- ひとことでASUS の更新ツール Live Update が、改ざんされた状態で配られていた問題
- 深刻度9.8 緊急CVSS v3.1
- まずやることLive Update の使用をやめる
基本情報（データから表示）
| CVE番号 | CVE-2025-59374 |
|---|---|
| 製品 | ASUS Live Update |
| 深刻度（CVSS） | 9.8 緊急CVSS v3.1 NVD による評価 詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
| KEVへの追加日 | 2025-12-17 |
| 米国政府機関の対応期限 | 2026-01-07 |
| ランサムウェアでの悪用 | 不明（確認されていない） |
| 弱点の種類（CWE） | CWE-506（埋め込まれた悪意のあるコード） |
何が起きた
ASUS の Live Update（ソフトを更新するためのツール）の一部のバージョンが、配布の途中で何者かに手を加えられた状態で配られていました（サプライチェーン攻撃）。改ざんされた版は、特定の条件に当てはまる機器でだけ、意図しない動きをするようになっていました。実際に悪用が確認されています。
攻撃の流れ
データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。
誰が影響を受ける
改ざんされた版の Live Update を入れていて、条件に当てはまった機器だけが影響を受けました。ASUS が登録した CVE の記録では、3.6.6 より前の版が対象です。Live Update は 2021年10月にサポートが終わっており、現在サポートされている機器や製品は影響を受けないとされています。
何をすればいい
Live Update はサポートが終わっているため、使い続けず、使用をやめてください。CISA も、この製品の使用をやめるよう求めています。あわせて公式の案内を確認してください。
やることチェックリスト
- Live Update の使用をやめる
- パソコンに Live Update が残っているか確認する
- 3.6.6より前の版が入っていないか確認する
用語メモ
- サプライチェーン攻撃
- 製品やソフトが利用者に届くまでの途中（開発や配布）に入り込んで、不正な仕掛けを混ぜる攻撃です。
- 改ざん
- データやプログラムを、許可なく書き換えることです。
次に読む
公式情報と元データ
公式情報
元データ（英語・CISA KEV より）を開く
ASUS Live Update Embedded Malicious Code Vulnerability
概要
ASUS Live Update contains an embedded malicious code vulnerability client were distributed with unauthorized modifications introduced through a supply chain compromise. The modified builds could cause devices meeting specific targeting conditions to perform unintended actions. The impacted product could be end-of-life (EoL) and/or end-of-service (EoS). Users should discontinue product utilization.
推奨対応
Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
この元データの出どころ: CISA KEV カタログで見る