サービス & セキュリティ株式会社

• 緊急フォレンジック対応受付
• その他お問い合わせ

1. 概要

　2025年8月6日、トレンドマイクロ株式会社は、Trend Micro ApexOne、Trend Micro ApexOne SaaS、Trend Vision One Endpoint Security -Standard Endpoint Protectionの管理コンソールにおける複数のOSコマンドインジェクションの脆弱性（CVE-2025-54948、CVE-2025-54987）に関する情報を公表しました。CVE-2025-54948を悪用した攻撃はすでに確認されており、８月６日にJPCERTコーディネーションセンター（JPCERT/CC）にて緊急で注意喚起が行われています。
　本脆弱性（CVE-2025-54948、CVE-2025-54987）のCVSSv3.0のベーススコアは9.4（Critical）と高く、遠隔から認証なしで任意のコードが実行可能な脆弱性のため、脆弱性対象の製品を使用している場合は、トレンドマイクロ株式会社が提供する情報を参照し、早急にパッチ適用などの対策を実施することが推奨されています。

2. 脆弱性情報詳細（CVE-2025-54948、CVE-2025-54987）

　(1)脆弱性の概要（CVE-2025-54948）

　トレンドマイクロ株式会社の企業向けエンドポイントセキュリティ製品であるTrend Micro ApexOne、Trend Micro ApexOne SaaS、Trend Vision One Endpoint Security -Standard Endpoint Protectionの管理コンソールにおけるOSコマンドインジェクションの脆弱性です。脆弱性対象機器のすべてのバージョンに影響を及ぼします。認証前の攻撃者は、悪性のコードを管理サーバ上で実行することができます。

　(2) 脆弱性の概要（CVE-2025-54987）

　CVE-2025-54948と本質的には同一のものですが異なるCPUアーキテクチャを対象とした攻撃です。

　(3) 攻撃の概要

　この脆弱性が悪用されると、遠隔の第三者によって細工されたリクエストが送信され、任意のコードを実行されたり、サービス運用妨害（DoS）状態を引き起こされたりする可能性があります。特に任意のコード実行については、マルウェア感染や管理者権限の乗っ取り、情報漏洩などの被害が発生する可能性があります。すでに一部の組織での悪用が報告されています。

　(4) 影響を受けるシステムおよびバージョン

– Trend Micro ApexOne：すべてのバージョン
– Trend Micro ApexOne SaaS：すべてのバージョン
– Trend Vision One Endpoint Security -Standard Endpoint Protection：すべてのバージョン

　(5) インシデント対策

　すでに本脆弱性の悪用を試みる攻撃が報告されており、本脆弱性のCVSSv3.0スコアが9.4と高く、脆弱性を悪用された場合に深刻な被害を受ける可能性があります。そのため、影響を受けるシステムを利用している場合には速やかな対応が必要です。
　Trend Micro ApexOne SaaS、Trend Vision One Endpoint Security -Standard Endpoint Protection については7月31日に、トレンドマイクロ株式会社から緩和策が適用済みとなっております。
　Trend Micro ApexOneについては、8月中旬に正式な修正が公開予定となっております。詳細は、ベンダーより提供される最新の情報を確認してください。

　(6) 軽減策

　Trend Micro ApexOne 2019 SP1については、トレンドマイクロ株式会社から修正ツール「FixTool_Aug2025」が公表されております。ただしこちらを適用すると制限として管理コンソールのリモートインストール機能を利用することができなくなります。

3. まとめ

　本記事ではトレンドマイクロ株式会社の企業向けエンドポイントセキュリティ製品であるTrend Micro ApexOne、Trend Micro ApexOne SaaS、Trend Vision One Endpoint Security -Standard Endpoint Protectionの管理コンソールにおける最新の脆弱性（CVE-2025-54948、CVE-2025-54987）について詳細と対策を紹介いたしました。すでに当該脆弱性の悪用が確認されているため、当該製品をご利用の場合、トレンドマイクロ株式会社が提供する情報を参照し、早急にパッチ適用などの対策を実施することを推奨いたします。

4. 参考情報

　・トレンドマイクロ株式会社
　　　アラート/アドバイザリ：Trend Micro Apex Oneで確認された管理コンソールに対するコマンドインジェクションによるリモートコード実行の脆弱性（CVE-2025-54948, CVE-2025-54987）
　　　2025年8月6日閲覧
　　　 https://success.trendmicro.com/ja-JP/solution/KA-0020653
　・JVN
　　　トレンドマイクロ製企業向けエンドポイントセキュリティ製品における複数のOSコマンドインジェクションの脆弱性　
　　　2025年8月6日閲覧
　　　 https://jvn.jp/vu/JVNVU92409854/

5. SSKのセキュリティ運用監視サービスおよび脆弱性診断サービスについて

　当社のセキュリティ運用監視サービスでは、24時間365日、リアルタイムでセキュリティログの有人監視を行っております。サイバー攻撃への対策としてセキュリティ機器を導入する場合、それらの機器の運用監視を行い、通信が攻撃かどうかの分析、判断をして、セキュリティインシデント発生時に適切に対処できるようにすることが重要です。セキュリティ運用監視サービスのご活用により、迅速なセキュリティインシデント対応が可能となります。
　また、脆弱性診断サービスでは、お客様のシステムを診断し、検出された脆弱性への対策をご提案させていただいております。テレワークの常態化やIoT等のデバイスの多様化が進む昨今、特定の攻撃経路だけを想定した「境界防御」に加えて、脆弱性を把握・管理・対処する『本質防御』も必須となっています。脆弱性診断サービスのご活用により、お客様のシステムにおける脆弱性の存否が明らかになります。
　セキュリティ運用監視サービスや脆弱性診断サービスをご活用いただきますと、セキュリティインシデントの発生を予防、また発生時にも迅速な対処が可能なため、対策コストや被害を抑えることができます。

■SSKの総合セキュリティサービス
　44年以上に渡って築き上げてきたIT運用のノウハウと、最新技術を結集したSSKのセキュリティ運用監視センター。
　この2つを融合させることによりお客様の情報セキュリティ全体をトータルにサポートするのがSSKの総合セキュリティサービスです。
　人材・運用監視・対策支援という3つのサービスを軸に全方位のセキュリティサービスを展開しています。
【参考URL】
https://www.ssk-kan.co.jp/e-gate/