Trend Micro Apex One のOSコマンドインジェクションの脆弱性（CVE-2025-54948）

何が起きた

ウイルス対策などを一元管理する Trend Micro Apex One（社内に置く版）の管理コンソールで、OS の命令を外から差し込める（OS コマンドインジェクション）弱点が見つかりました。攻撃者は、ログインする前の段階で悪意のあるプログラムを送り込み、命令を実行できるおそれがあります。この弱点は実際の攻撃に使われたことが確認されていて、Trend Micro も、この弱点と CVE-2025-54987 のどちらかを悪用しようとする試みを少なくとも1件確認しています。ネットワーク経由で、ログイン不要の攻撃者が悪用できるとされています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Trend Micro Apex One 2019 を社内に置いて（オンプレミスで）使っている組織です。Trend Micro の勧告では、管理サーバーのバージョン 14039 以下が対象です（CVE の記録では 14.0.0.14039 より前と書かれていて、表記が違います）。クラウド版の Apex One as a Service などは、Trend Micro 側で対策済みです。

何をすればいい

管理サーバーに Critical Patch（SP1 CP B14081）が適用されているか確認してください。Trend Micro は、短期の対策として FixTool_Aug2025 というツールも出していますが、これを使うと管理コンソールから Remote Install Agent でエージェントを配る機能が使えなくなります。管理コンソールの IP アドレスが外部に公開されている場合は、接続元の制限を検討するよう案内されています。Trend Micro の公式の案内を確認してください。

やることチェックリスト

• 管理サーバーに SP1 CP B14081 を適用する
• 外部公開の管理コンソールは接続元を制限する
• 管理サーバーのバージョンを確かめる

用語メモ

管理コンソール 用語集で見る

多くのパソコンのセキュリティ対策を、まとめて設定・管理するための画面です。

OS コマンドインジェクション 用語集で見る

入力の中に OS への命令を紛れ込ませ、本来は許されない命令を実行させる攻撃です。

オンプレミス 用語集で見る

クラウドではなく、自分の会社の中にサーバーを置いて使う形のことです。