悪用リストに脆弱性4件登録 - サポートツールやPBXなど3製品

米サイバーセキュリティインフラストラクチャセキュリティ庁（CISA）は、組織で広く活用されているツールの既知脆弱性4件が悪用されているとして注意喚起を行った。

現地時間2026年2月3日に「悪用が確認された脆弱性カタログ（KEV）」を更新。SolarWindsの「Web Help Desk」をはじめ、3製品に関連する脆弱性あわせて4件を追加し、対策を促した。

具体的には、SolarWindsの「Web Help Desk」において、信頼できないデータをデシリアライズするため、認証なしにリモートよりコードを実行されるおそれがある「CVE-2025-40551」を登録した。

さらに開発ツール「GitLab」において2021年に判明、修正されたサーバサイドリクエストフォージェリ（SSRF）の脆弱性「CVE-2021-39935」が追加されている。

SangomaのIP-PBXである「FreePBX」に関しては2件が登録された。VoIPシステムのエンドポイント管理モジュールにおいてOSコマンドインジェクションが可能となる「CVE-2025-64328」や、管理画面のパスワード認証をバイパスされる「CVE-2019-19006」が悪用されているという。

米国内の行政機関では、「KEV」へ登録された脆弱性について指定期間内に対応する義務が生じる。また脆弱性そのものは広く悪用されるおそれがあり、各製品の利用者は対応が求められる。

（Security NEXT - 2026/02/04 ）ツイート

悪用リストに脆弱性4件登録 - サポートツールやPBXなど3製品

関連リンク

PR

関連記事