Microsoft Threat Intelligenceは、FortraのGoAnywhere Managed File Transfer（MFT）に存在するCVE-2025-10035（CVSS 10.0）の脆弱性が、Storm-1175（Medusaランサムウェア関連）により少なくとも2025年9月11日以降、実際の侵害で悪用されていると発表しました。
技術概要：ライセンスServletの署名検証回避→任意オブジェクト反序列化
脆弱性はAdmin ConsoleのLicense Servlet（～v7.8.3）に起因します。
攻撃者が正当らしく見えるライセンス応答の署名を偽造できると、サーバ側で任意オブジェクトを反序列化させられ、結果としてコマンド注入からRCEに至ります。公開レポートでは、ライセンス応答の入手・改ざん手段が成立すれば認証不要で到達可能とされ、外部公開インスタンスは特に危険です。
攻撃の流れ：初期侵入からMedusa展開まで
Microsoftの観測では、Storm-1175はこの脆弱性で初期侵入後、SimpleHelpやMeshAgentといったRMMをGoAnywhereプロセス配下に配置して永続化を確立し、同タイミングでJSPファイルをMFTディレクトリに投下しています。
続けてユーザー／ホスト探索やnetscanでのネットワーク偵察を行い、mstsc.exeを用いて横展開。Cloudflare TunnelでC2を隠蔽しつつ、少なくとも一環境でRcloneによる持ち出しを実施し、最終段でMedusaランサムウェアを投入しました。ゼロデイ期の活動も報告されており、攻撃速度と一貫性のある手口が特徴です。
影響とリスク評価
管理境界の外側に露出したMFTは、認証回避かつ低複雑度でRCEに至るため、業務ファイルの大規模流出と停止の両リスクが現実的です。
RMM悪用とクラウドトンネル併用により検知をすり抜けやすく、侵入後の横展開まで短時間で到達します。既にパッチ適用済みでも、過去に侵入されていればRMM残置やWebシェル温存の可能性があるため、事後フォレンジックと体制の復旧が必要です。
いますぐ取るべき対策（実務向け）
まずFortraの推奨に沿って最新バージョンへ更新します。その上で、更新が過去の侵害を解消しない点を踏まえ、GoAnywhereのログにSignedObject.getObjectスタックトレース等がないかを遡及確認します。
インターネット側からの任意通信をファイアウォール／プロキシで原則禁止し、MFTサーバの閲覧・ダウンロード等の外向き通信を止めます。EDRはブロックモードで稼働させ、ASR（攻撃面減少）ルールでスクリプト悪用やWebシェル作成を抑止。周辺資産の把握にはDefender EASM等のASMを用い、露出中の未修正サーバを洗い出します。
資格情報は早期に棚卸ししてローテーション、取り回しの良いRDPやRMMの利用抑制も徹底します。
出典
Investigating active exploitation of CVE-2025-10035 GoAnywhere Managed File Transfer vulnerability
関連記事
アスクル、東京・関東DCで12月17日から出荷再開へ- ランサムウェアによるサイバー攻撃の被害から本格復旧
Google、中国系ハッカーグループの大規模な規模サイバー諜報活動を妨害-サイバー攻撃は政府機関も対象
ロックビット（Lock Bit）が米連邦準備銀行(FRB)へのハッキングを主張 専門家は懐疑的
イギリス政府、ハッカーやランサムウェア グループへの身代金 支払いの禁止を発表
米 マンパワーでランサムウェアで個人情報漏洩-約14万4,000人分の個人情報に影響
カンタス航空とベトナム航空、サイバー攻撃で個人情報漏洩の恐れ-ハッカーによるSalesforce(セールスフォース)への不正アクセスが影響
サイバー犯罪者やハッカーがAIのLLMを悪用、ツール開発や詐欺に活用
中国系APTグループUNC3886がシンガポール重要インフラへサイバー攻撃
ジャガーランドローバーへのサイバー攻撃 被害で最大15億ポンド（約3,000億円）公的保証
