Trend Micro Apex Centralに2件の深刻なRCE 脆弱性-CVSS 9.8、即時パッチ適用を推奨

トレンドマイクロは2025年6月10日、Apex Central製品に関する2件のクリティカルな脆弱性（CVE-2025-49219、CVE-2025-49220）に対するセキュリティパッチを公開しました。
いずれも認証前のリモートコード実行（RCE）につながる恐れがある脆弱性で、CVSSスコアは最大値に近い「9.8」。

現時点で実際の悪用（エクスプロイト）は確認されていないものの、極めて深刻な内容であるため、速やかな対応が求められます。

対象製品とバージョン

※クラウド版は2025年4月の定期メンテナンスで対応済み。

脆弱性の内容

CVE-2025-49219（ZDI-CAN-25286）

• 概要：不正なデータのデシリアライズにより、認証不要のリモートコード実行が可能

• CVSSスコア：9.8（Critical）

• 影響：機密情報の漏えい、システムの乗っ取り、サービス停止の可能性

• 脆弱性種別：CWE-477（旧式関数の使用）

CVE-2025-49220（ZDI-CAN-25495）

• 概要：同様に、別メソッドでの認証前RCE脆弱性

• CVSSスコア：9.8（Critical）

• その他：構造は類似しているが、異なるコード経路で発生

パッチ情報と対応方法

オンプレミス版を利用中の企業は、早急にCP B7007を適用してください。
パッチはTrend Microダウンロードセンターより入手可能です。

攻撃の条件と緩和策

今回の脆弱性は“認証前”に発生するため、悪用された場合の被害は大きくなり得ます。ただし、攻撃者が対象システムへ到達可能な通信経路を持っていることが前提です。

対応のポイント

• 社内ネットワーク外からの管理コンソールへの接続は制限しておくこと

• 不要なポートやプロトコルの遮断

• 外部からの通信ログを監視（不審なアクセス試行の検知）

二次防御策（IPS/IDS）

トレンドマイクロは以下のシグネチャも同時に提供しています。
適用済みの場合、攻撃を検知・遮断できる可能性があります。

• TippingPoint / Cloud One – Network Security：Filter 35498

• Cloud One – Workload Security / Deep Security：Rule 1012375

関連記事

Trend MicroのEDR「Apex One」は法人向けウイルスバスターの後継製品 トレンドマイクロのEDRソリューションTrend Micro Apex One徹底解説　最新のサイバーセキュリティ対策と導入ポイント パロアルトネットワークスがCVE-2024-9463 (CVSS 9.9) を含む重大な脆弱性について勧告 KDDIのホームゲートウェイ HGW-BL1500HMに複数の脆弱性、アップデートを推奨 WindowsのTCP/IP IPv6を使用する全てのシステムに影響を与える緊急度の高い 脆弱性(CVE-2024-38063) F5のBIG-IP Next Central Managerで脆弱性 デバイス乗っ取りが可能に(CVE-2024-26026、CVE-2024-21793) アイ・オー・データ製ルーターのUD-LT1とUD-LT1/EXで3つの重大な脆弱性(CVE-2024-45841,CVE-2024-47133,CVE-2024-52564) Fortinetの脆弱性(CVE-2024-21762,CVE-2024-55591)を悪用したサイバー攻撃が拡大中 Ivanti Connect Secureに深刻な脆弱性(CVE-2025-22467)

投稿者：三村

セキュリティ対策Labのダークウェブの調査から執筆まで対応しています。 セキュリティ製品を販売する上場企業でSOC(セキュリティオペレーションセンター)や脆弱性の営業8年、その後一念発起しシステムエンジニアに転職。MDMや人事系のSaaS開発を行う。