ja/tag/cve-2026-1281/ "CVE-2026-1281") * [CVE-2026-1340](https://unit42.paloaltonetworks.com/ja/tag/cve-2026-1340/ "CVE-2026-1340") * [Ivanti](https://unit42.paloaltonetworks.com/ja/tag/ivanti-ja/ "Ivanti") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/ivanti-cve-2026-1281-cve-2026-1340/ "野放し状態で悪用されているIvanti EPMMの深刻な脆弱性") ![Pictorial representation of CVE-2025-0921. Digital illustration of a map of North America with interconnected glowing lines and dots symbolizing network connections across the continent.](https://unit42.paloaltonetworks.com/wp-content/uploads/2026/01/06_Vulnerabilities_1920x900-2-1-786x368.jpg) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/icon-threat-research.svg)脅威リサーチ](https://unit42.paloaltonetworks.com/ja/category/threat-research-ja/) 2026年1月30日 [#### SCADAシステムに存在する特権ファイルシステムの脆弱性](https://unit42.paloaltonetworks.com/ja/iconics-suite-cve-2025-0921/) * [CVE-2025-0921](https://unit42.paloaltonetworks.com/ja/tag/cve-2025-0921/ "CVE-2025-0921") * [Privilege escalation](https://unit42.paloaltonetworks.com/ja/tag/privilege-escalation-ja/ "privilege escalation") * [SCADA](https://unit42.paloaltonetworks.com/ja/tag/scada/ "SCADA") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/iconics-suite-cve-2025-0921/ "SCADAシステムに存在する特権ファイルシステムの脆弱性") ![Pictorial representation of remote code execution in AI and machine learning libraries. Close-up of a woman wearing glasses and focusing intently on a computer screen.](https://unit42.paloaltonetworks.com/wp-content/uploads/2026/01/05_Vulnerabilities_1920x900-786x368.jpg) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/icon-threat-research.svg)脅威リサーチ](https://unit42.paloaltonetworks.com/ja/category/threat-research-ja/) 2026年1月13日 [#### 最新のAI/MLフォーマットとライブラリによるリモート コード実行](https://unit42.paloaltonetworks.com/ja/rce-vulnerabilities-in-ai-python-libraries/) * [Apple](https://unit42.paloaltonetworks.com/ja/tag/apple-ja/ "Apple") * [CVE-2025-23304](https://unit42.paloaltonetworks.com/ja/tag/cve-2025-23304/ "CVE-2025-23304") * [CVE-2026-22584](https://unit42.paloaltonetworks.com/ja/tag/cve-2026-22584/ "CVE-2026-22584") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/rce-vulnerabilities-in-ai-python-libraries/ "最新のAI/MLフォーマットとライブラリによるリモート コード実行") ![Pictorial representation of MongoBleed, CVE-2025-14847. Digital image featuring a glowing padlock icon superimposed on a background of streaming blue binary code, symbolizing cybersecurity.](https://unit42.paloaltonetworks.com/wp-content/uploads/2026/01/AdobeStock_233494953-786x429.jpeg) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/07/top-threats.svg)主なサイバー脅威](https://unit42.paloaltonetworks.com/ja/category/top-cyberthreats-ja/) 2026年1月13日 [#### 脅威ブリーフ: MongoDB の脆弱性 (CVE-2025-14847)](https://unit42.paloaltonetworks.com/ja/mongobleed-cve-2025-14847/) * [CVE-2025-14847](https://unit42.paloaltonetworks.com/ja/tag/cve-2025-14847/ "CVE-2025-14847") * [MongoDB](https://unit42.paloaltonetworks.com/ja/tag/mongodb-ja/ "MongoDB") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/mongobleed-cve-2025-14847/ "脅威ブリーフ: MongoDB の脆弱性 (CVE-2025-14847)") ![Pictorial representation of CVE-2025-55182 (React) and CVE-2025-66478 (Next.js). Close-up of a digital display on electronic equipment with illuminated text reading "SYSTEM HACKED" in red, set