「Trend Micro Apex One」のEDR機能に脆弱性 - パッチは2026年1月に公開

トレンドマイクロのエンドポイント向けセキュリティ対策製品「Trend Micro Apex One」の一部オプション機能にサードパーティ製ソフトの脆弱性が影響を受けることがわかった。修正パッチは2026年1月に公開予定で、一時的な回避策がアナウンスされている。

侵入後の可視化、調査など「EDR」の機能を提供する追加コンポーネント「Endpoint Sensor（iES）」が、依存関係により「Redis」の脆弱性「CVE-2025-49844」の影響を受けることが判明したもの。

影響が判明した「CVE-2025-49844」は、Luaスクリプト処理の不備に起因する「Use After Free」の脆弱性。「Redis」単体では、共通脆弱性評価システム「CVSSv3」においてベーススコアが「9.9」、重要度が「クリティカル（Critical）」と評価されている。

トレンドマイクロでは、「iES」における「Redis」の利用は限定的であるとし、ベーススコアを「6.3」、重要度を「中（Medium）」とした。

同社は、同機能を有効化したことがない環境では、「Redis」のインストールは行われないと説明。インストール状況はコマンドプロンプトを用いて確認できる。

脆弱性に対処した修正パッチについては、2026年1月に公開する見込み。一時的な回避策として「Redis」の設定変更ツールを提供している。「iES」と「Redis」のサービスを一時的に停止することで、脆弱性の影響を回避できるという。

（Security NEXT - 2025/12/25 ）ツイート