情報取得日: 2025/09/29／最終確認: 2026/08/15・本ページは公開情報の非公式まとめです
| CVE ID | CVE-2025-10035 |
|---|---|
| 製品 | Fortra / GoAnywhere MFT |
| CVSS | 9.8（Critical） CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
| 種別 (CWE) | CWE-502 信頼できないデータのデシリアライズ（CNA・NVD はともに CWE-77 コマンドインジェクションも併記） |
| 登録／公開日 | 2025/09/29 |
| KEV 期限 | 2025/10/20 まで（米国連邦機関向け目安） |
| 推奨対応 | ベンダーの指示に従って緩和策を適用し、クラウドサービスについては該当する BOD 22-01 のガイダンスに従うこと。緩和策が無い場合は当該製品の使用を停止すること。 |
| 出典 | https://nvd.nist.gov/vuln/detail/CVE-2025-10035 |
Fortra の GoAnywhere MFT のライセンス処理サーブレット（License Servlet）にデシリアライズの欠陥がある。NVD の記述によれば、有効に偽造したライセンス応答の署名を持つ攻撃者は、攻撃者が中身を決めたオブジェクトをデシリアライズさせることができ、その結果としてコマンドインジェクションに至る可能性がある。つまり成立の前提は「ライセンス応答の署名を偽造できること」であり、そこを越えられればサーバ上でのコマンド実行という最悪の結果につながる。影響範囲は CPE に示されており、7.6.3 より前のすべての版と、7.7.0 以上 7.8.4 未満。修正版は 7.6.3 と 7.8.4 にあたる。CVSS は評価元で分かれていて、NVD（Primary）は 9.8 Critical（CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）、CNA の Fortra は上限の 10.0 Critical（CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H）としている。差はスコープ変更の有無（S:U か S:C）で、Fortra は影響が当該コンポーネントの外に及ぶと見ている。CISA KEV には 2025-09-29 に収載され、是正期限は 2025-10-20。ランサムウェア利用は Known、つまりランサムウェア攻撃で実際に使われたことが確認されている。NVD の vulnStatus は Analyzed。
各ベンダー公式アドバイザリで確認できた事実に基づき整理しています。確認できていない項目は「情報確認中」と明記し、存在しないパッチ番号・バージョンは記載しません。
| 環境 | 対応状況 | 対応方法・備考 |
|---|---|---|
| AWS (ECS/EC2) | パッチあり（アプリ更新） |
EC2 上で運用している GoAnywhere MFT を 7.6.3 以降または 7.8.4 以降へ更新する
AWS のマネージドサービス側の欠陥ではなく、利用者が導入したアプリケーションの版の問題。ALB のターゲットグループに管理コンソールのポートを含めていないか、セキュリティグループで管理ポートが 0.0.0.0/0 に開いていないかを確認する。侵害の可能性がある場合は、インスタンスに付与した IAM ロールの一時資格情報も含めて棚卸しする。
参照リンク
|
| GCP | パッチあり（アプリ更新） |
Compute Engine 上の GoAnywhere MFT を 7.6.3 以降または 7.8.4 以降へ更新する
GCP 側のサービスの欠陥ではない。ファイアウォールルールで管理ポートを社内 IP に限定し、Cloud Armor で外部からの到達を落とす。侵害の可能性があるインスタンスは、付与済みサービスアカウントの権限と発行済みキーも確認する。
参照リンク
|
| Azure | パッチあり（アプリ更新） |
Azure VM 上の GoAnywhere MFT を 7.6.3 以降または 7.8.4 以降へ更新する
NSG で管理ポートへの到達元を絞り、管理は Bastion 経由に寄せる。ランサムウェアで使われた実績がある脆弱性なので、同一 VNet 内の他ホストへの横移動の痕跡（想定外の SMB / RDP 接続）も併せて確認する。
参照リンク
|
| Linux | パッチあり（アプリ更新） |
ディストリのパッケージ更新では直らない。GoAnywhere MFT 本体を 7.6.3 以降または 7.8.4 以降へ更新する
Linux ホスト上で動かしている場合、更新に加えてサービス実行ユーザーの権限と cron / systemd タイマーに追加された不審なエントリを確認する。前段の nginx などのアクセスログはローテートで消える前に保全しておく。
参照リンク
|