against a blurred background of blue and red lights.](https://unit42.paloaltonetworks.com/wp-content/uploads/2025/12/02_Vulnerabilities_1920x900-786x368.jpg) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/07/top-threats.svg)主なサイバー脅威](https://unit42.paloaltonetworks.com/ja/category/top-cyberthreats-ja/) 2025年12月12日 [#### React Server Components における重大な脆弱性の悪用 (12月12日更新)](https://unit42.paloaltonetworks.com/ja/cve-2025-55182-react-and-cve-2025-66478-next/) * [Cobalt Strike](https://unit42.paloaltonetworks.com/ja/tag/cobalt-strike-ja/ "Cobalt Strike") * [CVE-2025-55182](https://unit42.paloaltonetworks.com/ja/tag/cve-2025-55182-ja/ "CVE-2025-55182") * [CVE-2025-66478](https://unit42.paloaltonetworks.com/ja/tag/cve-2025-66478-ja/ "CVE-2025-66478") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/cve-2025-55182-react-and-cve-2025-66478-next/ "React Server Components における重大な脆弱性の悪用 (12月12日更新)") ![Pictorial representation of an authentication coercion attack. Panoramic view of a city skyline at night, featuring vibrant light beams from skyscrapers and a deep blue sky.](https://unit42.paloaltonetworks.com/wp-content/uploads/2025/11/07_Vulnerabilities_1920x900-786x368.jpg) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/icon-threat-research.svg)脅威リサーチ](https://unit42.paloaltonetworks.com/ja/category/threat-research-ja/) 2025年11月10日 [#### 新たなアップデート。進化し続ける強制認証テクニック](https://unit42.paloaltonetworks.com/ja/authentication-coercion/) * [Mimikatz](https://unit42.paloaltonetworks.com/ja/tag/mimikatz-ja/ "Mimikatz") * [PrintNightmare](https://unit42.paloaltonetworks.com/ja/tag/printnightmare-ja/ "PrintNightmare") * [Privilege escalation](https://unit42.paloaltonetworks.com/ja/tag/privilege-escalation-ja/ "privilege escalation") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/authentication-coercion/ "新たなアップデート。進化し続ける強制認証テクニック") ![Pictorial representation of LANDFALL spyware. An illustration of a glowing red warning icon centered on a detailed blue circuit board background, representing a vulnerability in Samsung Galaxy devices.](https://unit42.paloaltonetworks.com/wp-content/uploads/2025/11/09_Nation-State-cyberattacks_1920x900-786x368.jpg) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/icon-threat-research.svg)脅威リサーチ](https://unit42.paloaltonetworks.com/ja/category/threat-research-ja/) 2025年11月7日 [#### LANDFALL: Samsungデバイスを標的とするエクスプロイト チェーンで使用される、新種の商用グレードAndroidスパイウェア](https://unit42.paloaltonetworks.com/ja/landfall-is-new-commercial-grade-android-spyware/) * [Android](https://unit42.paloaltonetworks.com/ja/tag/android-ja/ "Android") * [Apple](https://unit42.paloaltonetworks.com/ja/tag/apple-ja/ "Apple") * [CVE-2025-21042](https://unit42.paloaltonetworks.com/ja/tag/cve-2025-21042-ja/ "CVE-2025-21042") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/landfall-is-new-commercial-grade-android-spyware/ "LANDFALL: Samsungデバイスを標的とするエクスプロイト チェーンで使用される、新種の商用グレードAndroidスパイウェア") ![Pictorial representation of CVE-2025-59287. Digital image of a glowing padlock symbol representing cybersecurity on a network grid with blue and orange lights.](https://unit42.paloaltonetworks.com/wp-content/uploads/2025/10/08_DNS_Overview_1920x900-786x368.jpg) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/07/top-threats.svg)主なサイバー脅威](https://unit42.paloaltonetworks.com/ja/category/top-cyberthreats-ja/) 