トレンドマイクロ Apex Centralに複数の脆弱性(CVE-2025-69258 / 69259 / 69260)|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年01月13日更新日時: 2026年01月13日

トレンドマイクロは2026年1月7日、統合管理製品「Trend Micro Apex Central（オンプレミス版）」に影響する複数の脆弱性（計3件）を修正するCritical Patch（CP）Build 7190を公開しました。対象はApex Central 2019 を含むオンプレ環境で、Build 7190未満が影響を受けます。深刻度はHigh～Criticalで、CVSS 3.xのスコアは7.5～9.8とされています。

1 影響を受ける製品・バージョンと修正状況
2 脆弱性の概要（CVE-2025-69258 / 69259 / 69260）
3 CVE-2025-69258：MsgReceiver.exeを狙う未認証RCE（LoadLibraryEx）
4 CVE-2025-69259：CRLF想定のstrstr()がNULLを返すケースを未チェックでDoS
5 CVE-2025-69260：メッセージ内の文字列長を検証せずCurPosがバッファ外へ進みDoS
6 修正と緩和策：Build 7190への更新が基本、露出面の見直しも重要
7 Tenableが公表した開示タイムライン：2025年8月から調整、2026年1月7日に公開

影響を受ける製品・バージョンと修正状況

影響を受けるのは、以下の条件に該当するApex Central（オンプレ）です。

対象製品：Trend Micro Apex Central（on-premise）
影響バージョン：Build 7190 未満
プラットフォーム：Windows
修正バージョン：Critical Patch Build 7190（現在入手可能）

トレンドマイクロは、記載されたビルドが最小の推奨であり、より新しいビルドが提供されている場合は最新バージョンへの更新を推奨しています。

脆弱性の概要（CVE-2025-69258 / 69259 / 69260）

今回のセキュリティ情報で扱われているCVEは以下の3件です。

CVE-2025-69258（CVSS 9.8 / Critical）：LoadLibraryExを悪用したリモートコード実行（RCE）
CVE-2025-69259（CVSS 7.5 / High）：メッセージ処理の不備によるDoS（サービス妨害）
CVE-2025-69260（CVSS 7.5 / High）：境界外読み取りに起因するDoS（サービス妨害）

いずれもトレンドマイクロの説明では、攻撃成立にあたり認証が不要なケースが含まれる点が明記されています（少なくともDoS 2件は未認証で悪用可能とされています）。

CVE-2025-69258：MsgReceiver.exeを狙う未認証RCE（LoadLibraryEx）

最も深刻とされるCVE-2025-69258は、Apex CentralのコンポーネントであるMsgReceiver.exeに関する脆弱性です。Tenableの技術解説によれば、MsgReceiver.exeはデフォルトでTCP 20001番ポートで待ち受け、特定形式のメッセージを受け取ります。

問題となるのは、メッセージID 0x0a8d（インストールハンドラ要求系）で、メッセージ内に含まれるDLL名（パス）が、LoadLibraryExで読み込まれる設計になっている点です。ここに攻撃者が制御できるDLLパス（例：UNCパスで攻撃者が用意した共有上のDLL）を指定すると、MsgReceiver.exeが攻撃者のDLLをロードしてコードが実行される可能性があります。

トレンドマイクロ側の説明でも「未認証のリモート攻撃者が、SYSTEM権限コンテキストで攻撃者コードを実行し得る」とされており、管理系サーバーが外部から到達可能な構成の場合、影響は重大です。

CVE-2025-69259：CRLF想定のstrstr()がNULLを返すケースを未チェックでDoS

CVE-2025-69259は、メッセージID 0x1b5b（new protocol）の処理において、ユーザー入力中の区切り（CRLF）検索で呼ばれるstrstr()がNULLを返した場合の戻り値チェックがない点が問題とされています。戻り値がNULLのままポインタ演算に利用されることで、無効メモリアクセスが発生し、結果としてサービス停止（DoS）に至る可能性があります。

TenableはPoCを示し、攻撃後に接続が切断され、再接続できない状態（サービス停止）に陥る挙動を例示しています。

CVE-2025-69260：メッセージ内の文字列長を検証せずCurPosがバッファ外へ進みDoS

CVE-2025-69260も同じく0x1b5bメッセージに関連しますが、こちらは「new protocol」ではない形式で、内部の文字列構造（x_astring）のsizeフィールドを攻撃者が大きく指定できるにもかかわらず、処理側でバッファ終端との整合性チェックが不足している点が問題とされています。

結果として、バッファカーソル（CurPos）がバッファサイズを超えて進み、次の文字列処理で不正なアドレス参照が起き、アクセス違反でプロセスが落ちる（DoS）可能性があります。

修正と緩和策：Build 7190への更新が基本、露出面の見直しも重要

トレンドマイクロは、対策としてApex Central（オンプレ）をCritical Patch Build 7190へ更新するよう案内しています。とくに未認証で悪用できる可能性が示されている以上、インターネット到達性のある環境や、境界防御が不十分なネットワークでは優先度が高い対応になります。

また、同社は一般論として「こうした脆弱性の悪用には特定条件が必要なことが多い」としつつも、パッチ適用に加えて以下の観点も見直すよう促しています。

管理サーバーへのリモートアクセス経路の棚卸し
重要システムの到達制御（FW/ACL）
境界防御・運用ポリシーの更新

Tenableが公表した開示タイムライン：2025年8月から調整、2026年1月7日に公開

Tenableのアドバイザリでは、研究者側からの連絡が2025年8月26日に始まり、その後、暗号化ファイルが復号できないなどの事情で調整が長期化し、最終的に2026年1月7日にベンダー告知（トレンドマイクロの公開情報）と足並みをそろえて公開した流れが示されています。トレンドマイクロは謝辞として、報告者にTenableを挙げています。