まず自分が該当するかは版で判定する。GoAnywhere MFT の管理コンソールに出るバージョンが 7.6.3 未満、または 7.7.0 以上 7.8.4 未満なら該当で、7.6.3 系で運用している環境は 7.6.3、7.7 以降の系列は 7.8.4 以降へ上げる。見落としやすいのは、社内の別部門が取引先とのファイル交換のために立てた個別のインスタンス、クラスタ構成の全ノード、そして検証用に立てて公開したまま忘れているホストである。到達性の確認では、管理コンソール側のポートが外から見えていないかを外部からのスキャンで実測しておくとよい。すぐに更新できない場合、公開情報から確認できる個別の設定回避策は無いため、経路を閉じる話になる。管理コンソールへの到達をインターネットから完全に落とし、VPN か踏み台の内側だけに置く、ファイル転送用のポートとは別のポートで動く管理面を到達元 IP で限定する、という措置が中心になる。ここで重要なのは、KEV に Known ransomware で載っている、つまり実際にランサムウェア攻撃に使われている点である。更新だけで終わらせてはいけない。更新前の期間について、管理者アカウントの追加・変更、想定外の時刻に実行されたジョブやトリガー、ライセンス関連の例外ログ、サーバ上に置かれた見慣れないファイルや Web シェルを確認し、GoAnywhere が保持している取引先向けの資格情報（SFTP/FTPS のパスワード、SSH 鍵、API キー、接続先のクレデンシャル）は侵害済みとみなして再発行する。取り扱っていたファイルが持ち出された前提での通知判断も必要になる。完了条件は、（1）全ノードが 7.6.3 以降または 7.8.4 以降になっている、（2）痕跡調査を実施して結果を記録した、（3）保持していた資格情報を再発行した、の3点が揃うことである。KEV 是正期限 2025-10-20 は今日（2026-08-17）から見て10か月以上前であり、未更新のホストが残っているなら期限を大幅に超過している扱いになる。
Critical（CVSS 9.8）に分類されるFortra GoAnywhere MFTの脆弱性です。Fortra の GoAnywhere MFT のライセンス処理サーブレット（License Servlet）にデシリアライズの欠陥がある。NVD の記述によれば、有効に偽造したライセンス応答の署名を持つ攻撃者は、攻撃者が中身を決めたオブジェクトをデシリアライズさせることができ、その結果としてコマンドインジェクションに至る可能性がある。つまり成立の前提は「ライセンス応答の署名を偽造できること」であり、そこを越えられればサーバ上でのコマンド実行という最悪の結果につながる。影響範囲は CPE に示されており、7.6.3 より前のすべての版と、7.7.0 以上 7.8.4 未満。修正版は 7.6.3 と 7.8.4 にあたる。CVSS は評価元で分かれていて、NVD（Primary）は 9.8 Critical（CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）、CNA の Fortra は上限の 10.0 Critical（CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H）としている。差はスコープ変更の有無（S:U か S:C）で、Fortra は影響が当該コンポーネントの外に及ぶと見ている。CISA KEV には 2025-09-29 に収載され、是正期限は 2025-10-20。ランサムウェア利用は Known、つまりランサムウェア攻撃で実際に使われたことが確認されている。NVD の vulnStatus は Analyzed。
まず自分が該当するかは版で判定する。GoAnywhere MFT の管理コンソールに出るバージョンが 7.6.3 未満、または 7.7.0 以上 7.8.4 未満なら該当で、7.6.3 系で運用している環境は 7.6.3、7.7 以降の系列は 7.8.4 以降へ上げる。見落としやすいのは、社内の別部門が取引先とのファイル交換のために立てた個別のインスタンス、クラスタ構成の全ノード、そして検証用に立てて公開したまま忘れているホストである。到達性の確認では、管理コンソール側のポートが外から見えていないかを外部からのスキャンで実測しておくとよい。すぐに更新できない場合、公開情報から確認できる個別の設定回避策は無いため、経路を閉じる話になる。管理コンソールへの到達をインターネットから完全に落とし、VPN か踏み台の内側だけに置く、ファイル転送用のポートとは別のポートで動く管理面を到達元 IP で限定する、という措置が中心になる。ここで重要なのは、KEV に Known ransomware で載っている、つまり実際にランサムウェア攻撃に使われている点である。更新だけで終わらせてはいけない。更新前の期間について、管理者アカウントの追加・変更、想定外の時刻に実行されたジョブやトリガー、ライセンス関連の例外ログ、サーバ上に置かれた見慣れないファイルや Web シェルを確認し、GoAnywhere が保持している取引先向けの資格情報（SFTP/FTPS のパスワード、SSH 鍵、API キー、接続先のクレデンシャル）は侵害済みとみなして再発行する。取り扱っていたファイルが持ち出された前提での通知判断も必要になる。完了条件は、（1）全ノードが 7.6.3 以降または 7.8.4 以降になっている、（2）痕跡調査を実施して結果を記録した、（3）保持していた資格情報を再発行した、の3点が揃うことである。KEV 是正期限 2025-10-20 は今日（2026-08-17）から見て10か月以上前であり、未更新のホストが残っているなら期限を大幅に超過している扱いになる。
Fortra GoAnywhere MFT を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2025-10035）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。
はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2025/10/20 です。推奨される対応: ベンダーの指示に従って緩和策を適用し、クラウドサービスについては該当する BOD 22-01 のガイダンスに従うこと。緩和策が無い場合は当該製品の使用を停止すること。
本ページの記載は下記の一次情報に基づく非公式まとめです。数値・対応状況は各出典元で最終確認してください（最終確認: 2026/08/15）。