2025年11月3日 [#### Microsoft WSUSのリモートコード実行の脆弱性（CVE-2025-59287）、実環境における活発な悪用を確認（11月3日更新）](https://unit42.paloaltonetworks.com/ja/microsoft-cve-2025-59287/) * [CVE-2025-59287](https://unit42.paloaltonetworks.com/ja/tag/cve-2025-59287-ja/ "CVE-2025-59287") * [Microsoft](https://unit42.paloaltonetworks.com/ja/tag/microsoft-ja/ "Microsoft") * [Microsoft Vulnerability](https://unit42.paloaltonetworks.com/ja/tag/microsoft-vulnerability-ja/ "Microsoft Vulnerability") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/microsoft-cve-2025-59287/ "Microsoft WSUSのリモートコード実行の脆弱性（CVE-2025-59287）、実環境における活発な悪用を確認（11月3日更新）") * ![Slider arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/slider-arrow-left.svg) * ![Slider arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/slider-arrow-left.svg) ![Close button](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/close-modal.svg) ![Enlarged Image]() ![Newsletter](https://unit42.paloaltonetworks.com/wp-content/uploads/2025/04/Unit-42_get-updates-banner.png) ![UNIT 42 Small Logo](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/palo-alto-logo-small.svg) Unit 42 からの最新情報を取得 ## 進化する脅威の状況を常に先取り メール アドレス 本フォームを送信することにより、[利用規約](https://www.paloaltonetworks.jp/legal-notices/terms-of-use)に同意し、[プライバシー ポリシー](https://www.paloaltonetworks.jp/legal-notices/privacy)を承認したことになります。 本サイトは reCAPTCHA で保護されており、Googleの[プライバシー ポリシー](https://policies.google.com/privacy) と[サービス利用規約](https://policies.google.com/terms)が適用されます。 Invalid captcha! サブスクライブ ![Right Arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/right-arrow.svg) ![loader](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-loader.svg) {#footer} 製品とサービス * [AI利用ネットワーク セキュリティ プラットフォーム](https://www.paloaltonetworks.jp/network-security) * [AIのセキュア バイ デザイン](https://www.paloaltonetworks.jp/precision-ai-security/secure-ai-by-design) * [Prisma AIRS](https://www.paloaltonetworks.jp/prisma/prisma-ai-runtime-security) * [AI Access Security](https://www.paloaltonetworks.jp/sase/ai-access-security) * [クラウド提供型セキュリティ サービス](https://www.paloaltonetworks.jp/network-security/security-subscriptions) * [Advanced Threat Prevention](https://www.paloaltonetworks.jp/network-security/advanced-threat-prevention) * [Advanced URL Filtering](https://www.paloaltonetworks.jp/network-security/advanced-url-filtering) * [Advanced WildFire](https://www.paloaltonetworks.jp/network-security/advanced-wildfire) * [Advanced DNS Security](https://www.paloaltonetworks.jp/network-security/advanced-dns-security) * [Enterprise Data Loss Prevention](https://www.paloaltonetworks.jp/sase/enterprise-data-loss-prevention) * [Enterprise IoT Security](https://www.paloaltonetworks.jp/content/pan/ja_JP/network-security/enterprise-iot-security) * [Medical IoT Security](https://www.paloaltonetworks.jp/network-security/medical-device-security) * [Industrial OT Security](https://www.paloaltonetworks.jp/content/pan/ja_JP/network-security/industrial-ot-security) * [SaaS Security](https://www.paloaltonetworks.jp/sase/saas-security) * [次世代ファイアウォール](https://www.paloaltonetworks.jp/network-security/next-generation-firewall) * [ハードウェア ファイアウォール](https://www.paloaltonetworks.jp/network-security/hardware-firewall-innovations) * [ソフトウェア ファイアウォール](https://www.paloaltonetworks.jp/network-security/software-firewalls) * [Strata Cloud Manager](https://www.paloaltonetworks.jp/network-security/strata-cloud-manager) * [SD-WAN for NGFW](https://www.paloaltonetworks.jp/network-security/sd-wan-subscription) * [PAN-OS](https://www.paloaltonetworks.jp/network-security/pan-os) * [Panorama](https://www.paloaltonetworks.jp/network-security/panorama) * [セキュア アクセス サービス エッジ](https://www.paloaltonetworks.jp/sase) * [Prisma SASE](https://www.paloaltonetworks.jp/sase) * [App Acceleration](https://www.paloaltonetworks.jp/sase/app-acceleration) * [自律型デジタルエクスペリエンス管理](https://www.paloaltonetworks.jp/sase/adem) * [Enterprise DLP](https://www.paloaltonetworks.jp/sase/enterprise-data-loss-prevention) * [Prisma Access](https://www.paloaltonetworks.jp/sase/access) * [Prisma Browser](https://www.paloaltonetworks.jp/sase/prisma-browser) * [Prisma SD-WAN](https://www.paloaltonetworks.jp/sase/sd-wan) * [リモート ブラウザ分離](https://www.paloaltonetworks.jp/sase/remote-browser-isolation) * [SaaS Security](https://www.paloaltonetworks.jp/sase/saas-security) * [AI駆動型セキュリティ運用プラットフォーム](https://www.paloaltonetworks.jp/cortex) * [Cloud Security](https://www.paloaltonetworks.jp/cortex/cloud) * [Cortex Cloud](https://www.paloaltonetworks.jp/cortex/cloud) * [Application Security](https://www.paloaltonetworks.jp/cortex/cloud/application-security) * [Cloud Posture Security](https://www.paloaltonetworks.jp/cortex/cloud/cloud-posture-security) * [Cloud Runtime Security](https://www.paloaltonetworks.jp/cortex/cloud/runtime-security) * [Prisma Cloud](https://www.paloaltonetworks.jp/prisma/cloud) * [AI駆動型SOC](https://www.paloaltonetworks.jp/cortex) * [Cortex XSIAM](https://www.paloaltonetworks.jp/cortex/cortex-xsiam) * [Cortex XDR](https://www.paloaltonetworks.jp/cortex/cortex-xdr) * [Cortex XSOAR](https://www.paloaltonetworks.jp/cortex/cortex-xsoar) * [Cortex Xpanse](https://www.paloaltonetworks.jp/cortex/cortex-xpanse) * [Unit 42マネージド ディテクション\&レスポンス](https://www.paloaltonetworks.jp/cortex/managed-detection-and-response) * [マネージドXSIAM](https://www.paloaltonetworks.jp/cortex/managed-xsiam) * [次世代のアイデンティティ セキュリティ](https://www.paloaltonetworks.jp/idira) * [特権アクセス管理](https://www.paloaltonetworks.jp/idira/human/privileged-access-management) * [アイデンティティ管理とアクセス管理](https://www.paloaltonetworks.jp/idira/human/identity-and-access-management) * [Endpoint Privilege Manager](https://www.paloaltonetworks.jp/idira/human/endpoint-privilege-manager) * [アイデンティティ ガバナンス](https://www.paloaltonetworks.jp/idira/human/identity-governance) * [従業員パスワード管理](https://www.paloaltonetworks.jp/idira/human/workforce-password-management) * [エージェンティック アイデンティティ](https://www.paloaltonetworks.jp/idira/agentic) * [シークレット管理](https://www.paloaltonetworks.jp/idira/machine/secrets-management) * [統合型シークレット ガバナンス](https://www.paloaltonetworks.jp/idira/machine/unified-secrets-governance) * [アプリケーションの認証情報配信](https://www.paloaltonetworks.jp/idira/machine/application-credentials-delivery) * [ベンダーの特権アクセス](https://www.paloaltonetworks.jp/idira/human/vendor-privileged-access) * [脅威インテリジェンス\&インシデント レスポンス サービス](https://www.paloaltonetworks.jp/unit42) * [予防評価](https://www.paloaltonetworks.jp/unit42/assess) * [インシデント レスポンス](https://www.paloaltonetworks.jp/unit42/respond) * [セキュリティ戦略を変革](https://www.paloaltonetworks.jp/unit42/transform) * [脅威インテリジェンスについて](https://www.paloaltonetworks.jp/unit42/threat-intelligence-partners) 会社名 * [パロアルトネットワークスについて](https://www.paloaltonetworks.jp/about-us) * [採用情報](https://jobs.paloaltonetworks.com/en/) * [お問合せ](https://www.paloaltonetworks.jp/company/contact-sales) * [企業責任](https://www.paloaltonetworks.com/about-us/corporate-responsibility) * [お客様向け](https://www.paloaltonetworks.jp/customers) * [IR](https://investors.paloaltonetworks.com/) * [拠点](https://www.paloaltonetworks.com/about-us/locations) * [ニュースルーム](https://www.paloaltonetworks.jp/company/newsroom) 人気のあるリンク * [ブログ](https://www.paloaltonetworks.com/blog/?lang=ja) * [コミュニティ](https://www.paloaltonetworks.com/communities) * [コンテンツライブラリ](https://www.paloaltonetworks.jp/resources) * [Cyberpedia](https://www.paloaltonetworks.jp/cyberpedia) * [イベントセンター](https://events.paloaltonetworks.com/) * [電子メール設定の管理](https://start.paloaltonetworks.com/preference-center) * [製品A〜Z](https://www.paloaltonetworks.jp/products/products-a-z) * [製品認証](https://www.paloaltonetworks.com/legal-notices/trust-center/compliance) * [脆弱性の報告](https://www.paloaltonetworks.com/security-disclosure) * [サイトマップ](https://www.paloaltonetworks.jp/sitemap) * [テクニカル ドキュメント](https://docs.paloaltonetworks.com/) * [Unit 42](https://unit42.paloaltonetworks.jp/) * [個人情報の販売および共有禁止](https://panwedd.exterro.net/portal/dsar.htm?target=panwedd) ![Palo Alto Networks Logo](https://www.paloaltonetworks.jp/etc/clientlibs/clean/imgs/pan-logo-dark.svg) * [プライバシー](https://www.paloaltonetworks.jp/legal-notices/privacy) * [トラスト センター](https://www.paloaltonetworks.jp/legal-notices/trust-center) * [利用規約](https://www.paloaltonetworks.jp/legal-notices/terms-of-use) * [ドキュメント](https://www.paloaltonetworks.jp/legal-notices) Copyright © 2026 Palo Alto Networks. All Rights Reserved * [![](https://www.paloaltonetworks.jp/etc/clientlibs/clean/imgs/social/youtube-black.svg)](https://www.youtube.com/user/paloaltonetworks) * [![](https://www.paloaltonetworks.jp/etc/clientlibs/clean/imgs/social/twitter-x-black.svg)](https://twitter.com/PaloAltoNtwks) * [![](https://www.paloaltonetworks.jp/etc/clientlibs/clean/imgs/social/facebook-black.svg)](https://www.facebook.com/PaloAltoNetworks/) * [![](https://www.paloaltonetworks.jp/etc/clientlibs/clean/imgs/social/linkedin-black.svg)](https://www.linkedin.com/company/palo-alto-networks) * [![](https://www.paloaltonetworks.jp/content/dam/pan/en_US/images/icons/podcast.svg)](https://unit42.paloaltonetworks.com/unit-42-threat-vector-podcast/) * JP Select your language ![Play](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/player-play-icon.svg) ![Pause](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/player-pause-icon1.svg) ![Minimize](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-minimize.svg) ![Close button](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/close-modal.svg) ### Default Heading Read the article ![Right Arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/right-arrow.svg) Seekbar ![Play](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/player-play-icon.svg) ![Pause](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/player-pause-icon1.svg) ![Volume](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-volume.svg) Volume ![Minimize](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-minimize.svg)